目 概 受眾及范 安全問題與思 重要元 信任管 技術(shù)平 結(jié) 參考文 縮略 云安全聯(lián)盟（CloudSecurityAlliance，CSA）已識別這一趨勢，并認為當下是發(fā)考慮到虛擬化涵蓋多項技術(shù)，CSA虛擬化工作小組將著力于計算、網(wǎng)絡(luò)、容器及護基于虛擬網(wǎng)絡(luò)功能（NFV）引用軟件定義網(wǎng)絡(luò)（software-definednetworking，SDN）概念，因為SDN是驅(qū)動 第二章NFV概念與SDN 網(wǎng)絡(luò)服務(wù)對硬件的依賴，通過將網(wǎng)絡(luò)功能虛擬化，云服務(wù)提供商（cloudserviceprovider，CSP）DN支持通過動態(tài)調(diào)整網(wǎng)絡(luò)配置來改變網(wǎng)絡(luò)功能特性及行為。例如，在DN可實時調(diào)整網(wǎng)絡(luò)路徑。NFV與DN可不依賴對方獨立部署，但通過DN網(wǎng)絡(luò)提供的平臺，用戶可部署一個動態(tài)的虛擬網(wǎng)絡(luò)業(yè)務(wù)鏈，從而形成一個端到端的網(wǎng)絡(luò)業(yè)務(wù)如圖1所示，左側(cè)為開放網(wǎng)絡(luò)基金會（OnNworkgFaon，ONP）定義的DN架構(gòu)，右側(cè)對應(yīng)實際企業(yè)用例。圖中企業(yè)已為本地數(shù)據(jù)中心1和2建立安全連接。DN網(wǎng)絡(luò)路徑以紅色虛線標識。在非DN區(qū)域，該路徑經(jīng)過由某網(wǎng)絡(luò)設(shè)備提供商提供的固定高帶寬虛擬網(wǎng)絡(luò)防火墻NF（圖中NF1）。這極大得限制了安全事件的響應(yīng)速度，尤其是那些對響應(yīng)速度要求很高的事件，如安全入侵、軟件產(chǎn)品的零日缺陷等。DN場景會按需在網(wǎng)絡(luò)路徑上額外地添加一個虛擬安全功能（圖中NF2），如S或惡意軟件過濾器。鑒于在DN方面已有大量輸出，本文將聚焦NFV。更多關(guān)于DN的介紹，請參見附錄-DN：風險、對比和現(xiàn)有文獻。-NFV通過使用虛擬化技術(shù)將基于軟件實現(xiàn)的網(wǎng)絡(luò)功能與底層硬件解耦，并提供豐富的網(wǎng)絡(luò)功能與部件，包括路由、內(nèi)容分發(fā)網(wǎng)絡(luò)、網(wǎng)絡(luò)地址轉(zhuǎn)換、虛擬專用網(wǎng)絡(luò)（irlrveNwork，PN）、負載均衡、入侵檢測防御系統(tǒng)（rsinecndreinssem，DS）及防火墻等。多種網(wǎng)絡(luò)功能可以合并到同一硬件或服務(wù)器上。NFV能夠使網(wǎng)絡(luò)操作人員或用戶在通用硬件或CP平臺上按需發(fā)放或執(zhí)行網(wǎng)絡(luò)功能。NFV與DN不相互依賴，可分別獨立部署。但兩者是相得益彰的，DN提供的動態(tài)虛擬網(wǎng)絡(luò)功能編排能力能夠簡化并加速NF網(wǎng)絡(luò)部署，提升網(wǎng)絡(luò)性能。-在傳統(tǒng)網(wǎng)絡(luò)上，網(wǎng)絡(luò)功能與部署為網(wǎng)絡(luò)設(shè)備的專有硬件緊密綁定。隨著網(wǎng)絡(luò)設(shè)備的激增，部署新的網(wǎng)絡(luò)業(yè)務(wù)及應(yīng)用的難度與費用越來越高。