CN115426141A - 基于零信任网络的云主站业务动态访问控制方法和系统 - Google Patents

基于零信任网络的云主站业务动态访问控制方法和系统 Download PDF

Info

Publication number
CN115426141A
CN115426141A CN202210998676.9A CN202210998676A CN115426141A CN 115426141 A CN115426141 A CN 115426141A CN 202210998676 A CN202210998676 A CN 202210998676A CN 115426141 A CN115426141 A CN 115426141A
Authority
CN
China
Prior art keywords
trust
access
access control
security
master station
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210998676.9A
Other languages
English (en)
Inventor
陈岑
李暖暖
郭志民
吕卓
蔡军飞
杨文�
张铮
李鸣岩
常昊
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Electric Power Research Institute of State Grid Henan Electric Power Co Ltd
Original Assignee
Electric Power Research Institute of State Grid Henan Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Electric Power Research Institute of State Grid Henan Electric Power Co Ltd filed Critical Electric Power Research Institute of State Grid Henan Electric Power Co Ltd
Priority to CN202210998676.9A priority Critical patent/CN115426141A/zh
Publication of CN115426141A publication Critical patent/CN115426141A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y04—INFORMATION OR COMMUNICATION TECHNOLOGIES HAVING AN IMPACT ON OTHER TECHNOLOGY AREAS
    • Y04S—SYSTEMS INTEGRATING TECHNOLOGIES RELATED TO POWER NETWORK OPERATION, COMMUNICATION OR INFORMATION TECHNOLOGIES FOR IMPROVING THE ELECTRICAL POWER GENERATION, TRANSMISSION, DISTRIBUTION, MANAGEMENT OR USAGE, i.e. SMART GRIDS
    • Y04S40/00—Systems for electrical power generation, transmission, distribution or end-user application management characterised by the use of communication or information technologies, or communication or information technology specific aspects supporting them
    • Y04S40/20—Information technology specific aspects, e.g. CAD, simulation, modelling, system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请公开了基于零信任网络的云主站业务动态访问控制方法和系统，云基础设施安全平台基于零信任网络实现云主站业务动态访问控制，云基础设施安全平台包括身份安全管理中心、信任持续评估中心、动态访问控制中心和安全代理中心；所述动态访问控制方法包括：身份安全管理中心对云主站的新业务场景和新访问主体进行动态身份和权限管理与认证；信任持续评估中心基于深度学习算法持续进行访问信任评估，得到业务访问主体的信任度和环境的风险；动态访问控制中心结合安全代理中心，对访问信任评估结果进行动态判定和授权。本发明可实现持续身份认证和动态访问控制。

