访问控制

白皮书首先回顾了零信任理念的起源、发展和内涵，从体系化安全防护的视角，综合访问实体、会话管理和控制位置等不同维度，提出了全面建设零信任的技术全景，包括可信身份与认证、数据隔离保护、动态访问控制和自动响应与可视化。最后，针对复杂多样的企业网络环境，以零信任关键能力的实施为出发点，对典型零信任架构的关键技术能力进行分析，讨论了每种架构的技术特点和应用场景，为全面建设零信任的实施方案提供参考。零信任作为一种新兴的网络安全架构理念，在未来的发展过程中必然遇到各种挑战，企业需要不断的创新思维，以积极的心态推进理论发展和技术实践。全面建设零信任通过体系化的安全规划，能够从宏观上明确企业网络安全实施方法，对业务资源形成全方位的保护能力，为企业组织的数字化转型保驾护航。

虚拟电厂采集存储了海量电力用户数据，涉及查询、交易、测试、共享等不同业务场景，给用户信息安全带来了巨大风险。现有的用户隐私保护方案大多采用传统的属性基加密(attribute-based encryption，ABE)，不需要为每个接收者单独进行加密操作，支持细粒度的访问控制需求。然而使用ABE方法需要访问者输入自身属性，数据共享的过程是公开的，用户的属性隐私、加密数据的访问策略和其他用户私人信息可能通过分析相关记录而被泄露。为此，文章提出基于零知识证明的用户属性隐私保护。该方案基于分布式属性基加密(distributed attribute-based encryption，DABE)技术，引入Merkel树聚合用户属性，使用Merkel根构建承诺，用于零知识证明验证，在不暴露用户属性和文件访问策略的前提下实现属性基加密的访问控制策略。同时，将属性与用户地址绑定，有效避免中间人攻击和重放攻击。通过安全性分析，证明本方案具有属性不可分辨性和属性防篡改性。将所提方案与现有方法进行实验比较，结果表明，所提方案在时间成本和空间占用方面性能更好。

分布式电源（distributed resources，DR）中智能边缘设备数据传输的安全问题为电力系统带来了安全隐患。Modbus TCP（transmission control protocol）协议作为边缘设备采用的通信手段之一，其协议安全性的不足使得系统易遭到网络空间的攻击。为保障电力设备数据传输安全，对现有安全手段进行整理，分析现有安全手段在DR应用场景下的不足，提出一种非侵入式Modbus TCP协议安全增强方法。该方法采用云边协同的架构，利用电力控制中心云平台管理访问控制原则，将实际访问控制决策模块部署在边缘设备，并通过细粒度的访问控制组合限制恶意行为。依据Modbus协议参考指南，搭建DR应用场景进行渗透测试，验证该方法能有效防御重放攻击和中间人攻击，可将安全开销控制在百微秒以内，显著优于其他安全手段，满足DR对实时性的需求。

新型电力系统的建设正朝着云边端一体化方向发展，云边端架构带来灵活性和可扩展性的同时，也带来了数据隐私安全、非法操作、缺乏标准化集成方案等问题。基于此，文章提出一种结合云边端架构特点的基于属性的安全访问控制方案(cloud-edge-device attribute-based access control，CED-ABAC)，方案通过边缘融合终端进行重加密，既保护数据安全，又减轻终端设备的通信开销，在策略授权方面，使用可扩展的访问控制标记语言(extensible access control markup language，XACML)设计授权策略和策略匹配算法，实现对多终端访问控制策略的同时下发，更高效地解决标准化集成问题。同时通过实验仿真，证明CED-ABAC方案的效率和性能相比于已有方案具有明显优势。

在“互联网+”时代，企业的移动办公应用莲勃发展。随着国家《网络安全法》的颁布，以及南方电网公司、广州供电局精益化管理战骆的推行，解决移动应用的用户身份认证、数据防泄漏等网络安全问题迫在眉睫。 目前，在现有的移动应用接入的成熟方案中，采用的是使用数宇证书对用户进行接入认证。但是数宇证书是“看不见、摸不着”的软件载体，用户无法感受到其中的认证过程；同时数宇证书发放时需要网络传播，存在被窃取风险，认证仍然不安全；目前广州供电局的数宇证书并未在移动端进行接入认证。因此，亟需设计一款使用硬件保存数宇证书的APP，使之完成安全接入。 通过职工创新研究与实践，需要在充分研究现有技术路线和广州供电局现有网络安全架构的基础上，通过融合身份认证、访问控制、网络隔离、日志审计、病毒防范等网络安全技术，建立了全方位、多层次的安全服务体系，采用移动终端使用时硬件加密的强管控模式，实现移动终端的授权用户认证、信息加密防泄漏、抵御外来病毒或恶意程序攻击等功能，保障企业移动应用的安全高效，提升企业的网络安全能力。

本课题分析了当前算力交易平台的发展现状，总结了算力用户的需求，包括交易效率、交易模式、激励机制、资源调度机制、可监管、数据隐私安全以及行业标准等。针对以上需求，本课题需要研究的关键技术包括区块链、跨链技术、异构联盟链监管技术、数据访问控制、可信交易技术、隐私保护、智能合约、激励机制、资源调度、前沿密码学方法等。本课题的研究内容主要包括（1）基于区块链的算力交易技术；（2）算力交易激励与资源调度机制；（3）面向监管友好的算力交易数据隐私安全。研究目标是构建面向算力并网的高性能区块链算力交易平台，实现高效的算力交易方法、安全灵活的交易模式、多维度激励机制、合理的资源调度、可监管以及符合行业标准的技术方案。

针对能源物联网背景下，5G场景下的馈线自动化系统网络安全边界模糊、合法终端被利用作为跳板攻击内网的问题，文章提出一种基于零信任的馈线自动化5G网络访问控制方法。首先，选取能准确反映5G场景下馈线终端特性行为的数据作为信任评价指标，使得馈线终端信任值计算更加可靠；其次，采用多元线性回归模型预测馈线终端的信任值，并提出被访问资源的信任阈值计算方法；最后，根据馈线终端信任值与被访问资源的信任阈值进行访问决策，实现了更细粒度的访问控制。实验结果表明，相较于随机森林模型、支持向量机模型和径向基神经网络模型，多元线性回归模型在信任值预测准确性方面具有优势，并且其信任值预测时延能够满足馈线终端间对等通信对时延的要求。

本项目以电力企业移动应用业务场景建模为基础，以数据交换、访问控制、安全接入等技术为支撑，基于容器技术构建移动应用开发运维一体化平台。通过业务场景建模，分析业务模式和流程，针对不同业务对象将应用与数据流模型进行深入整合，从而为不同移动应用提供分类统一的开发、部署、运维框架体系，并为新应用提供标准的逻辑设计和安全接入规范。通过对数据访问控制和交换模式的设计，规范数据使用的流程，在提高了数据的易用性和一致性的同时，通过内生机制增强了数据的安全性。在系统开发的过程中，使用基于容器技术实现服务器端业务系统的迅捷开发和部署及整合IT资源的调度和管理，使用一种生物特征识别技术与传统身份识别方式结合的多因子认证方法实现对移动终端及其使用人的安全认证。 通过建设，辽宁公司已初步建成基于平台、应用、网络、终端、安全等五个方面的移动应用开发运维一体化支撑体系，满足公司移动应用设计开发、部署实施、运维支撑、安全保障等多方面的共性需求。通过构建快速响应、协同创新、安全可控的移动应用生态体系，加快公司移动应用建设，助力“互联网+”管理创新和业务创新。

新型电力系统的建设正朝着云边端一体化方向发展，云边端架构带来灵活性和可扩展性的同时，也带来了数据隐私安全、非法操作、缺乏标准化集成方案等问题。基于此，文章提出一种结合云边端架构特点的基于属性的安全访问控制方案(cloud-edge-device attribute-based access control，CED-ABAC)，方案通过边缘融合终端进行重加密，既保护数据安全，又减轻终端设备的通信开销，在策略授权方面，使用可扩展的访问控制标记语言(extensible access control markup language，XACML)设计授权策略和策略匹配算法，实现对多终端访问控制策略的同时下发，更高效地解决标准化集成问题。同时通过实验仿真，证明CED-ABAC方案的效率和性能相比于已有方案具有明显优势。

2月1日，基于5G的变电站数据安全接入可视化系统在新疆喀什供电公司建成。该系统通过5G安全终端设备将变电巡检机器人、无人机等智能巡检设备的数据接入5G专网并实时回传至电力监控系统，解决了变电站设备、终端接入的安全问题，提高了变电站电力监控系统安全防护体系的接入能力和访问控制能力，助力探索变电站电力监控系统安全防护新模式。