YDT 4561-20235G移動通信網 數據安全監(jiān)測預警技術要求

ICS35.030

CCSL70

YD

中華人民共和國通信行業(yè)標準

YD/TXXXX—XXXX

5G移動通信網數據安全監(jiān)測預警技術要

求

5Gmobilenetworktechnicalrequirementsfordatasecuritymonitoringandearly

warning

（報批稿）

××××-××-××發(fā)布××××-××-××實施

中華人民共和國工業(yè)和信息化部發(fā)布

1

YD/TXXXX—XXXX

前言

本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規(guī)

則》的規(guī)定起草。

請注意本文件的某些內容可能涉及專利。本文件的發(fā)布機構不承擔識別專利的責任。

本文件由中國通信標準化協會提出并歸口。

本文件起草單位：中國移動通信集團有限公司、中國信息通信研究院、華為技術有限公

司、中興通訊股份有限公司、上海諾基亞貝爾股份有限公司、北京東方通網信科技有限公司、

中國聯合網絡通信集團有限公司、博鼎實華(北京)技術有限公司。

本文件主要起草人：楊亭亭、陸黎、呂臨穎、粟栗、耿慧拯、齊旻鵬、袁琦、胡力、林

兆驥、游世林、吳榮、崔婷婷、高楓、葛詩新、靳濤、顧希。

II

YD/TXXXX—XXXX

5G移動通信網數據安全監(jiān)測預警技術要求

1范圍

本文件規(guī)定了5G移動通信網中數據安全監(jiān)測預警技術要求，包括監(jiān)測信息采集、處理，

預警事件、預警方式，監(jiān)測預警信息展示與安全保護。

本文件適用于指導安全管理、安全運營人員對5G移動通信網中的數據安全事件進行發(fā)

現和處理。

2規(guī)范性引用文件

下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期

的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括

所有的修改單）適用于本文件。

GB/T36635-2018信息安全技術網絡安全監(jiān)測基本要求與實施指南

GB/T41479-2022信息安全技術網絡數據處理安全要求

3術語和定義

下列術語和定義適用于本文件。

3.1

數據安全事件datasecurityevents

由單個或一系列意外或有害的數據安全事態(tài)所組成，極有可能造成數據泄露、數據丟失、

數據損壞等嚴重后果的事件。

4縮略語

下列縮略語適用于本文件。

AMF接入和移動性管理功能（AccessandMobilityManagementFunction）

gNB下一代基站（generationnodeB）

IP網際互連協議（InternetProtocol）

MANO管理和編排（ManagementandOrchestration）

MEC移動邊緣計算（MobileEdgeComputing）

SMSF短信服務功能(ShortMessageServiceFunction)

5數據安全監(jiān)測預警概述

5.1概述

數據安全典型事件包括數據泄露、數據丟失、數據篡改、數據損壞等。造成這些安全事

件的原因通常包括數據非法導出、非法刪除，傳輸過程中被截獲，共享數據遭到非法轉售等。

為了防止或及時發(fā)現數據安全事件的發(fā)生，應對用戶的數據訪問、數據導出、數據傳輸等重

要操作進行監(jiān)測，對其中的風險操作進行預警。

1

YD/TXXXX—XXXX

數據安全監(jiān)測對象為5G網絡中收集、存儲、處理數據的網元以及相關存儲、處理平臺，

包括5G網元、網管系統、網絡云等。對上述系統間的數據流轉過程進行監(jiān)測，對監(jiān)測過程

中發(fā)現的可能引起數據安全事件的異常行為，以及已經發(fā)生的數據安全事件預警。

5.2數據安全監(jiān)測預警框架

監(jiān)測與預警展示

預監(jiān)

數數據據安安全全預預警警事事件件預預警警方方式式

警測

預

警

信

監(jiān)

息

測監(jiān)測信息處理

安

全

數據全生命周期監(jiān)測信息采集防

護

圖1數據安全監(jiān)測預警框架

數據安全預警框架如圖1所示，包括監(jiān)測、預警、監(jiān)測與預警展示和監(jiān)測預警信息安全

防護。其中監(jiān)測和預警為核心，指導監(jiān)測信息采集、數據處理以及預警活動的開展。監(jiān)測與

預警展示主要將監(jiān)測與預警內容以可視化形式進行展示，便于運維人員查看與處理。監(jiān)測預

警信息安全防護為監(jiān)測預警信息的存儲、處理提供安全保護，通?？赏ㄟ^監(jiān)測預警系統實現。

6數據安全監(jiān)測

6.1監(jiān)測信息采集

6.1.1數據全生命周期監(jiān)測信息采集

針對5G網絡中數據流轉的各個環(huán)節(jié)，展開監(jiān)測信息采集：

a)數據采集環(huán)節(jié)：

1)數據采集指5G網絡自身創(chuàng)建數據或從外部獲取數據的行為，其中數據創(chuàng)建主

要指數據配置以及系統運行過程中產生數據。控制面數據采集主要包括網元創(chuàng)

建數據，以及在4/5G互操作等場景，5G網絡從他網獲取數據；管理面數據采

集主要包括網元、MANO、切片管理系統等創(chuàng)建數據以及獲取外部導入數據的

行為；用戶面數據采集指5G網絡從其他網絡、終端設備采集數據，以及通過

分析產生新的用戶數據的行為；

2)數據采集環(huán)節(jié)應對網元、MANO、切片管理系統的數據創(chuàng)建操作、數據導入行

為等進行監(jiān)測。監(jiān)測方式主要依靠系統的操作日志、安全日志分析；

3)應采集網元、MANO、切片管理系統等對象的操作日志，針對數據導入導出、

數據寫入等重點操作，分析操作賬號、操作時間、操作行為量等。

b)數據傳輸環(huán)節(jié)：

1)此環(huán)節(jié)的數據安全監(jiān)測主要針對5G網絡內部的數據傳輸，主要包括MANO

內部組件之間數據傳輸、MANO與網元基礎設施層間數據傳輸、切片管理系

2

YD/TXXXX—XXXX

統內部數據傳輸，以及切片管理系統與MANO、第三方平臺及運營商業(yè)務支

撐系統間數據傳輸等；

注：MANO各組件封裝后整體提供時，可不對各組件之間的傳輸進行監(jiān)測。

2)數據傳輸環(huán)節(jié)對MANO、網元、切片管理系統、第三方平臺及運營商業(yè)務支

撐系統等系統之間的傳輸進行監(jiān)測，應包括傳輸的時間、IP等，可通過接口

日志獲得。

c)數據存儲環(huán)節(jié)：

1)數據存儲指5G網絡中數據存儲過程。主要涉及具有存儲能力的網元、切片管

理系統、網管系統和MEC平臺等；

2)數據存儲環(huán)節(jié)主要保障數據存儲安全，需要監(jiān)測數據的訪問情況，涉及的操作

主要包括基礎的查詢、新增、更新、刪除等，監(jiān)測信息主要通過操作日志獲得，

包括操作賬號、登錄時間、操作行為、訪問的數據對象等。

d)數據使用環(huán)節(jié)：

1)數據使用指網元、切片管理系統、網管系統和MEC平臺等系統的計算、分析

等操作；

2)數據使用環(huán)節(jié)的監(jiān)測信息，主要從上述系統的用戶操作日志中獲得，應包括操

作賬號、操作時間、操作行為等。

e)數據共享環(huán)節(jié)：根據GB/T41479-2022中5.7等相關要求，數據共享前需進行安全

影響分析、風險評估和脫敏處理等，一般由組織機構的信息技術網絡經處理后提供，

不從5G移動通信網絡直接共享，因此暫不考慮對數據共享環(huán)節(jié)的監(jiān)測和安全預警。

f)數據刪除環(huán)節(jié)：

1)5G數據刪除通常發(fā)生在虛擬機遷移、虛擬網元下線，物理設備退服等場景；

2)5G網絡中需監(jiān)測虛擬機遷移、虛擬網元下線后的磁盤邏輯刪除操作，通過平

臺操作日志進行分析，包括操作賬號、時間、刪除方式等。針對物理設備（涉

及磁帶、硬盤、光盤等）刪除場景，其監(jiān)測主要通過人員監(jiān)督方式進行。

6.1.2采集方式

應支持對流量和日志的實時、非實時采集，數據生命周期各個環(huán)節(jié)采集方式如下：

a）數據采集階段：主要獲取采集接口的操作日志和安全日志進行分析，主要涉及網元

與網元之間的接口、MANO組件之間接口等，日志信息不全時通過接口的流量分

析進行補充；

b）數據傳輸：傳輸階段主要獲取傳輸接口和設備日志分析數據傳輸活動，日志信息不

全時通過傳輸的流量分析進行補充。主要涉及網元之間數據傳輸，終端與gNB之

間數據傳輸等，其中涉及終端與接入網進行數據傳輸時，日志信息通過接入網側獲

??；

c）數據存儲：存儲階段主要獲取存儲平臺的操作日志，對存儲行為進行分析監(jiān)測，包

括網元、切片管理系統、MEC平臺等；

d）數據使用：使用階段主要獲取應用平臺的操作日志，以及外部接入應用的接口日志，

對數據使用行為進行分析監(jiān)測。主要包括網元、切片管理系統、網管系統和MEC

平臺等；

e）數據刪除：刪除階段主要獲取存儲平臺的操作日志，對刪除操作進行分析。主要包

括網元、切片管理系統、MEC平臺等具有數據存儲功能的平臺。

3

YD/TXXXX—XXXX

6.2監(jiān)測信息處理

6.2.1數據清洗

通過數據清洗解決收集的日志數據存在的空值、缺失值以及數據大量冗余、錯誤數據、

無效數據等問題，以便開展日志分析。數據清洗應滿足以下功能：

a）空值、缺失值清洗：大多數情況下，缺失的值必須手工填入，某些缺失值可以從本

數據源進行推導或使用其他數據源平均值、最大值、最小值或更為復雜的概率估計

代替；

b）消除冗余數據：利用唯一性的字段對冗余數據進行過濾。也可按主鍵去重，或按規(guī)

則去重，編寫一系列的規(guī)則，對重復情況復雜的數據進行去重；

c）錯誤值檢測處理：使用統計分析的方法識別可能的錯誤值或異常值，如偏差分析、

識別不遵守分布或回歸方程的值；使用簡單規(guī)則庫（常識性規(guī)則、業(yè)務特定規(guī)則等）

檢查數據值；使用不同屬性間的約束，檢查字段間的相關關系。

6.2.2數據轉換

數據轉換應支持在不同日志中字段名相同含義不同、相同字段數據類型不同、相同信息

字段名不同等情況下，對日志數據進行轉換，實現數據規(guī)范化。數據轉換可支持以下技術：

a）數據類型轉換：將一種類型的數據轉換成另一種類型的數據，類型轉換的前提是類

型相容；

b）日期/時間格式的轉換：對于采用不同日期和時間格式的情況，通過手工程序編碼

等方式轉換成統一格式；

c）重新格式化：將許多以不同方式存儲在不同數據源中的信息轉換成統一的表達方

式。一般有字段值的拆分和合并，可利用基于正則表達式匹配、鍵值或符號分割方

式將字段值拆分；也可將多個字段值按照標準合并成所需字段值。

6.2.3數據解析

對監(jiān)測信息的處理主要集中在對日志和流量信息的解析，應滿足以下要求：

a）從實時性上，應支持對日志、流量的實時和非實時解析；

b）從內容和格式角度開展對日志的解析：

1)內容：支持對日志中的監(jiān)測數據對象、操作、時間等字段內容進行識別；

2)格式：支持對基于空格、制表符、逗號、分號等分隔符的日志進行分析處理，

同時應支持對無分隔符的日志進行結構化處理。

c）從內容和格式角度開展對流量的解析：

1)內容：支持對流量數據中的監(jiān)測數據進行識別，對操作命令、時間等屬性進行

提取；

2)格式：支持將流量數據根據統一日志格式進行結構化處理。

7數據安全預警

7.1預警事件

對發(fā)現的數據安全事件以及可能造成數據安全事件的異常行為進行預警：

a）數據采集：

1)對系統采集賬號進行異常行為分析，包括操作時間、采集設備接入行為等，當

發(fā)生異常時間采集、超量采集、惡意設備接入采集、違規(guī)數據源接入等行為，

4

YD/TXXXX—XXXX

以及已經確認的數據采集過程中的數據竊取等事件進行預警；

2)異常時間采集、超量采集可能由賬號盜用或采集需求臨時改變引起，可能會造

成數據泄露，需告警后對賬號行為進行進一步判斷；

3)惡意設備接入采集屬于非法接入采集數據，按照已經引起數據泄露進行預警；

4)違規(guī)數據源接入屬于非法采集數據，可能使得系統采集到非法數據信息影響正

常業(yè)務數據，按照數據損壞或數據違規(guī)導入進行預警。

b）數據傳輸：

1)在數據傳輸環(huán)節(jié)，主要對傳輸時間、接口調用頻次等進行分析，當發(fā)生異常時

間傳輸，數據流量異常，接口超頻次調用等行為時進行預警，并對傳輸過程中

發(fā)現的數據竊取等行為進行預警；

2)異常時間傳輸，數據流量異常，接口超頻次調用等可能由賬號被盜用、操作人

員非法操作或傳輸需求改變導致，若賬號被盜用或操作人員非法操作，上述異

常行為可能導致數據泄露，需告警后對異常行為進行進一步判斷；

3)傳輸過程中發(fā)生中間人攻擊等行為屬于已經造成數據泄露，應進行預警。

c）數據存儲：

1)在數據存儲環(huán)節(jié)，主要對數據的導入、查詢、修改、刪除，以及備份數據的存

儲等行為進行分析，對數據導入量異常、數據修改時間異常、數據批量刪除、

數據庫刪除等操作進行預警；

2)數據導入異?？赡茉斐上到y存儲非法數據，需預警后對存儲的內容進行進一步

分析；

3)數據修改時間、修改量異?？赡軐儆跀祿欠ㄔL問或修改需求改變，可能會造

成數據泄露需預警后對存儲的內容進一步分析判斷；

4)核心數據、重要數據及用戶隱私信息等批量刪除屬于敏感度較高的操作，極有

可能造成數據丟失，需預警后進一步分析判斷；

5)運行中的業(yè)務系統數據庫刪除操作屬于高危險性操作，按照數據破壞進行預

警。

d）數據使用：

1)對訪問賬號的訪問時間、操作權限、登陸IP、針對監(jiān)測數據的批量導出等行

為進行分析，對異常IP地址登陸、訪問時間異常、數據操作異常等進行預警，

同時對數據使用過程中發(fā)現的數據丟失、數據損壞等情況進行預警；

2)異常IP地址登陸、訪問時間異常、數據操作異?？赡芤饠祿孤叮桀A警

后進一步判斷。其中，通過日志及流量分析可對數據的流轉及使用情況進行針

對性監(jiān)測，對數據的監(jiān)測預警實施流程見附錄1；

3)數據使用分析過程中可能發(fā)現讀取的數據不存在、數據被損壞或混有虛假數據

等情況，對此類事件進行預警。

e）數據刪除：在數據刪除環(huán)節(jié)，主要對于刪除對象錯誤、異常時間操作、邏輯清除不

徹底等進行預警。針對物理刪除操作，通過審計刪除記錄發(fā)現其中的不合規(guī)行為。

7.2預警信息推送及管理

應支持采用不同方式、不同時間進行預警信息推送，對預警策略和預警信息進行管理，

具體包括：

a)支持對告警信息進行實時和非實時推送，推送的告警信息包括告警事件、級別、發(fā)

生時間、處置建議等；；

b)告警信息支持界面展示并通過郵件、短信、即時通信等方式發(fā)送給相關負責人；

5

YD/TXXXX—XXXX

c)支持管理員對告警策略進行管理，調整告警事件及方式；

d)告警信息存儲時間遵循日志信息保存要求，至少存儲6個月；

e)支持預警信息與處理手段的聯動，如對超頻次調用接口提供阻斷處理。

8監(jiān)測與預警展示

8.1監(jiān)測信息展示

監(jiān)測信息展示應包括對原始日志信息展示、對監(jiān)測信息的多維度統計展示和預警策略的

展示。其中對原始日志信息的展示應包括收集時間、數據來源、采集方式、存儲位置等，監(jiān)

測信息統計應支持基于時間維度、數據源維度、格式維度的統計，以及多維度組合統計

8.2預警展示

應支持：

a)對預警信息的實時界面展示；

b)對預警信息進行不同維度的統計展示，包括時間維度、用戶維度、級別維度等。

9監(jiān)測預警信息安全防護

監(jiān)測預警信息的安全保護應支持：

a)國家、行業(yè)規(guī)定的重要數據、核心數據加密存儲；

b)對監(jiān)測過程中收集的原始數據、預警信息等進行安全存儲，為保證時效性，至少保

存6個月；

c)對存儲的數據制定細粒度的訪問控制策略；

d)具備口令強度策略、口令強度自動核查及用戶超時退出機制；

e)監(jiān)測自身運行狀態(tài)，并對異常狀態(tài)進行告警；

f)對系統配置等重要信息進行備份，以便系統發(fā)生故障時能夠快速恢復；

g)支持標準時間自動同步，每天至少同步一次；

h)其他自身防護要求按照GB/T36635-2018的要求執(zhí)行。

6

YD/TXXXX—XXXX

附錄A

（資料性）

數據流轉監(jiān)測預警實施

A.1用戶通信業(yè)務流程中的數據監(jiān)測預警

在開展日常數據安全監(jiān)測預警的基礎上，可結合數據自動識別技術，對監(jiān)測數據的流轉

和訪問情況開展專門的監(jiān)測和展示：

a)業(yè)務情況描述：用戶使用手機終端編輯并發(fā)送短信，短信內容具有個人身份證號碼

等敏感信息；

b)數據流轉情況：數據經空口和gNB傳輸至AMF，然后由AMF轉發(fā)到SMSF，通

過SMSF傳輸到短消息中心，再由短消息中心經相反流程轉發(fā)到目標用戶；

c)數據監(jiān)測根據數據流轉情況可分為以下步驟：

1)監(jiān)測預警系統采集gNB等接口日志，對日志進行結構化處理后，開展日常監(jiān)

測，分析是否有接口流量異常等行為、非法訪問等行為；

2)數據到達AMF進行存儲使用。監(jiān)測預警系統采集AMF操作日志，得到這條

短信的內容、網元操作行為、操作時間等信息。通過數據自動識別，發(fā)現此條

短信內容含有敏感信息，可對此條短信進行重點監(jiān)測（（若數據傳輸時未進行

加密，可在步驟1）通過流量分析識別其中的敏感信息）。分析網元對此內容

的操作頻率、操作時間等是否符合操作基線，系統對此數據是否有越權訪問等

行為，對異常行為進行告警；

3)數據由AMF轉發(fā)到SMSF進行存儲使用。監(jiān)測預警系統通過分析AMF的數

據使用命令發(fā)現此條含有此敏感信息的短信轉發(fā)到SMSF，對SMSF的日志進

行采集并分析數據存儲、訪問情況，對異常行為進行告警；

4)數據由SMSF傳輸到短消息中心的監(jiān)測過程與步驟c)相同。

d)數據安全監(jiān)測展示：針對指定數據的定向監(jiān)測，可將多個網元或存儲系統的日志及

監(jiān)測情況進行關聯，展示數據的流向和存儲訪問情況。

A.2網元存儲敏感數據的監(jiān)測預警

用戶身份標識、鑒權信息等數據在AMF等網元進行存儲及分析，網元中所存儲數據使

用監(jiān)測也是監(jiān)測預警的重要環(huán)節(jié)，包括以下功能：

a)網元存儲數據掃描及展示：結合數據自動識別技術，對網元存儲的數據進行掃描，

發(fā)現其中的敏感信息，如用戶身份信息、基站信息等，建立清單并進行不同維度的

展示；

b)數據使用情況監(jiān)測：對網元的訪問命令及操作日志進行分析，發(fā)現其中對指定數據

的訪問，審計訪問操作是否符合權限、訪問時間等要求，對異常行為進行告警；

c)數據使用情況展示：通過對數據訪問行為的監(jiān)測，可針對指定的數據展示其訪問量、

常用訪問時間、常用操作行為等信息。

7

YD/TXXXX—XXXX

參考文獻

[1]GB/T25069—2022信息安全技術術語

[2]GB/T37973—2019信息安全技術大數據安全管理指南

[3]GB/T37988—2019信息安全技術數據安全能力成熟度模型

[4]YD/T3801—2020電信網和互聯網數據安全風險評估實施方法

[5]YD/T3813—2020基礎電信企業(yè)數據分類分級方法

[6]國家互聯網信息辦公室，數據出境安全評估辦法，2022年7月7日

8

YD/TXXXX—XXXX

目次

前言...............................................................................II

1范圍..............................................................................1

2規(guī)范性引用文件....................................................................1

3術語和定義........................................................................1

4縮略語............................................................................1

5數據安全監(jiān)測預警概述..............................................................1

5.1概述.........................................................................1

5.2數據安全監(jiān)測預警框架.........................................................2

6數據安全監(jiān)測......................................................................2

6.1監(jiān)測信息采集.................................................................2

6.2監(jiān)測信息處理.................................................................4

7數據安全預警......................................................................4

7.1預警事件.....................................................................4

7.2預警信息推送及管理...........................................................5

8監(jiān)測與預警展示....................................................................6

8.1監(jiān)測信息展示.................................................................6

8.2預警展示.....................................................................6

9監(jiān)測預警信息安全防護..............................................................6

附錄A（資料性）數據流轉監(jiān)測預警實施.............................................7

A.1用戶通信業(yè)務流程中的數據監(jiān)測預警..............................................7

A.2網元存儲敏感數據的監(jiān)測預警....................................................7

參考文獻...........................................................................8

I

YD/TXXXX—XXXX

5G移動通信網數據安全監(jiān)測預警技術要求

1范圍

本文件規(guī)定了5G移動通信網中數據安全監(jiān)測預警技術要求，包括監(jiān)測信息采集、處理，

預警事件、預警方式，監(jiān)測預警信息展示與安全保護。

本文件適用于指導安全管理、安全運營人員對5G移動通信網中的數據安全事件進行發(fā)

現和處理。

2規(guī)范性引用文件

下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期

的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括

所有的修改單）適用于本文件。

GB/T36635-2018信息安全技術網絡安全監(jiān)測基本要求與實施指南

GB/T41479-2022信息安全技術網絡數據處理安全要求

3術語和定義

下列術語和定義適用于本文件。

3.1

數據安全事件datasecurityevents

由單個或一系列意外或有害的數據安全事態(tài)所組成，極有可能造成數據泄露、數據丟失、

數據損壞等嚴重后果的事件。

4縮略語

下列縮略語適用于本文件。

AMF接入和移動性管理功能（AccessandMobilityManagementFunction）

gNB下一代基站（generationnodeB）

IP網際互連協議（InternetProtocol）

MANO管理和編排（ManagementandOrchestration）

MEC移動邊緣計算（MobileEdgeComputing）

SMSF短信服務功能(ShortMessageServiceFunction)

5數據安全監(jiān)測預警概述

5.1概述

數據安全典型事件包括數據泄露、數據丟失、數據篡改、數據損壞等。造成這些安全事

件的原因通常包括數據非法導出、非法刪除，傳輸過程中被截獲，共享數據遭到非法轉售等。

為了防止或及時發(fā)現數據安全事件的發(fā)生，應對用戶的數據訪問、數據導出、數據傳輸等重

要操作進行監(jiān)測，對其中的風險操作進行預警。

1

YD/TXXXX—XXXX

數據安全監(jiān)測對象為5G網絡中收集、存儲、處理數據的網元以及相關存儲、處理平臺，

包括5G網元、網管系統、網絡云等。對上述系統間的數據流轉過程進行監(jiān)測，對監(jiān)測過程

中發(fā)現的可能引起數據安全事件的異常行為，以及已經發(fā)生的數據安全事件預警。

5.2數據安全監(jiān)測預警框架

監(jiān)測與預警展示

預監(jiān)

數數據據安安全全預預警警事事件件預預警警方方式式

警測

預

警

信

監(jiān)

息

測監(jiān)測信息處理

安

全

數據全生命周期監(jiān)測信息采集防

護

圖1數據安全監(jiān)測預警框架

數據安全預警框架如圖1所示，包括監(jiān)測、預警、監(jiān)測與預警展示和監(jiān)測預警信息安全

防護。其中監(jiān)測和預警為核心，指導監(jiān)測信息采集、數據處理以及預警活動的開展。監(jiān)測與

預警展示主要將監(jiān)測與預警內容以可視化形式進行展示，便于運維人員查看與處理。監(jiān)測預

警信息安全防護為監(jiān)測預警信息的存儲、處理提供安全保護，通常可通過監(jiān)測預警系統實現。

6數據安全監(jiān)測

6.1監(jiān)測信息采集

6.1.1數據全生命周期監(jiān)測信息采集

針對5G網絡中數據流轉的各個環(huán)節(jié)，展開監(jiān)測信息采集：

a)數據采集環(huán)節(jié)：

1)數據采集指5G網絡自身創(chuàng)建數據或從外部獲取數據的行為，其中數據創(chuàng)建主

要指數據配置以及系統運行過程中產生數據?？刂泼鏀祿杉饕ňW元創(chuàng)

建數據，以及在4/5G互操作等場景，5G網絡從他網獲取數據；管理面數據采

集主要包括網元、MANO、切片管理系統等創(chuàng)建數據以及獲取外部導入數據的

行為；用戶面數據采集指5G網絡從其他網絡、終端設備采集數據，以及通過

分析產生新的用戶數據的行為；

2)數據采集環(huán)節(jié)應對網元、MANO、切片管理系統的數據創(chuàng)建操作、數據導入行

為等進行監(jiān)測。監(jiān)測方式主要依靠系統的操作日志、安全日志分析；

3)應采集網元、MANO、切片管理系統等對象的操作日志，針對數據導入導出、

數據寫入等重點操作，分析操作賬號、操作時間、操作行為量等。

b)數據傳輸環(huán)節(jié)：

1)此環(huán)節(jié)的數據安全監(jiān)測主要針對5G網絡內部的數據傳輸，主要包括MANO

內部組件之間數據傳輸、MANO與網元基礎設施層間數據傳輸、切片管理系

2

YD/TXXXX—XXXX

統內部數據傳輸，以及切片管理系統與MANO、第三方平臺及運營商業(yè)務支

撐系統間數據傳輸等；

注：MANO各組件封裝后整體提供時，可不對各組件之間的傳輸進行監(jiān)測。

2)數據傳輸環(huán)節(jié)對MANO、網元、切片管理系統、第三方平臺及運營商業(yè)務支

撐系統等系統之間的傳輸進行監(jiān)測，應包括傳輸的時間、IP等，可通過接口

日志獲得。

c)數據存儲環(huán)節(jié)：

1)數據存儲指5G網絡中數據存儲過程。主要涉及具有存儲能力的網元、切片管

理系統、網管系統和MEC平臺等；

2)數據存儲環(huán)節(jié)主要保障數據存儲安全，需要監(jiān)測數據的訪問情況，涉及的操作

主要包括基礎的查詢、新增、更新、刪除等，監(jiān)測信息主要通過操作日志獲得，

包括操作賬號、登錄時間、操作行為、訪問的數據對象等。

d)數據使用環(huán)節(jié)：

1)數據使用指網元、切片管理系統、網管系統和MEC平臺等系統的計算、分析

等操作；

2)數據使用環(huán)節(jié)的監(jiān)測信息，主要從上述系統的用戶操作日志中獲得，應包括操

作賬號、操作時間、操作行為等。

e)數據共享環(huán)節(jié)：根據GB/T41479-2022中5.7等相關要求，數據共享前需進行安全

影響分析、風險評估和脫敏處理等，一般由組織機構的信息技術網絡經處理后提供，

不從5G移動通信網絡直接共享，因此暫不考慮對數據共享環(huán)節(jié)的監(jiān)測和安全預警。

f)數據刪除環(huán)節(jié)：

1)5G數據刪除通常發(fā)生在虛擬機遷移、虛擬網元下線，物理設備退服等場景；

2)5G網絡中需監(jiān)測虛擬機遷移、虛擬網元下線后的磁盤邏輯刪除操作，通過平

臺操作日志進行分析，包括操作賬號、時間、刪除方式等。針對物理設備（涉

及磁帶、硬盤、光盤等）刪除場景，其監(jiān)測主要通過人員監(jiān)督方式進行。

6.1.2采集方式

應