CN117494154A - 一种基于零信任的电力大数据安全管理方法及系统 - Google Patents

一种基于零信任的电力大数据安全管理方法及系统 Download PDF

Info

Publication number
CN117494154A
CN117494154A CN202311327010.1A CN202311327010A CN117494154A CN 117494154 A CN117494154 A CN 117494154A CN 202311327010 A CN202311327010 A CN 202311327010A CN 117494154 A CN117494154 A CN 117494154A
Authority
CN
China
Prior art keywords
access
data
user
rating
access user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311327010.1A
Other languages
English (en)
Inventor
金昊天
王治华
金明辉
高峰
韩政
严威
姜玉靓
冯陈佳
徐之欣
姜琳
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Electric Power Research Institute Co Ltd CEPRI
State Grid Shanghai Electric Power Co Ltd
Original Assignee
China Electric Power Research Institute Co Ltd CEPRI
State Grid Shanghai Electric Power Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Electric Power Research Institute Co Ltd CEPRI, State Grid Shanghai Electric Power Co Ltd filed Critical China Electric Power Research Institute Co Ltd CEPRI
Priority to CN202311327010.1A priority Critical patent/CN117494154A/zh
Publication of CN117494154A publication Critical patent/CN117494154A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G06F18/241—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q50/00—Information and communication technology [ICT] specially adapted for implementation of business processes of specific business sectors, e.g. utilities or tourism
    • G06Q50/06—Energy or water supply

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • General Health & Medical Sciences (AREA)
  • General Engineering & Computer Science (AREA)
  • Bioethics (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Data Mining & Analysis (AREA)
  • Economics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Water Supply & Treatment (AREA)
  • Artificial Intelligence (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Biology (AREA)
  • Evolutionary Computation (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Automation & Control Theory (AREA)
  • Public Health (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Human Resources & Organizations (AREA)
  • Marketing (AREA)
  • Primary Health Care (AREA)
  • Strategic Management (AREA)
  • Tourism & Hospitality (AREA)
  • General Business, Economics & Management (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种基于零信任的电力大数据安全管理方法及系统，其中方法包括：对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果；基于访问用户评级结果，授予用户对目标数据的访问权限。本发明提出了零信任环境下基于用户上下文的动态访问控制和细粒度数据访问身份控制方法，有效解决对访问用户评估不全面、时效性不强、安全性不高的问题，同时加强了对电力数据系统各类数据的分级分类管理控制，从而降低了数据泄露的风险。

