[发明专利]一种基于零信任的电力物联网安全防护方法

说明书

本发明公开了一种基于零信任的电力物联网安全防护方法，访问主体在身份认证平台进行身份注册；访问主体均为不可信主体，每次发起访问请求，需通过身份认证平台进行认证；通过身份认证后赋予访问主体一个身份，每个身份对应相应访问权限；判断访问客体级别，若为重要级，需进行ACL权限验证；在访问过程中，结合访问主体环境、操作风险、外部威胁、访问上下文多重因素进行安全持续评估；根据安全持续评估结果，动态调整访问主体身份，访问权限动态调整。本发明解决传统边界安全防护逐渐失效及零信任安全防护尚未成熟问题。

技术领域

本发明涉及电子信息技术领域，尤其涉及一种基于零信任的电力物联网安全防护方法。

背景技术

随着“大云物移智链边”互联网技术迅猛发展，着力于将电力用户及其设备，电网企业及其设备，发电企业及其设备，供应商及其设备，以及人和物连接起来，产生共享数据，为用户、电网、发电、供应商和政府社会服务的电力物联网建设为电网安全运行、精益管理、精准投资、优质服务开辟了一条新道路，在这个过程中，各个环节万物互联，接入网络的设备种类和数量大幅增加，对数据实时性、开放性、安全防护要求更高。

传统的安全防护为网络边界防护，在网络边界上部署防火墙、流量监控、未知威胁监测、DDoS防护等软硬件设备识别和拦截恶意或非授权访问，保证访问主体的正常访问和合法的操作，达到隔离危险目的，属于被动防护。传统的安全防护存在一定弊端，一是严格的准入控制，适用于访问主体或业务比较稳定，变化较少的场景中，二是在某种程度上默认了对某些人、设备、系统和应用的信任，从而忽视其安全措施，三是安全防护产品生产厂家不同，功能模块、配置管理不同，运维管理工作复杂。目前公司物联网应用已具有一定基础，接入智能电表、摄像头、监测装置等终端已超过5亿台，终端种类繁多，数据日增量增大，随着电力物联网的建设推进，网络边界逐渐模糊，且传统安全防护弊端日益凸显，单一的基于边界防护体系已无法完全满足电力物联网安全防护要求，正在逐渐失效。

目前为解决传统安全防护逐渐失效问题，提出了零信任安全防护，零信任安全防护基于“以身份为基石、业务安全访问、持续信任评估、动态访问控制”四大关键能力，默认情况下不信任网络内部和外部的任何人、设备、系统，需要基于认证和授权重构访问控制的信任基础。虽然零信任安全架构正在被接受，但其正在发展过程中，尚未成熟，其安全性仍需进一步研究。

发明内容

本发明为了解决以上问题，提供了一种基于零信任的电力物联网安全防护方法。

为实现上述目的，本发明所采用的技术方案如下：

一种基于零信任的电力物联网安全防护方法，包括：

访问主体在身份认证平台进行身份注册；

访问主体均为不可信主体，每次发起访问请求，需通过身份认证平台进行认证；

通过身份认证后赋予访问主体一个身份，每个身份对应相应访问权限；

判断访问客体级别，若为重要级，需进行ACL权限验证；

在访问过程中，结合访问主体环境、操作风险、外部威胁、访问上下文多重因素进行安全持续评估；

根据安全持续评估结果，动态调整访问主体身份，访问权限动态调整；

可选的，访问主体用户通过姓名、身份证号、手机号、详细地址信息，设备通过出厂编码、型号等特征，应用系统通过自身访问地址等自身信息，通过身份认证平台生成证书，用户和应用系统证书存在USBKEY中，设备证书存在于安全芯片，植入在设备中。

可选的，证书由证书体和变量体组成，证书体包含访问主体的属性，不可更改，变量体定义了访问主体的私钥、公钥矩阵和其他参数。