[论文解读] A Security-aware Network Function Sharing Model for 5G Slicing

Mohammed Mahyoub, AbdulAziz AbdulGhaffar+2 more|arXiv (Cornell University)|Mar 6, 2023

Software-Defined Networks and 5G被引用 4

一句话总结

本文提出了一种面向5G网络切片的安全感知VNF共享模型，通过引入两项新型安全约束——最大流量容量和对不受信任源的暴露程度——系统性地确定是否共享虚拟化网络功能（VNF）。通过将这些约束整合到多目标混合整数非线性规划（MINLP）模型中，该方法通过关键VNF隔离提升了切片安全性，同时保持低时延和高效的资源利用率，基于3GPP标准中的真实5G流程进行了验证。

ABSTRACT

Sharing Virtualized Network Functions (VNFs) among different slices in Fifth Generation (5G) is a potential strategy to simplify the system implementation and utilize 5G resources efficiently. In this paper, we propose a security-aware VNF sharing model for 5G networks. The proposed optimization model satisfies the service requirements of various slices, enhances slice security by isolating their critical VNFs, and enhances resource utilization of the underlying physical infrastructure. The model tries to systematically decide on sharing a particular VNF based on two groups of constraints; the first group of constraints is common assignment constraints used in the existing literature. The second group is the novel security constraints that we propose in this work; the maximum traffic allowed to be processed by the VNF and the exposure of the VNF to procedures sourced via untrusted users or access networks. This sharing problem is formalized to allow for procedure-level modeling that satisfies the requirements of slice requests in 5G systems. The model is tested using standard VNFs and procedures of the 5G system rather than generic ones. The numerical results of the model show the benefits and costs of applying the security constraints along with the network performance in terms of different metrics.

研究动机与目标

• 为解决在5G网络切片中确定VNF共享时缺乏系统性标准的问题，特别是针对关键VNF，
• 通过隔离处理高流量或暴露于不受信任源的VNF来增强网络安全性，
• 优化资源利用率，最小化多个5G切片中的处理容量和时延，
• 在流程层面而非抽象切片子网层面建模VNF共享，以实现更细粒度的控制，
• 使用3GPP标准中的真实5G流程和VNF对模型进行评估，以确保实际相关性。

提出的方法

• 形式化一个用于最小化计算容量和流程时延的多目标混合整数非线性规划（MINLP）模型，
• 引入两项新型安全约束：(1) VNF可处理的最大流量，(2) 受到由不受信任用户或网络发起的流程的影响程度，
• 在流程层面建模VNF的部署与共享，使用来自3GPP标准的真实5G流程（例如：注册、认证、切换），
• 为用户设备（UE）和无线接入网（RAN）实体分配零基础容量和处理容量，以将其纳入时延计算而不消耗物理节点容量，
• 将模型执行时间限制为3小时，以在解的质量与计算可行性之间取得平衡，返回当前可用的最佳次优解，
• 在两种场景下评估模型：有安全约束与无安全约束，以衡量性能与安全之间的权衡。

实验结果

研究问题

• RQ1 如何开发一种系统性方法，基于安全标准确定VNF是否应在5G网络切片间共享？
• RQ2 强制实施最大流量和对不受信任实体暴露的约束对VNF共享及网络性能有何影响？
• RQ3 与切片子网抽象相比，流程级建模如何提升VNF部署的准确性和安全性？
• RQ4 在应用所提出的安全部约束时，安全增强与资源利用率之间存在何种权衡？
• RQ5 安全约束在真实5G流程中的端到端流程时延方面影响程度如何？

主要发现

• 与无约束场景相比，使用安全约束使注册流程的延迟减少了30ms，主要归因于更优的VNF部署带来的传播延迟降低。
• 在两种场景下，认证和切换流程的延迟均相近（约7ms），表明安全约束对性能影响极小。
• 当启用安全约束时，AMF重新分配流程的延迟增加了5ms，归因于VNF部署决策受到更多限制。
• 尽管容量使用增加，安全约束显著提升了网络弹性，通过将关键VNF与共享访问隔离，降低了跨切片攻击的风险。
• 模型在3小时时间限制内获得了次优解，表明进一步优化可改善容量和时延指标。
• 通过从VNF序列中移除UE和RAN并分配零容量，确保其在不消耗物理节点资源的前提下参与时延计算，维持了模型的完整性。