CN117061243B - 一种面向终端的边缘零信任引擎、认证防护系统及方法 - Google Patents

一种面向终端的边缘零信任引擎、认证防护系统及方法 Download PDF

Info

Publication number
CN117061243B
CN117061243B CN202311310399.9A CN202311310399A CN117061243B CN 117061243 B CN117061243 B CN 117061243B CN 202311310399 A CN202311310399 A CN 202311310399A CN 117061243 B CN117061243 B CN 117061243B
Authority
CN
China
Prior art keywords
identity
terminal equipment
terminal
edge
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202311310399.9A
Other languages
English (en)
Other versions
CN117061243A (zh
Inventor
赵永生
张帅
李温静
徐科
王建宽
王利民
张楠
祖国强
张智达
付昀夕
王永贵
杜月
刘星辰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
State Grid Information and Telecommunication Co Ltd
State Grid Tianjin Electric Power Co Ltd
Original Assignee
State Grid Information and Telecommunication Co Ltd
State Grid Tianjin Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by State Grid Information and Telecommunication Co Ltd, State Grid Tianjin Electric Power Co Ltd filed Critical State Grid Information and Telecommunication Co Ltd
Priority to CN202311310399.9A priority Critical patent/CN117061243B/zh
Publication of CN117061243A publication Critical patent/CN117061243A/zh
Application granted granted Critical
Publication of CN117061243B publication Critical patent/CN117061243B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明属于电力技术信息安全防护领域，具体提供一种面向终端的边缘零信任引擎、认证防护系统及方法,边缘零信任引擎包括身份认证服务，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；信任度持续评估服务，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；动态防护策略生成服务，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；动态防护策略执行服务，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。可保障边缘终端运行全过程及边‑端交互全周期。

Description

一种面向终端的边缘零信任引擎、认证防护系统及方法
技术领域
本发明涉及电力技术信息安全防护领域，具体涉及一种面向终端的边缘零信任引擎、认证防护系统及方法。
背景技术
随着移动互联网、物联网、工业互联网、车联网等新一代信息技术的快速发展，用户、设备、业务、平台日益多样化，传统的以内/外部网络划分是否“可信区域”的物理网络安全边界逐步瓦解，零信任理念随之产生。零信任理念基本原则是不应该自动信任内部或外部的任何人/事/物，应在授权前通过动态和持续的身份认证和评估机制，对网络环境中的访问主体人和设备的危险等级进行科学准确判定，采用最小特权访问策略，严格执行访问控制，提升所有网络实体连接之间的可信关系。
目前零信任引擎已在平台侧初步落地应用，用于直接访问平台的用户、设备、业务、平台安全接入进行防护。随着新型电力系统建设持续深入，大量边缘设备、端设备在电网中部署，由边缘侧实现端设备数据汇聚、分析、上传及就地控制，平台侧部署的零信任引擎技术，难以应对海量终端接入电力物联场景的认证需求，且时延较长，不利于时延敏感的电力物联场景的应用推进，需要一套面向终端的轻量级边缘零信任安全引擎方案，将零信任引擎向边缘侧下沉，在边缘侧开展设备安全接入防护，保障电网及用户安全。
发明内容
针对由边缘侧实现数据汇聚、分析、上传及就地控制，平台侧部署的零信任引擎技术，难以应对海量终端接入电力物联场景的认证需求，且时延较长，不利于时延敏感的电力物联场景的应用推进的问题，需要一套面向终端的轻量级边缘零信任安全引擎方案，将零信任引擎向边缘侧下沉，在边缘侧开展端设备安全接入防护。
第一方面，本发明技术方案提供一种面向终端的边缘零信任引擎，作为守护进程在终端系统引导时启动，提供包括身份认证服务、信任度持续评估服务、动态防护策略生成服务和动态防护策略执行服务；
身份认证服务，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；
信任度持续评估服务，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
动态防护策略生成服务，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
动态防护策略执行服务，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。
作为本发明技术方案的进一步限定，身份认证服务，具体用于提取端设备身份信息；若边缘终端内部具备身份管理中心时将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；若边缘终端内部不具备身份管理中心，将端设备身份信息提交至云/平台侧身份管理中心验证端设备身份合法性。
作为本发明技术方案的进一步限定，身份认证服务，具体用于若边缘终端身份管理中心验证端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性，若无需向云/平台侧身份管理中心申请验证，则认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
作为本发明技术方案的进一步限定，身份认证服务，具体用于若需要向云/平台侧身份管理中心申请验证，生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心，接收云/平台侧身份管理中心发送的判断端设备身份合法性并对随机数R签名的签名结果及对应端设备的身份默认访问初始权限，判断签名正确性及端设备身份的合法性，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确且端设备身份合法，调用对应边缘设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。
作为本发明技术方案的进一步限定，信任度持续评估服务，用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0-T4]及约束规则；约束规则如下：
T0≤T＜T1，设置持续监测交互过程；
T1≤T＜T2，设置持续监测交互过程，并进入动态防护策略生成服务；
T2≤T＜T3，为黄色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
T3≤T≤T4，为红色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务。
作为本发明技术方案的进一步限定，动态防护策略包括：
若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
若T3≤T≤T4，中止交互。
第二方面，本发明技术方案提供一种面向终端的边缘零信任引擎认证防护系统，包括边缘终端和分别与边缘终端通信的云/平台侧身份管理中心和端设备；
边缘终端内部署有如第一方面所述的边缘零信任引擎；
当边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心时，云/平台侧身份管理中心，用于判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至所述的边缘零信任引擎。
作为本发明技术方案的进一步限定，边缘终端内部设置有身份管理中心；
身份管理中心，用于接收边缘零信任引擎提交的端设备身份信息，并基于所述身份信息进行端设备身份合法性的验证。
第三方面，本发明技术方案提供一种面向终端的边缘零信任引擎认证防护方法，包括如下步骤：
端设备向边缘终端提出访问请求；
边缘零信任引擎提取端设备身份信息；
若边缘终端不具备身份管理中心，边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心；
云/平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎；
边缘零信任引擎判断签名正确性及身份判断结果；
若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；
若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
若签名正确且端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；
边缘零信任引擎监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
边缘零信任引擎根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
边缘零信任引擎基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。
作为本发明技术方案的进一步限定，该方法还包括：
若边缘终端具备身份管理中心，边缘零信任引擎将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；
若身份管理中心验证端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；执行步骤：边缘零信任引擎监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
若身份管理中心验证端设备身份不合法，边缘零信任引擎生成告警信息、拒绝端设备访问请求，终止交互；
若身份管理中心无法验证端设备身份合法性，边缘零信任引擎根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性；
若无需向云/平台侧身份管理中心申请验证，边缘零信任引擎认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
若需要向云/平台侧身份管理中心申请验证，执行步骤：边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心。
在云-边-端体系架构下，基于零信任理念，提出一种面向终端的边缘零信任引擎，支持边缘终端内部署，提供端设备接入的身份认证、信任度持续评估、动态防护策略生成、动态防护执行服务，实现边-端设备安全交互。
从以上技术方案可以看出，本发明具有以下优点：将零信任理念从平台侧下沉至边缘侧，进行协议、流量、日志、文件、接口等全方位监测，将安全防护范围延伸到边缘侧；边缘零信任引擎在保障安全交互前提下以减少业务影响为约束条件，具备轻量级、业务无感知特点，可以在现阶段电力业务场景部署的边缘终端侧应用，不影响业务交互；面向终端的边缘零信任引擎作为守护进程部署在终端根目录侧，随系统引导时候启动，优先级更高，可保障边缘终端运行全过程及边-端交互全周期。
此外，本发明设计原理可靠，结构简单，具有非常广泛的应用前景。
由此可见，本发明与现有技术相比，具有突出的实质性特点和显著地进步，其实施的有益效果也是显而易见的。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明一个实施例的边缘零信任引擎各服务示意性框图。
图2是本发明一个实施例的边缘零信任引擎工作流程示意图。
图3是本发明实施例提供的系统示意连接框图。
图4是本发明实施例系统中身份认证流程示意图。
图5是本发明实施例所述方法的流程示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
如图1所示，本发明技术方案提供一种面向终端的边缘零信任引擎，包括身份认证服务、信任度持续评估服务、动态防护策略生成服务和动态防护策略执行服务；
身份认证服务，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；
信任度持续评估服务，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
动态防护策略生成服务，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
动态防护策略执行服务，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。边缘零信任引擎的工作流程如图2所示。
身份认证服务，具体用于提取端设备身份信息；若边缘终端内部具备身份管理中心时将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；若边缘终端内部不具备身份管理中心，将端设备身份信息提交至云/平台侧身份管理中心验证端设备身份合法性。
身份认证服务，具体用于若边缘终端身份管理中心验证端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性，若无需向云/平台侧身份管理中心申请验证，则认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
身份认证服务，具体用于若需要向云/平台侧身份管理中心申请验证，生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心，接收云/平台侧身份管理中心发送的判断端设备身份合法性并对随机数R签名的签名结果及对应端设备的身份默认访问初始权限，判断签名正确性及端设备身份的合法性，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确且端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。
在有些实施例中，信任度持续评估服务，用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0-T4]及约束规则；约束规则如下：
T0≤T＜T1，设置持续监测交互过程；
T1≤T＜T2，设置持续监测交互过程，并进入动态防护策略生成服务；
T2≤T＜T3，为黄色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
T3≤T≤T4，为红色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务。
相应的，动态防护策略包括：
若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
若T3≤T≤T4，中止交互。
目前边缘零信任引擎已在电力系统台区智能融合终端、智慧能源单元、桩/站用安全智能交互终端完成部署，作为终端守护进程在边缘终端系统引导时候启动，用于智能断路器、换相开关、智能电能表、用户空调负荷监测设备、电动汽车充电桩等端设备接入的全周期监测，保障边-端交互安全。部署环境如下：
台区智能融合终端：CPU智芯微SCM701D，2G内存，主频最高1GHz，枢纽OS操作系统。
智慧能源单元：CPU瑞芯微RK3568J，2G内存，主频最高2GHz,Linux操作系统。
桩/站用安全智能交互终端：CPU瑞芯微RK3568J，2G内存，主频最高2GHz,Linux操作系统/翼辉SylixOS系统。
如图3所示，本发明技术方案提供一种面向终端的边缘零信任引擎认证防护系统，包括边缘终端和分别与边缘终端通信的云/平台侧身份管理中心和端设备；
边缘终端内部署有如上述实施例所述的边缘零信任引擎；具体的，边缘终端本身应安全可靠，边缘终端从加电开始应建立以硬件为信任根的信任链，度量操作系统加载代码和操作系统内核，实现从开机到操作系统装载的可信引导；边缘零信任引擎作为守护进程部署在边缘终端根目录下，在系统引导的时候启动,提供边缘零信任服务，并且一直运行直到系统关闭。
端设备向边缘终端提出访问请求时，边缘零信任引擎验证访问端设备的合法性，并给出初始访问权限。身份认证服务流程见图4；边缘零信任引擎提取端设备身份信息；若边缘终端内部具备身份管理中心，边缘零信任引擎将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性：若边缘终端身份管理中心验证端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，边缘零信任引擎根据段设备接入场景判断是否需要向云/平台侧申请验证端设备合法性，若无需向云/平台侧身份管理中心申请验证，边缘零信任引擎认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若需要向云/平台侧身份管理中心申请验证，边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心，云/平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎，边缘零信任引擎判断签名正确性及身份判断结果，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确、端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确、端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。若边缘终端内部不具备身份管理中心，由云/平台侧身份管理中心验证端设备身份合法性。
前期，由平台侧分析各类端设备、各类业务场景下端设备访问边缘终端全周期的交互协议、流量、频次、访问日志、敏感文件、端口等状态，构建各类端设备、各类业务场景下的交互安全行为基线，发送至边缘终端；针对通过身份认证、接入边缘终端的端设备，由边缘零信任引擎持续监测边-端交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控等，调用该类端设备、该业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0-T4]，以“保障安全交互前提下减少业务影响”为约束条件，设定如下规则：
T0≤T＜T1：为安全阈值，持续监测交互过程；
T1≤T＜T2：为安全阈值，持续监测交互过程，并进入动态防护策略生成服务；
T2≤T＜T3：为黄色预警阈值，持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
T3≤T≤T4：为红色预警阈值，持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
根据边-端交互过程中的信任度值，边缘零信任引擎生成动态防护策略具体包括：T1≤T＜T2：调整身份认证方式及频次、调整交互数据加解密方式；
T2≤T＜T3：基于最小权限原则，细粒度调整相应端设备访问权限；
T3≤T≤T4：中止交互。
基于生成的动态防护策略，边缘零信任引擎驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限身份。
如图5所示，本发明实施例提供一种面向终端的边缘零信任引擎认证防护方法，包括如下步骤：
步骤1：端设备向边缘终端提出访问请求；
步骤2：边缘零信任引擎提取端设备身份信息；
步骤3：边缘终端是否具备身份管理中心；
若否，执行步骤4；若是，执行步骤12；
步骤4：边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心；
步骤5：云/平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎；
步骤6：边缘零信任引擎判断签名正确性及身份判断结果；
若签名不正确，执行步骤7；若签名正确但是端设备身份不合法，执行步骤7；若签名正确且端设备身份合法，执行步骤8；
步骤7：生成告警信息、拒绝端设备访问请求，终止交互；
步骤8：边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；
步骤9：边缘零信任引擎监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
步骤10：边缘零信任引擎根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
步骤11：边缘零信任引擎基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。
步骤12：边缘零信任引擎将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；
若验证端设备身份合法，执行步骤13；若验证端设备身份不合法，执行步骤14；若无法验证端设备身份合法性，执行步骤15；
步骤13：边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；执行步骤9；
步骤14：边缘零信任引擎生成告警信息、拒绝端设备访问请求，终止交互；
步骤15：边缘零信任引擎根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性；
若否，执行步骤16；若是，执行步骤4；
步骤16：边缘零信任引擎认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
本发明实施例所述的方法是基于上述实施例所述的系统的方法。
作为本发明的面向终端的边缘零信任引擎、认证防护系统及方法是结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
尽管通过参考附图并结合优选实施例的方式对本发明进行了详细描述，但本发明并不限于此。在不脱离本发明的精神和实质的前提下，本领域普通技术人员可以对本发明的实施例进行各种等效的修改或替换，而这些修改或替换都应在本发明的涵盖范围内/任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (8)

1.一种面向终端的边缘零信任引擎功能单元，其特征在于，边缘零信任引擎功能单元作为守护进程在终端系统引导时启动，包括身份认证服务模块、信任度持续评估服务模块、动态防护策略生成服务模块和动态防护策略执行服务模块；
身份认证服务模块，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；
信任度持续评估服务模块，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
动态防护策略生成服务模块，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
动态防护策略执行服务模块，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限；
信任度持续评估服务模块，用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0-T4]；
动态防护策略包括：
若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
若T3≤T≤T4，中止交互。
2.根据权利要求1所述的面向终端的边缘零信任引擎功能单元，其特征在于，身份认证服务模块，具体用于提取端设备身份信息；若边缘终端内部具备身份管理中心时将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；若边缘终端内部不具备身份管理中心，将端设备身份信息提交至云侧或实体平台侧身份管理中心验证端设备身份合法性。
3.根据权利要求2所述的面向终端的边缘零信任引擎功能单元，其特征在于，身份认证服务模块，具体用于若边缘终端身份管理中心验证端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，根据端设备接入场景判断是否需要向云侧或实体平台侧申请验证端设备合法性，若无需向云侧或实体平台侧身份管理中心申请验证，则认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
4.根据权利要求3所述的面向终端的边缘零信任引擎功能单元，其特征在于，身份认证服务模块，具体用于若需要向云侧或实体平台侧身份管理中心申请验证，生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心，接收云侧或实体平台侧身份管理中心发送的判断端设备身份合法性并对随机数R签名的签名结果及对应端设备的身份默认访问初始权限，判断签名正确性及端设备身份的合法性，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确且端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。
5.一种面向终端的边缘零信任引擎功能单元认证防护系统，其特征在于，包括边缘终端和分别与边缘终端通信的云侧或实体平台侧身份管理中心和端设备；
边缘终端内部署有如权利要求1-4任一所述的边缘零信任引擎功能单元；
当边缘零信任引擎功能单元生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心时，云侧或实体平台侧身份管理中心，用于判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至所述的边缘零信任引擎功能单元。
6.根据权利要求5所述的面向终端的边缘零信任引擎功能单元认证防护系统，其特征在于，边缘终端内部设置有身份管理中心；
身份管理中心，用于接收边缘零信任引擎功能单元提交的端设备身份信息，并基于所述身份信息进行端设备身份合法性的验证。
7.一种面向终端的边缘零信任引擎功能单元认证防护方法，其特征在于，包括如下步骤：
端设备向边缘终端提出访问请求；
边缘零信任引擎功能单元提取端设备身份信息；
若边缘终端不具备身份管理中心，边缘零信任引擎功能单元生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心；
云侧或实体平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎功能单元；
边缘零信任引擎功能单元判断签名正确性及身份判断结果；
若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；
若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
若签名正确且端设备身份合法，边缘零信任引擎功能单元调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；
边缘零信任引擎功能单元监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
边缘零信任引擎功能单元根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
边缘零信任引擎功能单元基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限；
边缘零信任引擎功能单元中的信任度持续评估服务模块用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0-T4]；
动态防护策略包括：
若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
若T3≤T≤T4，中止交互。
8.根据权利要求7所述的面向终端的边缘零信任引擎功能单元认证防护方法，其特征在于，该方法还包括：
若边缘终端具备身份管理中心，边缘零信任引擎功能单元将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；
若边缘终端身份管理中心验证端设备身份合法，边缘零信任引擎功能单元调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；执行步骤：边缘零信任引擎功能单元监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
若边缘终端身份管理中心验证端设备身份不合法，边缘零信任引擎功能单元生成告警信息、拒绝端设备访问请求，终止交互；
若边缘终端身份管理中心无法验证端设备身份合法性，边缘零信任引擎功能单元根据端设备接入场景判断是否需要向云侧或实体平台侧申请验证端设备合法性；
若无需向云侧或实体平台侧身份管理中心申请验证，边缘零信任引擎功能单元认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
若需要向云侧或实体平台侧身份管理中心申请验证，执行步骤：边缘零信任引擎功能单元生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心。
CN202311310399.9A 2023-10-11 2023-10-11 一种面向终端的边缘零信任引擎、认证防护系统及方法 Active CN117061243B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311310399.9A CN117061243B (zh) 2023-10-11 2023-10-11 一种面向终端的边缘零信任引擎、认证防护系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311310399.9A CN117061243B (zh) 2023-10-11 2023-10-11 一种面向终端的边缘零信任引擎、认证防护系统及方法

Publications (2)

Publication Number Publication Date
CN117061243A CN117061243A (zh) 2023-11-14
CN117061243B true CN117061243B (zh) 2024-02-06

Family

ID=88669637

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311310399.9A Active CN117061243B (zh) 2023-10-11 2023-10-11 一种面向终端的边缘零信任引擎、认证防护系统及方法

Country Status (1)

Country Link
CN (1) CN117061243B (zh)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020133655A1 (zh) * 2018-12-26 2020-07-02 中国科学院沈阳自动化研究所 边缘计算场景下支持异构终端匿名接入的轻量级认证方法
CN113949573A (zh) * 2021-10-18 2022-01-18 天翼数字生活科技有限公司 一种零信任的业务访问控制系统及方法
CN115051877A (zh) * 2022-08-12 2022-09-13 国网浙江省电力有限公司杭州供电公司 基于零信任模型的电网云业务安全访问方法
CN115189927A (zh) * 2022-06-24 2022-10-14 华北电力大学 一种基于零信任的电力网络安全防护方法
CN115801346A (zh) * 2022-11-01 2023-03-14 国网浙江省电力有限公司杭州供电公司 物联网电力台区智能融合终端的零信任安全防护实现方法
CN115842650A (zh) * 2022-10-12 2023-03-24 国网浙江省电力有限公司桐乡市供电公司 基于零信任架构的电力融合终端可信接入方法及系统
CN115941236A (zh) * 2022-09-06 2023-04-07 国网浙江省电力有限公司绍兴供电公司 配电网边缘侧零信任安全防护方法
CN116032533A (zh) * 2022-11-29 2023-04-28 兴业银行股份有限公司 基于零信任的远程办公访问方法及系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220391503A1 (en) * 2021-06-02 2022-12-08 Garret Grajek Identity management endpoint collection for zero trust score system

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020133655A1 (zh) * 2018-12-26 2020-07-02 中国科学院沈阳自动化研究所 边缘计算场景下支持异构终端匿名接入的轻量级认证方法
CN113949573A (zh) * 2021-10-18 2022-01-18 天翼数字生活科技有限公司 一种零信任的业务访问控制系统及方法
CN115189927A (zh) * 2022-06-24 2022-10-14 华北电力大学 一种基于零信任的电力网络安全防护方法
CN115051877A (zh) * 2022-08-12 2022-09-13 国网浙江省电力有限公司杭州供电公司 基于零信任模型的电网云业务安全访问方法
CN115941236A (zh) * 2022-09-06 2023-04-07 国网浙江省电力有限公司绍兴供电公司 配电网边缘侧零信任安全防护方法
CN115842650A (zh) * 2022-10-12 2023-03-24 国网浙江省电力有限公司桐乡市供电公司 基于零信任架构的电力融合终端可信接入方法及系统
CN115801346A (zh) * 2022-11-01 2023-03-14 国网浙江省电力有限公司杭州供电公司 物联网电力台区智能融合终端的零信任安全防护实现方法
CN116032533A (zh) * 2022-11-29 2023-04-28 兴业银行股份有限公司 基于零信任的远程办公访问方法及系统

Also Published As

Publication number Publication date
CN117061243A (zh) 2023-11-14

Similar Documents

Publication Publication Date Title
US7774824B2 (en) Multifactor device authentication
US20070124803A1 (en) Method and apparatus for rating a compliance level of a computer connecting to a network
EP1680719B1 (en) Method and device for controlling installation of applications using operator root certificates
CN101345660B (zh) 一种基于tcpa/tcg可信网络连接的可信网络管理方法
US20130151849A1 (en) Device, method, and system for processing communications for secure operation of industrial control system field devices
US20070206546A1 (en) Method and apparatus for preventing denial of service attacks on cellular infrastructure access channels
EP2320600A1 (en) A trusted network management method of trusted network connections based on tri-element peer authentication
CN103581203A (zh) 基于可信计算的可信网络连接方法
CN112231726B (zh) 基于可信验证的访问控制方法、装置和计算机设备
CN1997026A (zh) 一种基于802.1x协议的扩展安全认证方法
CN117061243B (zh) 一种面向终端的边缘零信任引擎、认证防护系统及方法
CN112491545B (zh) 一种可信的混合云管理平台、接入方法及系统
CN112422516B (zh) 基于电力边缘计算的可信连接方法、装置和计算机设备
US20140236824A1 (en) Method to detect and control unwanted outgoing payment services usage in smart devices
CN109359450B (zh) Linux系统的安全访问方法、装置、设备和存储介质
CN112446029A (zh) 可信计算平台
CN109495436B (zh) 一种可信云平台度量系统及方法
KR102201218B1 (ko) 모바일 단말의 보안 엔진의 접근 제어 시스템 및 방법
CN113407947A (zh) 一种云环境下面向移动终端用户的可信连接验证方法
CN113965342A (zh) 一种基于国产平台的可信网络连接系统及连接方法
CN114760082A (zh) 访问控制方法及装置
CN111324887A (zh) 一种应用程序的安装控制方法及装置
WO2020049266A1 (en) A method of processing transactions from an untrusted source
CN110311917A (zh) 主机度量方法及装置
CN117371032B (zh) 一种高效的文件访问安全方法、系统、设备及介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant