根据Juniper Research最新发布的报告，5G网络运营商面临的最大业务风险之一就是数据漫游费用被欺诈者“薅羊毛”。报告预测：到2028年全球5G漫游欺诈造成的损失将超过80亿美元，这是由于数据密集型的5G网络的双边漫游协议增加造成的。 报告还预测到2024年，欺诈性数据流量将占全球运营商漫游损失的80%。 随着2G和3G网络的淘汰，运营商正在加速向5G和VoLTE漫游服务过渡，以利用高水平的虚拟化并降低运营成本。然而，5G网络的高度虚拟化特性为欺诈者实施攻击创造了更多机会，导致运营商网络容易受到5G网络的新兴欺诈手段的影响。 随着双边5G漫游协议的激增，研究预测运营商将部署更复杂的欺诈缓解工具。5G漫游连接产生的数据量越来越大，业界迫切需要开发能够随着新5G网络发展而检测欺诈用户和流量的解决方案。 5G订阅欺诈激增 支持报告预测的一个显著例证是5G订阅欺诈的增加，欺诈者用虚假身份信息订阅5G服务，并拒绝支付随后产生的漫游费。除非订阅被取消，否则欺诈者将继续匿名使用5G漫游数据，给运营商带来巨大的漫游收入损失。 研究作者Rosie O’Connor表示：“2024年全球5G漫游连接数量预计将超过1亿，移动运营商必须实施5G特定的信令检测和防火墙，进行实时监控和ID注册分析，只有这样，运营商才能更有效地识别5G订阅欺诈。” 欺诈缓解服务将实时向运营商发出5G网络中任何潜在欺诈活动的警报，并使他们能够识别和阻止可疑的漫游用户。这将使运营商能够最大限度地减少欺诈活动和漫游收入损失。     转自GoUpSec，原文链接:https://mp.weixin.qq.com/s/Xl3u7F1XPyEA-WfE2vDq9A 封面来源于网络，如有侵权请联系删除

美国网络安全和情报机构发布了一系列建议，以解决5G独立网络切片的安全问题，并对可能产生的威胁进行更加有效的防范。 CISA和NSA表示，5G的威胁形势是动态变化的。因此，随着时间的推移，需要先进的监控、审计和其他分析能力来满足一定程度的网络切片服务水平要求。 5G是宽带蜂窝网络的第五代技术标准，提供更高的数据速度和更低的延迟。网络切片是一种架构模型，它允许移动服务提供商将其网络划分为几个独立的“切片”，以创建满足不同客户端和用例的虚拟网络。 这些机构于2022年12月曾发布过一份指导意见，该指导意见警告称，网络切片可能使用户面临各种威胁载体–拒绝服务、干扰、身份盗用和中间对手攻击–从而有效地妨碍网络服务的保密性、完整性和可用性。 Enea AdaptiveMobile Security 公司在 2021 年 3 月发布的一份报告中详细阐述了对 5G 网络切片的担忧，该报告强调了暴力破解攻击可能会恶意访问切片，并对其他网络功能发动拒绝服务攻击。 随后在 2021 年 5 月，美国政府曾警告称：电信标准执行不力、供应链威胁和系统架构中的薄弱环节可能会给 5G 网络带来重大网络安全风险，从而使威胁行为者得以利用漏洞从受害者那里获取有价值的情报。 在最新的指南中，当局将信令平面的拒绝服务攻击、错误配置攻击和中间对手攻击列为三大突出的 5G 威胁载体，并指出零信任架构（ZTA）有助于确保网络部署的安全。 CISA和NSA表示：”零信任架构的很大一部分可以通过采用认证、授权和审计（AAA）技术来实现。”正确实施身份验证和授权还可以减少错误配置攻击造成的威胁载体”。 这两个机构还表示，在如何实施、设计、部署、运营、维护、潜在加固和缓解 5G 网络切片方面，认可业界公认的最佳实践至关重要，因为它们会影响服务质量（QoS）和服务水平协议（SLA）。 在最新的指导意见中，将拒绝服务攻击、错误配置攻击和中间对手攻击列为三个主要的5G威胁载体，并指出零信任架构(ZTA)可以帮助确保网络部署的安全。 CISA和NSA表示：ZTA很大程度可以通过使用认证、授权和审计(AAA)技术来完成。正确实施身份验证和授权还可以减轻由错误配置攻击引起的威胁向量。 他们还称，认识到业界公认的5G网络切片如何实施、设计、部署、操作、维护、潜在加固和缓解的最佳实践至关重要，因为它们会影响服务质量(QoS)和服务水平协议(sla)。     转自Freebuf，原文链接:https://www.freebuf.com/news/372585.html 封面来源于网络，如有侵权请联系删除