Description

基于零信任网络的云主站业务动态访问控制方法和系统
技术领域
本发明属于配电网络安全防护技术领域，涉及基于零信任网络的云主站业务动态访问控制方法和系统。
背景技术
随着电力物联网的建设和发展，配电主站、配电终端、运维技术都将向智能化、互联化发展，各环节业务模式、功能定位以及工作方式相比传统配电监控系统“主站-通信网-终端”架构，变得更加灵活、开放、高效，例如：配电终端升级边缘计算功能、低压设备广泛接入、边边设备通信交互、主站系统云化部署等。当前配电自动化系统的安全防护体系以“安全分区、网络专用、横向隔离、纵向认证”为原则，形成了横跨生产控制大区与管理信息大区、覆盖主站、通信、终端、边界等层面的纵深防御体系，但是网络安全的防御重心主要在边界防护，针对配电业务云化部署、终端智能化的安全防护体系尚不完善，难以有效应对各类越来越复杂和智能化的渗透式网络入侵。因此，当前配电二次系统业务安全防护存在以下技术需求：
(1)配电自动化主站云化部署带来了虚拟资源共享、业务系统边界模糊的安全问题。
配电自动化主站云化部署后具有服务虚拟化、物理/存储资源共享、数据集中处理、广泛共享、多方交叉等特点。一方面，若云平台自身虚拟资源的隔离措施不到位，可能会造成不同应用之间的非法访问或信息泄露；另一方面，云平台多系统、多应用导致存在漏洞的概率上升，若云平台对异常行为的预防不到位，则面临攻击者可利用漏洞潜入系统，导致系统瘫痪或失控事件发生。
(2)智能物联终端“硬件平台化、软件APP化”发展，作为应用软件运行载体的容器新技术大规模应用，引入了新的安全风险。
一方面“硬件平台化、软件APP化”较多采用linux操作系统，软件快速迭代、系统复杂漏洞增多、开放性增强、攻击难度降低。另一方面各专业定制开发了多款APP应用支撑能源互联业务的发展，多采用容器化部署方式，终端APP的容器化部署在提升能源互联网的感知水平和用户响应能力，同时也给智能物联终端的网络安全带来了新的风险和挑战。
(3)现有的配电自动化信任体系不完整。
一方面现有配电自动化保护方案以边界防护为主，强调了终端接入安全，但是现有的信任体系中尚未建立“人、服务、设备”统一安全认证体系，无法满足服务与服务、服务与人、服务与设备、设备与设备安全交互需求。另一方面智能分布式馈线自动化、配网差动保护等快速保护业务快速的推广应用，智能终端横向之间采用明文传输的通信方式极易导致单点风险向系统、网络风险发展，缺少对边端侧横向交互保护，缺少身份认证和数据加密，存在身份欺骗、中间人攻击可能，现有加密技术无法满足信息快速加解密的需求。
(4)现有安全防护要求与一线运维便捷需求存在矛盾。
一方面现有大多数配电终端运维需要通过现场工人爬杆接网线的方式开展，人身安全风险大。另一方面，当前基于串口的运维管控技术，无法满足形态各异、碎片化物联终端设备、末端感知设备的运维需求，造成终端巡检、维护、调试等工作效率低下。
综上所述，配电二次系统主站逐步向云化部署演进，通过引入虚拟化技术，将物理资源池化，按需分配给用户。随着业务流程移动性、可访问性和敏捷性的提高，用户资源的跨容器部署，导致业务系统边界模糊，传统以边界隔离防护为主的安全防护体系已无法满足云部署环境下的主站安全防护要求。
发明内容
为解决现有技术中的不足，本申请提供基于零信任网络的云主站业务动态访问控制方法，研究面向配电主站用户、设备、业务统一的数字身份标识技术，建立零信任网络认证基础；研究持续信任评估技术，汇聚海量数据源对云主站业务主体、环境进行持续信任评估，形成评估结果；研究基于属性的云主站业务动态访问控制技术，建立云访问安全代理，实现配电主站业务访问的动态访问授权。
为了实现上述目标，本发明采用如下技术方案：
基于零信任网络的云主站业务动态访问控制方法，云基础设施安全平台基于零信任网络实现所述云主站业务动态访问控制；
所述零信任网络基于软件定义边界技术构建，以用于对云主站的新业务场景和新访问主体进行动态身份和权限管理与认证；
云基础设施安全平台包括身份安全管理中心、信任持续评估中心、动态访问控制中心和安全代理中心；
所述动态访问控制方法包括以下步骤：
身份安全管理中心进行配电自动化系统云主站的主体的身份化及身份生命周期管理，并对授权策略进行细粒度的管理和跟踪分析；
信任持续评估中心基于深度学习算法持续进行访问信任评估，得到业务访问主体的信任度和环境的风险；
动态访问控制中心结合安全代理中心，对访问信任评估结果进行动态判定和授权。
本发明进一步包括以下优选方案：
优选地，零信任网络基于PKI的安全认证基础上，针对配电主站业务云化部署的特点，结合设备物理指纹、用户身份和业务特征，将安全边界延伸至身份主体，为用户、设备、应用程序、业务系统实体建立统一的数字身份标识，将应用、服务、接口、数据视作业务资源，实现动态身份和权限管理与认证。
优选地，零信任网络基于国密算法和TLS协议实现对所有的访问流量的加密传输，具体数据交互过程如下：
1)主体访问连接到安全接入网关，要求创建安全连接并列出受支持的密码算法组合，开始握手；
2)安全接入网关从访问主体列出的密码算法组合中选取加密算法和三列算法，并通知访问主体；
3)安全接入网关发送自身数字证书，该证书包含安全接入网关名称、颁发机构名和安全接入网关公钥；
4)访问主体验证安全接入网关公钥有效性；
5)访问主体利用安全接入网关公钥加密，采用国密算法生成的随机数，并将其发送给安全接入网关，安全接入网关利用私钥解密获取访问主体生成随机数；
6)利用随机数，主体访问和安全接入网关双方生成用于加解密的对称密钥，并用对称加密密钥加密、解密会话数据。
优选地，建立基于卷积神经网络、循环神经网络和孪生网络深度学习算法的持续信任评估模型，持续地对访问主体、上下文环境和访问习惯进行记录、分析和识别，动态评估用户的信任度，得到业务访问主体的信任度、环境的风险。
优选地，信任持续评估中心的信任持续评估结果生成和维护信任库，为后续动态访问控制提供决策依据。
优选地，信任持续评估中心还接收云基础设施安全平台中信任持续评估中心的分析结果，补充身份分析所需的场景数据从而进行更精准的风险识别和信任评估。
优选地，动态访问控制中心建立基于属性的云主站业务动态访问控制模型，实现对业务访问主体的信任度、环境的风险进行持续度量并动态判定是否授权。
针对不同功能设定不同风险等级，根据权限最小原则设置设备和用户访问权限；
进一步的，动态判定依据是身份库、权限库和信任库，其中身份库提供访问主体的身份属性，权限库提供基础的权限基线，信任库则由身份分析通过实时的风险多维关联和信任评估进行持续维护。
优选地，安全代理中心基于访问请求拦截技术和动态访问控制引擎，在访问上下文环境存在风险时进行实时干预或降级处理。
本发明还提供基于零信任网络的云主站业务动态访问控制系统，用于实现所述的云主站业务动态访问控制方法。
本发明还提供一种终端，包括处理器及存储介质；所述存储介质用于存储指令；
所述处理器用于根据所述指令进行操作以执行所述方法的步骤。
本发明还提供计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现所述方法的步骤。
本申请所达到的有益效果：
本发明从配电主站业务云化部署的安全需求出发，建立以持续身份认证和动态访问控制为核心的零信任安全防护体系，基于“云、管、边、端”构建端到端的设备和用户多元身份认证、实时信任评估和动态访问控制及授权，实现基于零信任网络的云主站业务动态访问控制。
(1)本发明在传统基于PKI的安全认证基础上，结合设备物理指纹、用户身份和业务特征的多元身份标识，覆盖云、管、边、端整个业务场景，汇聚海量数据源对云主站业务主体进行全方面持续身份标识。
(2)本发明建立统一的安全策略，监视业务容器之间的东西向数据流，实现业务之间的身份认证和细粒度的访问授权，根据访问的动态变化自动调整访问策略。
(3)本发明建立统一安全认证中心，根据访问主体、访问客体、访问过程，进行持续信任评估，对评估结果进行动态判定和授权，形成基于属性的云主站业务动态访问控制能力。
附图说明
图1是本发明方法原理图；
图2是本发明身份安全管理中心原理图；
图3是本发明零信任网络加密传输原理图；
图4是本发明信任持续评估原理图；
图5是本发明动态访问控制原理图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明的技术方案进行清楚、完整地描述。本申请所描述的实施例仅仅是本发明一部分的实施例，而不是全部实施例。基于本发明精神，本领域普通技术人员在没有作出创造性劳动前提下所获得的有所其它实施例，都属于本发明的保护范围。
如图1所示，本发明的实施例1提供了基于零信任网络的云主站业务动态访问控制方法，云基础设施安全平台基于零信任网络实现所述云主站业务动态访问控制，在本发明优选但非限制性的实施方式中，所述零信任网络基于软件定义边界技术构建，以用于对云主站的新业务场景和新访问主体进行动态身份和权限管理与认证；
云基础设施安全平台包括身份安全管理中心、信任持续评估中心、动态访问控制中心和安全代理中心；
所述动态访问控制方法包括以下步骤：
身份安全管理中心进行配电自动化系统云主站的用户、设备、应用程序、业务系统等主体的身份化及身份生命周期管理，并对授权策略进行细粒度的管理和跟踪分析；
身份管理实现各种实体的身份化及身份生命周期管理，权限管理对授权策略进行细粒度的管理和跟踪分析。
零信任网络基于PKI的安全认证基础上，针对配电主站业务云化部署的特点，结合设备物理指纹、用户身份和业务特征，将安全边界延伸至身份主题，为用户、设备、应用程序、业务系统等实体建立统一的数字身份标识，将应用、服务、接口、数据等视作业务资源，实现动态身份和权限管理与认证，如图2所示。
其中，针对于用户或设备的身份标识可以通过多维特征画像获取，步骤如下：
1)获取用户画像数据源：从移动终端、后端平台等获取用于构建用户画像的数据信息；
2)用户画像相似度计算：将用户画像抽象分析后，构建出一个带着标签和标签权重的模型，通过相似度计算，将用户进行分类；
3)生成用户画像：按照系统需求或应用背景环境需要，对不同用户分别建立具有代表性的用户画像；
4)基于设备指纹和登录设备的用户行为构建设备画像：采用线性回归算法，对采集得到的设备的行为数据进行分析、特征提取、放置标签的处理，最终生成多维度的设备行为画像，持续改进画像模型和优化标签规则库。零信任网络统一了网络所有参与实体的数字身份，软件定义边界技术以基于身份的细粒度访问代替广泛的网络接入，将云中所有主站业务资源隐藏，使得访问主体不知业务的具体位置。
如图3所示，零信任网络基于国密算法和TLS协议实现对所有的访问流量的加密传输。
具体数据交互过程如下：
1)主体访问连接到安全接入网关，要求创建安全连接并列出受支持的密码算法组合，开始握手；
