![点击分享此内容可以赚币 分享](/master/images/share_but.png)
雾化零信任组件的5G电力失陷终端威胁检测_顾智敏.pdf
《雾化零信任组件的5G电力失陷终端威胁检测_顾智敏.pdf》由会员分享,可在线阅读,更多相关《雾化零信任组件的5G电力失陷终端威胁检测_顾智敏.pdf(8页珍藏版)》请在咨信网上搜索。
1、第 49卷 第 2期2023年 2月Computer Engineering 计算机工程雾化零信任组件的 5G电力失陷终端威胁检测顾智敏1,王梓莹1,郭静1,郭雅娟1,冯景瑜2(1.国网江苏省电力有限公司电力科学研究院,南京 211103;2.西安邮电大学 无线网络安全技术国家工程实验室,西安 710121)摘要:5G 技术在电力行业的普及推进了海量电力终端接入网络,但众多电力终端暴露在互联网中,攻击者可以先入侵脆弱的电力终端进行远程控制,然后以失陷终端作为跳板,纵向渗透到 5G 电力物联网内部从而窃取敏感数据。零信任的出现为失陷终端威胁检测提供了可能,然而电力终端分布具有广泛性,致使中心化零
2、信任安全架构无法直接应用于 5G 电力物联网。提出一种雾化零信任组件的失陷终端威胁检测方案。采用分布式多点方式将零信任组件雾化部署到电力终端周围,并设计一套宕机组件应急响应流程用于及时发现单点失效的零信任组件。建立一种突发信任评估模型,充分利用安装在电力终端的零信任代理持续性地收集终端行为因素,从中提取突发因子并量化反映到信任值,以快速发现和阻断具有突发异常行为的失陷终端。仿真结果表明,该方案能有效缓解零信任组件部署于 5G 电力物联网时的检测压力,在失陷终端比例为 20%的条件下对突变异常失陷终端的检测率高达 92.3%,具有较好的非法访问抑制效果。关键词:5G电力物联网;零信任组件;雾化部
3、署;信任评估;失陷终端开放科学(资源服务)标志码(OSID):中文引用格式:顾智敏,王梓莹,郭静,等.雾化零信任组件的5G电力失陷终端威胁检测 J.计算机工程,2023,49(2):161-168.英文引用格式:GU Z M,WANG Z Y,GUO J,et al.5G-power-compromised terminal threat detection based on atomized zero-trust component J.Computer Engineering,2023,49(2):161-168.5G-Power-Compromised Terminal Threat D
4、etection Based on Atomized Zero-Trust ComponentGU Zhimin1,WANG Ziying1,GUO Jing1,GUO Yajuan1,FENG Jingyu2(1.Electric Power Research Institute,State Grid Jiangsu Electric Power Co.,Ltd.,Nanjing 211103,China;2.National Engineering Laboratory for Wireless Security,Xi an University of Posts and Telecomm
5、unications,Xi an 710121,China)【Abstract】The widespread application of 5G technology in the power industry has promoted access by many power terminals to the network.However,many power terminals are exposed to the Internet,attackers can first invade vulnerable power terminals for remote control and t
6、hen use the lost terminals as a springboard to vertically penetrate the 5G-power Internet of Things(IoT)to steal sensitive data.The emergence of zero-trust makes it possible to detect the threat of collapsed terminals.However,because of the wide distribution of power terminals,the centralized zero-t
7、rust security architecture cannot be directly applied to 5G-power IoT.This paper presents a threat detection scheme for a failed terminal with atomized zero-trust components.Zero-trust components are atomized and deployed around power terminals in a distributed multipoint manner.A set of emergency r
8、esponse processes for downtime components is designed to promptly determine zero-trust components with single-point failure.A sudden trust evaluation model is established to fully use the zero-trust agent installed in the power terminal to continuously collect the terminal behavior factors,extract t
9、he sudden factors from them,and quantify them into the trust value to rapidly determine and block the failed terminal with sudden abnormal behavior.The simulation results show that the scheme can effectively alleviate the detection pressure of zero-trust components deployed in 5G-power IoT.When the
10、proportion of failed terminals is 20%,the detection rate of sudden abnormal failed terminals is as high as 92.3%,reasonably suppressing illegal access.【Key words】5G power Internet of Things(IoT);zero-trust component;atomization deployment;trust evaluation;compromised terminalDOI:10.19678/j.issn.1000
11、-3428.0063799基金项目:国网江苏省电力有限公司科技项目“能源互联网 5G网络检测关键技术研究”(J2021206)。作者简介:顾智敏(1993),女,工程师、硕士,主研方向为电力系统信息安全;王梓莹,工程师;郭静,高级工程师;郭雅娟,研究员级高级工程师;冯景瑜,副教授。收稿日期:2022-01-20 修回日期:2022-03-23 Email:网络空间安全文章编号:1000-3428(2023)02-0161-08 文献标志码:A 中图分类号:TP3912023年 2月 15日Computer Engineering 计算机工程0概述 5G 技术在电力行业的广泛应用解决了散布于各个
12、区域的电力终端的孤立性问题,使得海量电力终端成功接入网络,但电力信息系统的建设规模不断扩大,导致其复杂程度提高,接入网络的设备种类和数量大幅增加,系统提供的服务和功能呈现多样化、优质化和精准化特性1。越来越多的电力终端暴露在互联网中,造成 5G 电力物联网的安全边界越来越模糊,对传统以边界隔离为特征的网络安全防御体系提出了严峻的挑战2,如何保证电网安全已成为电力系统迫切需要解决的问题3。在 5G 环境下,智能电表、巡检无人机/机器人、电能计量器、高清摄像头、智能有序充电桩等接入电力物联网后失去了物理隔离的天然保护。对于大部分电力终端,往往其自身的计算与存储资源有限,同时存在安全漏洞,所处的位置
13、与状态复杂多变4。因此,攻击者可以先入侵脆弱的电力终端进行远程控制,在绕过强大的边界网络安全防御体系后,以失陷终端作为跳板纵向渗透到 5G 电力物联网内部的主站,通过用户凭证滥用、APT 攻击、供应链攻击等方式构成窃取敏感数据的失陷终端威胁。零信任能够采用最小权限策略和严格执行访问控制策略来减少恶意访问和攻击5。零信任假设失陷是不可避免的或已经发生的,采取“永不信任,始终验证”的原则,主要防止敏感数据的窃取威胁。为了弥补边界网络安全防御体系的不足,业界对零信任的关注度越来越高。谷歌、微软、思科、腾讯、中兴、奇安信等国内外知名企业已经陆续推出了相应的解决方案6。工业和信息化部在 关于促进网络安全
14、产业发展的指导意见(征求意见稿)中,将零信任等网络安全新理念首次列入需要“着力突破的网络安全关键技术”中。面对攻击者控制失陷终端渗透到 5G 电力物联网内部窃取敏感数据的威胁,本文提出一种雾化零信任组件的检测方案。采用分布式多点的零信任组件雾化部署,将检测失陷终端威胁的压力分散到各个雾区域,并引入策略监管器,通过区块链辅助数据共享方法保障分布式零信任安全架构的可用性。构建一种突发信任评估模型,持续性地收集终端行为因素以提取突发因子,从而实现失陷终端的快速检测。对雾层认证信息进行签密,使其安全传输到云层,电力云控制中心(Power Cloud Control Center,P3C)验证认证信息的
15、有效性并提供相应服务,从而降低对抗失陷终端威胁的处理负载。1相关工作 零信任的理念和相关技术正在快速推动网络安全行业的发展和变革,所有的实名访问场景都可以逐步升级到零信任网络的安全架构下7。美国国家标准技术研究院(NIST)发布的 Zero Trust Network Architecture 标准草案8指出,零信任安全架构是一种端到端的网络/数据保护方法,包括身份、凭证、访问管理、运营、终端、主机环境、互联的基础设施等多个方面,其核心由策略引擎(Policy Engine,PE)、策略 管 理 器(Policy Administrator,PA)、策 略 执 行 点(Policy Enfor
16、cement Point,PEP)等组件构成。在NIST所提架构的基础上,结合相关应用场景的零信任安全架构研究方案已经出现。文献 9 提出一种基于零信任网络的用户上下文共享方法,通过用户控制上下文共享机制来保护用户隐私。文献 10 针对分布式系统建立零信任架构,同时提出一种共识算法,确保了访问过程中数据的安全性。文献 11 基于Elastic Stack构建零信任网络模型,保密单位可以在保证机密性的同时提高工作效率。文献 12 为 5G智能医疗平台提出一种零信任医疗安全架构,实现了实时网络安全态势感知和细粒度的访问控制。然而,现有零信任安全架构研究方案默认零信任组件为中心化部署,无法直接应用于
17、海量电力终端接入和分布广泛的 5G电力物联网场景中,在面向海量电力终端的频繁访问请求认证时容易延迟认证时间,甚至导致中心化的零信任组件单点失效。在零信任安全架构中,信任评估是发现失陷终端的关键技术,是识别网络中异常行为的重要工具13。文献 14 通过节点内存的内在属性建立信任评估机制,保证了无线传感网络的可信目标节点和源节点的可信度。文献 15 使用加权求和方法获得具有推荐和反馈的间接信任值,通过模糊逻辑和贝叶斯推理计算信任级别,据此判断网络节点的可信度。文献 16 针对电力物联网环境提出一种基于模糊的信任评估机制,使用贝叶斯和 DS证据理论计算电网路由的综合信任值,确保了电网路由的安全性。文
18、献 17 基于车联网的感知层提出一种考虑节点周围环境因素的信任评估模型。但是,现有信任评估模型较少考虑突发性问题,计算出的信任值滞后于终端行为,难以快速预警和检测行为突发异常的失陷终端威胁。2系统架构 5G 技术在电力行业的快速普及促使接入网络的电力终端数目众多且覆盖范围较广18,给零信任组件的中心化部署带来了巨大挑战,减缓了零信任在 5G 电力物联网中的应用。因此,需要一种分布式架构来提升失陷终端威胁的检测效率,规避中心化部署的单点失效问题。雾计算是一种系统性的水平计算架构,其部分计算、存储、通信、控制和决策由接近用户的边缘网络设备完成19,可以有效缓解云计算中存在的时延问题,因此,其在智慧
19、城市、智能医疗、智能电网等对低时延需求较高的领域被广泛应用20。鉴于此,可以将零信任组件部署于电力终端周围的雾区域,在“端”“雾”“云”系统架构上实现 5G电力物联网场景下的失陷终端威胁检测。如图 1所示,失陷终端威胁检测系统架构包括端层、雾层和云层。162第 49卷 第 2期顾智敏,王梓莹,郭静,等:雾化零信任组件的 5G电力失陷终端威胁检测端层、雾层和云层具体功能如下:1)端层。接入 5G电力物联网“发、输、变、配、用”五大环节的电力终端构成端层。每个连接互联网的电力终端配置零信任代理,负责监控电力终端的网络活动和资源访问请求。对于控制命令篡改、恶意代码注入等可疑行为,零信任代理监控发现后
20、直接告知零信任网关(PEP)进行拦截;对于无法确定可疑情况的资源访问请求,则需要提交给零信任组件。2)雾层。根据5G电力物联网的业务范围,可以将雾层划分为m个雾计算区域,定义为集合=FA1,FAe,FAm。每个区域中分配n个雾服务器,定义为集合=SEF1,SEFf,SEFn,主要包括:实现 PR监测职能的 1台计算型雾服务器和 3台存储型雾服务器;构成PE、PA、PEP主节点的3台计算型雾服务器,并为每个主节点搭配用于次节点的(n-7)/3台计算型雾服务器。主节点负责响应零信任代理发来的认证请求,对于通过综合分析研判出的可疑行为,可直接拦截阻断,而对于涉及敏感数据访问的请求,需要将授权结果提交
21、给云层,方便电力终端接入云层。当负责某个零信任组件的主节点宕机或瘫痪时,相关次节点立即启动,从而保障零信任组件的监控职责正常运行。3)云层。零信任组件产生的认证信息若是明文状态,则在传输过程中容易被攻击者篡改和伪造。因此,系统对雾层认证信息进行无证书签密,确保其安全传输到云层。电力云控制中心 P3C解签密认证信息,结合访问权限进行验证:若验证通过,则返回验证有效性和访问许可给雾层的相关零信任组件,对主体提供相应的数据类型;若验证未通过,则返回验证无效和访问拒绝消息。3方案设计 为满足 5G 电力物联网场景下海量终端的认证和监控需求,本文提出一种失陷终端威胁检测方案,主要包括雾化零信任组件、突发
22、性信任评估和签密传输雾层认证信息部分。3.1雾化零信任组件本文系统采用分布式多点方式将零信任组件雾化部署到电力终端周围,同时,提出一种宕机组件应急响应流程,用于及时发现单点失效的零信任组件,此时立即启用相关雾服务器次节点,避免一个零信任组件停止运转而导致整个零信任安全架构失效。3.1.1分布式多点雾化部署PEP、PE 和 PA 这 3 个零信任组件相互协作构成了零信任安全架构的运行机制。雾化部署主要包含5个步骤:1)主体在 5G 电力物联网内部活动发出的数据和资源访问请求,都会被零信任代理打包成认证需求上报给 PEP。2)PEP 通常称为零信任网关,转发上报的认证需求给 PE。3)PE 根据主
23、体的认证情况,通过突发信任评估模型计算其信任值,对网络活动和访问请求进行认证,并将认证结果发给 PA和 PEP。4)对于认证通过的主体,PA 生成访问授权凭据交给 PEP。5)PEP 将认证结果和授权凭据打包签密后发送给 P3C,若收到 P3C 返回的验证有效性和访问许可,则转发给主体。为了防止零信任组件的单点失效故障,在雾化部署过程中,PEP、PE和 PA这 3个零信任组件不仅需图 1失陷终端威胁检测系统架构Fig.1Threat detection system architecture of compromised terminals1632023年 2月 15日Computer Eng
24、ineering 计算机工程要分布式多点部署,还要分别部署在不同的雾服务器上,独立运行相关职能,从而降低其宕机风险,保障零信任安全架构的有效性。本文引入策略监管器 PR对 PEP、PE和 PA这 3个组件的雾服务器主节点运行情况进行实时监测。PR可以访问和关联分析所有零信任组件的运行数据,当发现某个主节点宕机时,在相关雾服务器次节点集合中选取新的主节点继续工作。在一个雾计算区域内,定义零信任组件节点集合为=ZCPEP,ZCPE,ZCPA。图 2所示为平等随机选取算法的执行过程。平等随机选取算法执行步骤具体如下:步骤 1 初始时刻,PR 为 3 个零信任组件分配含有 g 个不重复整数的随机数集合
25、 R1、R2和 R3,集合R1中的随机数分别一对一匹配给 PEP 组件的 g 个雾服务器。步骤 2 按随机数大小排列,形成 PEP组件集合ZCPEP=PEP1,PEPb,PEPg,其中,PEP1为初始PEP主节点,其余为处于依次待命状态的g1个PEP次节点。按类似方式,可得到PE组件集合ZCPE=PE1,PEb,PEg 和PA组件集合ZCPA=PA1,PAb,PAg。步骤 3 PR监测到某个组件主节点(比如 PEP1)宕机时,向排在其后的 PEP2发出上线通告。PEP2属于优先待命的次节点,一直等待来自 PR 的上线通告,同时实时关注 PEP1的运行状况。若 PEP2在上线通告来临之前发现 P
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 雾化 信任 组件 电力 失陷 终端 威胁 检测 顾智敏
![提示](https://www.zixin.com.cn/images/bang_tan.gif)
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【自信****多点】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【自信****多点】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。