安全内参7月8日消息，本周发表的一篇研究论文，对5G网络的安全保护能力提出了质疑。 位于欧洲中部的列支敦士登大学的学术研究人员称，只需利用一种极为简单的网络干扰策略，恶意黑客就能在毫不知晓内部情况的情况下破坏5G网络的流量，即便对方部署了先进防御措施。该研究团队称，攻击的关键在于使用对抗性机器学习（ML）技术，这类技术不依赖于任何先验知识或对目标网络的前期侦察。 在7月4日发表的研究论文中，该团队描述了新一代5G网络可能面临的一类全新对抗性机器学习攻击。这篇论文题为《荒野网络：5G网络基础设施面临对抗性实例》，由Giovanni Apruzzese、Rodion Vladimirov、Aliya Tastemirova和Pavel Laskov共同撰写。 随着5G网络技术的部署，越来越多设备借此进行流量传输，过去传统的网络数据包管理方法不再适用。研究人员指出，为了解决这个问题，不少电信运营商开始利用机器学习模型，对流量进行分类和优先级排序。 事实证明，这些机器学习模型正是5G网络体系中的软肋。只要混淆这些模型并重新调整其优先级排序，恶意黑客即可实现流量篡改。研究人员提到，通过利用垃圾流量淹没网络，这种名为“近视攻击”可以“拿下”5G移动设备。 图：近视攻击威胁模型 研究人员写道，这种攻击方式的基本思路是对数据集做出轻微篡改。通过执行一系列简单操作，如附有额外数据的数据包请求等，机器学习模型将会获得预期之外的信息。随着时间推移，这些有毒请求将逐步改变机器学习软件的行为、阻止合法网络流量，并最终拖慢甚至中止数据流传输。 虽然这一攻击手段的真实效果，具体取决于5G网络类型以及实际部署的机器学习模型，但研究人员的实验室测试提供了令人心忧的结果。在6次实验测试中，他们在没有运营商、基础设施或机器学习知识的情况下成功了5次。 Apruzzese在采访中表示，“只需将垃圾数据附加至网络数据包中，即可轻松实现攻击。事实上，其中一次测试甚至证明，即使网络数据包的有效载荷与目标ML模型毫无关系，攻击也能获得成功。” 从长期来看，这种攻击手段造成的影响相对没那么恶劣。但由此引发的服务中断和网络传输减缓，还是会给那些希望使用5G网络的用户带来困扰。 研究团队解释道，这项研究的最大意义，在于提醒人们必须找到一套更加强大的模型，用于测试和解决未来5G网络内实际部署的机器学习模型中的种种漏洞。 图：论文提出5G机器学习安全评估框架的工作流程 研究团队写道，“5G范式催生出一类新的有害对抗性ML攻击。这类攻击的准入门槛较低，而且现有对抗性ML威胁模型无法对其做出定性。此外，这也提醒我们必须对这类漏洞做出主动评估。” 一段时间以来，对抗性机器学习与人工智能（AI）一直是信息安全社区的关注重点。虽然人们认为野外出现的真实攻击数量极少，但已经有多位专家警告称，算法模型可能极易受到有毒数据的影响，最终被恶意黑客玩弄于股掌之间。 中的第三方系统没有受到影响。 转自 安全内参，原文链接：https://www.secrss.com/articles/44485 封面来源于网络，如有侵权请联系删除

安全内参5月27日消息，对于希望在部门内部署5G无线通信项目的联邦官员，这份最新发布的安全指南将帮助他们考量最重要的“运营授权”流程。 《5G安全评估》（5G Security Evaluation）指南由美国国土安全部（DHS）网络安全与基础设施安全局、国土安全部科技司、国防部（DoD）研究与工程司共同牵头，指派研究小组负责具体制定。 文件指出，“重要的是，政府应采用灵活、自适应且可重复的方法对任何5G网络部署的安全性和弹性做出评估。此外，具体评估可能需要在现行联邦网络安全政策、法规和最佳实践之外更进一步，以解决已知攻击向量、尚未发现的威胁和特定实施中存在的漏洞。” 整理评估方案的官员强调，这份指南并非新的安全要求或框架。相反，它只是为各级机关的5G系统评估工作，特别是评估其安全水平是否符合生产要求，制定出一个五步走流程。整个流程与美国国家标准、技术风险管理框架等现有评估机制挂钩。 网络与基础设施安全局网络质量服务管理办公室主管Vincent Sritapan在采访中表示，“我们经常面对各种各样的应用场景：用于训练的AR/VR，提供数据存储与分析功能的智能湖仓等。但关键在于，必须找到一种通行的方式来看待问题并理解政策。我们并不是要重新构建评估机制，而是立足于现有成果，比如风险管理框架。” 图：5G子系统面临的威胁 各级机关都希望能在未来几年内将5G系统部署落地，因此安全评估工作就成了通信升级的关键。作为联邦首席信息安全委员会授权负责发现常见无线与移动问题、开发解决方案并分享最佳实践的专项团队，联邦移动工作组（Federal Mobility Group）曾在2020年发表论文，确定了政府内60多项与5G技术相关的举措，其中包括数十项研发计划。 与其他新兴技术一样，在将5G引入生产环境之前，各团队必须首先获得运营授权（ATO）。此次发布的评估指南，就是以专项测试与传统运营授权流程为基础，面向5G技术提供评估调查指引。 Sritapan表示，“很多人单纯关注功能本身。他们可能会想，「太棒了，我想在技术新鲜出炉后立马用上。」但在摸清风险之前，大家不宜轻举妄动。换句话说，在把5G用例纳入业务的同时，我们又增添了哪些风险？” 5G安全评估的五个阶段 这个五步走评估流程的第一步是定义5G用例，包括5G系统、子系统及属性等关键参数。 美国国防部5G to NextG倡议的运营部分负责人Dan Massey在采访中指出，这个流程将帮助各级机构考量5G系统的复杂性，包括最终用户设备、无线接入网络、5G核心网络和边缘计算系统等。 Massey还提到，“该流程将帮助大家确定系统组件的风险级别、系统边界、已知指导方针等，避免从零开始自行摸索。” 第二步，定义安全评估的边界。考虑到5G技术极高的复杂性和相互关联性，这一部分可能会极具挑战。 Sritapan解释道，“要使用专用网络吗？是否包含云系统？作为边界的组成要素，应该选择怎样的端点和技术应用接口？” 第三步，要求对各个5G子系统开展“高级威胁分析”，并进一步确定安全要求，如是否采用身份、凭证和访问管理控制或网络安全控制等。 第四步，要求同联邦指导方针和行业规范相匹配，包括与美国国家标准技术研究所网络风险管理框架（NIST RMF）、联邦信息流程标准及其他相关指南挂钩。 第五步，评估安全指导方针中存在的差距。如果联邦指导意见确实存在差距，文件要求项目主管应求助于“由商业或贸易团队建立的行业认证、安全保障计划，或者其他最佳实践评估框架。”但文件同时强调，在采用这些方法之前，务必“认真”进行研究权衡。 Massey总结道，“我们不会引入全新的流程或指令。相反，我们认为现有方案已经够多，最重要的是把新流程跟现有指导方针匹配起来。当然，在实施过程中难免会发现差距。但大多数情况下，只要我们能够充分理解自身安全要求，就完全可以把新流程与原有指导意见联系起来。这里我想呼吁那些打算部署5G系统的同仁，这绝不是什么庞大、可怕、前所未见的事物。只要按照这份流程有序推进，大家就会发现它跟以往的工作没多大区别，基本原理也并不难理解。”   转自 安全内参，原文链接：https://www.secrss.com/articles/42887 封面来源于网络，如有侵权请联系删除