[發明專利]一種電力專用的零信任網絡系統

在審

• 申請號: 202011129734.1
• 申請日: 2020-10-21
• 公開（公告）號: CN112118102A
• 公開（公告）日: 2020-12-22
• 發明（設計）人: 任肖久;梁剛;曹旌;楊要中;鄭曄;王曉愉;蔣立媛;劉鳳;段偉潤;張雪佼;萬麗;唐乃馨;李琳琦;田圳;王鈺;李海科;徐坤;白天予
• 申請（專利權）人: 國網天津市電力公司;國家電網有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32;H04L29/06
• 代理公司: 天津盛理知識產權代理有限公司 12209
• 代理人: 王來佳

本發明公開了一種電力專用的零信任網絡系統，屬于電網技術領域，包括接入認證模塊、訪問權限控制模塊、數據分類分級模塊和安全態勢感知模塊，接入認證模塊包括設備認證模塊和用戶認證模塊，設備認證模塊要求先認證再允許連接；用戶認證模塊包括多因子認證和生物特征認證，并根據不同應用系統、不同數據實行不同的認證強度；訪問權限控制模塊包括在發起方由可信終端實現的終端訪問代理、在安全訪問網關實現的網關代理；數據分類分級模塊對訪問資源進行分類和分級；安全態勢感知模塊，安全態勢感知模塊包括風險和信任評估、策略決策模型。本發明通過接入認證、訪問權限控制、數據分類分級、安全態勢感知對電力專用網絡進行改造、升級或者重新部署。

技術領域

本發明屬于電網技術領域，特別是涉及一種電力專用的零信任網絡系統。

背景技術

隨著信息通信技術在電力生產和經營管理等各環節的廣泛應用，調度數據網、辦公內網等對邊界外執行計算的需求與日俱增，而傳統的靜態安全防護模型越來越難以適應新的發展需求。同時，近年來國內外網絡與信息安全形勢日趨嚴峻，面向電力系統的網絡攻擊手段層出不窮，而電力生產管理系統在設計之初，主要是對業務功能和便捷性進行設計，對網絡通信技術的安全考慮不足，這些都將對電力安全穩定運行造成重大威脅。網絡安全已成為集控中心信息化建設的重中之重。

隨著云計算、移動辦公等技術的普及，企業網絡結構變得越來越復雜，傳統的網絡安全模型基于邊界防護的思想，無法適應當前的需求。

目前電力專用網絡安全防護主要是通過安全分區來實現。網絡分區是電力二次系統安全防護體系的結構基礎。發電企業、電網企業和供電企業內部基于計算機和網絡技術的應用系統，原則上劃分為生產控制大區和管理信息大區。生產控制大區可以分為控制區(又稱安全區I)和非控制區(又稱安全區II)。

1.生產控制大區的安全區劃分

(1)控制區(安全區I)。控制區中的業務系統或其功能模塊(或子系統)的典型特征：是電力生產的重要環節，直接實現對電力一次系統的實時監控，縱向使用電力調度數據網絡或專用通道，是安全防護的重點與核心。

(2)非控制區((安全區II)。非控制區中的業務系統或其功能模塊的典型特征：是電力生產的必要環節，在線運行但不具備控制功能，使用電力調度數據網絡，與控制區中的業務系統或其功能模塊聯系緊密。

2.管理信息大區的安全區劃分

管理信息大區是指生產控制大區以外的電力企業管理業務系統的集合。電力企業可根據具體情況劃分安全區，但不應影響生產控制大區的安全。

通過縱向加密裝置，使加密、認證、訪問控制得到實現。部署硬件防火墻于安全I區和II區間、安全III區和IV區間、安全IV區和互聯網間的網絡邊界上，杜絕非法訪問。通過單向隔離裝置的布置，確保生產控制大區、管理信息大區只對數據進行單向傳遞，任何直接訪問均禁止，確保管理信息大區網絡安全威脅無法影響至生產控制大區。

隨著互聯網技術的發展，多個不同的終端設備類型由外部訪問內部信息系統已變成必須實現的工作需求，由于缺乏安全審核和認證等有效手段，來自外部互聯網的未知威脅可能繞過傳統邊界安全設備，非法惡意的聯入、聯出使網絡邊界不可控，造成防火墻等網絡安全設備不能發揮作用，給電網調控中心的信息系統安全運行造成極大威脅。

同時，目前電網專用網絡架構不能防止內部人員對電力專用網絡網絡進行攻擊。內部數據安全是數據為中心的安全，需要解決的是內部人員濫用、業務誤用和防止外部竊取的風險控制問題。

發明內容

本發明為解決公知技術中存在的技術問題，提供一種電力專用的零信任網絡系統，通過接入認證、訪問權限控制、數據分類分級、安全態勢感知對電力專用網絡進行改造、升級或者重新部署。

本發明的目的是提供一種電力專用的零信任網絡系統，包括：