2024電力物聯(lián)網(wǎng)終端零信任安全接入技術(shù)規(guī)范

Q/LB.□XXXXX-XXXX錯誤！文檔中沒有指定樣式的文字。目次TOC\o"1-1"\h\t"標(biāo)準(zhǔn)文件_一級條標(biāo)題,2,標(biāo)準(zhǔn)文件_附錄一級條標(biāo)題,2,"32668前言 260111范圍 3305182規(guī)范性引用文件 315173術(shù)語和定義 392834縮略語 4115875總則 4235345.1部署架構(gòu) 4209565.2防護(hù)架構(gòu) 534436電力物聯(lián)網(wǎng)終端技術(shù)要求 6227756.1通用技術(shù)要求 6144037零信任代理技術(shù)要求 7242607.1通用技術(shù)要求 7164567.2訪問控制網(wǎng)關(guān)要求 8302288信任評估單元 8310628.1數(shù)據(jù)采集要求 998758.2信任度量要求 9192048.3信任策略管理 996388.4信任策略配置 96285附錄A（資料性）零信任安全接入示意 1026470編??制??說??明 11PAGE9電力物聯(lián)網(wǎng)終端零信任安全接入技術(shù)規(guī)范范圍本標(biāo)準(zhǔn)規(guī)定了電力物聯(lián)網(wǎng)終端零信任接入的安全技術(shù)要求的總則、電力物聯(lián)網(wǎng)終端技術(shù)要求、零信任代理技術(shù)要求、接入安全要求、信任評估單元、通信安全要求。明確本標(biāo)準(zhǔn)涉及終端，本文件終端含管理信息系統(tǒng)終端、涉控涉敏終端、一般終端、現(xiàn)場采集部件和智能業(yè)務(wù)終端等。本標(biāo)準(zhǔn)適用于電力物聯(lián)網(wǎng)終端零信任接入的設(shè)計、開發(fā)和選型，適用范圍為管理信息大區(qū)和互聯(lián)網(wǎng)大區(qū)。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T43696-2024網(wǎng)絡(luò)安全技術(shù)零信任參考體系架構(gòu)T/CESA1165-2021零信任系統(tǒng)技術(shù)規(guī)范GB/T37032-2018物聯(lián)網(wǎng)標(biāo)識體系總則參考文獻(xiàn)Q/GDW12098-2021電力物聯(lián)網(wǎng)術(shù)語術(shù)語YD/T4574-2023零信任安全技術(shù)參考框架術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1零信任zerotrust一種以資源保護(hù)為核心的網(wǎng)絡(luò)安全理念。[來源：GB/T43696-2024，3.1]3.2主體subject發(fā)起訪問請求的實體。[來源：GB/T43696-2024，3.1]3.3資源subject發(fā)起訪問請求的實體。[來源：GB/T43696-2024，3.1]3.4零信任代理terminalzerotrustagent代理終端完成零信任處理的軟件實體，是身份認(rèn)證和訪問控制的策略執(zhí)行點。物聯(lián)網(wǎng)中，終端零信任代理和物聯(lián)網(wǎng)終端可以是不同的物理實體，但終端和終端零信任代理之間應(yīng)有可信通道進(jìn)行交互。[來源：YD/T4574-2023零信任安全技術(shù)參考框架,3.1]3.5零信任技術(shù)旨在降低訪問過程安全風(fēng)險的持續(xù)動態(tài)安全訪問控制技術(shù)[來源：T/CESA1165-2021,3.1]縮略語下列縮略語適用于本文件。IP：互聯(lián)網(wǎng)協(xié)議（InternetProtocol）MAC：媒體訪問控制（MediaAccessControl）VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）SPA：單包認(rèn)證（SinglePacketAuthentication）SDP：軟件定義邊界（SoftwareDefinedPerimeter）IPsec：互聯(lián)網(wǎng)安全協(xié)議（InternetProtocolSecurity）NSA：非獨立組網(wǎng)（Non-Standalone）SA：獨立組網(wǎng)（Standaloner）IEC：國際電工委員會（InternationalElectroTechnicalCommission）IKE：Internet密鑰交換協(xié)議（InternetKeyExchange）TLS：傳輸層安全性協(xié)議（TransportLayerSecurity）SSAL：SSAL國家電網(wǎng)公司安全應(yīng)用層協(xié)議（StateGridCorporationofChina)SecureApplicationLayerProtocol）總則部署架構(gòu)零信任體系架構(gòu)在電力物聯(lián)網(wǎng)管理信息大區(qū)和互聯(lián)網(wǎng)大區(qū)的應(yīng)用主要體現(xiàn)在終端安全接入和業(yè)務(wù)系統(tǒng)訪問控制兩個方面。零信任代理是安全防護(hù)的關(guān)鍵組件，部署在智能終端和邊緣物聯(lián)代理設(shè)備上。零信任代理可實時收集設(shè)備的多維數(shù)據(jù)（含IP、MAC、位置和狀態(tài)），同時通過加密封裝確保數(shù)據(jù)安全傳輸，并與零信任安全接入平臺實時同步信息以實現(xiàn)精確的訪問控制。在信息和互聯(lián)網(wǎng)大區(qū)的二/三級域出口或安全接入?yún)^(qū)部署零信任安全接入平臺，實現(xiàn)統(tǒng)一管控。零信任安全接入平臺通過零信任代理收集多維數(shù)據(jù)，實時評估終端風(fēng)險并執(zhí)行訪問控制，同時確保物聯(lián)網(wǎng)終端設(shè)備的可信度。通過零信任代理與零信任安全接入平臺的協(xié)同運作，形成一套完整的物聯(lián)網(wǎng)終端安全接入防護(hù)體系。防護(hù)架構(gòu)零信任安全接入架構(gòu)主要包含零信任代理和零信任安全接入平臺兩部分零信任終端代理作為物聯(lián)網(wǎng)設(shè)備接入電力系統(tǒng)網(wǎng)絡(luò)的關(guān)鍵安全組件，承擔(dān)著終端安全防護(hù)的重要職責(zé)。首先，零信任終端代理具備信息采集能力，不僅可以實時收集終端設(shè)備的IP地址信息、MAC信息，還能夠獲取設(shè)備的地理位置數(shù)據(jù)、運行狀態(tài)等多維度環(huán)境信息。這些豐富的數(shù)據(jù)為后續(xù)的安全決策提供可靠的依據(jù)。其次，零信任終端代理確保數(shù)據(jù)傳輸?shù)陌踩?。通過采用先進(jìn)的加密技術(shù)，將業(yè)務(wù)訪問數(shù)據(jù)進(jìn)行安全封裝，確保數(shù)據(jù)在傳輸過程中不被竊取或篡改，從而保障信息的機(jī)密性和完整性。再次，零信任終端代理與零信任安全接入平臺之間建立了實時的信息互通機(jī)制，使得安全平臺能夠基于最新的終端狀態(tài)信息做出準(zhǔn)確的訪問控制決策。零信任安全接入平臺作為整個架構(gòu)的核心，通過身份/設(shè)備中心、訪問控制網(wǎng)關(guān)、信任評估中心三個關(guān)鍵組件的緊密配合，構(gòu)建了一個完整的安全防護(hù)體系：身份/設(shè)備中心作為安全驗證的基礎(chǔ)設(shè)施，身份/設(shè)備中心實現(xiàn)對接入實體的統(tǒng)一管理，確保每個接入點都是可信的，為后續(xù)的訪問控制提供可靠的身份基礎(chǔ)。訪問控制網(wǎng)關(guān)是實現(xiàn)零信任理念的關(guān)鍵執(zhí)行組件。它負(fù)責(zé)管理零信任代理的接入過程，確保數(shù)據(jù)傳輸?shù)陌踩?，并根?jù)決策中心的指令實施動態(tài)訪問控制。通過細(xì)粒度的訪問策略執(zhí)行，有效防止未經(jīng)授權(quán)的訪問行為。信任評估中心是整個平臺的大腦，負(fù)責(zé)整合分析來自各個零信任代理的安全信息，實時評估訪問請求的風(fēng)險等級，并據(jù)此動態(tài)調(diào)整安全策略。這種基于實時數(shù)據(jù)的信任評估機(jī)制，大大提高了系統(tǒng)的安全防護(hù)能力。零信任代理與零信任安全接入平臺的緊密配合，形成了完整的安全防護(hù)閉環(huán)。首先，終端零信任代理代理持續(xù)不斷地收集和上報安全信息，為信任評估提供實時、準(zhǔn)確的數(shù)據(jù)支持。其次，信任評估中心基于這些信息進(jìn)行智能分析和決策，并通過訪問控制網(wǎng)關(guān)實施相應(yīng)的安全策略。最后，整個系統(tǒng)通過持續(xù)的監(jiān)控和調(diào)整，確保電力系統(tǒng)的安全運行。電力物聯(lián)網(wǎng)終端技術(shù)要求通用技術(shù)要求終端分類電力物聯(lián)網(wǎng)終端：一種能夠?qū)﹄娋W(wǎng)對象或環(huán)境的狀態(tài)進(jìn)行感知，并具有簡單數(shù)據(jù)處理、通信、人機(jī)交互等全部或部分功能的裝置。管理信息系統(tǒng)終端：管理信息系統(tǒng)終端，是指電網(wǎng)企業(yè)運用先進(jìn)的計算機(jī)及其網(wǎng)絡(luò)技術(shù)，對經(jīng)營管理的過程信息進(jìn)行自動監(jiān)控和處理，實現(xiàn)智能化企業(yè)生產(chǎn)、經(jīng)營、管理。涉控涉敏終端：涉控終端指涉及物聯(lián)器件控制的電力物聯(lián)終端。視頻攝像頭的控制、物聯(lián)終端運行參數(shù)修改等操作不屬于涉控范圍。涉敏終端指涉及傳輸線路和設(shè)備參數(shù)、地理位置信息等敏感信息的電力物聯(lián)終端。包含電機(jī)控制器、專變能源控制器、充電樁、無人機(jī)等。一般終端：一般終端指除涉控、涉敏終端外的電力物聯(lián)終端。包含溫/濕度傳感器、氣象傳感器、高壓電纜隧道機(jī)器人、架空線路攝像頭、移動終端等?，F(xiàn)場采集部件：物聯(lián)網(wǎng)感知層本地網(wǎng)絡(luò)中不具備邊緣計算能力的傳感終端，用于信息采集并轉(zhuǎn)化為數(shù)字信號。智能業(yè)務(wù)終端： 物聯(lián)網(wǎng)感知層具備邊緣計算能力的智能設(shè)備。主要實現(xiàn)業(yè)務(wù)數(shù)據(jù)采集、本地通信、APP智能擴(kuò)展功能。終端身份電力物聯(lián)網(wǎng)終端身份滿足下列要求：應(yīng)為每個終端分配一個全局唯一的編碼，可以基于內(nèi)置芯片、內(nèi)置證書或設(shè)備的唯一性標(biāo)識來實現(xiàn)，例如MAC地址、總線地址等。電力物聯(lián)網(wǎng)終端應(yīng)能存儲終端身份信息，對于無法存儲的物聯(lián)網(wǎng)設(shè)備，身份信息應(yīng)存儲在終端的零信任代理所在實體上，零信任代理應(yīng)能夠根據(jù)電力物聯(lián)網(wǎng)終端屬性索引終端身份；處理零信任相關(guān)業(yè)務(wù)的數(shù)據(jù)，數(shù)據(jù)包中應(yīng)攜帶電力物聯(lián)網(wǎng)終端身份信息。終端通信電力物聯(lián)網(wǎng)終端通信滿足下列要求：電力物聯(lián)網(wǎng)終端與企業(yè)應(yīng)用、企業(yè)應(yīng)用其他實體之間交互時，需零信任代理實現(xiàn)；零信任代理可部署在電力物聯(lián)網(wǎng)終端上，對于無法部署零信任代理的終端，可在北向通道中的邊緣計算單元上部署，并在電力物聯(lián)網(wǎng)終端和零信任代理之間的建立可信通道。電力物聯(lián)終端應(yīng)支持電力應(yīng)用協(xié)議IEC60870-5-104。零信任代理技術(shù)要求通用技術(shù)要求終端安全零信任代理滿足下列要求：零信任代理可以根據(jù)終端設(shè)備的硬件信息生成唯一標(biāo)識碼，對終端設(shè)備進(jìn)行唯一標(biāo)識。零信任代理應(yīng)支持?jǐn)?shù)字證書的自動申請安裝，用于終端設(shè)備的身份校驗。零信任代理應(yīng)具備基本的信息采集能力，至少能采集終端mac地址、IP地址、地理位置、系統(tǒng)信息、軟件信息、安全狀態(tài)等信息中的兩種以上通信交互零信任代理通信交互滿足下列要求：零信任代理應(yīng)管理并維護(hù)電力物聯(lián)網(wǎng)終端身份標(biāo)識和信任評估度量；零信任代理在電力物聯(lián)網(wǎng)終端發(fā)起的請求包中應(yīng)附加信任評估值和電力物聯(lián)網(wǎng)終端身份信息；零信任代理應(yīng)根據(jù)安全管理或者安全策略的要求建立北向通道；北向通道應(yīng)采用加密措施確保通信數(shù)據(jù)的完整性、可用性和私密性。監(jiān)測審計監(jiān)測審計滿足下列要求：零信任代理應(yīng)具備收集請求信息，策略執(zhí)行信息，并應(yīng)將信息發(fā)送到審計監(jiān)測系統(tǒng)；零信任代理可在本地分析審計監(jiān)測數(shù)據(jù)，并應(yīng)將分析結(jié)果發(fā)送到審計監(jiān)測系統(tǒng)。性能與可用性性能與可用性滿足下列要求：零信任代理應(yīng)用優(yōu)化性能，盡量減少對設(shè)備CPU、內(nèi)存、磁盤等資源的消耗。零信任代理在網(wǎng)絡(luò)狀況不佳的情況下應(yīng)能確?；镜陌踩δ艹掷m(xù)有效。零信任代理版本更新過程應(yīng)確保向后兼容，避免因版本差異導(dǎo)致功能異常。零信任代理安全策略在更新過程中應(yīng)具備容錯和回滾機(jī)制，防止更新失敗影響終端正常運行。訪問控制網(wǎng)關(guān)要求安全接入技術(shù)要求默認(rèn)情況下，訪問控制網(wǎng)關(guān)僅允許零信任代理的通信，并在授權(quán)后才接受訪問主體連接。訪問主體建立連接前應(yīng)進(jìn)行SPA單包授權(quán)認(rèn)證。在SPA單包認(rèn)證成功之前，訪問控制網(wǎng)關(guān)不應(yīng)響應(yīng)來自非認(rèn)證主體的任何連接。訪問主體首次連接訪問控制網(wǎng)關(guān)必須進(jìn)行SPA單包授權(quán)認(rèn)證，其他數(shù)據(jù)包將被視為攻擊。訪問主體SPA認(rèn)證失敗時，服務(wù)端不做任何響應(yīng)。認(rèn)證和授權(quán)技術(shù)要求在進(jìn)一步的電力物聯(lián)網(wǎng)終端驗證之前，需先保證所有主機(jī)之間的連接必須使用帶有相互身份驗證的TLS或互聯(lián)網(wǎng)密鑰交換（IKE），證明請求訪問SDP的設(shè)備具有一個未過期且未被吊銷的私鑰。TLS客戶端和服務(wù)器的根證書必須綁定到已知的合法根證書，不應(yīng)由大多數(shù)用戶瀏覽器信任的數(shù)百個根證書組成。應(yīng)進(jìn)行電力物聯(lián)網(wǎng)終端認(rèn)證，驗證終端運行在可信環(huán)境，且終端上運行的軟件是可信的。應(yīng)進(jìn)行身份認(rèn)證，通過多因素認(rèn)證技術(shù)，驗證主體用戶身份。應(yīng)結(jié)合設(shè)備認(rèn)證和身份認(rèn)證情況，動態(tài)生成主體安全策略，作為主體初始化權(quán)限。通道管理技術(shù)要求應(yīng)采用傳輸層加密保護(hù)方式，對傳輸?shù)臄?shù)據(jù)進(jìn)行信道加密。執(zhí)行控制操作時，對操作數(shù)據(jù)應(yīng)進(jìn)行應(yīng)用層加密保護(hù)。電力物聯(lián)網(wǎng)終端到安全接入的傳輸層加密應(yīng)基于SSAL協(xié)議。訪問控制技術(shù)要求當(dāng)合法主體發(fā)生異常行為時，應(yīng)收到異常合法主體的縮權(quán)訪問控制和隔離阻斷控制指令。收到異常合法主體的縮權(quán)訪問控制和隔離阻斷控制指令后，應(yīng)通過訪問控制策略進(jìn)行相應(yīng)操作。訪問控制應(yīng)防止通過物理或其他技術(shù)手段被繞過。應(yīng)支持基于電力物聯(lián)網(wǎng)終端的信任度量結(jié)果，對其訪問權(quán)限進(jìn)行動態(tài)管控，允許或拒絕終端的接入請求和資源訪問應(yīng)能夠與信任評估中心聯(lián)動，根據(jù)實時的安全策略和終端信任狀態(tài)，調(diào)整訪問控制規(guī)則，實現(xiàn)動態(tài)管控安全監(jiān)測技術(shù)要求應(yīng)對電力物聯(lián)網(wǎng)終端的本體狀態(tài)、連接狀態(tài)、訪問狀態(tài)進(jìn)行監(jiān)控，監(jiān)控日志數(shù)據(jù)上報策略決策點。信任評估單元數(shù)據(jù)采集要求信任評估中心可以接收零信任代理采集的終端信息，包括且不限于終端MAC、IP地址、地理位置、系統(tǒng)信息、安全轉(zhuǎn)改信息等。信任評估中心可以獲取訪問控制網(wǎng)關(guān)模塊中終端業(yè)務(wù)訪問日志數(shù)據(jù)，可以基于終端業(yè)務(wù)訪問行為進(jìn)行信任度量信任度量要求應(yīng)具備電力物聯(lián)網(wǎng)終端信任度量基準(zhǔn)，明確電力物聯(lián)網(wǎng)終端信任等級，信任度量作為電力物聯(lián)網(wǎng)終端接入和業(yè)務(wù)訪問判定條件；應(yīng)具備電力物聯(lián)網(wǎng)終端信任度量屬性集和信任度量算法，信任度量算法基于終端屬性計算終端信任值；信任度量屬性集可包括電力物聯(lián)網(wǎng)終端廠商和版本信息、可信評估值、監(jiān)測軟件評估信息，信任度量屬性可駐留在電力物聯(lián)網(wǎng)終端本地供零信任代理查詢，也可以在物聯(lián)管理平臺中；信任度量屬性集和信任度量算法根據(jù)安全因素和環(huán)境形式動態(tài)調(diào)整。應(yīng)確保信任評估的準(zhǔn)確性和時效性，信任度量結(jié)果作為終端接入和業(yè)務(wù)訪問的判定條件。信任策略管理信任策略管理應(yīng)基于主體信任等級實現(xiàn)授權(quán)決策判定。終端主體信任等級應(yīng)根據(jù)實時多源數(shù)據(jù)，如身份、權(quán)限、訪問日志、網(wǎng)絡(luò)流量等信息計算得出。應(yīng)通過專家系統(tǒng)、機(jī)器學(xué)習(xí)等人工智能技術(shù)，根據(jù)應(yīng)用場景生成相應(yīng)信任評估策略。信任策略配置信任策略應(yīng)與訪問控制引擎聯(lián)動，持續(xù)為其提供主體信任等級評估、資源安全等級評估以及環(huán)境評估等評估數(shù)據(jù)，作為訪問控制策略判定依據(jù)。

（資料性）

零信任安全接入示意營銷終端接入