近日，美国政府发布《5G安全评估》（5GSecurityEvaluation）指南，《5G安全评估》指南由美国国土安全部（DHS）网络安全与基础设施安全局、国土安全部科技司、国防部（DoD）研究与工程司共同牵头，指派研究小组负责具体制定，该指南立足现有标准框架等成果，为政府机构评估其5G系统安全水平是否符合生产要求，制定了一套参考流程。
5G概述
5G技术生态系统很复杂，而且仍在不断发展。任何5G网络安全评估方法都必须随着新的5G标准、威胁载体、部署功能和政策的引入而扩展和发展。此外，需要一个共同的理解和词汇来识别和描述关键的元素、功能、关系和流程。
1 5G系统模型
5G系统包括：用户设备（UE）、5GRAN和5G核心，并可能包括多接入边缘计算（MEC）和/或网络分片。由于在5G中广泛使用虚拟化以及对安全网络协调和管理的关键需求，这些子系统也包括在下面图1所示的5G系统模型中。每个顶层的5G系统组件可以表示为一个单一的子系统配置或组件配置的集合。5G网络可能包括多个服务提供商，从而为安全风险评估引入额外的复杂性。认识到5G的这一侧面，图1显示每个5G子系统都有一组属性。这种5G系统分解使得独特的功能和系统属性可以应用于系统组件，作为5G安全评估过程调查的参考模型，并促进5G威胁的识别。
图1. 5G系统模型
图1中描述的中间层展示了以下5G子系统。
5G UE允许用户访问网络服务。5G支持多种可能的设备类型（例如，物联网[IoT]、自动驾驶汽车）。5G UE的组件包括硬件、软件、用户身份模块（SIM）和接口（空中接口、本地端口和传感器）；
5G RAN支持所有的逻辑接入功能，通过5G新无线电（NR）空中接口将UE连接到5G系统。虽然5G核心网支持与其他类型的接入网互通，但只有5G RAN被纳入5G安全评估过程调查的范围。5G RAN包括中央单元、分布式单元、无线电单元、多个接口（如空中接口、中程、回程、管理），还可能包括RAN智能控制器，以控制开放无线接入网（O-RAN）的配置和优化；
5G核心对用户进行认证，为终端用户建立可靠、安全的网络连接，并提供对其服务的访问。除了一组接口（UE、RAN、核心内等），5G核心还包括控制平面、用户（数据）平面、网络数据（用于其他核心功能）、使外部应用连接到核心功能的应用功能和网络切片的一组功能；
MEC是一种运行在网络边缘的云服务，实时或接近实时地提供特定的任务。MEC将计算能力移到离终端用户更近的地方，以实现需要独特连接特性（如超低延迟）的应用和服务。除了MEC接口，MEC还包括一个系统级组件和一个主机级组件，这两个组件进一步分解为MEC主机（平台和虚拟化基础设施）和MEC主机管理；
当使用虚拟化或云部署模式时，云/虚拟化是必要的。并代表了对这些虚拟功能的底层基础设施支持。它可以被设置为一个单一的虚拟化平台或多个互连的虚拟平台（即云）。该子系统包括基础设施、从基础设施中抽象出硬件资源的虚拟化层、子系统组件的资源协调功能、一组接口，以及作为虚拟（虚拟网络功能[VNF]）或云原生容器（云原生网络功能[CNF]）组件部署的网络功能；
协调和管理包括所有网络管理功能（故障、配置、会计、性能、安全），以及支持5G RAN、5G核心、MEC和云/虚拟化子系统的虚拟化基础设施部署和管理的任何协调器功能。
图1内的最低层描述了参考设计模型，它代表了5G子系统的共同实现。除了每个5G子系统的攻击面外，参考设计可能会引入额外的威胁，如传统RAN中不存在的O-RAN的额外接口。图2中介绍了5G参考设计的相关示例。
图2. 顶层5G系统参考设计
图2中的四个示例参考设计可以结合起来代表一个5G系统。5GUE、RAN、Core和MEC解决方案各有一个代表，显示了“通用”子系统的安全要求如何被扩展以包括由内部“独特 ”解决方案架构引入的额外安全要求，以及为特定参考设计定义的功能和属性。
2 5G安全
与4G蜂窝网络技术相比，5G将为更多不同类型的设备和更多用例提供服务。5G引入了新的功能和服务，包括以下内容：
