面向配電主站云化部署的安全防護(hù)技術(shù)研究

◆陳岑 常昊 李暖暖 蔡軍飛

面向配電主站云化部署的安全防護(hù)技術(shù)研究

◆陳岑 常昊 李暖暖 蔡軍飛

（國(guó)網(wǎng)河南省電力公司電力科學(xué)研究院 河南 450000）

文本開(kāi)展面向配電云主站的安全防護(hù)關(guān)鍵技術(shù)研究，分析當(dāng)前配電主站云化部署存在的安全風(fēng)險(xiǎn)，研究云化部署的配電主站安全的防護(hù)架構(gòu)，并著重開(kāi)展配電二次系統(tǒng)主站云化部署的安全隔離、訪問(wèn)控制技術(shù)以及零信任技術(shù)的應(yīng)用研究。

配電云主站；安全隔離；零信任

隨著電力物聯(lián)網(wǎng)的建設(shè)和發(fā)展，配電主站向智能化、互聯(lián)化發(fā)展，各環(huán)節(jié)業(yè)務(wù)模式、功能定位以及工作方式相比傳統(tǒng)配電監(jiān)控系統(tǒng)“主站-通信網(wǎng)-終端”架構(gòu)，變得更加靈活、開(kāi)放、高效。當(dāng)前配電自動(dòng)化系統(tǒng)的安全防護(hù)體系以“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”為原則，形成了橫跨生產(chǎn)控制大區(qū)與管理信息大區(qū)、覆蓋主站、通信、終端、邊界等層面的縱深防御體系，但是網(wǎng)絡(luò)安全的防御重心主要在邊界防護(hù)，針對(duì)配電業(yè)務(wù)云化部署的安全防護(hù)體系尚不完善，難以有效應(yīng)對(duì)各類越來(lái)越復(fù)雜和智能化的滲透式網(wǎng)絡(luò)入侵，因此有必要開(kāi)展面向配電主站云化部署的安全防護(hù)關(guān)鍵技術(shù)研究。

1 配電主站云化部署存在的安全風(fēng)險(xiǎn)分析

配電自動(dòng)化主站云化部署后具有服務(wù)虛擬化、物理/存儲(chǔ)資源共享、數(shù)據(jù)集中處理、廣泛共享、多方交叉等特點(diǎn)。一是若云平臺(tái)自身虛擬資源的隔離措施不到位，可能會(huì)造成不同應(yīng)用之間的非法訪問(wèn)或信息泄露；二是云平臺(tái)多系統(tǒng)、多應(yīng)用導(dǎo)致存在漏洞的概率上升，若云平臺(tái)對(duì)異常行為的預(yù)防不到位，則面臨攻擊者可利用漏洞潛入系統(tǒng)，導(dǎo)致系統(tǒng)癱瘓或失控事件發(fā)生；三是目前的安全防護(hù)機(jī)制不能適應(yīng)新型網(wǎng)絡(luò)架構(gòu)、配電業(yè)務(wù)云化部署的技術(shù)需求，不能保證配電網(wǎng)控制指令的正確下發(fā)，核心業(yè)務(wù)數(shù)據(jù)的機(jī)密性。

因此，有必要開(kāi)展配電二次系統(tǒng)主站云化部署的安全隔離[1-6]、基于零信任的訪問(wèn)控制技術(shù)等關(guān)鍵技術(shù)研究[7-8]，支撐安全防護(hù)體系的有效落地，保證配電網(wǎng)自動(dòng)化系統(tǒng)的網(wǎng)絡(luò)信息安全。

2 云化部署的配電主站安全防護(hù)架構(gòu)的研究

分析和梳理配電自動(dòng)化主站業(yè)務(wù)云化部署體系架構(gòu)，從行業(yè)及公司層面梳理分析配電自動(dòng)化的典型業(yè)務(wù)云化部署的安全風(fēng)險(xiǎn)和需求，分析云主站面臨的業(yè)務(wù)虛擬化部署、計(jì)算資源共享、存儲(chǔ)空間共用等邊界模糊化問(wèn)題變化及特點(diǎn)；在基礎(chǔ)硬件安全、虛擬資源安全、主站服務(wù)資源安全研究的基礎(chǔ)上，重點(diǎn)研究基于零信任網(wǎng)絡(luò)的云主站業(yè)務(wù)安全，從安全隔離、零信任、智能防御三個(gè)方面，研究微隔離、動(dòng)態(tài)訪問(wèn)控制等關(guān)鍵技術(shù)，開(kāi)展多維配電自動(dòng)化主站業(yè)務(wù)云化部署體系架構(gòu)設(shè)計(jì)，形成由配電主站業(yè)務(wù)與數(shù)據(jù)的橫向微隔離防護(hù)維度（X軸-T）、云基礎(chǔ)設(shè)備多層防護(hù)維度（Y軸-E）、基于配電電云主站人員、設(shè)備和服務(wù)的零信任訪問(wèn)控制維度（Z軸-M）的三維空間立體防御結(jié)構(gòu)，如圖1所示。

（1）云基礎(chǔ)設(shè)備多層防護(hù)維度（Y軸-E）：從云平臺(tái)的基礎(chǔ)硬件設(shè)施出發(fā)，對(duì)云平臺(tái)的機(jī)房安全、網(wǎng)絡(luò)安全和設(shè)備安全實(shí)施監(jiān)視，對(duì)云平臺(tái)虛擬資源安全進(jìn)行細(xì)粒度監(jiān)視，包括虛擬機(jī)資源、數(shù)據(jù)庫(kù)安全、容器安全，計(jì)算資源、存儲(chǔ)資源和網(wǎng)絡(luò)資源，同時(shí)對(duì)云平臺(tái)的服務(wù)安全進(jìn)行監(jiān)視，包括總線安全、數(shù)據(jù)安全、接口安全和應(yīng)用安全，通過(guò)對(duì)云平臺(tái)基礎(chǔ)設(shè)備多層動(dòng)態(tài)細(xì)粒度安全分類，使配電自動(dòng)化云主站系統(tǒng)安全基礎(chǔ)安全防御系統(tǒng)成為一個(gè)有機(jī)整體，從而提高系統(tǒng)的整體安全能力。

（2）橫向微隔離防護(hù)（X軸-T）：從配電自動(dòng)化主站的關(guān)鍵業(yè)務(wù)出發(fā)，研究虛擬化業(yè)務(wù)微隔離技術(shù)，將中壓線損分析、中壓故障研判、中壓設(shè)備狀態(tài)評(píng)價(jià)、低壓用戶接入方案智能編排、臺(tái)區(qū)電能優(yōu)化和低壓供電可靠性等關(guān)鍵業(yè)務(wù)進(jìn)行微隔離，根據(jù)不同的業(yè)務(wù)種類配置不同的隔離策略，自動(dòng)對(duì)業(yè)務(wù)進(jìn)行安全防護(hù)，阻止數(shù)據(jù)及服務(wù)的東西向非法傳輸。

（3）基于人員、設(shè)備和服務(wù)的零信任訪問(wèn)控制（Z軸-M）：通過(guò)研究配電自動(dòng)化系統(tǒng)云主站用戶、設(shè)備、應(yīng)用程序、業(yè)務(wù)系統(tǒng)等物理實(shí)體建立統(tǒng)一的數(shù)字身份標(biāo)識(shí)，將應(yīng)用、服務(wù)、接口、數(shù)據(jù)等視作業(yè)務(wù)資源，實(shí)現(xiàn)對(duì)訪問(wèn)主體的可信識(shí)別，設(shè)計(jì)一種基于多維度的動(dòng)態(tài)訪問(wèn)控制策略，集人員、設(shè)備、網(wǎng)絡(luò)、數(shù)據(jù)及工作環(huán)境等多源數(shù)據(jù)屬性于一體，實(shí)現(xiàn)對(duì)服務(wù)、應(yīng)用及數(shù)據(jù)的細(xì)粒度動(dòng)態(tài)訪問(wèn)控制授權(quán)，平衡了訪問(wèn)主體與云主站的權(quán)限和操作安全，通過(guò)身份標(biāo)識(shí)、異常狀態(tài)安全監(jiān)測(cè)及動(dòng)態(tài)放控制，構(gòu)建零信任安全防御平臺(tái)，保障配電云主站的訪問(wèn)安全。

圖1 云化部署的配電主站安全防護(hù)架構(gòu)

通過(guò)三維立體化動(dòng)態(tài)防御體系構(gòu)架，保護(hù)云主站的虛擬機(jī)安全和容器安全、云主站業(yè)務(wù)的訪問(wèn)控制和數(shù)據(jù)安全、云主站的接口安全和應(yīng)用安全，并建立涵蓋身份管理、動(dòng)態(tài)訪問(wèn)控制、異常識(shí)別和風(fēng)險(xiǎn)預(yù)警等的云主站安全管理機(jī)制，構(gòu)建零信任網(wǎng)絡(luò)模型的云主站主動(dòng)防御架構(gòu)，提高云主站對(duì)各類已知、未知特征攻擊行為的綜合防御能力。

3 云主站業(yè)務(wù)虛擬化部署的安全隔離技術(shù)研究

結(jié)合配電主站業(yè)務(wù)特點(diǎn)，分析其業(yè)務(wù)的微服務(wù)特征，圍繞容器安全隔離技術(shù)開(kāi)展研究[9-13]。在每個(gè)容器中部署微隔離模塊，可視化容器內(nèi)業(yè)務(wù)之間的網(wǎng)絡(luò)聯(lián)通關(guān)系，為微隔離分組以及微隔離策略的生成提供元數(shù)據(jù)信息，將聯(lián)通關(guān)系轉(zhuǎn)換為概率矩陣，生成具有關(guān)聯(lián)性的多個(gè)微隔離分組。最終通過(guò)微隔離控制臺(tái)將關(guān)聯(lián)性關(guān)系上送給安全中心，結(jié)合配電主站業(yè)務(wù)微服務(wù)特征，根據(jù)人員、應(yīng)用間的關(guān)聯(lián)關(guān)系，生成隔離策略，下發(fā)給微隔離控制臺(tái)，通過(guò)微隔離控制平臺(tái)對(duì)每個(gè)容器業(yè)務(wù)訪問(wèn)進(jìn)行動(dòng)態(tài)嚴(yán)格管控，具體實(shí)現(xiàn)如下（圖2）：

圖2 云主站業(yè)務(wù)虛擬化部署的安全隔離技術(shù)

（1）基于配電主站的微服務(wù)化的安全容器構(gòu)建技術(shù)

基于云工作負(fù)載保護(hù)平臺(tái)，在容器中安裝微隔離模塊，獲取工作負(fù)載之間的網(wǎng)絡(luò)流量，并以可視化展示東西向網(wǎng)絡(luò)訪問(wèn)關(guān)系，保證云主站業(yè)務(wù)訪問(wèn)的可視化。通過(guò)分布式部署的微隔離模塊，在微隔離控制平臺(tái)建立統(tǒng)一的隔離策略計(jì)算引擎，并對(duì)其進(jìn)行端到端的安全隔離策略。進(jìn)一步基于聚類算法建立邏輯視角的微隔離組，進(jìn)而劃分單機(jī)/多機(jī)/單組/多組的邏輯域，以組間隔離、域間隔離等模式實(shí)施安全隔離策略，實(shí)現(xiàn)業(yè)務(wù)之間的認(rèn)證和細(xì)粒度的訪問(wèn)授權(quán)，限制業(yè)務(wù)容器之間的東西向數(shù)據(jù)流，阻止網(wǎng)絡(luò)攻擊的橫向平移。

（2）安全容器的隔離策略自適應(yīng)技術(shù)

在容器發(fā)生遷移，復(fù)制，彈性擴(kuò)展等操作時(shí)，研究隔離策略自適應(yīng)技術(shù)，通過(guò)微隔離控制平臺(tái)中的隔離策略計(jì)算引擎自動(dòng)進(jìn)行策略的實(shí)時(shí)定量計(jì)算，完成策略的動(dòng)態(tài)調(diào)整，并最大程度地減少人工參與。微隔離控制平臺(tái)將調(diào)整后的隔離策略分發(fā)到各容器的執(zhí)行單元即微隔離模塊，實(shí)現(xiàn)基于業(yè)務(wù)視角的精細(xì)粒度化和實(shí)時(shí)隔離策略調(diào)整，防止環(huán)境變化過(guò)程中的隔離策略失效。

4 基于零信任網(wǎng)絡(luò)的云主站業(yè)務(wù)動(dòng)態(tài)訪問(wèn)控制技術(shù)研究

針對(duì)配電主站業(yè)務(wù)云化部署的特點(diǎn)，以零信任安全理念為指導(dǎo)，以業(yè)務(wù)全流程安全為目標(biāo)，梳理電力涉控業(yè)務(wù)現(xiàn)有設(shè)備、人員的安全認(rèn)證技術(shù)手段，構(gòu)建面向“人、服務(wù)、設(shè)備”等實(shí)體建立統(tǒng)一的數(shù)字身份標(biāo)識(shí)，將應(yīng)用、服務(wù)、接口、數(shù)據(jù)等視作業(yè)務(wù)資源，通過(guò)構(gòu)建保護(hù)面減少暴露面；基于業(yè)務(wù)流程的實(shí)體交互關(guān)系、業(yè)務(wù)實(shí)施的時(shí)間空間屬性，基于零信任軟件定邊界框架和訪問(wèn)控制技術(shù)，定義具有業(yè)務(wù)動(dòng)態(tài)適應(yīng)能力的安全信任邊界，對(duì)云主站業(yè)務(wù)的用戶訪問(wèn)行為和習(xí)慣等進(jìn)行記錄、分析和識(shí)別，并進(jìn)行分級(jí)分類，持續(xù)動(dòng)態(tài)地評(píng)估用戶的信任度，并根據(jù)授權(quán)結(jié)果進(jìn)行最小程度的開(kāi)放。

（1）構(gòu)建基于屬性的配電云主站業(yè)務(wù)動(dòng)態(tài)訪問(wèn)控制模型

利用軟件定義邊界、持續(xù)信任評(píng)估和動(dòng)態(tài)訪問(wèn)控制等關(guān)鍵技術(shù)，在用戶和云主站業(yè)務(wù)之間構(gòu)建基于屬性的配電云主站業(yè)務(wù)動(dòng)態(tài)訪問(wèn)控制模型，本著“持續(xù)驗(yàn)證，永不信任”的原則，對(duì)所有訪問(wèn)請(qǐng)求進(jìn)行管控，對(duì)各種數(shù)據(jù)源進(jìn)行持續(xù)信任評(píng)估，并根據(jù)信任的程度對(duì)權(quán)限進(jìn)行動(dòng)態(tài)調(diào)整，最終建立一種動(dòng)態(tài)的信任關(guān)系，構(gòu)建訪問(wèn)控制模型如圖3所示。

圖3 配電云主站業(yè)務(wù)動(dòng)態(tài)訪問(wèn)控制模型

對(duì)網(wǎng)絡(luò)中所有存在交互的實(shí)體進(jìn)行數(shù)字身份標(biāo)識(shí)，基于軟件定義邊界技術(shù)，以“身份”為基礎(chǔ)的細(xì)粒度訪問(wèn)代替廣泛的網(wǎng)絡(luò)接入?？衫闷浼夹g(shù)的“網(wǎng)絡(luò)隱身”特性，將云中所有主站業(yè)務(wù)資源隱藏，使得訪問(wèn)主體不知業(yè)務(wù)的具體位置，通過(guò)授權(quán)方能進(jìn)行連接。同時(shí)，加密傳輸所有訪問(wèn)流量，將主體的訪問(wèn)請(qǐng)求轉(zhuǎn)發(fā)給可信網(wǎng)關(guān)，只允許來(lái)自授權(quán)主體的流量通過(guò)，可以抵抗用戶憑據(jù)丟失、連接劫持等攻擊。

基于深度學(xué)習(xí)的持續(xù)信任評(píng)估技術(shù)，從零開(kāi)始構(gòu)建信任的關(guān)鍵手段，通過(guò)訪問(wèn)請(qǐng)求進(jìn)行實(shí)時(shí)的信任評(píng)估，實(shí)現(xiàn)對(duì)訪問(wèn)上下文環(huán)境的風(fēng)險(xiǎn)判定。建立基于卷積神經(jīng)網(wǎng)絡(luò)+循環(huán)神經(jīng)網(wǎng)絡(luò)、孿生網(wǎng)絡(luò)等深度學(xué)習(xí)算法的持續(xù)信任評(píng)估模型。主體信任具有短時(shí)性特征，持續(xù)信任評(píng)估模型根據(jù)認(rèn)證強(qiáng)度、風(fēng)險(xiǎn)狀態(tài)和環(huán)境因素，對(duì)身份信任在當(dāng)前上下文進(jìn)行動(dòng)態(tài)調(diào)整，形成一種動(dòng)態(tài)信任關(guān)系。

（2）基于零信任網(wǎng)絡(luò)的云主站業(yè)務(wù)動(dòng)態(tài)訪問(wèn)控制應(yīng)用模式

通過(guò)對(duì)身份安全管理中心、安全代理中心、信任持續(xù)評(píng)估中心、動(dòng)態(tài)訪問(wèn)控制中心的研究，完成基于零信任網(wǎng)絡(luò)的云主站業(yè)務(wù)動(dòng)態(tài)訪問(wèn)控制應(yīng)用模式，如下所述（圖4）。

構(gòu)建靈活的身份安全管理中心，對(duì)云主站的新業(yè)務(wù)場(chǎng)景和新訪問(wèn)主體進(jìn)行動(dòng)態(tài)身份和權(quán)限管理。其基礎(chǔ)設(shè)施主要包含身份管理和權(quán)限管理功能，身份管理開(kāi)展各種實(shí)體的身份化及身份生命周期的管理，權(quán)限管理對(duì)授權(quán)策略進(jìn)行細(xì)粒度的管理和跟蹤分析。

建立動(dòng)態(tài)訪問(wèn)控制能力策略的執(zhí)行點(diǎn)，形成安全代理中心，通過(guò)對(duì)用戶主體的訪問(wèn)請(qǐng)求攔截并利用動(dòng)態(tài)訪問(wèn)控制引擎對(duì)訪問(wèn)主體進(jìn)行認(rèn)證，并對(duì)訪問(wèn)主體的權(quán)限進(jìn)行動(dòng)態(tài)判定，只有認(rèn)證通過(guò)且具有訪問(wèn)權(quán)限的請(qǐng)求才予以放行。同時(shí)，云訪問(wèn)安全代理對(duì)所有的訪問(wèn)流量進(jìn)行加密，具備高性能和高伸縮能力。

組建信任持續(xù)評(píng)估中心，實(shí)現(xiàn)持續(xù)的信任評(píng)估，與動(dòng)態(tài)訪問(wèn)控制聯(lián)動(dòng)為其提供信任等級(jí)評(píng)估作為授權(quán)判定依據(jù)。信任持續(xù)評(píng)估基于深度學(xué)習(xí)技術(shù)對(duì)身份進(jìn)行持續(xù)畫(huà)像，對(duì)訪問(wèn)行為進(jìn)行持續(xù)分析，對(duì)信任進(jìn)行持續(xù)評(píng)估，最終生成和維護(hù)信任庫(kù)，為動(dòng)態(tài)訪問(wèn)控制提供決策依據(jù)。另外，信任評(píng)估也可以接收云服務(wù)提供商安全平臺(tái)分析結(jié)果，補(bǔ)充身份分析所需的場(chǎng)景數(shù)據(jù)，從而進(jìn)行更精準(zhǔn)的風(fēng)險(xiǎn)識(shí)別和信任評(píng)估。

動(dòng)態(tài)訪問(wèn)控制和云訪問(wèn)安全代理中心聯(lián)動(dòng)，對(duì)所有訪問(wèn)請(qǐng)求進(jìn)行認(rèn)證和動(dòng)態(tài)授權(quán)，是零信任架構(gòu)控制平面的策略判定點(diǎn)。動(dòng)態(tài)訪問(wèn)控制進(jìn)行權(quán)限判定的依據(jù)是身份庫(kù)、權(quán)限庫(kù)和信任庫(kù)，其中身份庫(kù)提供訪問(wèn)主體的身份屬性，權(quán)限庫(kù)提供基礎(chǔ)的權(quán)限基線，信任庫(kù)則由身份分析通過(guò)實(shí)時(shí)的風(fēng)險(xiǎn)多維關(guān)聯(lián)和信任評(píng)估進(jìn)行持續(xù)維護(hù)。最終，動(dòng)態(tài)訪問(wèn)控制基于上下文屬性、信任等級(jí)和安全策略對(duì)所有的訪問(wèn)請(qǐng)求進(jìn)行動(dòng)態(tài)判定。

圖4 云主站業(yè)務(wù)動(dòng)態(tài)訪問(wèn)控制應(yīng)用模式

5 結(jié)語(yǔ)

本文深入分析配電云主站所面臨的安全風(fēng)險(xiǎn)，并構(gòu)建網(wǎng)絡(luò)安全防護(hù)體系，通過(guò)微隔離控制平臺(tái)對(duì)每個(gè)容器業(yè)務(wù)訪問(wèn)進(jìn)行動(dòng)態(tài)嚴(yán)格管控，并基于零信任技術(shù)建立云主站業(yè)務(wù)的動(dòng)態(tài)訪問(wèn)控制，確保人員、設(shè)備、服務(wù)、系統(tǒng)等實(shí)體的安全準(zhǔn)入，對(duì)配電主站云化部署的安全防護(hù)具有重要的指導(dǎo)意義。

[1]姜林劍，面向應(yīng)用的虛擬隔離機(jī)制的研究[D].北京工業(yè)大學(xué)，2013.

[2]張磊，陳興蜀，劉亮，等.基于虛擬機(jī)的內(nèi)核完整性保護(hù)技術(shù)[J].電子科技大學(xué)學(xué)報(bào)，2015，44（1）：117-122.

[3]林闖，蘇文博，孟坤，等.云計(jì)算安全：架構(gòu)、機(jī)制與模型評(píng)價(jià)[J].計(jì)算機(jī)學(xué)報(bào)，2013，36（9）：1765-1784.

[4]馮登國(guó)，張敏，張妍，等.云計(jì)算安全研究[J].軟件學(xué)報(bào)， 2011，22（1）：71-83.

[5]喬然，胡俊，榮星.云計(jì)算客戶虛擬機(jī)間的安全機(jī)制研究與實(shí)現(xiàn)[J].計(jì)算機(jī)工程，2014，40（12）：26-32.

[6]劉謙.面向云計(jì)算的虛擬機(jī)系統(tǒng)安全研究[D].上海：上海交通大學(xué)，2012.

[7]Dhakar M，Tiwari. Tree-augmented naive Bayes-based model for intrusion detection system [J].International Journal of Knowledge Engineering and Data Mining，2014，3（1）：20-30.

[8]林銘煒. 面向云平臺(tái)的虛擬機(jī)異常行為檢測(cè)方法研究[D]. 重慶：重慶大學(xué)，2014.

[9]Xu W，Huang L，F(xiàn)ox A，et al. Detecting large-scale system problems by mining console logs //Proceedings ofthe ACM SIGOPS Symposium on Operating Systems Principles，USA，2009：117-132.

[10]Du M，Li F，Zheng G，et al. Deep Log Anomaly detection and diagnosis from system logs through deep learning //Proceedings of the ACM SIGSAC Conferenceon Computer and Communications Security. Dallas，USA，2017：1285-1298.

[11]易思瑤. 配電自動(dòng)化終端安全防護(hù)方案的研究與實(shí)現(xiàn)[D]. 華北電力大學(xué)（北京），2019.

[12]許瑞輝. 基于可信計(jì)算嵌入式配電終端的研究與實(shí)現(xiàn)[D]. 華北電力大學(xué)（北京），2014.

[13]常方圓，李二霞，王金麗，等. 基于可信計(jì)算的配電自動(dòng)化終端安全防護(hù)方法研究[J]. 電力信息與通信技術(shù)， 2020（2）：37-42.