2)安全接入网关从访问主体列出的密码算法组合中选取加密算法和三列算法，并通知访问主体；
3)安全接入网关发送自身数字证书，该证书包含安全接入网关名称、颁发机构名和安全接入网关公钥；
4)访问主体利用公钥验证安全接入网关公钥有效性；
5)访问主体利用安全接入网关公钥加密，采用国密算法生成的随机数，并将其发送给安全接入网关，安全接入网关利用其私钥解密获取访问主体生成随机数；
6)利用随机数，主体访问和安全接入网关双方生成用于加解密的对称密钥，并用对称加密密钥加密、解密会话数据。
将主体的访问请求转发给可信网关，只允许来自授权主体的流量通过，可以抵抗用户凭据丢失、连接劫持等攻击。
信任持续评估中心基于深度学习算法持续进行访问信任评估，得到业务访问主体的信任度和环境的风险；
具体实施时，建立基于卷积神经网络(CNN)+循环神经网络(RNN)、孪生网络等深度学习算法的持续信任评估模型，持续地对访问主体、上下文环境和访问习惯进行记录、分析和识别，动态评估用户的信任度，得到业务访问主体的信任度、环境的风险。
主体信任具有短时性特征，持续信任评估模型可根据认证强度、风险状态和环境因素，对身份信任在当前上下文进行动态调整，形成一种动态信任关系。
信任持续评估结果生成和维护信任库，为后续动态访问控制提供决策依据；
信任持续评估中心还接收云基础设施安全平台中信任持续评估中心的分析结果，补充身份分析所需的场景数据，从而进行更精准的风险识别和信任评估。
动态访问控制中心结合安全代理中心，对访问信任评估结果进行动态判定和授权。
如图4和5所示，动态访问控制结合信任持续评估，建立基于属性的云主站业务动态访问控制模型(ABAC)，通过RBAC和ABAC的组合授权实现灵活的访问控制基线，实现对业务访问主体的信任度、环境的风险进行持续度量并动态判定是否授权。
针对不同功能设定不同风险等级，根据权限最小原则设置设备和用户访问权限；
进一步的，动态判定依据是身份库、权限库和信任库，其中身份库提供访问主体的身份属性，权限库提供基础的权限基线，信任库则由身份分析通过实时的风险多维关联和信任评估进行持续维护。
安全代理中心，用于基于访问请求拦截技术和动态访问控制引擎，在访问上下文环境存在风险时进行实时干预或降级处理。
本发明的实施例2提供了基于零信任网络的云主站业务动态访问控制系统，所述系统用于实现所述的云主站业务动态访问控制方法。
本发明的实施例3提供了一种终端，包括处理器及存储介质；所述存储介质用于存储指令；
所述处理器用于根据所述指令进行操作以执行根据所述方法的步骤。
本发明的实施例4提供了计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现所述方法的步骤。
综上所述，本发明通过研究配电自动化系统云主站用户、设备、应用程序、业务系统等物理实体建立统一的数字身份标识，将应用、服务、接口、数据等视作业务资源，实现对访问主体的可信识别，设计一种基于多维度的动态访问控制策略，集人员、设备、网络、数据及工作环境等多源数据属性于一体，实现对服务、应用及数据的细粒度动态访问控制授权，平衡了访问主体与云主站的的权限和操作安全，通过身份标识、异常状态安全监测及动态放控制，实现零信任安全防御平台，保障配电云主站的访问安全。
通过动态防御，保护云主站的虚拟机安全和容器安全、云主站业务的访问控制和数据安全、云主站的接口安全和应用安全，并基于涵盖身份管理、动态访问控制、异常识别和风险预警等的云主站安全管理机制，形成零信任网络模型的云主站主动防御架构，可有效提高云主站对各类已知、未知特征攻击行为的综合防御能力。
本公开可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于使处理器实现本公开的各个方面的计算机可读程序指令。
计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其它自由传播的电磁波、通过波导或其它传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。
这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。
用于执行本公开操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本公开的各个方面。
这里参照根据本公开实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本公开的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。
这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其它设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。
也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。
附图中的流程图和框图显示了根据本公开的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
最后应当说明的是，以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (12)