- 具有增强功能的NR，增加频谱，频谱共享，以及低、中、高频段的频率；
小区密集化，为大量用户提供服务，并采用波束成形等新技术，将无线通信信道指向用户，减少干扰；
MEC，将通常集中的应用移至网络边缘，以减少延迟，维持高数据传输率，并摄入大量数据。
第三代合作伙伴关系项目（3GPP）是5G的主要标准开发组织，它在5G中进行了许多安全方面的改进，其要点总结如下表所示：
表1.5G安全的改进（独立架构）
3 5G威胁现状
威胁分析是所有安全风险评估的一个关键输入。研究小组研究了相关资源，并对现有框架进行了威胁分析。图3显示了从现有资源中提取的5G子系统的威胁因素。
图3. 对5G子系统的威胁
研究小组将潜在的威胁分为以下几类，了解这些威胁有助于企业风险管理人员确定安全活动的优先次序，并确定所需的安全能力，以减轻与其5G系统和子系统相关的威胁，在其5G启用的系统边界内。这些威胁类别是：
一般网络安全威胁。这些威胁影响所有5G子系统，包括错误配置、人为错误、未能正确加固软件和硬件、对手横向移动、信息溢出和一般未经授权的访问攻击。组件的错误配置或未能正确加固硬件或软件，可能被攻击者利用来重新配置5G元素，将流量引向攻击者，或窃取数据；
虚拟化威胁。对虚拟机（VM）和容器服务平台的威胁影响到5G核心、RAN、MEC、网络切片、虚拟化以及协调和管理。威胁包括DoS、虚拟机/容器逃逸、旁路攻击和云服务消费者错误配置。多租户虚拟化环境中的一个租户的极端资源消耗可以为相邻的租户系统创造一个DoS事件。这种事件可以阻止或严重降低任务功能。同样，主机托管攻击，如虚拟机/容器逃逸或侧信道攻击，可以使相邻的计算工作负载面临资源被剥夺、横向移动和数据保密性、完整性或可用性被破坏的风险。对5G RAN或核心功能的侧信道攻击可能导致绕过用户账户权限、虚拟化边界或受保护的内存区域，导致敏感信息的暴露；
网络和管理界面的威胁。这些威胁影响所有5G子系统的网络、管理和空中接口，包括DoS、干扰、窃听、地址欺骗、流量/消息篡改、系统/协议发现、不适当的租户流量隔离和访问控制攻击。空中接口威胁位于UE和RAN之间，使用无线电干扰技术会造成干扰，可能会阻止UE的访问或导致5G服务的损失。虚拟化/容器化的核心网络功能作为租户部署在共享云基础设施上，租户之间的流量隔离不当会使这些虚拟环境面临未经授权的访问或信息保密性的丧失（例如，用户数据、网络配置等）；
应用和服务威胁。与5G应用和服务交付相关的威胁影响到所有5G子系统，包括恶意软件和恶意代码注入、DoS和DDoS、应用编程接口（API）操纵、软件漏洞的利用和访问控制攻击。智能手机等UE容易受到应用程序和恶意代码的利用，从而将私人数据暴露给威胁者。MEC的无保护或脆弱的API可能导致对MEC的应用程序和信息的未经授权的访问，并为来自网络内部的进一步攻击提供便利；
流氓元素。来自流氓UE、流氓基站或RAN中的无线电单元以及流氓网络主机或MEC中的欺骗组件的威胁可被用来攻击5G系统。例如，流氓基站可以使用干扰迫使UE使用流氓基站，然后捕获用户信息和位置，而MEC中的流氓或恶意组件可以破坏MEC应用，删除、改变或窃取数据；
隐私威胁。对UE以及RAN和5G核心中涉及5G网络中用户和用户相关信息的处理、共享、存储和通信的系统的威胁包括窃听、用户和设备标识符和位置跟踪，以及用户、协议和系统欺骗攻击。攻击者可以监控RAN和UE设备之间的空中接口，以提取未受保护的唯一设备标识符并跟踪设备用户，而未经授权访问存储在5G核心区的用户数据可用于身份盗窃或电信欺诈；
环境和物理威胁。环境和物理访问控制系统的漏洞和弱点、自然灾害和停电影响到RAN、5G核心、MEC和虚拟化子系统。对端口、设备和装置的物理访问、自然灾害、电磁脉冲和断电是最主要的问题。在RAN中，放置在灯柱上的小电池可能会受到物理盗窃或损坏，而停电或自然灾害可能会损坏/导致RAN节点或5G核心的部分无法访问；
供应链威胁。威胁可能发生在UE、RAN、5G核心和虚拟化子系统的软件、固件和硬件组件的供应、获取和整合过程中。威胁包括脆弱或恶意的组件插入，脆弱或恶意的开源组件，以及对脆弱硬件、固件或操作系统的攻击。恶意代码注入用于构建系统软件以发布到生产中的通用代码库，会对运营产生严重影响，特别是当受影响的系统可以访问特权用户系统时，如用于身份和访问管理或网络健康和配置管理的系统。纳入来源不明或安全状况不明的固件/硬件组件（例如，在UE或RAN中）可能会将恶意或伪造的组件引入这些子系统，造成敏感的用户和网络数据暴露给对手的可能性。
人工智能/机器语言（AI/ML）的威胁。对UE（例如物联网或网络物理设备的网关）、RAN以及协调和管理子系统的数据完整性、保密性和可用性的威胁。这些威胁影响AI/ML软件和系统，以及依靠数据的准确性、及时性和可信度来进行基于AI/ML的决策（如网络功能的动态分配）的网元和服务。例如，用于执行算法的分析功能代码的损坏或向AI/ML算法插入虚假或有污点的数据会降低网络运行，对人类安全造成潜在影响（例如，在使用自动驾驶汽车或智能城市交通管理方面）。
5G安全评估过程调查的重点是带有5G核心的5GSA架构。然而，移动网络运营商将随着时间的推移逐步过渡到SA。在这个过渡时期，MNO将使用NSA架构，该架构依赖于4G（长期演进）核心，因此存在已知的4G漏洞。系统安全官和项目经理可以利用已知威胁信息，为5G系统的网络安全风险评估过程提供参考。
建议的5G安全评估过程
基于对威胁源的审查和对RMF过程的了解，制定了图4所示的过程来指导其调查。该流程并不取代现有的评估框架。相反，可以用来指导5G系统的NISTRMF系统级准备步骤的活动。由于与5G技术相关的威胁和漏洞可能不为联邦系统所有者或信息系统安全官员所熟知，该流程有助于确定相关的威胁框架、重要的5G系统安全考虑因素，以及对5G系统进行网络评估的相关组织和方法。
5G系统的部署将由各种系统元素组成，其配置种类繁多。一些网络元素将是集中式的，而其他网络元素可能是地理上的分布。此外，政府实体可能拥有或与一个或多个系统集成商和网络运营商共同运营部分网络。第2.1节中讨论的系统模型的意图是提供一个框架，可以扩展和升级以描述任何5G系统元素的配置。为了展示安全评估过程的"最佳案例"应用，下一小节将介绍一个由参考设计元素组成的概念性5G系统。
图4.拟议的5G安全评估过程
1 典型的5G部署场景
联邦政府的许多早期5G采用者预计将选择一个私人5G网络解决方案，该方案可根据具体的安全和性能要求进行定制，以支持特定任务的能力或应用。私人5G网络可以在几种配置下构建和运行，从完全独立的解决方案（内部+非授权/共享频谱接入+政府拥有的基础设施+政府运营商）到混合了政府和商业运营的组件和服务的"混合"解决方案。本文介绍的部署实例将是一个使用网络切片的绿地公私混合实施方案，如图5所示，该方案使用简单但现实的组件、服务和参与者配置。这个名义上的5G解决方案并不打算为单一的任务或应用服务。相反，网络可以被分割以服务于各种应用和任务需求。
图5. 5G网络分片实例
名义5G部署的关键部署细节：
网络基础设施。如图5所示，专用网络将由网络运营商作为一个网络切片提供，通过运营商的公共RAN和SA核心网络基础设施进行传输。网络运营商将收购、安装和维护RAN基础设施（包括塔台、基站和无线电）。政府可以选择创建子网，以支持多个租户组织或独特的应用性能要求，创建额外的切片；
频谱。私人网络的无线部分将使用网络运营商的许可频谱产品。对于安全或弹性要求不高的用例，可以通过共享中频频谱（如公民宽带无线电服务[CBRS]）来增加网络容量；
安全性。政府必须指定联邦合规性和安全要求，这些要求超出了原生3GPP安全措施和功能的范围。此外，根据部署情况和相关的任务风险，每个网段可能需要额外的安全增强和远程访问控制。例如，运营商可以通过其网络片断产品提供 "端到端 "安全，然而，其安全能力可能无法满足政府的安全要求，可能需要额外的安全缓解措施。政府提供的智能设备将使用基于软件的（衍生的）公共密钥基础设施（PKI）证书，并由企业的统一终端管理（UEM）系统进行远程管理。与政府的周边安全解决方案、零信任架构或其他有线/无线网络和网关的整合也可按成本增加；