業(yè)務(wù)發(fā)放也因持續(xù)波動的話務(wù)量及不斷變化的業(yè)務(wù)需求變得低效。相比之下，NFV將網(wǎng)絡(luò)功能與底層的硬件及平臺解耦，從而使網(wǎng)絡(luò)功能可以按需發(fā)放，新業(yè)務(wù)及應(yīng)用部署變得簡單高效。第三章第三章這種資源的抽象化是不存在于傳統(tǒng)網(wǎng)絡(luò)中的。NFV網(wǎng)絡(luò)中的虛擬機監(jiān)視器Hprvor依賴：當前市場被少數(shù)prvsr廠商主宰，其他更多的廠商希望成為市場參與者。正如其操作系統(tǒng)提供商一樣，perisr廠商必須解決其代碼中的安全漏洞。及時更新補丁對于解決安全漏洞固然重要，但perisr廠商也需要理解深層架構(gòu)，如報文如何在網(wǎng)絡(luò)架構(gòu)中流動，各類加密機制如何工作等。彈性網(wǎng)絡(luò)邊界：在NFV網(wǎng)絡(luò)上，網(wǎng)絡(luò)架構(gòu)適配各類網(wǎng)絡(luò)功能，物理控制點的位置受限于物理位置與線纜長度，網(wǎng)絡(luò)邊界變得模糊甚至消失。模糊的邊界讓安全問題變得更加復(fù)雜。AN已不再同以往一樣被認為是安全的，從某些原因來看，物理隔離仍然是必要的。動態(tài)負載：NFV的吸引力在于其敏捷性和動態(tài)能力。傳統(tǒng)的安全模型是靜態(tài)的，無法隨著網(wǎng)絡(luò)拓撲的變化而演進。將安全服務(wù)嵌入NFV架構(gòu)通常需要依賴一個疊加模型，而這個疊加模型很難與廠商邊界共存。服務(wù)插入：NFV宣稱能夠打造彈性、透明的網(wǎng)絡(luò)，因其網(wǎng)絡(luò)結(jié)構(gòu)能夠根據(jù)預(yù)置標準智能地路由數(shù)據(jù)包。傳統(tǒng)的安全舉措需要以邏輯和物理方式部署。引入NFV后，安全服務(wù)尚未與perisr建立分層關(guān)系，這些服務(wù)通常沒有簡單的插入點。狀態(tài)與無狀態(tài)檢查：今天的網(wǎng)絡(luò)需要系統(tǒng)級的網(wǎng)絡(luò)冗余。路徑冗余會導(dǎo)致網(wǎng)絡(luò)流量不對稱，而傳統(tǒng)訪問控制的設(shè)備需要查看每個數(shù)據(jù)包狀態(tài)來進行訪問控制，這對他們帶來了挑戰(zhàn)。在過去的十年里，人們認為有狀態(tài)比無狀態(tài)檢查更先進，并以此為前提進行訪問控制操作。多個冗余網(wǎng)絡(luò)路徑或設(shè)備導(dǎo)致的流量不對稱，勢必增加有狀態(tài)檢查訪問控制的難度，而NFV的引入使其變得更加復(fù)雜了?？捎觅Y源的伸縮性：如前所述，NFV的吸引力在于它能夠使更少的數(shù)據(jù)中心機架空間、電源和散熱發(fā)揮更大的功效。第三章第三章將核心用于工作負載和網(wǎng)絡(luò)資源可以實現(xiàn)資源整合。更深入的檢測技術(shù)，如下一代防火墻和傳輸層安全（Trsrtercriy，TS）解密等，是資源密集型的，并在沒有卸載能力的情況下無法持續(xù)擴展。而安全控制必須普遍有效，并且通常需要大量的計算資源。NFV與DN一起為安全控制帶來了更高的復(fù)雜度及挑戰(zhàn)。將DN模型與某些集中控制方法相結(jié)合在虛擬層部署網(wǎng)絡(luò)服務(wù)并不罕見。這種NFV與DN相結(jié)合的方式是當前數(shù)據(jù)中心整合趨勢的一部分。-V與的兼容性：將物理設(shè)備遷移到虛擬設(shè)備上是個挑戰(zhàn)，除存在安全風險外，還有以下原因：一方面，諸如防火墻、入侵防御系統(tǒng)等設(shè)備使用的是自定義驅(qū)動程序和內(nèi)核，如果把這些設(shè)備部署在計算節(jié)點上的基礎(chǔ)架構(gòu)即服務(wù)（frsrcresasrce，S）prvsr上，它們可能無法正常工作。另一方面，某些S系統(tǒng)中的prvsr提供的是定制化的應(yīng)用程序接口（applicationprograminterface，API）來用于業(yè)務(wù)流定向。NFV提供商需要為系統(tǒng)可用性：虛擬安全設(shè)備固然給云化帶來了巨大便利，但物理和虛擬NFV的功能之間可能有所出入。即便我們已經(jīng)根據(jù)對應(yīng)的為NFV設(shè)備作了優(yōu)化，其性能可能仍不能媲美物理設(shè)備。架構(gòu)：DN架構(gòu)是集中式的，而云計算是彈性的、分布式的。DN要實現(xiàn)集中式運行，同時要對云計算的彈性分布式特性提供必要支持，再疊加云環(huán)境的多租戶特性，三個因素綜合起來可能催生各種復(fù)雜難題和不一致現(xiàn)象。N實現(xiàn)方式：首先，DN架構(gòu)囊括各種應(yīng)用程序、控制器、交換機和管理系統(tǒng)，它們都存在漏洞。惡意競爭者可以利用這些漏洞來對流量進行非法訪問或攔截、操縱。例如，當前許多商用白盒交換機都在nx系統(tǒng)上運行，其中一些通過預(yù)置憑證默認允許基于sl的明文訪問；其它的則仍使用過時的、易受攻擊的L協(xié)議實現(xiàn)方式。這些狀況使整個DN系統(tǒng)暴露在風險之中。其次，引入NF可能擴大攻擊面。攻擊者可能利用這些應(yīng)用程序中的安全漏洞來繞過各種隔離機制，從而危害整個網(wǎng)絡(luò)，或在其他網(wǎng)絡(luò)進行非法操作。再次，在一些云架構(gòu)中，數(shù)據(jù)網(wǎng)絡(luò)可以和管理或控制網(wǎng)絡(luò)共享。這種共享式架構(gòu)可能會降低DN或S控制節(jié)點的安全性。攻擊者成功入侵后，可操縱底層路由來繞過NF安全設(shè)備的防控。策略一致性：訪問控制互相關(guān)聯(lián)的NFV設(shè)備群原本禁止了惡意流量，但如果于OpenFlow構(gòu)建網(wǎng)絡(luò)地址轉(zhuǎn)換規(guī)則）來將惡意流量轉(zhuǎn)變?yōu)椤罢！绷髁?。與兼容性：S網(wǎng)絡(luò)虛擬化模塊負責隔離租戶資源（如網(wǎng)絡(luò)流量）。若引入不具備S感知功能的獨立DN控制器來管理虛擬交換機上的流量，則該控制器無法映射租戶流量，從而阻礙資源隔離。所以我們必須考慮DN與S的兼容性問題。例如，CP若想把運行在不同平臺上的網(wǎng)絡(luò)進行互連，需要DN控制器有能力感知所涉及的網(wǎng)絡(luò)組件。在NFV安全架構(gòu)中，網(wǎng)絡(luò)安全功能被作為NF而非硬件設(shè)備來部署。NF相較于硬件設(shè)備而言更具優(yōu)勢，主要包括：●節(jié)約部署與管理資源：許多傳統(tǒng)的網(wǎng)絡(luò)安全功能都是通過昂貴而難以管理的硬件網(wǎng)絡(luò)設(shè)備來實現(xiàn)的。而借助NFV，我們把這些功能以虛擬化軟件的形式部署在通用硬件上，簡化了它們的部署和管理，大大降低了所需耗費的成本和人力。此外，利用DN技術(shù)來管理NF的收發(fā)流量可進一步降低成本和工作量（參見圖a）。?提升靈活性：和傳統(tǒng)的網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施相比，NFV安全架構(gòu)更加靈活，主要按需部署與擴展：實現(xiàn)安全功能的各種能力是NFV安全架構(gòu)的一部分。借助NFV，我們可以按需部署和擴展這些能力。例如，倘若虛擬機上部署了具有入侵檢測和防御功能的NF，我們就可以按需遷移這些NF來實現(xiàn)此安全功能，譬如以此來優(yōu)化出口處的流量分析。再例如，我們可以直接克隆功能完整的虛擬機，從而極大地擴展流量分析能力。全局實時視圖：憑借集中式架構(gòu)，DN控制器可提供實時的全局網(wǎng)絡(luò)視圖，包括拓撲結(jié)構(gòu)、路由和流量統(tǒng)計信息，幫助用戶應(yīng)對DDS攻擊和及時檢測網(wǎng)絡(luò)異常?；贜FV與DN的軟件定義安全：DN和NFV可共同提供快速、可拓展的方式來按需構(gòu)建安全解決方案。一方面，NFV控制平面能夠快速配置不同類型的虛擬安全設(shè)備；另一方面，DN控制器能夠牽引、攔截或鏡像需要進行安全檢查的流量，雙方由此協(xié)同建立起一條安全服務(wù)鏈。安全資源和流量控制均由一個北向安全應(yīng)用來確定，使得安全解決方案靈活高效。即便有上述優(yōu)勢，NFV安全架構(gòu)仍會產(chǎn)生安全問題。在網(wǎng)絡(luò)功能虛擬化的普及過程中，這些問題影響重大。NFVNFV為了使讀者更好地了解NFV安全問題的應(yīng)對之策，1章節(jié)描述了初步的NFV安全架構(gòu)，及其為保護和加固基礎(chǔ)設(shè)施帶來的好處。2章節(jié)介紹了我們使用NFV架構(gòu)時面臨的安全挑戰(zhàn)，無論是否以提升安全性為目的使用NFV架構(gòu)，這些挑戰(zhàn)都需要去應(yīng)對，此外還討論了NF架構(gòu)安全防護各要素。–如入侵檢測防御系統(tǒng)（intrusiondetectionandpreventionsystem，IDPS）、訪問入侵檢測與防御功能。該功能由各種網(wǎng)絡(luò)DS解決方案提供，例如使用深度報文檢測技術(shù)分析流量的解決方案，以及使用淺度（全狀態(tài)）報文檢測技術(shù)的解決方案。訪問控制功能。該功能由憑借訪問控制策略評估網(wǎng)絡(luò)數(shù)據(jù)流量的系統(tǒng)提供，例如，對報文進行狀態(tài)檢測的傳統(tǒng)防火墻以及用來分析更深層、上下文相關(guān)的數(shù)據(jù)流量的下一代防火墻。惡意軟件防護功能。該功能由傳統(tǒng)的反病毒或反間諜軟件系統(tǒng)提供。這類系統(tǒng)可以在出入口檢測傳播的惡意軟件（病毒、間諜軟件），并阻止傳輸或存儲感染文件。DoS防護功能。該功能由專門部署和/或配置的系統(tǒng)提供，用于檢測和抵御DS攻擊，特別是針對網(wǎng)絡(luò)協(xié)議或應(yīng)用程序設(shè)計缺陷的非分布式DS攻擊。該防護主要包括DS防御系統(tǒng)，許多這類系統(tǒng)可執(zhí)行數(shù)據(jù)流量分析、訪問控制和流量策略。同時，該防護還包括具有流速限制功能的交換機或路由器等。加密功能。該功能由提供加密服務(wù)的系統(tǒng)實現(xiàn)，用于確保數(shù)據(jù)在傳輸或其他時期的機密性及完整性。此類系統(tǒng)包括在開放系統(tǒng)互連（Onstmsrcncin，OI）參考模型的第二、三、四層提供加密服務(wù)的系統(tǒng)?？紤]到性能原因和密鑰存儲，一般使用專門的硬件設(shè)備部署加密服務(wù)。將密碼服務(wù)作為NF部署需要全新的方法，具有挑戰(zhàn)性。各組織可能需要決定將著重點放在速度上（即不加密、不完善加密、較小密鑰）還是放在保密性上（即前向加密、較大密鑰、較強算法）。應(yīng)根據(jù)待傳輸或待存儲數(shù)據(jù)的分類（敏感、絕密等）進行決策。身份管理和訪問控制。這個系統(tǒng)能夠管理和強制執(zhí)行認證、授權(quán)和審計策略，例如單點登錄。對用戶和系統(tǒng)（I）的管理均適用。–IDPSDoSAC支持SDN 通過NF部署安全功能的前提是要有可執(zhí)行NF操作的虛擬化軟件系統(tǒng)。圖a描述了NFV安全框架的一個示例部署，其中執(zhí)行入侵檢測和防御（DP）、數(shù)據(jù)分發(fā)服務(wù)（asrbinsrce，DDS）的系統(tǒng)和防火墻部署在虛擬機中。這種情況下，入方向流量由支持DN的網(wǎng)絡(luò)設(shè)備管理，該設(shè)備將流量導(dǎo)向由網(wǎng)絡(luò)管理員部署好的NF。我們將此種活動稱為網(wǎng)絡(luò)功能鏈。圖a中描述的網(wǎng)絡(luò)設(shè)備通過其組件執(zhí)行網(wǎng)絡(luò)功能鏈接，該組件具有路由和功能鏈功能。圖b給出了一個示例場景來說明DN與NFV安全框架結(jié)合使用的好處。當網(wǎng)絡(luò)服務(wù)遭受分布式拒絕服務(wù)（DDS）攻擊時，可使用編排功能對支持DN的網(wǎng)絡(luò)設(shè)備進行重新配置，使得發(fā)往網(wǎng)絡(luò)服務(wù)的入方向流量在點1就首先被導(dǎo)向DDS。然后，再將流量導(dǎo)向防火墻和點2、點3處的DS，并最終到達目的地點4，以期在惡意DDS流量到達防火墻、DS和目標網(wǎng)絡(luò)服務(wù)之前將其過濾，從而在部署的NF上實現(xiàn)最佳防護效果。- VNF圖3展示了NFV基礎(chǔ)設(shè)施技術(shù)方面的靜態(tài)視圖以及一些必須要保護的要素。要成功部署和運行這種使用DN將多個NF動態(tài)鏈接到網(wǎng)絡(luò)路徑中的復(fù)雜的端到端網(wǎng)絡(luò)服務(wù)模型，必須解決NFV的動態(tài)方面以及組織流程中遇到的挑戰(zhàn)。第2章節(jié)就保護NFV安全框架時必須考慮的要素進行了討論。- 管理信任(認證機構(gòu)管理信任(認證機構(gòu)該框架的技術(shù)層面和控制要素嵌入在組織結(jié)構(gòu)和流程中，這些組織結(jié)構(gòu)和流程包含傳統(tǒng)網(wǎng)絡(luò)運營中沒有的元素。例如，NF交叉網(wǎng)絡(luò)的設(shè)計、創(chuàng)建和運營，管理程序、計算、存儲、DN以及多個管理和編排領(lǐng)域。而過去的網(wǎng)絡(luò)團隊只處理其自身系統(tǒng)，可能不會考慮將他們的路由器集成到反病毒防御流程中。在硬件設(shè)備變成核心網(wǎng)中的虛擬機或他們的用戶端設(shè)備之前，他們可能都沒有想過克隆網(wǎng)絡(luò)設(shè)備證書。-多領(lǐng)域責任與全新流程：虛擬網(wǎng)絡(luò)的建設(shè)和運營涉及諸多管理域，還可能需要NFV特定角色，并通過精細化控制進行角色分離、功能分離及范圍分離。生命周期管理、安全監(jiān)控、事件響應(yīng)和取證、合法監(jiān)聽及其他流程必須適應(yīng)更加動態(tài)的環(huán)境，包括快速變化的網(wǎng)絡(luò)拓撲、數(shù)據(jù)流路徑及網(wǎng)絡(luò)地址。模式轉(zhuǎn)變：傳統(tǒng)網(wǎng)絡(luò)的一部分將變成非物理形式，因此將失去其抵御惡意軟件等威脅的自然防御能力。為解決此問題，需要在NFV安全架構(gòu)中補充額外的流程。創(chuàng)建和部署：在部署NF之前，編排或管理系統(tǒng)應(yīng)檢查其是否符合構(gòu)建配置標準。檢查項包括但不限于：相比物理網(wǎng)路設(shè)備而言，虛擬路由器的部署十分簡單，因此需要在編排層中設(shè)置控制舉措，以避免NF散亂、非預(yù)期的拓撲結(jié)構(gòu)以及網(wǎng)絡(luò)流路徑更改。依靠遷移技術(shù)，證書、帳戶、媒體訪問控制地址或硬件D在克隆后看起來完全相同。但這可能不滿足實際需求，例如，有時會需要設(shè)備''，其配置與''類似但證書不同，或有時需要移動''但要求保持其身份。如果證書基于這些屬性，那么編排層可能在需要時注入并更正這些屬性。Intel（TrustedExecution動態(tài)狀態(tài)管理：安全框架要求與云計算層要求非常相似。虛擬網(wǎng)絡(luò)組件可以動態(tài)更改其休眠、睡眠、重續(xù)、中止、恢復(fù)、開機和關(guān)機狀態(tài)。當一臺舊式、數(shù)據(jù)配置不佳或被篡改的設(shè)備在網(wǎng)絡(luò)中突然重新出現(xiàn)”時，很容易危害安全。因此，編排層應(yīng)執(zhí)行與首次部署類似的合規(guī)性檢查。應(yīng)驗證源和目標的完整性。.-快照，備份和刪除（虛擬安全退服）：虛擬網(wǎng)絡(luò)設(shè)備包含與其對應(yīng)的物理設(shè)備相同的敏感信息，例如設(shè)備證書、PN和加密密鑰、管理員帳戶和I密鑰。盡管物理網(wǎng)絡(luò)設(shè)備的安全擦除和配置備份的安全措施是標準的，但虛擬化為NFV安全框架增加了新的要求：快照會將設(shè)備RM內(nèi)容復(fù)制到文件中，并可能備份到不同的位置。這些內(nèi)容可能包括解密數(shù)據(jù)，因此必須在傳輸?shù)葧r期加以保護。同時還需要考慮虛擬機克隆，因為在部署（基于主映像）時它們是合法的，但當惡意內(nèi)部人士或黑客試圖竊取信息或插入到損壞系統(tǒng)時，它們又可能是偽造的。虛擬路由器比物理路由器更容易刪除，這可能會增加無意或有意的DS擊風險。受控的（即封套，代理）、多租戶可感知的虛擬化層訪問的詳細信息，確保不存在側(cè)信道和相關(guān)安全風險。拓撲驗證：使用DN的優(yōu)勢之一是能夠動態(tài)地重新配置網(wǎng)絡(luò)路徑，從而在服務(wù)鏈中納入額外的NF安全功能。但這種能力引入了拓撲變化威脅，將會導(dǎo)致通信丟失，或?qū)е吕@過過濾器或訪問控制的意外直接流量。因此，需要在編排層和NF層實施拓撲驗證。同時還需注意一點：NF應(yīng)檢查其新的對端實體并決定是否信任驗證結(jié)果?，F(xiàn)代安全信息、事件管理和入侵分析師的思維方式可能仍受靜態(tài)網(wǎng)絡(luò)的影響。在NFV網(wǎng)絡(luò)中，P地址可能變化很快，因此像在靜態(tài)網(wǎng)絡(luò)上那樣去創(chuàng)建硬拷貝列表也許不再可行?？赡苄枰碌闹笜撕头治?。如上文“克隆和移動/遷移虛擬設(shè)備”部分所述，可動態(tài)地或程序化地創(chuàng)建或克隆新的虛擬資源。因此必須通過審計機制發(fā)現(xiàn)這些新資源及其相關(guān)安全策略，以便生成適當?shù)膶徲嫺?。這就需要編排和生命周期管理組件與審計框架之間進行交互。用于特定業(yè)務(wù)流或網(wǎng)絡(luò)路由的端到端網(wǎng)絡(luò)路徑使得數(shù)據(jù)包捕獲或檢測更加困難。應(yīng)使用上文管理靜態(tài)和動態(tài)拓撲”章節(jié)中提到的拓撲驗證和實施來應(yīng)對這一挑戰(zhàn)。-取證流程可能需要適配。盡管獲取取證圖像比在物理設(shè)備上更容易，但可能需要技術(shù)上作相應(yīng)改變來分析時間點和網(wǎng)絡(luò)日志。分析師需要訪問更多系統(tǒng)和日志以獲取完整的取證圖片。此外，獲取完整且原始的管理員審核日志也至關(guān)重要，由此可確定威脅是由管理員創(chuàng)建（例如內(nèi)部人士產(chǎn)生的安全威脅），由于不遵循程序（例如，未能退出會話），或是由于管理員帳戶受到攻擊（如，通過僵尸網(wǎng)絡(luò)，惡意軟件等）而引起的。實施雙人原則（亦稱為“四眼原則”），對重要任務(wù)或敏感操作（例如刪除虛擬對象）實施雙重權(quán)限。.例如通過可信計算庫狀態(tài)，如信任平臺模塊（TrustPlatformModule，TPM）狀態(tài)、NFV身份和訪問管理系統(tǒng)。無論NF是否為新實例化，休眠還是退服狀態(tài)，該系統(tǒng)都應(yīng)能夠管理NF帳戶和憑證。該系統(tǒng)還應(yīng)能夠管理特權(quán)訪問，包括允許自省”的角色和實體，并提供這些組件中所有活動的大量日志。 CustomerPremisesEquipment，客戶終端設(shè)備 CloudServiceProvider，云服務(wù)提供商 ElementManagementSystem IdentityandAccessManagement，身份管理與訪問控制 IncidentResponse，事件響應(yīng) SecurityInformationandEventManagement，安全信息和事件管理 OperationsSupportSystems，運營支撐系統(tǒng) BusinessSupportSystems，業(yè)務(wù)支撐 ManagedSecurityService安全托管服務(wù)附附DN控制器依賴性：在幾乎所有形式的DN中，都有一個基于I的南北向通信對象模型。這些對象將按照服務(wù)合同需要進行部署。該模型強調(diào)對控制器的信任，因為雙向通信對于管理至關(guān)重要。安全舉措必須在控制面和數(shù)據(jù)面提供職責分離并提供精細化訪問控制（以在控制平面上維持最小訪問權(quán)限的原則）?？紤]到控制器所要求的訪問性質(zhì)，DN模型與傳統(tǒng)物理網(wǎng)絡(luò)相比擁有不同的邊界。這種向量意味