一种电力专用的零信任网络系统技术方案

本发明专利技术公开了一种电力专用的零信任网络系统，属于电网技术领域，包括接入认证模块、访问权限控制模块、数据分类分级模块和安全态势感知模块，接入认证模块包括设备认证模块和用户认证模块，设备认证模块要求先认证再允许连接；用户认证模块包括多因子认证和生物特征认证，并根据不同应用系统、不同数据实行不同的认证强度；访问权限控制模块包括在发起方由可信终端实现的终端访问代理、在安全访问网关实现的网关代理；数据分类分级模块对访问资源进行分类和分级；安全态势感知模块，安全态势感知模块包括风险和信任评估、策略决策模型。本发明专利技术通过接入认证、访问权限控制、数据分类分级、安全态势感知对电力专用网络进行改造、升级或者重新部署。

【技术实现步骤摘要】
一种电力专用的零信任网络系统
本专利技术属于电网
，特别是涉及一种电力专用的零信任网络系统。
技术介绍
随着信息通信技术在电力生产和经营管理等各环节的广泛应用，调度数据网、办公内网等对边界外执行计算的需求与日俱增，而传统的静态安全防护模型越来越难以适应新的发展需求。同时，近年来国内外网络与信息安全形势日趋严峻，面向电力系统的网络攻击手段层出不穷，而电力生产管理系统在设计之初，主要是对业务功能和便捷性进行设计，对网络通信技术的安全考虑不足，这些都将对电力安全稳定运行造成重大威胁。网络安全已成为集控中心信息化建设的重中之重。随着云计算、移动办公等技术的普及，企业网络结构变得越来越复杂，传统的网络安全模型基于边界防护的思想，无法适应当前的需求。目前电力专用网络安全防护主要是通过安全分区来实现。网络分区是电力二次系统安全防护体系的结构基础。发电企业、电网企业和供电企业内部基于计算机和网络技术的应用系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(又称安全区I)和非控制区(又称安全区II)。1.生产控制大区的安全区划分(1)控制区(安全区I)。控制区中的业务系统或其功能模块(或子系统)的典型特征：是电力生产的重要环节，直接实现对电力一次系统的实时监控，纵向使用电力调度数据网络或专用通道，是安全防护的重点与核心。(2)非控制区((安全区II)。非控制区中的业务系统或其功能模块的典型特征：是电力生产的必要环节，在线运行但不具备控制功能，使用电力调度数据网络，与控制区中的业务系统或其功能模块联系紧密。2.管理信息大区的安全区划分管理信息大区是指生产控制大区以外的电力企业管理业务系统的集合。电力企业可根据具体情况划分安全区，但不应影响生产控制大区的安全。通过纵向加密装置，使加密、认证、访问控制得到实现。部署硬件防火墙于安全I区和II区间、安全III区和IV区间、安全IV区和互联网间的网络边界上，杜绝非法访问。通过单向隔离装置的布置，确保生产控制大区、管理信息大区只对数据进行单向传递，任何直接访问均禁止，确保管理信息大区网络安全威胁无法影响至生产控制大区。随着互联网技术的发展，多个不同的终端设备类型由外部访问内部信息系统已变成必须实现的工作需求，由于缺乏安全审核和认证等有效手段，来自外部互联网的未知威胁可能绕过传统边界安全设备，非法恶意的联入、联出使网络边界不可控，造成防火墙等网络安全设备不能发挥作用，给电网调控中心的信息系统安全运行造成极大威胁。同时，目前电网专用网络架构不能防止内部人员对电力专用网络网络进行攻击。内部数据安全是数据为中心的安全，需要解决的是内部人员滥用、业务误用和防止外部窃取的风险控制问题。
技术实现思路
本专利技术为解决公知技术中存在的技术问题，提供一种电力专用的零信任网络系统，通过接入认证、访问权限控制、数据分类分级、安全态势感知对电力专用网络进行改造、升级或者重新部署。本专利技术的目的是提供一种电力专用的零信任网络系统，包括：接入认证模块，所述接入认证模块包括设备认证模块和用户认证模块，其中：所述设备认证模块要求先认证再允许连接；所述用户认证模块包括多因子认证和生物特征认证，并根据不同应用系统、不同数据实行不同的认证强度；访问权限控制模块，包括在发起方由可信终端agent实现的终端访问代理、在安全访问网关实现的网关代理；数据分类分级模块，所述数据分类分级模块对访问资源进行分类和分级；安全态势感知模块，所述安全态势感知模块包括风险和信任评估、策略决策模型。优选地，所述分类是指数据类型划分，不同场景下数据类型定义各有不同。优选地，所述分级是指数据敏感级别，对电网集控数据、非实时数据、办公数据以及外网数据进行敏感度分级。优选地，所述风险和信任评估针对用户、终端、应用访问主体对象的风险与信任级别进行评估，给出量化风险评分，结合风险评分和当前访问行为进行信任评估，判定该访问行为的信任级别是否与其所访问的资源的安全等级平衡；当处在平衡状态时，允许访问数据的双向流动。优选地，按照NISTRMF框架(SP800-37r2)、SO2704FAIR等相关风险管理框架进行设计风险评估模型。优选地，所述策略决策模型用于解决初始策略，所述初始策略包括初始的策略基线以及隐式信任区的设置。本专利技术具有的优点和积极效果是：本专利技术采用零信任安全模型，对电力专用网络涉及的任何人、事、物，应在授权访问前对试图访问电力专用网络业务系统的人、事、物进行综合验证的原则，通过全面的身份管理服务、身份认证服务、授权服务、身份分析及治理、动态访问控制、安全策略等对任何面向应用及硬件的访问进行实时管理和加密，为网络攻击渗透设置了有效的障碍，让它无法通过外部和开放的内部网络发起攻击，实现互联网与集控中心核心服务区、企业内部用户与集控中心核心服务区的安全互联互通。附图说明图1是本专利技术优选实施例的结构图；图2是本专利技术优选实施例的访问示意图。具体实施方式为能进一步了解本专利技术的
技术实现思路
、特点及功效，兹例举以下实施例，并配合附图详细说明如下：零信任是一种新的网络安全模型，不区分内外网，所有实体访问资源均需要认证、授权，能够用于防护边界日益模糊的网络。请参阅图1和图2，一种电力专用的零信任网络系统，包括：接入认证模块，所述接入认证模块包括设备认证模块和用户认证模块，其中：所述设备认证模块要求先认证再允许连接，终端管理数据库数据库对需要接入系统中网络行为、虚拟地址等进行跟踪和分析；所有的受信设备都需要以唯一标识的方式引用终端数据库中的相关记录，该证书可以唯一地识别设备，它被用作获取该设备信息的钥匙，代表了该设备在设备数据库中存在且设备信息完整有效。所述用户认证模块包括多因子认证(MFA)和生物特征认证(如指纹、击键之类)，根据用户访问的安全区域、设备、操作权限对用户进行基本授权；根据信任评估程序，对用户进行操作行为实施评估，动态授权，并根据不同应用系统、不同数据实行不同的认证强度，访问安全I区到IV区，用户认证强度不同，访问安全I以及II区必须实现生物认证(指纹、瞳孔)及密码认证，访问III区及IV区至少需要实现密码或者生物认证；访问权限控制模块，包括在发起方由可信终端agent实现的终端访问代理、在安全访问网关实现的网关代理；由于零信任方案要求通过访问代理实现应用层会话访问控制，同时要求全流量加密，访问控制引擎可以提取客户端的有用信息，包括证书白名单、可信用户、设备的信任级别以及设备和用户的相关信息。通过边界防御技术判断用户文件是否是白文件所以如何实现对各种不同应用协议的加密流量的代理，并且携带必要的终端标识信息，以实现终端与访问网关的联动。数据分类分级模块，所述数据分类分级模块对访问资源进行分类和分级；零信任方案是要求精细化资源访问控制的方案。精细化资源访问控制要求对访问主体和环境的感知及对访问资源的分本文档来自技高网...

【技术保护点】
1.一种电力专用的零信任网络系统；其特征在于，至少包括：/n接入认证模块，所述接入认证模块包括设备认证模块和用户认证模块，其中：所述设备认证模块要求先认证再允许连接；所述用户认证模块包括多因子认证和生物特征认证，并根据不同应用系统、不同数据实行不同的认证强度；/n访问权限控制模块，包括在发起方由可信终端agent实现的终端访问代理、在安全访问网关实现的网关代理；/n数据分类分级模块，所述数据分类分级模块对访问资源进行分类和分级；/n安全态势感知模块，所述安全态势感知模块包括风险和信任评估、策略决策模型。/n

【技术特征摘要】
1.一种电力专用的零信任网络系统；其特征在于，至少包括：
接入认证模块，所述接入认证模块包括设备认证模块和用户认证模块，其中：所述设备认证模块要求先认证再允许连接；所述用户认证模块包括多因子认证和生物特征认证，并根据不同应用系统、不同数据实行不同的认证强度；
访问权限控制模块，包括在发起方由可信终端agent实现的终端访问代理、在安全访问网关实现的网关代理；
数据分类分级模块，所述数据分类分级模块对访问资源进行分类和分级；
安全态势感知模块，所述安全态势感知模块包括风险和信任评估、策略决策模型。


2.根据权利要求1所述的电力专用的零信任网络系统，其特征在于，所述分类是指数据类型划分，不同场景下数据类型定义各有不同。


3.根据权利要求1所述的电力专用的零信任网络系统，其特征在于...

【专利技术属性】
技术研发人员：任肖久，梁刚，曹旌，杨要中，郑晔，王晓愉，蒋立媛，刘凤，段伟润，张雪佼，万丽，唐乃馨，李琳琦，田圳，王钰，李海科，徐坤，白天予，
申请(专利权)人：国网天津市电力公司，国家电网有限公司，
类型：发明
国别省市：天津;12