网络管理。网络片的RAN部分的管理和协调将由政府独家控制。额外的故障、配置、会计、性能和安全能力层可以由政府或授权的承包商应用于RAN段；
云计算。本例部署方案中政府运营的部分不包括MEC解决方案或任何公共云基础设施或服务。预计网络运营商的数据中心和边缘云节点将在商品硬件上执行虚拟化的网络功能。
表2概要介绍了关键的部署细节。
表2. 5G设计参考元素
接下来的章节强调了图4所示的拟议的5G安全评估流程的每个步骤。一般通过组装少数5G子系统和服务，减少整合众多分解的5G组件的系统复杂性，这些子系统和服务与一套技术标准紧密结合。正如预期的那样，在采购现成的商用设备时，较少的定制通常相当于较低的成本和较快的交付时间。
2 第一步：定义联邦5G用例
图6. 第1步总结
该过程的第一步是定义用例和5G使用场景（增强型移动宽带[eMBB]、超可靠低延迟通信、大规模机器型通信），它包括UE、RAN、Core、MEC的相关5G参考设计，以及接口系统和应用的描述。从用例及其相关的使用场景来看，5G系统元素以及它们与其他系统和网络的集成可以被描述出来。定义用例包括：
1.描述用例的目的（例如，连接设备、可穿戴设备以及环境和建筑传感器，以便为第一反应者提供情景意识）；
2.确定用例所包含的5G使用场景。许多联邦用例将利用一个以上的3GPP5G使用场景；
3.确定支持用例所需的系统、子系统、接口、应用、终端、安全等的特征；
4.提供5G系统模型和参考设计的细节以及与其他系统、网络或应用的接口。
使用上文介绍的私人5G网络的例子，以下描述适用于该过程第一步中提到的每个关键点。
目的：向一个或多个政府组织、设施和企业系统提供安全和有弹性的无线通信。
使用场景。具有eMBB能力的私人移动网络，为多个组织、任务需求和应用提供服务。
系统元素。传统的5G SA核心、RAN和UE子系统，由网络运营商提供端到端的网络切片解决方案。没有网络功能分解或虚拟化。没有云/边缘处理节点。
用例配置。为核心网、RAN和UE网元选择常见的、传统的子系统。
由于示例网络部署方案代表了一个简化的最佳方案，以下替代部署方案详细说明了对安全评估过程的潜在影响。
交密钥的私有5G网络。超大规模的云供应商正在迅速推进一个新兴市场：作为管理服务提供的私人5G网络。这些服务包括预配置的网络设备和管理系统软件，可以快速安装在许可频谱和共享中频CBRS频谱上运行（仅在美国可用）。使用这样的管理服务可能不会简化或减少评估构成打包捆绑的单个设备（包括SIM卡）和软件组件所需的努力程度，但预计会迅速加快网络的部署；
中立主机网络（NHN）。为了减少过多的资本支出和运营费用，有多个租户组织的政府站点可以选择分担RAN基础设施成本，并将网络运营外包给合格的第三方。中立主机将使多个组织和用户能够共享网络（可能包括共享RAN和核心网络）。由于网络设备和可能的频谱将被共享，硬件足迹和基础设施投资可能会大大减少。因此，这样的NHN部署将导致更简单的，可能是更快的安全评估过程。这种方法可能会涉及额外的利益相关者和增加的行政管理费用。
3 第二步：确定评估边界
图7. 第2步总结
5G技术的复杂性使得为联邦ATO定义安全评估边界的过程变得困难。第2步包括定义边界以确定需要A&A的技术和系统，考虑构成用例的产品和服务的所有权和部署，以及定义实施、管理和监控安全能力的角色和责任。在定义了评估边界后，就可以确定A&A活动所要解决的安全要求。边界包括要授权运行的系统的所有组件，不包括系统所连接的单独授权系统。边界的例子包括以下内容：
单一边界（例如，独立的私人网络）；
系统中的系统（例如，与组成/租户系统共享网络基础设施）；
混合（公共和私人）。
正如目前定义的私人5G网络，评估边界是明显的。公共核心网络的大部分驻扎在网络运营商的数据中心，网络流量通过端到端网络片断进行分割。独特的安全要求可能证明了对核心网络元素、流程和供应商的详细评估。否则，评估边界可能包括运营商提供的网络切片、政府运营的RAN部分的基础设施建设和运营，以及终端设备。
然而，如果政府租户组织之一被分配到政府网络片的一个子网，该组织可以采购一个MEC节点，以提供靠近网络边缘的额外处理。MEC的安装将引入威胁载体，也需要进行安全评估。如果第三方MEC解决方案带有自己的管理系统，它也将被纳入评估范围。
4 第三步：确定安全要求
图8. 第3步方法论
第3步是一个多阶段的步骤，包括对每个5G子系统进行高水平的威胁分析，并确定A&A活动要解决的网络安全要求。它要求彻底了解所考虑的用例，以便为评估边界内采用的技术和与外部系统的所有接口提供背景。这一步骤包括进行威胁分析和风险评估，如RMF系统级准备步骤中所定义的。在这个过程中，重点是单个5G系统元素和5G连接的系统。
为了简化与需求和评估政策和指导的映射，减轻各威胁类型的安全能力已被归入类别。例如，认证、授权和最低权限访问控制被归入身份、凭证和访问管理（ICAM）类别，而入侵检测、网络分段和端口/协议安全被归入网络安全类别。
4.1 用户设备
以私有5G网络为例，GFE智能设备是网络终端，受到来自政府私有5G网络内部和外部的一系列威胁。由于GFE设备被预先评估了安全风险和漏洞，这一步主要是针对那些完全符合安全保护要求的设备完成的，并且是最新的。GFE智能设备配备了终端安全保护，由企业设备管理系统管理，并使用个人身份验证（PIV）或通用访问卡（CAC）凭证或基于软件（衍生）的凭证进行认证。根据机构的指导，这些安全能力的应用允许这些GFE设备立即可以在政府5G网络上使用。如果非GFE智能设备被引入私人5G网络，则有必要对适用的硬件、ICAM、应用、数据和通信安全要求进行全面评估。
4.2 5G无线接入网络
根据系统评估的边界和配置，5GRAN基础设施可能包括来自一个或多个地理位置的基础设施元素，并涉及各种网络交换机/路由器、基站和接入点/基站设备和软件。
示例的私人5G网络涉及一个具有RAN切片的企业内部RAN段，以支持多个租户应用。所有硬件和软件组件，包括云/边缘平台以及内部和外部系统接口，都要接受威胁和安全能力分析。
图9. 5G无线接入网络
如果RAN部分采用开放、分解的RAN解决方案，与传统的RAN解决方案相比，更多的一级供应商（及其组件硬件和/或软件产品）将参与这一安全评估步骤。交互性和渗透测试的水平逐步提升，识别和缓解潜在的开放式RAN攻击载体亦是如此。
4.3 5G核心网络
5G核心网是5G系统的核心。通过可靠和安全的连接将终端用户与网络所提供的服务连接起来。5G核心网提供的基本功能包括用户的认证和授权、数据连接、移动性管理、用户数据管理以及策略管理和控制。
根据运营商的网络切片实施，这种分割技术可能会减轻核心网络的某些方面的评估。然而，进一步的测试是谨慎的，因为网络切片是一项新技术，其威胁载体还没有被完全理解。
图10. 5G核心网络
如果共享频谱接入（如CBRS）被纳入私人5G网络，将需要采取额外的措施，以确保适当的商业运营商许可，以及适当的流量管理，以确保高保证流量保持在网络的许可频谱部分。在审查时可能需要额外的措施。
4.4 部署环境和运营责任的考虑
一个系统往往比其各部分的总和要多。在评估单个5G系统元素时也是如此。存在额外的安全要求和考虑，影响着端到端系统的整体保证。当试图确定安全要求时，了解相关技术的预期部署环境以及谁将拥有和操作相关系统十分重要。例如，部署环境的属性可能会引入额外的风险或缓解措施，从而对网络的安全态势产生重大影响。在基站设备位于政府场所的情况下，物理访问将可能被限制在授权的政府和承包商人员。如果特定地点或特定部署的属性被接受为系统安全能力，这些属性将被包括在评估范围内。
另外，由于子系统所有者和操作者坚持他们的操作和维护政策，系统级安全评估必须确定是否有任何新的漏洞被引入。如果一个系统是为政府建造的，由政府专门拥有和运营，那么政府的网络安全要求将适用。
表3详细说明了与这些采购模式相关的安全要求的变化。
表3. 部署环境和安全要求
5 第4步：与联邦指南和行业规范相结合
图11. 第4步总结
联邦安全要求超出了国际行业规范中列举的要求。第4步涉及创建联邦安全A&A指导目录，该目录与评估边界中包含的技术和第3步中确定的隐含安全能力相一致。例如，适用于所有类别安全能力的RMF，以及与ICAM、供应链风险管理（SCRM）、数据安全、虚拟化/云/容器安全和网络安全保护有关的其他NIST和国防部网络安全指导。联邦系统可能被要求遵守针对以下内容确定的可审计安全能力。
采购政策、行政命令和国防授权法案以及行政命令13556《受控非机密信息》所定义的SCRM；
NIST SP 800-37、NIST SP 800-53A[16]和国防部指令8510.01所定义的RMF；
联邦信息处理标准（FIPS），由FIPS 199、FIPS 200和FIPS 140-2/3定义；
由国防信息系统局（DISA）安全技术实施指南（STIGs）和NIAP通用标准和保护配置文件定义的组织特定政策和/或安全指导所定义的系统加固；
架构结构，例如由组织零信任参考架构和采用的原则或NIST SP 800-207所定义的架构结构；
联邦或国防部PKI和ICAM政策所定义的信任根基；
国家安全局（NSA）-CISA联合出版物系列中阐述的5G基础设施安全指南；
持续诊断和缓解方案，如DHS或NIST SP 800-137所定义的方案。
商业服务提供商可能被要求遵守《联邦采购条例》或《国防联邦采购条例补编》、NISTSP 800-171 、国防部的CMMC、或联邦风险和授权管理计划（FedRAMP）或国防部FedRAMP+云服务。
6 第5步：评估安全指导方针的差距
图12. 第5步总结
步骤5检查了安全能力和可用的联邦安全指南之间的一致性，以指导A&A活动。如果需要安全能力来减轻已确定的威胁并减少联邦企业的风险，就必须有一种方法来评估其实施的有效性。可以应用机构特定的政策或一般的政府指导或政策，并且/或者建立独立的评估组织来进行评估。当安全要求存在而没有评估指南、政策或组织来验证其对政府运作的有效性时，就会出现差距。如果认为存在安全要求以减轻威胁，但没有建立正式的要求，也会出现差距。
在没有美国政府评估计划或认可的政府标准的情况下，风险管理者可能会发现替代的评估制度，如行业认证、商业或贸易团体创建的安全保证计划或其他最佳实践评估框架。然而，在尝试使用评估替代品之前，风险管理者应仔细评估任何此类方法的适合性和全面性。在这项研究中，通过初步分析发现了一些差距。另外，研究小组预计，随着3GPP、欧洲电信标准协会和O-RAN联盟继续开展研究项目和安全规范的工作，可能会发现更多威胁。
结论
5G网络的设计是为了提供比4G更好的安全性。然而，5G网络的复杂性（具有新的功能、服务，以及预计5G将服务的设备数量和类型的大量增加，再加上RAN和5G核心的虚拟化和分解的使用）扩大了威胁面，使得定义系统边界具有挑战性。实施或计划实施5G系统的企业可能没有意识到纳入5G技术对系统风险评估/ATO过程的影响。此外，由于5G的部署尚处于早期阶段，企业可能并没有意识到5G的潜在威胁，也没有准备好使用5G提供的安全能力。
为了确定在联邦系统中纳入5G技术可能对ATO过程产生的影响，本文件中提出了五步5G安全评估流程。5G安全评估流程确定了重要的威胁框架、5G系统安全考虑、行业安全规范、联邦安全指导文件，以及对5G系统进行网络评估的相关组织和方法。通过调查得出结论，NISTRMF是技术中立的，不需要为5G修改。本文件中描述的拟议的5G安全评估流程是一种可重复的方法，联邦计划/项目管理者在为5G系统进行NISTRMF的准备步骤时可以使用。它可以应用于广泛的5G系统架构、部署方案/用例和操作环境。
声明：本文来自天极智库，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