1.基于零信任网络的云主站业务动态访问控制方法，云基础设施安全平台基于零信任网络实现所述云主站业务动态访问控制，其特征在于：
所述零信任网络基于软件定义边界技术构建，以用于对云主站的新业务场景和新访问主体进行动态身份和权限管理与认证；
云基础设施安全平台包括身份安全管理中心、信任持续评估中心、动态访问控制中心和安全代理中心；
所述动态访问控制方法包括以下步骤：
身份安全管理中心进行配电自动化系统云主站的主体的身份化及身份生命周期管理，并对授权策略进行细粒度的管理和跟踪分析；
信任持续评估中心基于深度学习算法持续进行访问信任评估，得到业务访问主体的信任度和环境的风险；
动态访问控制中心结合安全代理中心，对访问信任评估结果进行动态判定和授权。
2.根据权利要求1所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
零信任网络基于PKI的安全认证基础上，针对配电主站业务云化部署的特点，结合设备物理指纹、用户身份和业务特征，将安全边界延伸至身份主体，为用户、设备、应用程序、业务系统实体建立统一的数字身份标识，将应用、服务、接口、数据视作业务资源，实现动态身份和权限管理与认证。
3.根据权利要求1所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
零信任网络基于国密算法和TLS协议实现对所有的访问流量的加密传输，具体数据交互过程如下：
1)主体访问连接到安全接入网关，要求创建安全连接并列出受支持的密码算法组合，开始握手；
2)安全接入网关从访问主体列出的密码算法组合中选取加密算法和三列算法，并通知访问主体；
3)安全接入网关发送自身数字证书，该证书包含安全接入网关名称、颁发机构名和安全接入网关公钥；
4)访问主体验证安全接入网关公钥有效性；
5)访问主体利用安全接入网关公钥加密，采用国密算法生成的随机数，并将其发送给安全接入网关，安全接入网关利用私钥解密获取访问主体生成随机数；
6)利用随机数，主体访问和安全接入网关双方生成用于加解密的对称密钥，并用对称加密密钥加密、解密会话数据。
4.根据权利要求1所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
建立基于卷积神经网络、循环神经网络和孪生网络深度学习算法的持续信任评估模型，持续地对访问主体、上下文环境和访问习惯进行记录、分析和识别，动态评估用户的信任度，得到业务访问主体的信任度、环境的风险。
5.根据权利要求1所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
信任持续评估中心的信任持续评估结果生成和维护信任库，为后续动态访问控制提供决策依据。
6.根据权利要求1所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
信任持续评估中心还接收云基础设施安全平台中信任持续评估中心的分析结果，补充身份分析所需的场景数据。
7.根据权利要求1所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
动态访问控制中心建立基于属性的云主站业务动态访问控制模型ABAC，实现对业务访问主体的信任度、环境的风险进行持续度量并动态判定是否授权。
8.根据权利要求7所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
所述动态访问控制中心中，针对不同功能设定不同风险等级，根据权限最小原则设置设备和用户访问权限；
且依据身份库、权限库和信任库实现动态判定，其中身份库提供访问主体的身份属性，权限库提供基础的权限基线，信任库则由身份分析通过实时的风险多维关联和信任评估进行持续维护。
9.根据权利要求1所述的基于零信任网络的云主站业务动态访问控制方法，其特征在于：
安全代理中心基于访问请求拦截技术和动态访问控制引擎，在访问上下文环境存在风险时进行实时干预或降级处理。
10.基于零信任网络的云主站业务动态访问控制系统，其特征在于：
所述系统用于实现权利要求1-9任意一项所述的云主站业务动态访问控制方法。
11.一种终端，包括处理器及存储介质；其特征在于：
所述存储介质用于存储指令；
所述处理器用于根据所述指令进行操作以执行根据权利要求1-9任一项所述方法的步骤。
12.计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1-9任一项所述方法的步骤。
CN202210998676.9A 2022-08-19 2022-08-19 基于零信任网络的云主站业务动态访问控制方法和系统 Pending CN115426141A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210998676.9A CN115426141A (zh) 2022-08-19 2022-08-19 基于零信任网络的云主站业务动态访问控制方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210998676.9A CN115426141A (zh) 2022-08-19 2022-08-19 基于零信任网络的云主站业务动态访问控制方法和系统

Publications (1)

Publication Number Publication Date
CN115426141A true CN115426141A (zh) 2022-12-02

Family

ID=84199065

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210998676.9A Pending CN115426141A (zh) 2022-08-19 2022-08-19 基于零信任网络的云主站业务动态访问控制方法和系统

Country Status (1)

Country Link
CN (1) CN115426141A (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116319024A (zh) * 2023-03-23 2023-06-23 北京神州泰岳软件股份有限公司 零信任系统的访问控制方法、装置及零信任系统
CN116319026A (zh) * 2023-03-23 2023-06-23 北京神州泰岳软件股份有限公司 一种零信任架构中的信任评估方法、装置及电子设备
CN116582374A (zh) * 2023-07-14 2023-08-11 湖北省楚天云有限公司 一种基于流量识别的零信任动态访问控制方法
CN116633696A (zh) * 2023-07-25 2023-08-22 深圳市永达电子信息股份有限公司 网络计算节点接入控制器架构、管控方法和电子设备
CN117201197A (zh) * 2023-11-07 2023-12-08 贵州通利数字科技有限公司 一种个人通信网络加密方法

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116319024A (zh) * 2023-03-23 2023-06-23 北京神州泰岳软件股份有限公司 零信任系统的访问控制方法、装置及零信任系统
CN116319026A (zh) * 2023-03-23 2023-06-23 北京神州泰岳软件股份有限公司 一种零信任架构中的信任评估方法、装置及电子设备
CN116582374A (zh) * 2023-07-14 2023-08-11 湖北省楚天云有限公司 一种基于流量识别的零信任动态访问控制方法
CN116582374B (zh) * 2023-07-14 2023-09-26 湖北省楚天云有限公司 一种基于流量识别的零信任动态访问控制方法
CN116633696A (zh) * 2023-07-25 2023-08-22 深圳市永达电子信息股份有限公司 网络计算节点接入控制器架构、管控方法和电子设备
CN116633696B (zh) * 2023-07-25 2024-01-02 深圳市永达电子信息股份有限公司 网络计算节点接入控制器系统、管控方法和电子设备
CN117201197A (zh) * 2023-11-07 2023-12-08 贵州通利数字科技有限公司 一种个人通信网络加密方法
CN117201197B (zh) * 2023-11-07 2023-12-29 贵州通利数字科技有限公司 一种个人通信网络加密方法

Similar Documents

Publication Publication Date Title
CN115426141A (zh) 基于零信任网络的云主站业务动态访问控制方法和系统
US20190386957A1 (en) Secure on-premise to cloud communication
Razaque et al. Efficient and reliable forensics using intelligent edge computing
Liu et al. Study on network security based on PCA and BP neural network under green communication
Rahman et al. Security vulnerabilities in existing security mechanisms for iomt and potential solutions for mitigating cyber-attacks
Salek et al. A review on cybersecurity of cloud computing for supporting connected vehicle applications
CN113826352A (zh) 多节点集群中的可信容器之间的密码密钥协调
Jensen et al. A big data analytics approach to combat telecommunication vulnerabilities
Marian et al. Experimenting with digital signatures over a DNP3 protocol in a multitenant cloud-based SCADA architecture
Chauhan et al. Advanced model for improving IoT security using blockchain technology
Wenhua et al. Data security in smart devices: Advancement, constraints and future recommendations
Abbasi et al. Security of IoT application layer: Requirements, threats, and solutions
Anaam et al. How private blockchain technology secure iot data record
Hussain et al. Federated Zero Trust Architecture using Artificial Intelligence
Williams et al. Security aspects of internet of things–a survey
CN116366326A (zh) 面向智能化配电终端的安全防护系统和方法
Radoglou-Grammatikis et al. ELECTRON: An architectural framework for securing the smart electrical grid with federated detection, dynamic risk assessment and self-healing
Chae et al. Industrial control systems vulnerabilities and security issues and future enhancements
Sharghivand et al. Data Security and Privacy in Industrial IoT
Li et al. Blockchain security threats and collaborative defense: A literature review
Wang A collaborative detection method of wireless mobile network intrusion based on cloud computing
Sebbar et al. BCDS-SDN: Privacy and Trusted Data Sharing Using Blockchain Based on a Software-Defined Network's Edge Computing Architecture
Mishra A novel mechanism for cloud data management in distributed environment
WITTI et al. Secure and privacy-aware data collection architecture approach in fog node based distributed IoT environment
Bindra et al. Security in cyber physical systems: Transformation and challenges

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination