2024電力物聯(lián)網(wǎng)終端零信任安全接入技術(shù)規(guī)范

Q/LB.□XXXXX-XXXX錯(cuò)誤！文檔中沒有指定樣式的文字。目次TOC\o"1-1"\h\t"標(biāo)準(zhǔn)文件_一級(jí)條標(biāo)題,2,標(biāo)準(zhǔn)文件_附錄一級(jí)條標(biāo)題,2,"32668前言 260111范圍 3305182規(guī)范性引用文件 315173術(shù)語(yǔ)和定義 392834縮略語(yǔ) 4115875總則 4235345.1部署架構(gòu) 4209565.2防護(hù)架構(gòu) 534436電力物聯(lián)網(wǎng)終端技術(shù)要求 6227756.1通用技術(shù)要求 6144037零信任代理技術(shù)要求 7242607.1通用技術(shù)要求 7164567.2訪問控制網(wǎng)關(guān)要求 8302288信任評(píng)估單元 8310628.1數(shù)據(jù)采集要求 998758.2信任度量要求 9192048.3信任策略管理 996388.4信任策略配置 96285附錄A（資料性）零信任安全接入示意 1026470編??制??說??明 11PAGE9電力物聯(lián)網(wǎng)終端零信任安全接入技術(shù)規(guī)范范圍本標(biāo)準(zhǔn)規(guī)定了電力物聯(lián)網(wǎng)終端零信任接入的安全技術(shù)要求的總則、電力物聯(lián)網(wǎng)終端技術(shù)要求、零信任代理技術(shù)要求、接入安全要求、信任評(píng)估單元、通信安全要求。明確本標(biāo)準(zhǔn)涉及終端，本文件終端含管理信息系統(tǒng)終端、涉控涉敏終端、一般終端、現(xiàn)場(chǎng)采集部件和智能業(yè)務(wù)終端等。本標(biāo)準(zhǔn)適用于電力物聯(lián)網(wǎng)終端零信任接入的設(shè)計(jì)、開發(fā)和選型，適用范圍為管理信息大區(qū)和互聯(lián)網(wǎng)大區(qū)。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T43696-2024網(wǎng)絡(luò)安全技術(shù)零信任參考體系架構(gòu)T/CESA1165-2021零信任系統(tǒng)技術(shù)規(guī)范GB/T37032-2018物聯(lián)網(wǎng)標(biāo)識(shí)體系總則參考文獻(xiàn)Q/GDW12098-2021電力物聯(lián)網(wǎng)術(shù)語(yǔ)術(shù)語(yǔ)YD/T4574-2023零信任安全技術(shù)參考框架術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。3.1零信任zerotrust一種以資源保護(hù)為核心的網(wǎng)絡(luò)安全理念。[來源：GB/T43696-2024，3.1]3.2主體subject發(fā)起訪問請(qǐng)求的實(shí)體。[來源：GB/T43696-2024，3.1]3.3資源subject發(fā)起訪問請(qǐng)求的實(shí)體。[來源：GB/T43696-2024，3.1]3.4零信任代理terminalzerotrustagent代理終端完成零信任處理的軟件實(shí)體，是身份認(rèn)證和訪問控制的策略執(zhí)行點(diǎn)。物聯(lián)網(wǎng)中，終端零信任代理和物聯(lián)網(wǎng)終端可以是不同的物理實(shí)體，但終端和終端零信任代理之間應(yīng)有可信通道進(jìn)行交互。[來源：YD/T4574-2023零信任安全技術(shù)參考框架,3.1]3.5零信任技術(shù)旨在降低訪問過程安全風(fēng)險(xiǎn)的持續(xù)動(dòng)態(tài)安全訪問控制技術(shù)[來源：T/CESA1165-2021,3.1]縮略語(yǔ)下列縮略語(yǔ)適用于本文件。IP：互聯(lián)網(wǎng)協(xié)議（InternetProtocol）MAC：媒體訪問控制（MediaAccessControl）VPN：虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork）SPA：?jiǎn)伟J(rèn)證（SinglePacketAuthentication）SDP：軟件定義邊界（SoftwareDefinedPerimeter）IPsec：互聯(lián)網(wǎng)安全協(xié)議（InternetProtocolSecurity）NSA：非獨(dú)立組網(wǎng)（Non-Standalone）SA：獨(dú)立組網(wǎng)（Standaloner）IEC：國(guó)際電工委員會(huì)（InternationalElectroTechnicalCommission）IKE：Internet密鑰交換協(xié)議（InternetKeyExchange）TLS：傳輸層安全性協(xié)議（TransportLayerSecurity）SSAL：SSAL國(guó)家電網(wǎng)公司安全應(yīng)用層協(xié)議（StateGridCorporationofChina)SecureApplicationLayerProtocol）總則部署架構(gòu)零信任體系架構(gòu)在電力物聯(lián)網(wǎng)管理信息大區(qū)和互聯(lián)網(wǎng)大區(qū)的應(yīng)用主要體現(xiàn)在終端安全接入和業(yè)務(wù)系統(tǒng)訪問控制兩個(gè)方面。零信任代理是安全防護(hù)的關(guān)鍵組件，部署在智能終端和邊緣物聯(lián)代理設(shè)備上。零信任代理可實(shí)時(shí)收集設(shè)備的多維數(shù)據(jù)（含IP、MAC、位置和狀態(tài)），同時(shí)通過加密封裝確保數(shù)據(jù)安全傳輸，并與零信任安全接入平臺(tái)實(shí)時(shí)同步信息以實(shí)現(xiàn)精確的訪問控制。在信息和互聯(lián)網(wǎng)大區(qū)的二/三級(jí)域出口或安全接入?yún)^(qū)部署零信任安全接入平臺(tái)，實(shí)現(xiàn)統(tǒng)一管控。零信任安全接入平臺(tái)通過零信任代理收集多維數(shù)據(jù)，實(shí)時(shí)評(píng)估終端風(fēng)險(xiǎn)并執(zhí)行訪問控制，同時(shí)確保物聯(lián)網(wǎng)終端設(shè)備的可信度。通過零信任代理與零信任安全接入平臺(tái)的協(xié)同運(yùn)作，形成一套完整的物聯(lián)網(wǎng)終端安全接入防護(hù)體系。防護(hù)架構(gòu)零信任安全接入架構(gòu)主要包含零信任代理和零信任安全接入平臺(tái)兩部分零信任終端代理作為物聯(lián)網(wǎng)設(shè)備接入電力系統(tǒng)網(wǎng)絡(luò)的關(guān)鍵安全組件，承擔(dān)著終端安全防護(hù)的重要職責(zé)。首先，零信任終端代理具備信息采集能力，不僅可以實(shí)時(shí)收集終端設(shè)備的IP地址信息、MAC信息，還能夠獲取設(shè)備的地理位置數(shù)據(jù)、運(yùn)行狀態(tài)等多維度環(huán)境信息。這些豐富的數(shù)據(jù)為后續(xù)的安全決策提供可靠的依據(jù)。其次，零信任終端代理確保數(shù)據(jù)傳輸?shù)陌踩浴Ｍㄟ^采用先進(jìn)的加密技術(shù)，將業(yè)務(wù)訪問數(shù)據(jù)進(jìn)行安全封裝，確保數(shù)據(jù)在傳輸過程中不被竊取或篡改，從而保障信息的機(jī)密性和完整性。再次，零信任終端代理與零信任安全接入平臺(tái)之間建立了實(shí)時(shí)的信息互通機(jī)制，使得安全平臺(tái)能夠基于最新的終端狀態(tài)信息做出準(zhǔn)確的訪問控制決策。零信任安全接入平臺(tái)作為整個(gè)架構(gòu)的核心，通過身份/設(shè)備中心、訪問控制網(wǎng)關(guān)、信任評(píng)估中心三個(gè)關(guān)鍵組件的緊密配合，構(gòu)建了一個(gè)完整的安全防護(hù)體系：身份/設(shè)備中心作為安全驗(yàn)證的基礎(chǔ)設(shè)施，身份/設(shè)備中心實(shí)現(xiàn)對(duì)接入實(shí)體的統(tǒng)一管理，確保每個(gè)接入點(diǎn)都是可信的，為后續(xù)的訪問控制提供可靠的身份基礎(chǔ)。訪問控制網(wǎng)關(guān)是實(shí)現(xiàn)零信任理念的關(guān)鍵執(zhí)行組件。它負(fù)責(zé)管理零信任代理的接入過程，確保數(shù)據(jù)傳輸?shù)陌踩?，并根?jù)決策中心的指令實(shí)施動(dòng)態(tài)訪問控制。通過細(xì)粒度的訪問策略執(zhí)行，有效防止未經(jīng)授權(quán)的訪問行為。信任評(píng)估中心是整個(gè)平臺(tái)的大腦，負(fù)責(zé)整合分析來自各個(gè)零信任代理的安全信息，實(shí)時(shí)評(píng)估訪問請(qǐng)求的風(fēng)險(xiǎn)等級(jí)，并據(jù)此動(dòng)態(tài)調(diào)整安全策略。這種基于實(shí)時(shí)數(shù)據(jù)的信任評(píng)估機(jī)制，大大提高了系統(tǒng)的安全防護(hù)能力。零信任代理與零信任安全接入平臺(tái)的緊密配合，形成了完整的安全防護(hù)閉環(huán)。首先，終端零信任代理代理持續(xù)不斷地收集和上報(bào)安全信息，為信任評(píng)估提供實(shí)時(shí)、準(zhǔn)確的數(shù)據(jù)支持。其次，信任評(píng)估中心基于這些信息進(jìn)行智能分析和決策，并通過訪問控制網(wǎng)關(guān)實(shí)施相應(yīng)的安全策略。最后，整個(gè)系統(tǒng)通過持續(xù)的監(jiān)控和調(diào)整，確保電力系統(tǒng)的安全運(yùn)行。電力物聯(lián)網(wǎng)終端技術(shù)要求通用技術(shù)要求終端分類電力物聯(lián)網(wǎng)終端：一種能夠?qū)﹄娋W(wǎng)對(duì)象或環(huán)境的狀態(tài)進(jìn)行感知，并具有簡(jiǎn)單數(shù)據(jù)處理、通信、人機(jī)交互等全部或部分功能的裝置。管理信息系統(tǒng)終端：管理信息系統(tǒng)終端，是指電網(wǎng)企業(yè)運(yùn)用先進(jìn)的計(jì)算機(jī)及其網(wǎng)絡(luò)技術(shù)，對(duì)經(jīng)營(yíng)管理的過程信息進(jìn)行自動(dòng)監(jiān)控和處理，實(shí)現(xiàn)智能化企業(yè)生產(chǎn)、經(jīng)營(yíng)、管理。涉控涉敏終端：涉控終端指涉及物聯(lián)器件控制的電力物聯(lián)終端。視頻攝像頭的控制、物聯(lián)終端運(yùn)行參數(shù)修改等操作不屬于涉控范圍。涉敏終端指涉及傳輸線路和設(shè)備參數(shù)、地理位置信息等敏感信息的電力物聯(lián)終端。包含電機(jī)控制器、專變能源控制器、充電樁、無人機(jī)等。一般終端：一般終端指除涉控、涉敏終端外的電力物聯(lián)終端。包含溫/濕度傳感器、氣象傳感器、高壓電纜隧道機(jī)器人、架空線路攝像頭、移動(dòng)終端等?，F(xiàn)場(chǎng)采集部件：物聯(lián)網(wǎng)感知層本地網(wǎng)絡(luò)中不具備邊緣計(jì)算能力的傳感終端，用于信息采集并轉(zhuǎn)化為數(shù)字信號(hào)。智能業(yè)務(wù)終端： 物聯(lián)網(wǎng)感知層具備邊緣計(jì)算能力的智能設(shè)備。主要實(shí)現(xiàn)業(yè)務(wù)數(shù)據(jù)采集、本地通信、APP智能擴(kuò)展功能。終端身份電力物聯(lián)網(wǎng)終端身份滿足下列要求：應(yīng)為每個(gè)終端分配一個(gè)全局唯一的編碼，可以基于內(nèi)置芯片、內(nèi)置證書或設(shè)備的唯一性標(biāo)識(shí)來實(shí)現(xiàn)，例如MAC地址、總線地址等。電力物聯(lián)網(wǎng)終端應(yīng)能存儲(chǔ)終端身份信息，對(duì)于無法存儲(chǔ)的物聯(lián)網(wǎng)設(shè)備，身份信息應(yīng)存儲(chǔ)在終端的零信任代理所在實(shí)體上，零信任代理應(yīng)能夠根據(jù)電力物聯(lián)網(wǎng)終端屬性索引終端身份；處理零信任相關(guān)業(yè)務(wù)的數(shù)據(jù)，數(shù)據(jù)包中應(yīng)攜帶電力物聯(lián)網(wǎng)終端身份信息。終端通信電力物聯(lián)網(wǎng)終端通信滿足下列要求：電力物聯(lián)網(wǎng)終端與企業(yè)應(yīng)用、企業(yè)應(yīng)用其他實(shí)體之間交互時(shí)，需零信任代理實(shí)現(xiàn)；零信任代理可部署在電力物聯(lián)網(wǎng)終端上，對(duì)于無法部署零信任代理的終端，可在北向通道中的邊緣計(jì)算單元上部署，并在電力物聯(lián)網(wǎng)終端和零信任代理之間的建立可信通道。電力物聯(lián)終端應(yīng)支持電力應(yīng)用協(xié)議IEC60870-5-104。零信任代理技術(shù)要求通用技術(shù)要求終端安全零信任代理滿足下列要求：零信任代理可以根據(jù)終端設(shè)備的硬件信息生成唯一標(biāo)識(shí)碼，對(duì)終端設(shè)備進(jìn)行唯一標(biāo)識(shí)。零信任代理應(yīng)支持?jǐn)?shù)字證書的自動(dòng)申請(qǐng)安裝，用于終端設(shè)備的身份校驗(yàn)。零信任代理應(yīng)具備基本的信息采集能力，至少能采集終端mac地址、IP地址、地理位置、系統(tǒng)信息、軟件信息、安全狀態(tài)等信息中的兩種以上通信交互零信任代理通信交互滿足下列要求：零信任代理應(yīng)管理并維護(hù)電力物聯(lián)網(wǎng)終端身份標(biāo)識(shí)和信任評(píng)估度量；零信任代理在電力物聯(lián)網(wǎng)終端發(fā)起的請(qǐng)求包中應(yīng)附加信任評(píng)估值和電力物聯(lián)網(wǎng)終端身份信息；零信任代理應(yīng)根據(jù)安全管理或者安全策略的要求建立北向通道；北向通道應(yīng)采用加密措施確保通信數(shù)據(jù)的完整性、可用性和私密性。監(jiān)測(cè)審計(jì)監(jiān)測(cè)審計(jì)滿足下列要求：零信任代理應(yīng)具備收集請(qǐng)求信息，策略執(zhí)行信息，并應(yīng)將信息發(fā)送到審計(jì)監(jiān)測(cè)系統(tǒng)；零信任代理可在本地分析審計(jì)監(jiān)測(cè)數(shù)據(jù)，并應(yīng)將分析結(jié)果發(fā)送到審計(jì)監(jiān)測(cè)系統(tǒng)。性能與可用性性能與可用性滿足下列要求：零信任代理應(yīng)用優(yōu)化性能，盡量減少對(duì)設(shè)備CPU、內(nèi)存、磁盤等資源的消耗。零信任代理在網(wǎng)絡(luò)狀況不佳的情況下應(yīng)能確?；镜陌踩δ艹掷m(xù)有效。零信任代理版本更新過程應(yīng)確保向后兼容，避免因版本差異導(dǎo)致功能異常。零信任代理安全策略在更新過程中應(yīng)具備容錯(cuò)和回滾機(jī)制，防止更新失敗影響終端正常運(yùn)行。訪問控制網(wǎng)關(guān)要求安全接入技術(shù)要求默認(rèn)情況下，訪問控制網(wǎng)關(guān)僅允許零信任代理的通信，并在授權(quán)后才接受訪問主體連接。訪問主體建立連接前應(yīng)進(jìn)行SPA單包授權(quán)認(rèn)證。在SPA單包認(rèn)證成功之前，訪問控制網(wǎng)關(guān)不應(yīng)響應(yīng)來自非認(rèn)證主體的任何連接。訪問主體首次連接訪問控制網(wǎng)關(guān)必須進(jìn)行SPA單包授權(quán)認(rèn)證，其他數(shù)據(jù)包將被視為攻擊。訪問主體SPA認(rèn)證失敗時(shí)，服務(wù)端不做任何響應(yīng)。認(rèn)證和授權(quán)技術(shù)要求在進(jìn)一步的電力物聯(lián)網(wǎng)終端驗(yàn)證之前，需先保證所有主機(jī)之間的連接必須使用帶有相互身份驗(yàn)證的TLS或互聯(lián)網(wǎng)密鑰交換（IKE），證明請(qǐng)求訪問SDP的設(shè)備具有一個(gè)未過期且未被吊銷的私鑰。TLS客戶端和服務(wù)器的根證書必須綁定到已知的合法根證書，不應(yīng)由大多數(shù)用戶瀏覽器信任的數(shù)百個(gè)根證書組成。應(yīng)進(jìn)行電力物聯(lián)網(wǎng)終端認(rèn)證，驗(yàn)證終端運(yùn)行在可信環(huán)境，且終端上運(yùn)行的軟件是可信的。應(yīng)進(jìn)行身份認(rèn)證，通過多因素認(rèn)證技術(shù)，驗(yàn)證主體用戶身份。應(yīng)結(jié)合設(shè)備認(rèn)證和身份認(rèn)證情況，動(dòng)態(tài)生成主體安全策略，作為主體初始化權(quán)限。通道管理技術(shù)要求應(yīng)采用傳輸層加密保護(hù)方式，對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行信道加密。執(zhí)行控制操作時(shí)，對(duì)操作數(shù)據(jù)應(yīng)進(jìn)行應(yīng)用層加密保護(hù)。電力物聯(lián)網(wǎng)終端到安全接入的傳輸層加密應(yīng)基于SSAL協(xié)議。訪問控制技術(shù)要求當(dāng)合法主體發(fā)生異常行為時(shí)，應(yīng)收到異常合法主體的縮權(quán)訪問控制和隔離阻斷控制指令。收到異常合法主體的縮權(quán)訪問控制和隔離阻斷控制指令后，應(yīng)通過訪問控制策略進(jìn)行相應(yīng)操作。訪問控制應(yīng)防止通過物理或其他技術(shù)手段被繞過。應(yīng)支持基于電力物聯(lián)網(wǎng)終端的信任度量結(jié)果，對(duì)其訪問權(quán)限進(jìn)行動(dòng)態(tài)管控，允許或拒絕終端的接入請(qǐng)求和資源訪問應(yīng)能夠與信任評(píng)估中心聯(lián)動(dòng)，根據(jù)實(shí)時(shí)的安全策略和終端信任狀態(tài)，調(diào)整訪問控制規(guī)則，實(shí)現(xiàn)動(dòng)態(tài)管控安全監(jiān)測(cè)技術(shù)要求應(yīng)對(duì)電力物聯(lián)網(wǎng)終端的本體狀態(tài)、連接狀態(tài)、訪問狀態(tài)進(jìn)行監(jiān)控，監(jiān)控日志數(shù)據(jù)上報(bào)策略決策點(diǎn)。信任評(píng)估單元數(shù)據(jù)采集要求信任評(píng)估中心可以接收零信任代理采集的終端信息，包括且不限于終端MAC、IP地址、地理位置、系統(tǒng)信息、安全轉(zhuǎn)改信息等。信任評(píng)估中心可以獲取訪問控制網(wǎng)關(guān)模塊中終端業(yè)務(wù)訪問日志數(shù)據(jù)，可以基于終端業(yè)務(wù)訪問行為進(jìn)行信任度量信任度量要求應(yīng)具備電力物聯(lián)網(wǎng)終端信任度量基準(zhǔn)，明確電力物聯(lián)網(wǎng)終端信任等級(jí)，信任度量作為電力物聯(lián)網(wǎng)終端接入和業(yè)務(wù)訪問判定條件；應(yīng)具備電力物聯(lián)網(wǎng)終端信任度量屬性集和信任度量算法，信任度量算法基于終端屬性計(jì)算終端信任值；信任度量屬性集可包括電力物聯(lián)網(wǎng)終端廠商和版本信息、可信評(píng)估值、監(jiān)測(cè)軟件評(píng)估信息，信任度量屬性可駐留在電力物聯(lián)網(wǎng)終端本地供零信任代理查詢，也可以在物聯(lián)管理平臺(tái)中；信任度量屬性集和信任度量算法根據(jù)安全因素和環(huán)境形式動(dòng)態(tài)調(diào)整。應(yīng)確保信任評(píng)估的準(zhǔn)確性和時(shí)效性，信任度量結(jié)果作為終端接入和業(yè)務(wù)訪問的判定條件。信任策略管理信任策略管理應(yīng)基于主體信任等級(jí)實(shí)現(xiàn)授權(quán)決策判定。終端主體信任等級(jí)應(yīng)根據(jù)實(shí)時(shí)多源數(shù)據(jù)，如身份、權(quán)限、訪問日志、網(wǎng)絡(luò)流量等信息計(jì)算得出。應(yīng)通過專家系統(tǒng)、機(jī)器學(xué)習(xí)等人工智能技術(shù)，根據(jù)應(yīng)用場(chǎng)景生成相應(yīng)信任評(píng)估策略。信任策略配置信任策略應(yīng)與訪問控制引擎聯(lián)動(dòng)，持續(xù)為其提供主體信任等級(jí)評(píng)估、資源安全等級(jí)評(píng)估以及環(huán)境評(píng)估等評(píng)估數(shù)據(jù)，作為訪問控制策略判定依據(jù)。

（資料性）

零信任安全接入示意營(yíng)銷終端接入