Description

一种基于零信任的电力大数据安全管理方法及系统
技术领域
本发明涉及电力系统数据安全技术领域，更具体地，涉及一种基于零信任的电力大数据安全管理方法及系统。
背景技术
当前的电网二次安全防护方案是以横向隔离、纵向加密为基础的边界安全防护体系。然而，随着分布式电源迅速增长，终端设备的开放互动以及电力监控系统面临的威胁日益突显，防护边界变得模糊，传统的边界防护难以有效保障电力数据的安全性。
随着信息技术的快速发展，云计算、大数据、物联网、人工智能等新技术为社会发展注入了新的动力。基于大数据的网络应用逐渐渗透、影响和改变了社会。同时，这些应用也给电力系统网络安全，尤其是数据安全带来了新的挑战。从数据的角度来看，在当前大数据的环境下，数据的生产和流程比以前更加复杂。大多数信息系统都非常复杂，没有明确的系统边界。此外，嵌入在操作流程中的数据通常无法拆分。大多数场景需要高效的数据处理，导致各种遗留安全技术的失败
传统身份认证技术是指在信息技术领域中，较早使用并仍然被广泛应用的身份验证方法。这些方法通常涉及用户名和密码，以及一些额外的安全措施。传统身份认证技术包含多种形式，其中使用用户名和密码的身份认证是最常见的认证方法之一。用户提供一个独特的用户名(通常是其电子邮件地址或其他标识符)以及事先设定的密码。系统将用户名和密码与存储在数据库中的用户凭据进行比对，如果匹配，则用户被授予访问权限。这种方法简单易用，但也容易受到密码泄露、弱密码和暴力破解等风险的影响。
在新兴的数据库访问的身份认证过程中，常使用动态访问控制技术，动态访问控制技术是一种高级的身份认证和授权方法，它根据实时上下文和情境来管理对系统资源的访问权限。与传统的静态访问控制方法不同，动态访问控制关注于动态变化的因素，如用户的位置、行为、时间等，以更精细和智能的方式管理访问权限。
电力系统大数据平台存储了大量的敏感数据，平台接入的多样性和平台的开放性增加了敏感信息泄露的风险。需对电力系统的数据库实施严格的身份认证和访问控制机制，确保只有经过授权的用户可以访问敏感数据，以加强数据安全性。
目前电力系统数据库支持的用户访问控制方式多为以用户名-密码等身份认证技术为主体的访问控制，即用户提供一个独特的用户名以及事先设定的密码。系统将用户名和密码与存储在数据库中的用户凭据进行比对，如果匹配，则用户被授予访问权限。并且当前电力系统数据库的数据分级分类管理较少，当用户成功被授予访问权限后，其被允许访问的数据较为广泛。然而，目前电力系统数据采用用户名和密码认证作为传统的身份验证方法，虽然广泛应用，但也存在一些缺点和不足之处：
密码泄露：用户的密码可能会被攻击者通过各种途径泄露，如网络攻击、钓鱼网站、恶意软件等，从而导致账户被入侵。
弱密码问题：用户往往会选择弱密码，如常见单词、简单数字等，这使得密码更容易受到猜测或暴力破解。
社会工程攻击：攻击者可以通过欺骗、引诱用户提供密码，如通过伪装成合法请求或信息来获取密码。
忘记密码：用户可能会忘记密码，需要使用密码重置流程，但重置流程可能被攻击者滥用。
无法确认用户身份：仅凭用户名和密码很难确定实际用户是否在登录，容易受到冒名顶替攻击。
不足以抵御高级攻击：针对密码的高级攻击，如字典攻击、彩虹表攻击等，可能使传统的用户名和密码认证不再安全。
因此，需要一种技术，以实现基于零信任对电力大数据进行安全管理。
发明内容
本发明技术方案提供一种基于零信任的电力大数据安全管理方法及系统，以解决如何基于零信任对电力大数据进行安全管理的问题。
为了解决上述问题，本发明提供了一种基于零信任的电力大数据安全管理方法，所述方法包括：
对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；
基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果；
基于访问用户评级结果，授予用户对目标数据的访问权限。
优选地，还包括：基于目标数据的分级和分类，获取目标数据评级结果；
当访问用户评级结果不低于目标数据评级结果对应的最低访问用户评级结果时，即允许访问用户对目标数据进行访问。
优选地，所述对提交数据访问申请的用户信息进行识别，获取访问用户基本信息，包括：
访问用户基本信息的集合UA＝<U，D,N，C，T，A>，其中U表示身份信息，D表示部门信息，N表示网络信息，C表示访问行为上下文，T表示访问目标的对象，A表示对应数据操作类型；
C＝<Time，Up>，其中时间表示访问时间，Up表示当前访问之前预设数量的访问的有序列表。
优选地，所述基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果，包括：
将访问用户的预授权安全级别作为目标初始评级；
将部门信息、网络信息以及上下文与电力系统中预设的访问用户的部门信息、网络信息以及上下文进行匹配，基于匹配结果，获取安全评估得分；
基于所述安全评估得分，对所述目标初始评级进行调整，获取最终的访问用户评级结果。
优选地，所述基于访问用户评级结果，授予用户对目标数据的访问权限，包括：
确定目标数据访问的权限，包括读取、写入、修改以及删除；
基于访问用户评级结果，授予用户对目标数据的访问权限。
优选地，还包括：
基于预设的时间周期，对访问用户的数据访问行为进行审查；
基于预设的时间周期，对访问用户的评级结果进行更新，基于更新后的访问用户评级结果，授予访问用户的访问权限。
优选地，其中：
定义数据DR＝<Data、GL、CL>，其中Data表示数据，GL为数据的分级级别，CL为数据的分类级别；
建立细粒度数据授权模型DA＝(DR|DR1→DR，A)，DR表示具有定义的分级和分类级别的DR，DR1→DR对应于数据字段关系，A代表数据操作类型，包括读或写，DA定义了数据评级结果。
基于本发明的另一方面，本发明提供一种基于零信任的电力大数据安全管理系统，所述系统包括：
初始单元，用于对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；
评级单元，用于基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果；
结果单元，用于基于访问用户评级结果，授予用户对目标数据的访问权限。
优选地，所述评级单元，还用于：基于目标数据的分级和分类，获取目标数据评级结果；
所述结果单元，还用于：当访问用户评级结果不低于目标数据评级结果对应的最低访问用户评级结果时，即允许访问用户对目标数据进行访问。
优选地，所述初始单元，用于对提交数据访问申请的用户信息进行识别，获取访问用户基本信息，包括：
访问用户基本信息的集合UA＝<U，D,N，C，T，A>，其中U表示身份信息，D表示部门信息，N表示网络信息，C表示访问行为上下文，T表示访问目标的对象，A表示对应数据操作类型；
C＝<Time，Up>，其中时间表示访问时间，Up表示当前访问之前预设数量的访问的有序列表。
优选地，所述评级单元，用于基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果，包括：
将访问用户的预授权安全级别作为目标初始评级；
将部门信息、网络信息以及上下文与电力系统中预设的访问用户的部门信息、网络信息以及上下文进行匹配，基于匹配结果，获取安全评估得分；
基于所述安全评估得分，对所述目标初始评级进行调整，获取最终的访问用户评级结果。
优选地，所述结果单元，用于基于访问用户评级结果，授予用户对目标数据的访问权限，还用于：
确定目标数据访问的权限，包括读取、写入、修改以及删除；
基于访问用户评级结果，授予用户对目标数据的访问权限。
优选地，还包括审查单元，用于：
基于预设的时间周期，对访问用户的数据访问行为进行审查；
基于预设的时间周期，对访问用户的评级结果进行更新，基于更新后的访问用户评级结果，授予访问用户的访问权限。
优选地，所述评级单元，还用于：
定义数据DR＝<Data、GL、CL>，其中Data表示数据，GL为数据的分级级别，CL为数据的分类级别；
建立细粒度数据授权模型DA＝(DR|DR1→DR，A)，DR表示具有定义的分级和分类级别的DR，DR1→DR对应于数据字段关系，A代表数据操作类型，包括读或写，DA定义了数据评级结果。
本发明技术方案提供了一种基于零信任的电力大数据安全管理方法及系统，其中方法包括：对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；基于安全评估算法，对访问用户基本信息进行评估，获取访问用户评级结果；基于访问用户评级结果，授予用户对目标数据的访问权限。本发明技术方案分析了复杂电力数据系统中可能存在的违规下载、纂改、泄露数据等风险，提出了零信任环境下基于用户上下文的动态访问控制和细粒度数据访问身份控制方法，有效解决对访问用户评估不全面、时效性不强、安全性不高的问题，同时加强了对电力数据系统各类数据的分级分类管理控制，从而降低了数据泄露、盗用以及被越权访问的风险。
附图说明
通过参考下面的附图，可以更为完整地理解本发明的示例性实施方式：
图1为根据本发明优选实施方式的一种基于零信任的电力大数据安全管理方法流程图；
图2为根据本发明优选实施方式的一种基于零信任的电力大数据安全管理方法流程图；以及
图3为根据本发明优选实施方式的一种基于零信任的电力大数据安全管理系统结构图。
具体实施方式
现在参考附图介绍本发明的示例性实施方式，然而，本发明可以用许多不同的形式来实施，并且不局限于此处描述的实施例，提供这些实施例是为了详尽地且完全地公开本发明，并且向所属技术领域的技术人员充分传达本发明的范围。对于表示在附图中的示例性实施方式中的术语并不是对本发明的限定。在附图中，相同的单元/元件使用相同的附图标记。
除非另有说明，此处使用的术语(包括科技术语)对所属技术领域的技术人员具有通常的理解含义。另外，可以理解的是，以通常使用的词典限定的术语，应当被理解为与其相关领域的语境具有一致的含义，而不应该被理解为理想化的或过于正式的意义。
图1为根据本发明优选实施方式的一种基于零信任的电力大数据安全管理方法流程图。
电力系统数据安全研究的目的在于应对现代社会对电力供应的高度依赖。通过研究数据安全，本发明致力于保护电力系统中的敏感信息，防止未经授权的访问、篡改和泄露。这种研究旨在提高电网的抗攻击性，防范恶意行为对电力基础设施的威胁，确保电力供应的可靠性和稳定性。
电力企业规模庞大、系统繁杂、人员众多，日常工作中发生越权访问、下载或篡改数据等违规操作行为难以及时发现和定位，往往对内部数据安全事件的预防和调查造成困扰。同时随着电力行业信息化建设的持续推进，电力企业内部各部门以及跨组织、跨区域之间的电力数据传输与共享场景日渐普遍，对于各类数据的访问权限应当加以区分。传统的身份认证方式和数据分层分类管理的不足逐渐体现出来，本发明提出的基于零信任的用户上下文动态访问控制方法以及数据细粒度分级分类的安全管理方法更适用于解决复杂系统的用户访问控制问题，能够对用户进行更加有效的评估，同时结合对数据的细粒度分类，能够合理地对各类数据设置对应不同用户的访问权限，从而加强电力系统的数据安全。
本发明分析了复杂电力数据系统中可能存在的违规下载、纂改、泄露数据等风险，提出了零信任环境下基于用户上下文的动态访问控制和细粒度数据访问身份控制方法，有效解决对访问用户评估不全面、时效性不强、安全性不高的问题，同时加强了对电力数据系统各类数据的分级分类管理控制，从而降低了数据泄露、盗用以及被越权访问的风险。
零信任环境下基于用户上下文的动态访问控制包含三个步骤：首先需要识别用户基本信息，构建用户基本信息表；其次，使用安全评级算法对用户的访问请求进行有效评估；最后，通过评估结果授予用户相对应的数据访问权限。
如图1所示，本发明提供一种基于零信任的电力大数据安全管理方法，方法包括：
步骤101：对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；
优选地，还包括：基于目标数据的分级和分类，获取目标数据评级结果；
当访问用户评级结果不低于目标数据评级结果对应的最低访问用户评级结果时，即允许访问用户对目标数据进行访问。
优选地，对提交数据访问申请的用户信息进行识别，获取访问用户基本信息，包括：
访问用户基本信息的集合UA＝<U，D,N，C，T，A>，其中U表示身份信息，D表示部门信息，N表示网络信息，C表示访问行为上下文，T表示访问目标的对象，A表示对应数据操作类型；
C＝<Time，Up>，其中时间表示访问时间，Up表示当前访问之前预设数量的访问的有序列表。
优选地，基于安全评估算法，对访问用户基本信息进行评估，获取访问用户评级结果，包括：
将访问用户的预授权安全级别作为目标初始评级；
将部门信息、网络信息以及上下文与电力系统中预设的访问用户的部门信息、网络信息以及上下文进行匹配，基于匹配结果，获取安全评估得分；
基于安全评估得分，对目标初始评级进行调整，获取最终的访问用户评级结果。
优选地，其中：
定义数据DR＝<Data、GL、CL>，其中Data表示数据，GL为数据的分级级别，CL为数据的分类级别；
建立细粒度数据授权模型DA＝(DR|DR1→DR，A)，DR表示具有定义的分级和分类级别的DR，DR1→DR对应于数据字段关系，A代表数据操作类型，包括读或写，DA定义了数据评级结果。
本发明首先对用户基本信息进行识别。
基于所有用户行为都无法保证其安全性的假设，本发明在用户进行数据访问申请时识别用户、设备和环境。
为了表示大数据系统中的用户操作，本发明定义UA集合如下。
定义1.UA＝<U，D,N，C，T，A>，其中U表示身份信息(申请访问者姓名)，D表示部门信息，N表示网络信息，C表示访问行为上下文，T表示UA目标的对象，A对应数据操作类型。其中访问行为上下文C是一组用户操作，定义如下。
定义2.C＝<Time，Up>，其中时间表示访问时间，Up表示当前UA之前几个UA的有序列表。例如，一个来自于Data Computing部门的名为Wang的用户通过他的工作计算机(IP：192.168.0.1)使用CurDB数据库，此前他曾访问过PreDB数据库，并准备使用样例命令执行查询。可以按如下方式记录此访问。
表格1
本发明基于细粒度进行电力系统数据分级分类管理。
为了确保数据安全，本发明定义了数据的安全级别，提出了对数据库、记录和字段的数据分级和分类访问控制，以防止敏感信息的扩散，防止数据滥用的风险。数据分级用于根据数据内容的敏感度对数据资源(DR)进行分级。数据分类用于根据DR的来源和属性对其进行分类，相关定义如下。
定义DR＝<Data、GL、CL>，其中Data表示数据本身，例如表、字段和字段值。分级级别(GL)和分类级别(CL)表示相关数据的分级和分类级别，可以根据数据要求进行定义。在定义了DR的数据分级和分类级别后，本发明提出了细粒度数据授权(DA)模型，该模型是根据数据表、字段、字段值和字段关系四个维度的分级和分类级别配置进行预定义的。可以根据UA安全等级分配此模型。DA模式定义如下。
DA＝(DR|DR1→DR，A)的Min(UAS)，其中Min(UAS)表示最小访问等级，DR表示具有定义的分级和分类级别的DR，DR1→DR对应于数据字段关系，A代表数据操作类型，可以是读(READ)或者是写(WRITE)DA定义了访问表、字段和字段值以及授权字段中的其他类似值的最低UAS评级。
根据分级和分类级别为每个DR提供授权角色后，本发明使用上一步获得的UAS评级对数据表、字段、字段值和字段关系上的UA进行身份验证。除了获取大量数据的请求操作外，在异步数据传输过程中还需要对结果数据进行安全认证。数据访问认证的主要算法如下。
本发明通过基于零信任和数据分级分类管控机制的用户上下文识别，实现数据访问过程中访问行为的细粒度安全控制。某些高级持续威胁(APT)攻击可能仍可通过单个操作直接发现。因此，本发明还需要一个数据访问审计机制，该机制通过组合数据生命周期来控制数据访问安全性，该机制面向完整的网络流量。通过数据访问日志保留和运行历史分析分析，分析数据访问日志，判断大数据平台数据访问过程中是否出现异常行为。审计结果将增强UA的安全评估能力。
步骤102：基于安全评估算法，对访问用户基本信息进行评估，获取访问用户评级结果；
本发明对用户访问请求进行安全评估。本发明设计了安全评估算法UAS(UserAccessSecurity)对用户基本信息进行评估。具体安全评估算法如下：
本发明的算法的主要特点是使用登录用户的预授权安全级别作为目标初始评级，然后检查用户身份、部门和网络环境的一致性。使用不同的等级通过部门加法/网络加法/上下文加法根据不同的一致性水平修改目标等级。同时，该算法会分析访问用户的上下文情况，利用安全知识库判断操作的安全风险，并通过TargetActionScoreIncrease功能针对不同风险调整用户目标评级。
步骤103：基于访问用户评级结果，授予用户对目标数据的访问权限。
优选地，基于访问用户评级结果，授予用户对目标数据的访问权限，包括：
确定目标数据访问的权限，包括读取、写入、修改以及删除；
基于访问用户评级结果，授予用户对目标数据的访问权限。
优选地，还包括：
基于预设的时间周期，对访问用户的数据访问行为进行审查；
基于预设的时间周期，对访问用户的评级结果进行更新，基于更新后的访问用户评级结果，授予访问用户的访问权限。
本发明通过评估用户等级、授予相应权限。
1.定义权限层级：首先，确定不同的数据访问权限级别，包括读取、写入、修改、删除等权限。每个权限级别应该与用户对数据的需求相匹配。
2.根据评估等级分配权限：为了确定每个用户应该被授予的权限级别，制定评估标准。确定了评估标准后，根据上述的评估等级来分配权限，具体算法在细粒度数据分级分类管理中体现。
3.审查和监控：权限授予后，确保定期审查和监控用户的数据访问活动。这有助于确保用户只访问他们需要的数据，并可以及时检测到异常活动。
4.持续优化：数据访问权限的需求可能会随着时间和用户角色的变化而变化。定期审查和更新权限设置是至关重要的，以确保用户始终具有正确的权限级别。
本发明基于零信任用户上下文动态访问控制技术，本发明根据复杂用户来源的电力系统数据访问需求，确定用户访问控制类型，并以加强用户上下文分析为用户动态访问控制准确性提升的核心内容。
本发明在用户访问电力系统数据库时需要施行访问控制，在零信任环境下，需要识别用户的基本信息，包括部门以及连接网络等信息，同时根据用户的上下文信息对用户进行动态授权。本发明通过用户信息设计了用户安全评级算法，能针对不同风险对用户进行评级，从而授予用户相应的电力资源数据库的访问权限，实现了更加精细的访问控制并且减少了管理负担。
本发明提出细粒度电力数据分级分类技术，本发明对海量电力系统数据进行评级后的分级分类管理，为各类数据设置最小安全访问等级，同时与基于零信任的用户上下文访问控制技术中的安全评估算法相结合，确立了用户与对应数据的安全等级联系，从而在大量用户和电力数据中构建了安全访问桥梁，加强了数据周期管理与风险管理能力，为新一代数据管理提供了思路。
本发明主要关注大数据环境下的数据安全保护，本发明与传统的信息安全(如静态文件或数据库的保护)相比，大数据环境的海量数据和分布式存储特性对传统工具、方法和标准提出了许多新的挑战。因此，本发明引入了一种大数据安全控制的新方法，包括基于零信任的用户上下文识别和细粒度数据访问认证控制，以识别和拦截大数据环境中的风险数据访问，从而进一步提升电力系统运营数据的安全防护能力。
本发明针对电力信息网络自动化安全渗透与智能动态防御技术中的动态防御技术，开展分布式电源终端安全认证，进行终端的主动防御。
本发明精细的访问控制：动态访问控制允许管理员根据当前的上下文和条件来精细地控制用户对资源的访问。这意味着用户只有在满足特定条件时才能访问特定资源，从而减少了潜在的风险。
本发明的动态访问控制能够根据环境的变化自动调整访问权限。例如，当用户从不同的网络位置或设备上访问资源时，访问控制策略可以根据不同的条件进行自动调整，以保持安全性。
本发明通过将访问权限与实时风险评估相结合，动态访问控制可以降低未经授权的访问风险。当系统检测到异常活动或风险因素时，可以立即调整访问权限，从而减少潜在的安全威胁。
本发明动态访问控制可以根据用户的实际需求提供更好的用户体验。用户不需要事先获得所有权限，而是根据需要获得访问权限，从而减少了不必要的限制。
本发明传统的静态访问控制可能需要频繁的权限更改和管理。动态访问控制可以减少管理员的负担，因为权限的自动调整可以根据条件进行，而无需手动干预。
本发明应用细粒度数据分级分类管理带来如下优势：
本发明的数据分级分类管理允许组织根据数据的重要性和敏感性，将其划分为多个级别。这样可以更精细地管理数据，确保对于不同级别的数据采取适当的控制和保护措施。
本发明通过将数据分为不同级别，组织可以更好地评估和管理数据的风险。对于高风险的敏感数据，可以实施更严格的安全控制，从而降低数据泄露和损害的风险。
本发明的不同级别的数据可能需要不同程度的存储、处理和维护资源。通过将数据分类，组织可以根据数据的重要性和访问频率来优化资源的分配，从而降低成本。
本发明的数据分级分类有助于组织遵循适用的法规和合规标准。特定的法规可能要求对某些类型的数据进行特定的保护措施，数据分级可以帮助确保符合这些要求。
本发明不同级别的数据应该由合适的人员访问，以确保数据的安全性和隐私。通过数据分级分类，可以更容易地确定谁可以访问特定级别的数据，并为其分配相应的访问权限。
本发明数据分级分类可以帮助组织在数据的整个生命周期内进行有效的管理。从数据的创建、存储、使用到销毁，都可以根据不同级别的需求来进行管理。
图3为根据本发明优选实施方式的一种基于零信任的电力大数据安全管理系统结构图。
如图3所示，本发明提供一种基于零信任的电力大数据安全管理系统，系统包括：
初始单元301，用于对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；
优选地，初始单301，用于对提交数据访问申请的用户信息进行识别，获取访问用户基本信息，包括：
访问用户基本信息的集合UA＝<U，D,N，C，T，A>，其中U表示身份信息，D表示部门信息，N表示网络信息，C表示访问行为上下文，T表示访问目标的对象，A表示对应数据操作类型；
C＝<Time，Up>，其中时间表示访问时间，Up表示当前访问之前预设数量的访问的有序列表。
评级单元302，用于基于安全评估算法，对访问用户基本信息进行评估，获取访问用户评级结果；
优选地，评级单元302，还用于：基于目标数据的分级和分类，获取目标数据评级结果；
优选地，评级单元302，用于基于安全评估算法，对访问用户基本信息进行评估，获取访问用户评级结果，包括：
将访问用户的预授权安全级别作为目标初始评级；
将部门信息、网络信息以及上下文与电力系统中预设的访问用户的部门信息、网络信息以及上下文进行匹配，基于匹配结果，获取安全评估得分；
基于安全评估得分，对目标初始评级进行调整，获取最终的访问用户评级结果。
优选地，评级单元302，还用于：
定义数据DR＝<Data、GL、CL>，其中Data表示数据，GL为数据的分级级别，CL为数据的分类级别；
建立细粒度数据授权模型DA＝(DR|DR1→DR，A)，DR表示具有定义的分级和分类级别的DR，DR1→DR对应于数据字段关系，A代表数据操作类型，包括读或写，DA定义了数据评级结果。
结果单元303，用于基于访问用户评级结果，授予用户对目标数据的访问权限。
结果单元，还用于：当访问用户评级结果不低于目标数据评级结果对应的最低访问用户评级结果时，即允许访问用户对目标数据进行访问。
优选地，结果单元303，用于基于访问用户评级结果，授予用户对目标数据的访问权限，还用于：
确定目标数据访问的权限，包括读取、写入、修改以及删除；
基于访问用户评级结果，授予用户对目标数据的访问权限。
优选地，还包括审查单元，用于：
基于预设的时间周期，对访问用户的数据访问行为进行审查；
基于预设的时间周期，对访问用户的评级结果进行更新，基于更新后的访问用户评级结果，授予访问用户的访问权限。
本发明优选实施方式的一种基于零信任的电力大数据安全管理系统与本发明优选实施方式的一种基于零信任的电力大数据安全管理方法相对应，在此不再进行赘述。
本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。本发明实施例中的方案可以采用各种计算机语言实现，例如，面向对象的程序设计语言Java和直译式脚本语言JavaScript等。
本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。
显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
已经通过参考少量实施方式描述了本发明。然而，本领域技术人员所公知的，正如附带的专利权利要求所限定的，除了本发明以上公开的其他的实施例等同地落在本发明的范围内。
通常地，在权利要求中使用的所有术语都根据他们在技术领域的通常含义被解释，除非在其中被另外明确地定义。所有的参考“一个/所述/该[装置、组件等]”都被开放地解释为所述装置、组件等中的至少一个实例，除非另外明确地说明。这里公开的任何方法的步骤都没必要以公开的准确的顺序运行，除非明确地说明。

Claims (14)

1.一种基于零信任的电力大数据安全管理方法，所述方法包括：
对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；
基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果；
基于访问用户评级结果，授予用户对目标数据的访问权限。
2.根据权利要求1所述的方法，还包括：基于目标数据的分级和分类，获取目标数据评级结果；
当访问用户评级结果不低于目标数据评级结果对应的最低访问用户评级结果时，即允许访问用户对目标数据进行访问。
3.根据权利要求1所述的方法，所述对提交数据访问申请的用户信息进行识别，获取访问用户基本信息，包括：
访问用户基本信息的集合UA＝<U，D,N，C，T，A>，其中U表示身份信息，D表示部门信息，N表示网络信息，C表示访问行为上下文，T表示访问目标的对象，A表示对应数据操作类型；
C＝<Time，Up>，其中时间表示访问时间，Up表示当前访问之前预设数量的访问的有序列表。
4.根据权利要求3所述的方法，所述基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果，包括：
将访问用户的预授权安全级别作为目标初始评级；
将部门信息、网络信息以及上下文与电力系统中预设的访问用户的部门信息、网络信息以及上下文进行匹配，基于匹配结果，获取安全评估得分；
基于所述安全评估得分，对所述目标初始评级进行调整，获取最终的访问用户评级结果。
5.根据权利要求1所述的方法，所述基于访问用户评级结果，授予用户对目标数据的访问权限，包括：
确定目标数据访问的权限，包括读取、写入、修改以及删除；
基于访问用户评级结果，授予用户对目标数据的访问权限。
6.根据权利要求1所述的方法，还包括：
基于预设的时间周期，对访问用户的数据访问行为进行审查；
基于预设的时间周期，对访问用户的评级结果进行更新，基于更新后的访问用户评级结果，授予访问用户的访问权限。
7.根据权利要求2所述的方法，其中：
定义数据DR＝<Data、GL、CL>，其中Data表示数据，GL为数据的分级级别，CL为数据的分类级别；
建立细粒度数据授权模型DA＝(DR|DR1→DR，A)，DR表示具有定义的分级和分类级别的DR，DR1→DR对应于数据字段关系，A代表数据操作类型，包括读或写，DA定义了数据评级结果。
8.一种基于零信任的电力大数据安全管理系统，所述系统包括：
初始单元，用于对提交数据访问申请的用户信息进行识别，获取访问用户基本信息；
评级单元，用于基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果；
结果单元，用于基于访问用户评级结果，授予用户对目标数据的访问权限。
9.根据权利要求8所述的系统，所述评级单元，还用于：基于目标数据的分级和分类，获取目标数据评级结果；
所述结果单元，还用于：当访问用户评级结果不低于目标数据评级结果对应的最低访问用户评级结果时，即允许访问用户对目标数据进行访问。
10.根据权利要求8所述的系统，所述初始单元，用于对提交数据访问申请的用户信息进行识别，获取访问用户基本信息，包括：
访问用户基本信息的集合UA＝<U，D,N，C，T，A>，其中U表示身份信息，D表示部门信息，N表示网络信息，C表示访问行为上下文，T表示访问目标的对象，A表示对应数据操作类型；
C＝<Time，Up>，其中时间表示访问时间，Up表示当前访问之前预设数量的访问的有序列表。
11.根据权利要求10所述的方法，所述评级单元，用于基于安全评估算法，对所述访问用户基本信息进行评估，获取访问用户评级结果，包括：
将访问用户的预授权安全级别作为目标初始评级；
将部门信息、网络信息以及上下文与电力系统中预设的访问用户的部门信息、网络信息以及上下文进行匹配，基于匹配结果，获取安全评估得分；
基于所述安全评估得分，对所述目标初始评级进行调整，获取最终的访问用户评级结果。
12.根据权利要求8所述的系统，所述结果单元，用于基于访问用户评级结果，授予用户对目标数据的访问权限，还用于：
确定目标数据访问的权限，包括读取、写入、修改以及删除；
基于访问用户评级结果，授予用户对目标数据的访问权限。
13.根据权利要求8所述的系统，还包括审查单元，用于：
基于预设的时间周期，对访问用户的数据访问行为进行审查；
基于预设的时间周期，对访问用户的评级结果进行更新，基于更新后的访问用户评级结果，授予访问用户的访问权限。
14.根据权利要求9所述的系统，所述评级单元，还用于：
定义数据DR＝<Data、GL、CL>，其中Data表示数据，GL为数据的分级级别，CL为数据的分类级别；
建立细粒度数据授权模型DA＝(DR|DR1→DR，A)，DR表示具有定义的分级和分类级别的DR，DR1→DR对应于数据字段关系，A代表数据操作类型，包括读或写，DA定义了数据评级结果。
CN202311327010.1A 2023-10-13 2023-10-13 一种基于零信任的电力大数据安全管理方法及系统 Pending CN117494154A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311327010.1A CN117494154A (zh) 2023-10-13 2023-10-13 一种基于零信任的电力大数据安全管理方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311327010.1A CN117494154A (zh) 2023-10-13 2023-10-13 一种基于零信任的电力大数据安全管理方法及系统

Publications (1)

Publication Number Publication Date
CN117494154A true CN117494154A (zh) 2024-02-02

Family

ID=89683780

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311327010.1A Pending CN117494154A (zh) 2023-10-13 2023-10-13 一种基于零信任的电力大数据安全管理方法及系统

Country Status (1)

Country Link
CN (1) CN117494154A (zh)

Similar Documents

Publication Publication Date Title
EP3854047B1 (en) Supervised learning system for identity compromise risk computation
US7555645B2 (en) Reactive audit protection in the database (RAPID)
US9635029B2 (en) Role-based access control permissions
CN112364377A (zh) 一种适应于电力行业的数据分类分级安全防护系统
US20110239293A1 (en) Auditing access to data based on resource properties
CN116545731A (zh) 一种基于时间窗动态切换的零信任网络访问控制方法及系统
Tao et al. Fine-grained big data security method based on zero trust model
US20140215558A1 (en) Establishment of a trust index to enable connections from unknown devices
CN114003943B (zh) 一种用于机房托管管理的安全双控管理平台
CN114157457A (zh) 一种网络数据信息安全用的权限申请及监控方法
CN116418568A (zh) 一种基于动态信任评估的数据安全访问控制方法、系统及存储介质
Baracaldo et al. Beyond accountability: using obligations to reduce risk exposure and deter insider attacks
Bertino et al. Web services threats, vulnerabilities, and countermeasures
Da Silva et al. Self-adaptive authorisation in OpenStack cloud platform
Fernandez et al. Two security patterns: least privilege and security logger and auditor
Ghazinour et al. An autonomous model to enforce security policies based on user's behavior
CN110958236A (zh) 基于风险因子洞察的运维审计系统动态授权方法
CN114205118B (zh) 基于数据安全法范畴的数据访问控制分析方法
CN117494154A (zh) 一种基于零信任的电力大数据安全管理方法及系统
Kothari et al. Various database attacks, approaches and countermeasures to database security
Bhatia et al. Vulnerability Assessment and Penetration Testing
Muntjir et al. Security Issues and Their Techniques in DBMS-A Novel Survey
Shivakumara et al. Review Paper on Dynamic Mechanisms of Data Leakage Detection and Prevention
Narang et al. Severity measure of issues creating vulnerabilities in websites using two way assessment technique
Song et al. Operating system security and host vulnerability evaluation

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication