Ataki na sieć 5G: SUCI, downgrade do LTE, burze sygnalizacyjne i izolacja network slicing

Najważniejsze zagrożenia dla sieci 5G to ujawnienie stałego identyfikatora abonenta, wymuszenie przejścia urządzenia do starszej technologii (LTE lub 2G), awarie i przeciążenia funkcji AMF wywołane sygnalizacją przed uwierzytelnieniem oraz niewystarczająca izolacja wycinków sieci (network slicing). Standard 5G ma mechanizmy przeciw każdemu z nich, ale ich skuteczność zależy od trybu pracy sieci (SA lub NSA), konfiguracji operatora, ustawień urządzeń i jakości implementacji.

Ten artykuł jest częścią serii o bezpieczeństwie 5G i powstał dla zespołów bezpieczeństwa, SOC i administratorów flot urządzeń. Każde zagrożenie opisujemy w tym samym układzie: mechanizm (na poziomie koncepcji), skutek, jak wykryć i jak ograniczyć ryzyko. Nie podajemy instrukcji przeprowadzania ataków. Architekturę sieci, interfejsy i procedury, do których się odwołujemy, opisuje przewodnik po architekturze sieci 5G, a bezpieczeństwo rdzenia od strony API i Kubernetes artykuł Rdzeń 5G jako mikroserwisy.

Najważniejsze w skrócie

• SUCI chroni IMSI tylko przy poprawnej konfiguracji. Według TS 33.501 urządzenie używa schematu null (bez szyfrowania) m.in. wtedy, gdy sieć domowa tak skonfigurowała karty albo nie dostarczyła klucza publicznego.
• 5G NSA nie ma ochrony SUCI. Urządzenie rejestruje się w rdzeniu 4G, więc obowiązują mechanizmy i ograniczenia LTE.
• Downgrade to główny sposób obchodzenia zabezpieczeń 5G. Zamiast atakować 5G, napastnik może skłonić urządzenie do pracy w starszej technologii. Android od wersji 12 pozwala wyłączyć 2G, a od wersji 14 administrator może to wymusić polityką Android Enterprise (DISALLOW_CELLULAR_2G).
• Jeden zniekształcony komunikat może wyłączyć AMF. Projekt RANsacked (2025) wykazał 119 podatności i 97 CVE w otwartych implementacjach rdzeni LTE i 5G, w tym 25 umożliwiających ataki NAS przed uwierzytelnieniem z dowolnego telefonu.
• Slicing to izolacja logiczna, nie fizyczna. NSA i CISA wskazują jako główne zagrożenia dla wycinków ataki DoS, błędy konfiguracji i przechwytywanie nieszyfrowanych kanałów.

Kim jest atakujący? Model zagrożeń dla sieci 5G

Zanim ocenimy konkretne wektory, warto ustalić, z jakiej pozycji działa atakujący. Od tego zależy, które mechanizmy ochronne mają znaczenie.

Pozycja atakującego	Co ma do dyspozycji	Przykładowe zagrożenia
W eterze, bez karty SIM sieci	Sprzęt radiowy w zasięgu urządzeń	Fałszywa stacja bazowa, zagłuszanie, wymuszenie downgrade, próby ujawnienia identyfikatorów
Z urządzeniem i kartą SIM (legalny abonent)	Dostęp do sieci jak każdy użytkownik	Nadużycia sygnalizacji, próby wyjścia poza przypisany wycinek, ataki na usługi w sieci danych
Z dostępem do sieci transportowej lub stacji bazowej	Fizyczny lub logiczny dostęp do backhaulu, femtokomórki lub gNB	Podsłuch niechronionych N2 i N3, wstrzykiwanie sygnalizacji
Wewnątrz rdzenia	Przejęta funkcja sieciowa, konto administracyjne lub klaster	Nadużycia SBI, zmiany konfiguracji, ruch boczny

Ten artykuł skupia się na pierwszych dwóch pozycjach i na odporności AMF. Zagrożenia wewnątrz rdzenia omawiamy w artykule o SBA.

Ujawnienie tożsamości abonenta: SUCI, IMSI i schemat null

Mechanizm. Każda karta SIM ma stały identyfikator abonenta SUPI, najczęściej w postaci IMSI. W 2G, 3G i 4G urządzenie może wysłać IMSI jawnie, np. na żądanie sieci, zanim powstanie kontekst bezpieczeństwa. Urządzenia, które to wykorzystują, potocznie nazywa się IMSI catcherami. 5G SA wprowadza SUCI: urządzenie szyfruje część identyfikatora kluczem publicznym operatora (ECIES, Profile A na krzywej Curve25519 lub Profile B na secp256r1), a odszyfrować go może tylko funkcja SIDF w UDM operatora. TS 33.501 stanowi też, że w odpowiedzi na żądanie identyfikacji urządzenie nie wysyła SUPI.

Ochrona ma jednak wyjątki. Według TS 33.501 (klauzula 6.12.2) urządzenie stosuje schemat null, czyli wysyła identyfikator bez szyfrowania, gdy:

1. nawiązuje nieuwierzytelnioną sesję alarmową i nie ma 5G-GUTI dla wybranej sieci,
2. sieć domowa skonfigurowała schemat null,
3. sieć domowa nie dostarczyła klucza publicznego potrzebnego do obliczenia SUCI.

Skutek. Ujawnienie IMSI pozwala śledzić obecność i przemieszczanie się konkretnego abonenta, np. pracownika, pojazdu lub urządzenia IoT, oraz kojarzyć urządzenia z osobami. Dla firmy to ryzyko prywatności pracowników i ujawnienia informacji o działalności, np. o tym, kiedy i gdzie pracują określone zespoły.

Jak wykryć.

• W sieci prywatnej: przegląd konfiguracji kart SIM i rdzenia (identyfikator schematu ochrony w profilach kart, obecność klucza publicznego, konfiguracja SIDF). – W ruchu kontrolnym w środowisku testowym: identyfikator schematu ochrony w polu SUCI żądania rejestracji (0 oznacza schemat null).
• U operatora publicznego: pytanie wprost, czy karty firmowe mają skonfigurowany Profile A lub B i czy urządzenia pracują w trybie SA.

Jak ograniczyć.

• Wygenerować parę kluczy sieci domowej, zapisać klucz publiczny i listę priorytetów schematów na kartach, a klucz prywatny SIDF chronić w HSM.
• Wymagać trybu 5G SA dla urządzeń, dla których prywatność identyfikatora ma znaczenie.
• Ograniczyć możliwość pracy urządzeń w 2G (zob. sekcję o downgrade).

Downgrade i fałszywe stacje bazowe

Mechanizm. Urządzenie wybiera komórkę na podstawie informacji rozgłaszanych przez stacje bazowe i jakości sygnału. Informacje systemowe rozgłaszane w komórce nie są w dzisiejszych wdrożeniach chronione kryptograficznie, a pierwsze komunikaty przed nawiązaniem kontekstu bezpieczeństwa również nie mają takiej ochrony. 3GPP analizowało metody ochrony przed fałszywymi stacjami w raporcie studyjnym TR 33.809, ale podpisywanie informacji systemowych nie jest standardowym elementem działających sieci. Fałszywa stacja bazowa może więc przyciągnąć urządzenie albo, przy zakłóceniach sieci 5G, skłonić je do korzystania z LTE lub 2G. Starsze generacje mają słabsze zabezpieczenia: 2G nie uwierzytelnia sieci wobec urządzenia i dopuszcza słabe lub wyłączone szyfrowanie, a LTE nie ma SUCI.

Wewnątrz samego 5G standard chroni przed obniżeniem poziomu zabezpieczeń w trakcie uzgadniania algorytmów. Komunikat NAS Security Mode Command zawiera odtworzone przez sieć możliwości bezpieczeństwa urządzenia, a urządzenie porównuje je z tym, co wysłało wcześniej. Jeśli coś zostało zmienione po drodze, odrzuca procedurę (TS 33.501, klauzula 6.7.2). Ta ochrona nie obejmuje jednak przejścia do innej technologii radiowej.

Skutek. Po przejściu do 2G pod kontrolą fałszywej stacji przechwycenie połączeń i SMS-ów, w tym kodów jednorazowych, staje się realne, bo 2G nie uwierzytelnia sieci wobec urządzenia. W LTE i 2G możliwe jest też pozyskanie IMSI. Dla floty urządzeń firmowych oznacza to ryzyko przechwycenia komunikacji, śledzenia i obejścia uwierzytelniania opartego na SMS.

Jak wykryć.

• Narzędzia do wykrywania fałszywych stacji. Przykładem jest Rayhunter, otwarte narzędzie EFF udostępnione w marcu 2025 roku. Działa na niedrogim routerze mobilnym LTE, analizuje sygnalizację między urządzeniem a stacją bazową i sygnalizuje m.in. wymuszenie przejścia do 2G oraz żądania IMSI w podejrzanych okolicznościach. Nadaje się do okresowych kontroli w biurach, zakładach i podczas wyjazdów służbowych.
• Telemetria MDM. Nietypowo częste przełączenia floty do 2G w jednej lokalizacji to sygnał do sprawdzenia.
• Monitoring po stronie operatora sieci prywatnej. Raporty pomiarowe urządzeń mogą ujawnić nieznane identyfikatory komórek, których nie ma w planie radiowym.

Jak ograniczyć.

• Wyłączyć 2G na urządzeniach. Android 12 wprowadził przełącznik wyłączający 2G na poziomie modemu (wymaga Radio HAL 1.6 lub nowszego). Android 14 pozwala administratorom Android Enterprise wymusić to ograniczeniem DISALLOW_CELLULAR_2G oraz daje użytkownikom opcję blokowania połączeń bez szyfrowania (null cipher), o ile urządzenie ma odpowiednio nowy Radio HAL. Połączenia alarmowe działają nadal.
• Preferować tryb SA i ustalić z operatorem, czy sieć udostępnia SA dla kart firmowych.
• Nie opierać bezpieczeństwa na SMS. Kody jednorazowe SMS zastąpić aplikacją uwierzytelniającą lub kluczami FIDO2.
• Szyfrować na wyższych warstwach. VPN i TLS w aplikacjach chronią dane niezależnie od tego, z jaką stacją połączone jest urządzenie. Więcej w artykule VPN dla biznesu.

Ataki przed uwierzytelnieniem na AMF: lekcja z RANsacked

Mechanizm. AMF musi przetworzyć pierwsze komunikaty NAS od urządzenia, zanim wie, czy jest ono uprawnione do korzystania z sieci. Jeśli parser komunikatów ma błąd, np. nie sprawdza poprawnie długości pól, zniekształcony komunikat może spowodować awarię procesu. Podobnie działa podatność w obsłudze NGAP, gdy komunikat pochodzi z przejętej stacji bazowej lub femtokomórki.

Badacze z University of Florida i North Carolina State University opisali w 2025 roku wyniki fuzzingu interfejsów między siecią radiową a rdzeniem w projekcie RANsacked:

Wynik	Wartość
Liczba podatności	119
Przypisane identyfikatory CVE	97
Badane implementacje LTE	7: Open5GS, Magma, OpenAirInterface, Athonet, SD-Core, NextEPC, srsRAN
Badane implementacje 5G	3: Open5GS, Magma, OpenAirInterface
Podatności w MME / AMF / SGW	79 / 36 / 4
Ataki NAS przed uwierzytelnieniem z dowolnego telefonu	25

Autorzy podkreślają, że każda z opisanych podatności może zostać użyta do trwałego zakłócenia łączności, potencjalnie na obszarze całego miasta.

Skutek. Awaria AMF oznacza, że urządzenia nie mogą się rejestrować ani zmieniać stanu. W sieci prywatnej z jedną instancją AMF to zatrzymanie całej łączności zakładu: czujników, wózków AGV, terminali.

Jak wykryć.

• Restarty i awarie procesów AMF (w Kubernetes: wzrost licznika restartów kontenera, zdarzenia OOMKilled lub zakończenia z błędem).
• Nagły wzrost błędów dekodowania NAS i NGAP w logach.
• Spadek liczby udanych rejestracji przy stałej liczbie prób.

Jak ograniczyć.

• Aktualizacje. Inwentaryzacja wersji rdzenia, śledzenie CVE i proces wdrażania poprawek. Dla każdej używanej implementacji trzeba sprawdzić, czy wdrożona wersja zawiera poprawki zgłoszonych CVE.
• Nadmiarowość. Co najmniej dwie instancje AMF w zbiorze AMF, tak aby awaria jednej nie zatrzymała sieci.
• Testy odporności przed wdrożeniem, prowadzone w izolowanym laboratorium (opisujemy to w artykule o SBA).
• Ochrona styku z RAN. IPsec na N2 i dopuszczenie połączeń SCTP do AMF wyłącznie z adresów znanych stacji gNB ogranicza wektor przez przejętą lub nieautoryzowaną stację.

Burze sygnalizacyjne i przeciążenie AMF

Mechanizm. Burza sygnalizacyjna to sytuacja, w której wiele urządzeń jednocześnie wykonuje procedury sygnalizacyjne, np. rejestrację lub zestawianie sesji. Przyczyną bywa zdarzenie niezamierzone, np. powrót zasilania w hali z setkami czujników, aktualizacja oprogramowania floty IoT lub błąd w aplikacji, która cyklicznie restartuje modem. Może to być też działanie celowe, np. z przejętych urządzeń IoT z kartami SIM.

Standard przewiduje mechanizmy obrony. Według TS 23.501 (klauzula 5.19.5) AMF w stanie przeciążenia wysyła do stacji bazowych komunikat NGAP OVERLOAD START. Może w nim wskazać procent żądań do odrzucenia i konkretne wycinki (S-NSSAI). Stacje bazowe ograniczają wtedy nowe połączenia, chroniąc połączenia alarmowe i usługi priorytetowe, a urządzeniom przekazują czas oczekiwania przed kolejną próbą. AMF uruchamia też kontrolę przeciążenia na poziomie NAS.

Skutek. Opóźnienia lub odmowy rejestracji, przerwy w działaniu urządzeń, w skrajnym przypadku niedostępność usług dla całego wycinka lub całej sieci.

Jak wykryć.

• Liczba prób rejestracji i zestawień sesji na sekundę w porównaniu z linią bazową.
• Udział odrzuceń i czas trwania procedur. – Zdarzenia OVERLOAD START w logach AMF i stacji bazowych.
• Korelacja z wydarzeniami w zakładzie: przerwy zasilania, wdrożenia aktualizacji floty.

Jak ograniczyć.

• Projekt floty urządzeń. Oprogramowanie IoT powinno ponawiać połączenia z losowym opóźnieniem i wykładniczym wydłużaniem przerw, a aktualizacje floty trzeba wdrażać falami.
• Pojemność i skalowanie. Wymiarowanie AMF i SMF na scenariusz jednoczesnego powrotu wszystkich urządzeń, testy obciążeniowe w laboratorium.
• Konfiguracja kontroli przeciążenia w AMF i stacjach bazowych oraz alarmy w monitoringu.
• Segmentacja wycinków. Oddzielny wycinek dla masowego IoT ogranicza wpływ burzy na usługi krytyczne, pod warunkiem że krytyczne funkcje nie są współdzielone.

Izolacja network slicing: gdzie kończy się separacja?

Mechanizm. Network slicing pozwala uruchomić na wspólnej infrastrukturze kilka logicznych sieci identyfikowanych przez S-NSSAI. Stopień izolacji zależy od tego, co jest współdzielone: zasoby radiowe, AMF, SMF, UPF, bazy danych, sieć transportowa, platforma chmurowa. Wycinek nie jest automatycznie granicą bezpieczeństwa. Jeśli dwa wycinki korzystają ze wspólnego UPF i mają między sobą trasę, ruch IP może między nimi przejść, a wspólna funkcja sterująca może przenieść przeciążenie z jednego wycinka na drugi.

NSA, CISA i ODNI w opracowaniu „Potential Threats to 5G Network Slicing” (grudzień 2022) oraz NSA i CISA w „5G Network Slicing: Security Considerations for Design, Deployment, and Maintenance” (lipiec 2023) wskazują trzy główne grupy zagrożeń dla wycinków:

Zagrożenie	Opis	Ograniczenie wskazywane w opracowaniach
Odmowa usługi (DoS)	Atak na scentralizowane elementy sterujące, który czyni wycinek niedostępnym	Izolacja instancji, nadmiarowość, monitoring
Ataki na konfigurację	Wykorzystanie błędnej konfiguracji do wyłączenia zabezpieczeń lub monitoringu albo zmiany polityk	Zero Trust, wielowarstwowa kontrola dostępu, kontrola zmian
Man-in-the-middle	Przechwycenie nieszyfrowanych kanałów, ujawnienie lub modyfikacja danych	Szyfrowanie, uwierzytelnianie, granice między domenami

Opracowania zwracają też uwagę na ataki łańcuchowe, w których kilka technik łączy się, aby wyjść poza jeden wycinek, oraz na to, że standardy nie określają precyzyjnie, jak operatorzy mają zabezpieczać wycinki.

Dodatkowym mechanizmem w 5G jest NSSAA (Network Slice-Specific Authentication and Authorization) z TS 33.501 (klauzula 16.3). To opcjonalne uwierzytelnienie i autoryzacja dostępu do konkretnego wycinka, wykonywane po uwierzytelnieniu podstawowym, oparte na EAP i osobnych poświadczeniach weryfikowanych przez serwer AAA, który może należeć do firmy, a nie do operatora. Dla firm kupujących wycinek od operatora to sposób na zachowanie kontroli nad tym, które urządzenia mają do niego dostęp.

Skutek. Wpływ jednego wycinka na dostępność innego, wyciek danych między wycinkami, nieautoryzowany dostęp urządzeń do wycinka o wyższych uprawnieniach.

Jak wykryć.

• Ruch między pulami adresów różnych wycinków w UPF lub na firewallu N6 (jeśli nie jest dozwolony, powinien być blokowany i logowany). – Odrzucenia żądań wycinków (Rejected NSSAI) i nietypowe wzorce żądań S-NSSAI.
• Zmiany konfiguracji NSSF, PCF i polityk sieciowych w systemie kontroli zmian.

Jak ograniczyć.

• Dedykowane SMF i UPF (a dla wycinków krytycznych także osobne zasoby obliczeniowe) zamiast współdzielonych instancji. – Firewall między pulami adresów wycinków i domyślne blokowanie ruchu między nimi.
• NSSAA z firmowym serwerem AAA dla wycinków o podwyższonych wymaganiach.
• Testy separacji przy każdej zmianie konfiguracji, prowadzone w środowisku testowym.

5G SA czy NSA: który tryb chroni przed czym?

Ikona „5G” na urządzeniu nie mówi, czy pracuje ono w trybie SA (rdzeń 5GC), czy NSA (radio 5G NR z rdzeniem 4G EPC). Dla ochrony przed opisanymi zagrożeniami różnica jest zasadnicza.

Zagrożenie	5G NSA (rdzeń EPC)	5G SA (rdzeń 5GC)
Ujawnienie IMSI	Brak SUCI, obowiązują ograniczenia LTE	SUCI z ECIES, o ile nie skonfigurowano schematu null
Uwierzytelnienie	EPS-AKA, decyzja w sieci obsługującej	5G-AKA lub EAP-AKA’, potwierdzenie przez sieć domową
Integralność danych użytkownika na odcinku radiowym	W LTE wprowadzona dopiero w wydaniu 17 (TS 33.401) i zależna od wsparcia sieci i urządzeń	Dostępna od pierwszego wydania 5G (opcjonalna w użyciu)
Network slicing i NSSAA	Brak	Dostępne
Kontrola przeciążenia per wycinek	Brak	Dostępna (S-NSSAI w NGAP OVERLOAD START)
Downgrade do 2G	Ryzyko jak w LTE	Ryzyko pozostaje; ograniczenie przez polityki urządzeń

Wniosek: SA nie eliminuje ryzyka downgrade, ale tylko w SA działają SUCI, uwierzytelnienie potwierdzane przez sieć domową i pełny model slicingu, a integralność danych użytkownika na radiu jest dostępna od początku standardu.

Mapa dla SOC: zagrożenie, sygnał, reakcja

Zagrożenie	Sygnał do monitorowania	Gdzie go szukać	Pierwsza reakcja
Ujawnienie IMSI	Schemat null w SUCI, rejestracje urządzeń firmowych w NSA lub 2G	Konfiguracja SIM i rdzenia, telemetria MDM	Wdrożenie Profile A/B, polityka SA, wyłączenie 2G
Fałszywa stacja i downgrade	Nagłe przejścia do 2G w jednej lokalizacji, alerty detektora, nieznane komórki	MDM, detektor (np. Rayhunter), raporty pomiarowe w sieci prywatnej	Zgłoszenie do operatora, wymuszenie polityki 2G, ostrzeżenie użytkowników
Pre-auth DoS na AMF	Restarty AMF, błędy dekodowania NAS i NGAP, spadek udanych rejestracji	Logi AMF, metryki Kubernetes, SIEM	Przełączenie na instancję zapasową, analiza wersji i CVE, aktualizacja
Burza sygnalizacyjna	Wzrost prób rejestracji powyżej linii bazowej, OVERLOAD START	Metryki AMF i stacji, logi gNB	Identyfikacja źródła (grupa urządzeń, aktualizacja), wstrzymanie wdrożenia, skalowanie
Naruszenie izolacji wycinków	Ruch między pulami wycinków, nieoczekiwane zmiany polityk	UPF, firewall N6, system kontroli zmian	Blokada ruchu, przegląd konfiguracji NSSF i PCF

Polityki dla flot urządzeń firmowych

Firma, która korzysta z publicznej sieci 5G, nie kontroluje rdzenia operatora, ale kontroluje swoje urządzenia. Minimalny zestaw polityk:

1. Wyłączenie 2G przez MDM (DISALLOW_CELLULAR_2G w Android Enterprise na Androidzie 14 i nowszym), a tam, gdzie polityka nie jest dostępna, przez ustawienie na urządzeniu.
2. Blokada połączeń bez szyfrowania na urządzeniach, które obsługują tę opcję (Android 14 z odpowiednim Radio HAL).
3. Zawsze włączony VPN dla ruchu służbowego i TLS w aplikacjach, niezależnie od sieci.
4. Uwierzytelnianie bez SMS dla kont firmowych.
5. Inwentaryzacja urządzeń komórkowych, w tym modemów IoT i routerów 5G, które często pomija się w polityce bezpieczeństwa. O ryzyku urządzeń spoza inwentarza piszemy w artykule Nieautoryzowane urządzenia w sieci firmowej a NIS2.

Checklista: ochrona przed głównymi zagrożeniami 5G

Dla sieci prywatnej 5G

• Karty SIM z kluczem publicznym sieci i schematem Profile A lub B; brak schematu null poza wymaganymi wyjątkami.
• Klucz prywatny SIDF w HSM.
• Co najmniej dwie instancje AMF; przetestowane przełączenie.
• Aktualna wersja rdzenia, proces śledzenia CVE i wdrażania poprawek.
• Połączenia SCTP do AMF tylko ze znanych gNB; IPsec na N2 i N3.
• Kontrola przeciążenia skonfigurowana i monitorowana; linia bazowa liczby rejestracji.
• Dedykowane funkcje dla wycinków krytycznych, firewall między pulami wycinków, NSSAA tam, gdzie potrzebna jest kontrola dostępu po stronie firmy.

Dla floty urządzeń w sieci publicznej

• 2G wyłączone politykami MDM.
• Opcja blokady połączeń bez szyfrowania włączona tam, gdzie urządzenie ją obsługuje.
• Tryb SA ustalony z operatorem dla kart firmowych.
• VPN i TLS dla całego ruchu służbowego; brak uwierzytelniania SMS.
• Okresowe kontrole detektorem fałszywych stacji w kluczowych lokalizacjach.

Jak SparkSome wspiera zespoły IT w bezpieczeństwie 5G

Bezpieczeństwo 5G rzadko jest problemem jednego zespołu. Konfiguracja kart SIM, rdzenia, sieci transportowej, platformy Kubernetes, polityk MDM i SIEM leży zwykle w różnych rękach. SparkSome działa jako partner techniczny, który łączy te obszary i przekłada wymagania 3GPP na konkretne ustawienia i procedury:

Obszar	W czym pomagamy	Efekt dla zespołu IT
Przegląd konfiguracji sieci prywatnej 5G	Weryfikacja SUCI (Profile A/B zamiast null), algorytmów NEA i NIA, polityki bezpieczeństwa danych użytkownika, IPsec na N2 i N3, nadmiarowości AMF	Lista luk z priorytetami i planem poprawek
Platforma i rdzeń na Kubernetes	Segmentacja sieci, mTLS i OAuth 2.0 w SBA, zarządzanie sekretami i certyfikatami, proces aktualizacji i śledzenia CVE	Rdzeń utrzymywany jak krytyczna platforma, a nie „czarna skrzynka”
Floty urządzeń	Polityki MDM: wyłączenie 2G, blokada połączeń bez szyfrowania, VPN, uwierzytelnianie bez SMS	Mniejsze ryzyko downgrade i przechwycenia komunikacji
Monitoring i SOC	Integracja logów AMF, NRF, UPF i Kubernetes z SIEM, reguły dla sygnałów z mapy w tym artykule	Zdarzenia wykrywane, zanim staną się awarią
Testy i szkolenia	Laboratorium testowe odseparowane od produkcji, szkolenie z architektury i bezpieczeństwa 5G dla działów IT	Zespół, który rozumie, co i dlaczego konfiguruje