电力系统网络的零信任防护方法、系统、电子设备及介质与流程

1.本发明属于网络信息安全防护技术领域，具体涉及一种电力系统网络的零信任防护方法、系统、电子设备及介质。


背景技术：

2.在新型电力系统背景下，以风电、分布式光伏为代表的新能源，以充电桩、用户侧储能为代表的新负荷，以精准负控、能耗双控为代表的新要求，以综合能源、无人机巡检为代表的新业务，以代理购电、现货交易为代表的新模式，反映出新型电力系统“范围广、环节多、时效高、能控制、多维度”的新特点。
3.目前，国家大力推进新型电力系统建设，大量分布式新能源接入县、市电力系统，海量物联终端安全管控难度将进一步加大；大量来自“源、荷、储”等领域的新兴业务将以多种方式接入电力系统网络，部分涉控业务向外部延伸，越来越多的业务和服务需要与外部网络对接，传统的与外部网络对接方式是以vpn、防火墙为代表的以网域为边界进行安全防护的方法。电力系统网络包括数据中心以及与数据中心连接的多个智能终端设备，每个终端设备均连接有采集终端和执行终端。从智能终端设备(智能网关)向上到数据中心或者说云服务器这段链路的安全问题，称之为北向安全，这段链路如果遭到劫持、入侵，可能会导致风险向企业的核心网络蔓延。从智能终端设备(智能网关)向下，到各种采集终端、执行终端如摄像头、开关等，这段链路称之为南向安全。这段链路的终端由于广泛分布在室外，极易遭受到攻击和劫持，成为和入侵和攻击的着手点。作为承上启下的关键节点的智能终端设备自身的安全问题，称之为本体安全。当处于物联网关键节点的智能终端设备沦陷后，不仅会直接影响到业务的运行，还会导致风险纵向和横向的蔓延。
4.传统的安全防护理念中网络位置决定了信任程度，在安全区域边界外的用户默认是不可信的，安全区域边界内的用户默认是可信的。但是，现在电力系统网络的数据不再局限在内网，原本建立的内外网边界变得越来越模糊，也有更多的技术手段可以轻易突破网络边界，网络安全不再止于边界安全。传统的边界防护不能满足边界模糊的电力系统网络设备的安全防护需求。


技术实现要素：

5.本发明的目的在于提供一种电力系统网络的零信任防护方法、系统、电子设备及介质，用以解决现有技术中的网络安全防护方法不能对电力系统网络进行有效防护的问题。
6.为解决上述技术问题，本发明提供了一种电力系统网络的零信任防护方法，包括以下步骤：
7.1)使数据中心的零信任网关和终端设备之间建立连接并获取终端设备发出的访问请求对应的数据包，所述的数据包包括终端设备的设备属性；
8.2)在数据包校验通过的情况下，根据获得的设备属性，利用预设的初始评分模型
确定终端设备初始评分；当设备初始评分小于或等于初始评分预设值时，断开零信任网关和终端设备之间的连接；当设备初始评分大于初始评分预设值时，则建立数据中心与终端设备之间的数据传输通道并执行下一步；
9.3)在身份认证通过的情况下，通过所述数据传输通道实时获取设备身份码对应设备的访问数据，并依据访问数据，利用预设的持续信任评估模型确定设备的实时评分；
10.4)根据实时设备评分确定访问控制策略。
11.其有益效果为：本发明的电力系统网络的零信任防护方法不再以网域为边界对网络设备进行安全防护，而是在终端设备与数据中心进行通信之前，先对终端设备进行初始评分，合格后才会建立终端设备与数据中心之间的数据传输通道；在数据传输通道建立之后，再次对设备进行实时评分，在设备的实时评分合格的情况下，进一步确定终端设备对数据中心的访问控制策略，从而实现对数据中心进行多层次的保护，大大提高了数据中心的安全性；通过对电力系统网络中所有的终端设备都进行设备连接的判断，对内网的终端设备和外网的终端设备不进行区分，并且对所有的终端设备都进行实时的评分和双向认证，改善了传统的边界防护不能满足边界模糊的网络设备的安全防护需求的问题。
12.优选地，所述的访问控制策略包括：若实时设备评分小于信任评分预设值时，断开零信任网关和终端设备之间的连接；若实时设备评分大于等于信任评分预设值时，保持零信任网关和终端设备之间的连接以及数据传输通道的开启。
13.优选地，所述的访问控制策略还包括：使零信任网关与终端设备之间进行双向认证，若双向认证失败，则关闭数据传输通道；若双向认证成功，使零信任网关接收终端设备的通道公钥并向终端设备发送网关数据。
14.优选地，步骤1)中所述的数据包还包括秘钥，对数据包进行校验的方法是：若所述秘钥与预设秘钥不相同，则丢弃数据包；若所述秘钥与预设秘钥相同，则表明数据包校验通过。
15.其有益效果为：在对终端设备进行初始评分之前，先对终端设备的秘钥进行验证，进一步提高了数据中心的安全性。
16.优选地，对终端设备进行身份认证的方法是：：在建立数据传输通道之后，获取终端设备的身份认证失败次数和证书有效期，若身份认证失败次数小于等于预设的认证失败次数且终端设备证书在证书的有效期内，则身份认证通过；否则，认证失败。
17.其有益效果为：根据终端设备的身份认证失败次数和设备证书的有效期，可有效地判别出终端设备是否属于风险设备，进一步提高了数据中心的安全性。
18.优选地，所述的设备属性包括终端设备的型号、标识以及设备的运行参数中的至少两种属性的数据；所述的初始评分模型包括所述的设备属性中的每种属性数据的不同数值对应的分数，确定终端设备初始评分的方法是对终端设备的设备属性中每种属性数据对应的分数进行求和。
19.优选地，所述的访问数据包括终端设备证书、设备属性、设备访问各种数据的次数、设备访问数据的类型、异常行为以及漏洞情况中的至少两种属性的数据；所述的持续信任评估模型包含所述的访问数据中的每种属性数据的不同数值对应的分数，确定终端设备的实时评分的方法是将终端设备的访问数据中每种属性数据对应的分数进行求和。
20.优选地，零信任网关与终端设备之间进行双向认证的方法包括以下步骤：
21.获取终端设备的双向认证请求，双向认证请求包括终端设备证书；
22.若终端设备证书在有效期内，则向终端设备发送与双向认证请求对应的双向请求响应并执行下一步，双向请求响应包括控制器证书；若终端设备证书不在有效期内，则停止双向认证；
23.若控制器证书在有效期内，则完成双向认证，否则，停止双向认证。
24.优选地，还包括对电力系统网络的终端设备的防护，对终端设备的防护方法包括以下三种方法中的至少一种：方法一，对终端设备的物理端口和网络端口的访问与使用情况进行分析，若识别到生产时间外的物理接口的拔插则输出报警指令，若识别到新增陌生网络端口或网络端口数据量出现异常时，则输出阻断指令；方法二，按照预设周期接收终端设备的运行数据，并依据运行数据进行安全分析并向终端设备输出指令；方法三，对终端设备进行漏洞扫描并将漏洞的变化量和漏洞库结合实现脆弱性分析。
25.其有益效果为：生产时间外的物理接口对应的设备、陌生网络端口对应的设备以及网络端口数据量出现异常对应的设备大概率是新接入电力系统网络的设备，很可能是电力系统网络之外的设备，可能携带有病毒，具有一定的风险，输出报警指令，可以及时地提醒现场工作人员对该设备进行确认；对终端设备的运行数据进行安全分析以及对终端设备进行漏洞扫描和脆弱性分析可进一步提高终端设备的安全性。
26.为解决上述技术问题，本发明还提供了一种电力系统网络的零信任防护系统，包括：
27.第一数据获取模块，用于获取终端设备发出的访问请求对应的数据包，所述数据包包括设备身份码和设备属性；
28.第一评分模块，用于根据所述设备属性和预设的初始评分模型，确定设备初始评分；
29.通道建立模块，用于当所述设备初始评分大于初始评分预设值时，建立数据中心与终端设备之间的数据传输通道；
30.第二数据获取模块，用于建立数据传输通道后，获取所述设备身份码对应设备的访问数据；
31.第二评分模块，用于根据所述访问数据利用持续信任评估模型，确定实时设备评分；
32.策略确定模块，用于根据所述实时设备评分和访问确定规则，确定访问控制策略。
33.其有益效果为：本发明的电力系统网络的零信任防护方法不再以网域为边界对网络设备进行安全防护，在终端设备与数据中心进行通信之前，先对终端设备进行初始评分，合格后才会建立终端设备与数据中心之间的数据传输通道；在数据传输通道建立之后，再次对设备进行实时评分，在设备的实时评分合格的情况下，进一步确定终端设备对数据中心的访问控制策略，从而实现对数据中心进行多层次的保护，大大提高了数据中心的安全性；通过对电力系统网络中所有的终端设备都进行设备连接的判断，对内网的设备和外网的设备不进行区分，并且对所有的终端设备都进行实时的评分和双向认证，改善了传统的边界防护不能满足边界模糊的网络设备的安全防护需求的问题。
34.为解决上述技术问题，本发明还提供了一种计算机可读介质，所述介质内存储有计算机程序，所述计算机程序用于被处理器执行时，实现本发明的电力系统网络的零信任
防护方法。
35.为解决上述技术问题，本发明还提供了一种电子设备，包括处理器和存储器，所述存储器内存储有计算机程序，所述计算机程序被处理器执行时实现本发明的电力系统网络的零信任防护方法。
附图说明
36.图1是本发明的方法步骤流程图；
37.图2是本发明的电力系统网络的零信任防护系统结构示意图；
38.图3是本发明的电子设备结构示意图。
39.附图标记说明：200是零信任防护系统，201是第一数据获取模块，202是第一评分模块，203是通道建立模块，204是第二数据获取模块，205是第二评分模块，206是策略确定模块；301是中央处理单元，302是只读存储器，303是随机访问存储器，304是i/o接口，305是输入部分，306是输出部分，307是存储部分，308是通信部分，309是驱动器，310是可拆卸介质。
具体实施方式
40.为了使本发明的目的、技术方案及优点更加清楚明了，以下结合附图及实施例，对本发明进行进一步详细说明。
41.电力系统网络的零信任防护方法实施例：
42.电力系统的网络包括数据中心以及与数据中心连接的多个智能终端设备，每个终端设备均连接有采集终端和执行终端。
43.如图1所示，本发明的电力系统网络的零信任防护方法包括对电力系统网络的数据中心的防护以及对电力系统的终端设备的防护，其中对数据中心的防护包括以下步骤：
44.步骤一，使数据中心的零信任网关和终端设备之间建立tls连接。
45.零信任网关工作于底层网络，默认不开启任何端口，规避风险攻击面，零信任安全探针设置在通过与零信任网关进行单包验证、获取授权访问业务系统。零信任网关支持两种工作模式，即二层转发模式、三层的代理传输模式。零信任网关不检查通道内容，无需维护隧道等耗资源信息。零信任网关本体无活跃状态，不保留任何永久存储的数据。缓存数据用于缓存从接入控制器获取的配置信息；日志数据是文件日志，用于记录各种访问日志和事件。上述零信任安全探针即为agent，是安装在终端设备上的代理软件。
46.步骤二，获取终端设备发出的访问请求对应的数据包，访问请求对应的数据包包括终端设备的设备身份码、设备属性和秘钥。
47.访问请求对应的数据包为基于spa单包授权协议生成的单个数据包。设备属性包括终端设备的型号、标识以及设备的运行参数，运行参数包括访问数据、异常行为、漏洞情况等。设备身份码表示设备身份的终端设备证书。
48.步骤三，若获取到的秘钥与预设秘钥不相同，则丢弃数据包；反之，则表明数据包校验通过，执行下一步。
49.秘钥与预设的秘钥不相同表示终端设备存在风险，终端设备和数据中心之间不能进行数据传输。
50.在对终端设备进行初始评分之前，先对终端设备的秘钥进行验证，进一步提高了数据中心的安全性。
51.步骤四，根据设备身份码和设备属性并利用预设的初始评分模型，确定设备初始评分。当设备初始评分小于或等于初始评分预设值时，断开数据中心的零信任网关和终端设备之间的tls连接；当设备初始评分大于初始评分预设值时，则建立数据中心与终端设备之间的数据传输通道并执行下一步。
52.设备属性包括终端设备的型号、标识以及设备的运行参数，运行参数包括访问数据、异常行为、漏洞情况等。初始评分模型为预存在数据中心的初始评分表，评分表包括不同的型号对应的分数、不同的标识对应的分数以及不同的运行参数对应的分数，对每一项分数进行求和即可得到设备初始评分。
53.初始评分预设值为用户根据安全防护需求设定的分数值，当设备初始评分大于上述初始评分预设值时，表示该设备初始评分对应的终端设备是安全的，就可以建立数据中心和终端设备之间的数据传输通道；当设备初始评分小于等于上述初始评分预设值时，表示该设备初始评分对应的终端设备是存在风险的，就不能建立数据中心和终端设备之间的数据传输通道。
54.步骤五，获取终端设备的身份认证失败次数和终端设备证书的证书有效期，身份认证失败次数小于等于预设的认证失败次数且终端设备证书在证书的有效期内时，身份认证通过，则保持数据传输通道的打开状态并执行下一步；否则，身份认证失败，关闭数据传输通道。
55.当上述身份认证失败次数小于等于预设的认证失败次数且终端设备证书在证书的有效期内时，表示身份度量参数符合身份预设值，则数据中心会根据预设的认证因子生成算法得到一个与该终端设备对应的认证因子，将该认证因子发送至终端设备，终端设备接收上述认证因子，并基于spa单包授权协议，根据认证因子向数据中心发送单包请求。数据中心的零信任网关接收上述认证因子对应的单包请求并保持数据传输通道的打开状态，即终端设备和数据中心可以通过数据传输通道实现数据的传输。当上身份度量参数不符合身份预设值时，则不会生成认证因子，则数据中心会将数据传输通道的关闭。上述认证因子生成算法可以为otp算法，也可以为hotp算法，或者其他可以生成认证因子的算法。
56.若根据终端设备的身份认证多次失败次数和设备证书的有效期，可有效地判别出终端设备很有可能是否属于是风险设备，关闭其与数据中心之间的数据传输通道，进一步提高了数据中心的安全性。
57.步骤六，实时获取设备身份码对应设备的访问数据，并依据访问数据，利用预设的持续信任评估模型确定设备的实时评分。
58.访问数据包括终端设备证书、设备属性、设备访问各种数据的次数、设备访问数据的类型、异常行为、漏洞情况等。持续信任评估模型为预设在数据中心的持续信任评估表，包括不同的访问数据对应的分数，对每一项分数进行求和即可得到实时设备评分。
59.信任评分预设值为用户根据安全防护需求设定的分数值。
60.步骤七，根据实时设备评分和访问确定规则，确定访问控制策略。
61.若实时设备评分小于信任评分预设值时，关闭数据传输通道并断开tls连接；若实时设备评分大于等于信任评分预设值时，保持tls连接以及数据传输通道的开启，并执行下
一步。
62.零信任网关与终端设备之间进行双向认证，若双向认证失败，则关闭数据传输通道；若双向认证成功，零信任网关接收终端设备的通道公钥并发送网关数据。
63.网关数据包括网关ip、网关spa密钥、网关通道端口、网关通道ip以及与上述设备终端对应的通道ip。完成双向认证之后，终端设备会向零信任网关发送通道公钥和网关数据。
64.零信任网关与终端设备之间进行双向认证的方法是：
65.7.1)获取终端设备的双向认证请求，双向认证请求包括终端设备证书；
66.7.2)若终端设备证书在有效期内，则向终端设备发送与双向认证请求对应的双向请求响应并执行下一步，双向请求响应包括控制器证书；若终端设备证书不在有效期内，则停止双向认证；
67.7.3)若控制器证书在有效期内，则完成双向认证，否则，停止双向认证。
68.本实施例中对终端设备本体的防护方法同时采用以下三种方法：
69.第一种，按照预设周期接收终端设备的运行数据，并依据运行数据进行安全分析并向终端设备输出指令。
70.第二种，对终端设备进行漏洞扫描并将漏洞的变化量和漏洞库结合实现脆弱性分析。漏洞扫描和脆弱性分析为本领域技术人员公知的技术手段，在此不做赘述。
71.第三种，对终端设备的端口访问与使用情况进行分析并输出报警指令或阻断指令。对于物理端口而言，生产时间外的物理接口的拔插一般都属于异常，输出报警指令。对于操作系统的网络端口，当出现新增陌生端口或端口数据量出现异常时，输出阻断指令。
72.生产时间外的物理接口对应的设备、陌生网络端口对应的设备以及网络端口数据量出现异常对应的设备大概率是新接入电力系统网络的设备，很可能是电力系统网络之外的设备，可能携带有病毒，具有一定的风险，输出报警指令，可以及时地提醒现场工作人员对该设备进行确认；对终端设备的运行数据进行安全分析以及对终端设备进行漏洞扫描和脆弱性分析可进一步提高终端设备的安全性。
73.本发明的电力系统网络的零信任防护方法不再以网域为边界对网络设备进行安全防护，在终端设备与数据中心进行通信之前，先对终端设备进行初始评分，合格后才会建立终端设备与数据中心之间的数据传输通道；在数据传输通道建立之后，再次对设备进行实时评分，在设备的实时评分合格的情况下，进一步确定终端设备对数据中心的访问控制策略，从而实现对数据中心进行多层次的保护，大大提高了数据中心的安全性；通过对电力系统网络中所有的终端设备都进行设备连接的判断，对内网的设备和外网的设备不进行区分，并且对所有的终端设备都进行实时的评分和双向认证，改善了传统的边界防护不能满足边界模糊的网络设备的安全防护需求的问题。
74.用于电力系统网络的零信任防护系统实施例：
75.如图2所示，本发明的用于电力系统网络的零信任防护系统200包括：
76.第一数据获取模块201，用于获取终端设备发出的访问请求，所述访问请求包括设备身份码和设备属性；
77.第一评分模块202，用于根据所述设备身份码、所述设备属性和预设的初始评分模型，确定设备初始评分；
78.通道建立模块203，用于当所述设备初始评分大于初始评分预设值时，建立数据传输通道；
79.第二数据获取模块204，用于建立数据传输通道后，获取所述设备身份码对应设备的访问数据；
80.第二评分模块205，用于根据所述访问数据和持续信任评估模型，确定实时设备评分；
81.策略确定模块206，用于根据所述实时设备评分和访问确定规则，确定访问控制策略。
82.本发明的零信任防护系统对应本发明的电力系统网络的零信任防护方法，每个模块均为功能软件模块，对应电力系统网络的零信任防护方法实施例中相应的步骤。
83.计算机可读介质实施例：
84.本发明的计算机可读介质存储有计算机程序，计算机程序被处理器执行时，实现本发明的电力系统网络的零信任防护方法。
85.该计算机程序包含用于执行如图1所示的方法的程序代码。如图3所示，该计算机程序可以通过通信部分308从网络上被下载和安装，和/或从可拆卸介质310被安装。在该计算机程序被中央处理单元(cpu)301执行时，执行本技术的装置中限定的上述功能。
86.需要说明的是，本实施例的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(ram)、只读存储器(rom)、可擦式可编程只读存储器(eprom或闪存)、光纤、便携式紧凑磁盘只读存储器(cd-rom)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本技术中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本技术中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、rf等等，或者上述的任意合适的组合。
87.电子设备实施例：
88.如图3所示，本发明的电子设备包括，包括中央处理单元(cpu)301和只读存储器(rom)302以及随机访问存储器(ram)303，中央处理单元可以根据存储在只读存储器(rom)302中的程序或者从存储部分307加载到随机访问存储器(ram)303中的程序而执行各种适当的动作和处理。在ram303中，还存储有系统操作所需的各种程序和数据。cpu301、rom302以及ram303通过总线彼此相连。输入/输出(i/o)接口304也连接至总线。以下部件连接至i/o接口304：包括键盘、鼠标等的输入部分305；包括诸如阴极射线管(crt)、液晶显示器(lcd)等以及扬声器等的输出部分306；包括硬盘等的存储部分307；以及包括诸如lan卡、调制解
调器等的网络接口卡的通信部分308。通信部分308经由诸如因特网的网络执行通信处理。驱动器309也根据需要连接至i/o接口304。可拆卸介质310，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器309上，以便于从其上读出的计算机程序根据需要被安装入存储部分307。

技术特征：
1.一种电力系统网络的零信任防护方法，其特征在于，包括以下步骤：1)使数据中心的零信任网关和终端设备之间建立连接并获取终端设备发出的访问请求对应的数据包，所述的数据包包括终端设备的设备属性；2)在数据包校验通过的情况下，根据获得的设备属性，利用预设的初始评分模型确定终端设备初始评分；当设备初始评分小于或等于初始评分预设值时，断开零信任网关和终端设备之间的连接；当设备初始评分大于初始评分预设值时，则建立数据中心与终端设备之间的数据传输通道并执行下一步；3)在身份认证通过的情况下，通过所述数据传输通道实时获取设备身份码对应设备的访问数据，并依据访问数据，利用预设的持续信任评估模型确定设备的实时评分；4)根据实时设备评分确定访问控制策略。2.如权利要求1所述的电力系统网络的零信任防护方法，其特征在于，所述的访问控制策略包括：若实时设备评分小于信任评分预设值时，断开零信任网关和终端设备之间的连接；若实时设备评分大于等于信任评分预设值时，保持零信任网关和终端设备之间的连接以及数据传输通道的开启。3.如权利要求1所述的电力系统网络的零信任防护方法，其特征在于，所述的访问控制策略包括：使零信任网关与终端设备之间进行双向认证，若双向认证失败，则关闭数据传输通道；若双向认证成功，使零信任网关接收终端设备的通道公钥并向终端设备发送网关数据。4.如权利要求1所述的电力系统网络的零信任防护方法，其特征在于，步骤1)中所述的数据包还包括秘钥，对数据包进行校验的方法是：若所述秘钥与预设秘钥不相同，则丢弃数据包；若所述秘钥与预设秘钥相同，则表明数据包校验通过。5.如权利要求1所述的电力系统网络的零信任防护方法，其特征在于，对终端设备进行身份认证的方法是：在建立数据传输通道之后，获取终端设备的身份认证失败次数和证书有效期，若身份认证失败次数小于等于预设的认证失败次数且终端设备证书在证书的有效期内，则身份认证通过；否则，认证失败。6.如权利要求1所述的电力系统网络的零信任防护方法，其特征在于，所述的设备属性包括终端设备的型号、标识以及设备的运行参数中的至少两种属性的数据；所述的初始评分模型包括所述的设备属性中的每种属性数据的不同数值对应的分数，确定终端设备初始评分的方法是对终端设备的设备属性中每种属性数据对应的分数进行求和。7.如权利要求1所述的电力系统网络的零信任防护方法，其特征在于，所述的访问数据包括终端设备证书、设备属性、设备访问各种数据的次数、设备访问数据的类型、异常行为以及漏洞情况中的至少两种属性的数据；所述的持续信任评估模型包含所述的访问数据中的每种属性数据的不同数值对应的分数，确定终端设备的实时评分的方法是将终端设备的访问数据中每种属性数据对应的分数进行求和。8.如权利要求3所述的电力系统网络的零信任防护方法，其特征在于，零信任网关与终端设备之间进行双向认证的方法包括以下步骤：获取终端设备的双向认证请求，双向认证请求包括终端设备证书；若终端设备证书在有效期内，则向终端设备发送与双向认证请求对应的双向请求响应并执行下一步，双向请求响应包括控制器证书；若终端设备证书不在有效期内，则停止双向
认证；若控制器证书在有效期内，则完成双向认证，否则，停止双向认证。9.如权利要求1～8任意一项所述的电力系统网络的零信任防护方法，其特征在于，还包括对电力系统网络的终端设备的防护，对终端设备的防护方法包括以下三种方法中的至少一种：方法一，对终端设备的物理端口和网络端口的访问与使用情况进行分析，若识别到生产时间外的物理接口的拔插则输出报警指令，若识别到新增陌生网络端口或网络端口数据量出现异常时，则输出阻断指令；方法二，按照预设周期接收终端设备的运行数据，并依据运行数据进行安全分析并向终端设备输出指令；方法三，对终端设备进行漏洞扫描并将漏洞的变化量和漏洞库结合实现脆弱性分析。10.一种用于电力系统网络的零信任防护系统，其特征在于，包括：第一数据获取模块，用于获取终端设备发出的访问请求对应的数据包，所述数据包包括设备身份码和设备属性；第一评分模块，用于根据所述设备属性和预设的初始评分模型，确定设备初始评分；通道建立模块，用于当所述设备初始评分大于初始评分预设值时，建立数据中心与终端设备之间的数据传输通道；第二数据获取模块，用于建立数据传输通道后，获取所述设备身份码对应设备的访问数据；第二评分模块，用于根据所述访问数据利用持续信任评估模型，确定实时设备评分；策略确定模块，用于根据所述实时设备评分和访问确定规则，确定访问控制策略。11.一种计算机可读介质，所述介质内存储有计算机程序，其特征在于，所述计算机程序用于被处理器执行时，实现权利要求1～9任意一项所述的电力系统网络的零信任防护方法。12.一种电子设备，包括处理器和存储器，所述存储器内存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1～9任意一项所述的电力系统网络的零信任防护方法。

技术总结
本发明属于网络信息安全防护技术领域，具体涉及一种电力系统网络的零信任防护方法、系统、电子设备及介质。其中的方法包括：获取终端设备发出的访问请求对应的数据包，所述的数据包包括终端设备的设备属性；在数据包校验通过的情况下，根据获得的设备属性，利用预设的初始评分模型确定终端设备初始评分；建立数据中心与终端设备之间的数据传输通道；在身份认证通过的情况下，依据终端设备的访问数据确定设备的实时评分；根据实时设备评分确定访问控制策略。采用本发明的方法能够实现对数据中心多层次的保护，大大提高了数据中心的安全性。大大提高了数据中心的安全性。大大提高了数据中心的安全性。


技术研发人员：孙艳玲 朱晨光 高群伟 郝徐进 赵世伟 关钧洋 司晓军 徐伏刚 吴昊华 田媛 高敏 刘宁 严坤林
受保护的技术使用者：平高综合能源服务有限公司
技术研发日：2023.06.21
技术公布日：2023/10/7