1、基于可信計算的電網網絡安全自適應防護關鍵技術及應用,目錄,1,2,3,4,技術概述：可信計算發展進程,關鍵技術：主動免疫與安全云架構,實施應用：電網自適應防護體系,實戰成果：自主研發創新,1,可信計算發展進程,“沒有網絡安全就沒有國家安全，沒有信息化就沒有現代化?！绷暯?什么是可信計算,“如果一個實體的行為總是按照預期的方式和目標進行，那它就是可信的（An entity can be trusted if it always behaves in the expectedmanner for the intended purpose）”-可信計算組織TCG(TrustedComputing

2、Group),01,02,03,為什么需要可信計算,網絡安全態勢嚴峻,網絡環境下的病毒源頭、種類、數量均呈現爆發性增長，攻擊手段與頻率不斷加劇,傳統手段難以招架,”殺病毒、防火墻、入侵檢測“傳統老三樣已經過時，難以應對新型攻擊，堵漏洞、打補丁的傳統思路不利于整體網絡安全,安全系統設計漏洞,在網絡安全系統設計的時候，必定會存在邏輯組合和組合不全的缺陷，缺失相對的安全目標，防御體系，無法確保完成計算任務的邏輯組合不被篡改和破壞,網絡安全永恒不變,沒有網絡安全就沒有國家安全，構筑網絡安全，應堅持走自主可控、安全可信的道路，基于我國自主創新的可信計算技術，搶占網絡空間安全戰略制高點,病毒肆虐實例,20

3、17年5月，勒索病毒席卷全球150多個國家，短短數小時近40萬用戶遭受攻擊勒索，被感染的政府機構、高校、醫院、電力系統等終端設備幾近癱瘓，引發出迄今為止網絡世界最大的安全危機。次月，新型勒索病毒Petya肆虐多過政府、銀行、電力系統、通信系統等，多個行業受到不同程度影響。,今年月日，臺積電營運總部和新竹科學園區的的英寸晶圓廠的電腦，遭到勒索病毒入侵，生產線全數停擺。幾個小時之內，臺積電在臺灣北、中、南三處重要生產基地均未能幸免。,網絡安全刻不容緩，可信計算新出路,可信計算發展里程碑,可信計算平臺聯盟TCPA,歷史上第一個可信計算機系統評價標準（TCSEC）頒布，又稱橙皮書。,可信計算組織（TC

4、G）成立,TPM 2.0納進ISO標準,可信計算的演進,容錯計算,被動可信,主動免疫,技術融合,以世界容錯組織為代表，主要特征是主機可靠性，通過容錯算法、故障診查實現計算機部件的冗余備份和故障切換。,以TCG為代表，主要特征是包含PC節點安全性，通過主程序調用外部掛接的可信芯片實現被動度量。,我國自主建立，主要特征是系統免疫性，保護對象是以系統節點為中心的網絡動態鏈，構成“宿主+可信”雙體系可信免疫架構，宿主機運算的同時由可信機制進行安全監控，實現對網絡信息系統的主動免疫防護。,結合云技術，在硬件基礎之上的構建基于建立動態信任鏈的可信計算平臺。主要特征：向上支撐傳統的商業操作系統，向下兼容硬件

5、體系，由此建立完善、可控的可信機制、執行安全策略最終保障系統安全。,國內外可信計算領域比對,TCG組織,中國可信計算,VS,國內可信計算狀況,產業聯盟成立 2014年，在中國工程院沈昌祥院士提議下，中國電子信息產業集團、中國信息安全研究院、中國電力科學研究院等60家單位組成可信計算產業聯盟，標志著可信計算正式由一門技術上升為國家層面的產業。,國家戰略定位 中國”十二五“規劃中首次將可信計算與信息安全寫進國家的安全戰略中，而”十三五“規劃中進一步提出推進綠色計算、可信計算、數據和網絡安全等信息技術產品的研發與產業化要求,自主創新發展 我國的可信計算已經進入3.0時代，主動免疫架構得到多方面應用，

6、在技術的牽引下，研制出一些列的支持可信計算的國產CPU、操作系統、應用軟件等，軟硬件發展已基本達到體系化要求，有些方面屬于國際領先水平。,第一部分 小結,01,當今網絡安全形勢依舊嚴峻,02,可信計算經多年演進，已發展為產業化，并逐步向體系化構建,03,我國可信計算起步雖晚，但后發趕超，部分成果已躋身國際領先水平,04,可信計算3.0將是我國可信計算領域發展方向與核心領先技術,2,主動免疫與安全云架構,“從科學的視角認識網絡安全，應包括三個方面的內容，即利用邏輯缺陷攻擊的網絡安全是永遠的主題、可信免疫的計算模式與結構和安全可信系統架構。”沈昌祥,技術誕生前提,安全戰略提升,年發布的國家網絡空間

7、安全戰略也指出：重視軟件安全，加快安全可信產品的推廣應用。,安全組合無法窮盡,網絡安全風險的實質是設計系統不能窮盡所有邏輯組合，必定存在邏輯不全的缺陷,專項法規保障,網絡安全法十六條強調：推廣安全可信的網絡產品和服務。,可信計算 3.0,主動免疫,在計算、運算的同時進行安全防護，全程可測可控，一邊計算一邊防護。建立以主動免疫為標志的可信計算體系，相當于為網絡信息系統培育了免疫能力。,排異反應,識別病毒,密碼保護,以密碼為基因，對包括身份認證在內的一系列安全措施，實現運算和防護并存的主動免疫體系結構相當于人體免疫系統，免疫系統的免疫基因有三大功能：,可信計算 3.0體系結構,技術可控條件,可知

8、對合作方開放全部源代碼，要心里有數，不能盲從,可編 要基于對源代碼的理解，能自主編寫代碼,可重構 面向具體的應用場景和安全要求，對核心技術要素進行重構，形成定制化的新的體系結構,可信 通過可信計算技術增強自主系統免疫性，防范漏洞影響系統安全性，使國產化真正落地,有知識產權 要對最終的系統擁有自主知識產權，保護好自主創新的知識產權及其安全。堅持核心技術創新專利化，專利標準化，標準推進市場化。要走出國門，成為世界品牌,技術發展原動力,面臨日益嚴峻的國際網絡空間形勢，我們要立足國情，創新驅動，解決受制于人的問題。目前，可信計算已經成為世界網絡空間斗爭的焦點，美國第三次抵消戰略（對抗下一代敵人的下一代

9、技術）已經把高可信網絡軍事系統列為重點，未來將圍繞安全可信展開新的較量。,要堅持自主可控、安全可信,國家重要信息系統，如：增值稅防偽、彩票防偽、二代居民身份證安全系統都將采用可信計算3.0作為基礎支撐,搶占網絡空間安全核心技術戰略制高點,采用可信計算，可避免如微軟停止服務所引起的安全風險，有力支撐了習總書記提出的：“引進必須安全可控”的重要指示,如何擺脫受制于人的尷尬局面？,構筑主動防御、安全可信的保障體系,可信主機,可信控制卡,可信控制模塊,識別,控制,報警,可信計算與可信云安全框架,云安全是可信計算當前的重點應用方向，基于可信計算建立主動免疫的可信云安全框架，是解決當前各類云安全問題的重要

10、基礎和保障，采用安全可信系統架構可以確保體系結構可信、資源配置可信、操作行為可信、數據存儲可信和策略管理可信，從而達到積極主動防御目的。,云計算、大數據、工業控制、物聯網等新型信息化環境需要安全可信作為基礎和發展的前提，必須進行可信度量、識別和控制。,自主創新的體系結構框架,我國可信計算革命性地開創了自主密碼為基礎、控制芯片為支柱、雙融主板為平臺、可信軟件為核心、可信連接為紐帶、策略管控成體系、安全可信保應用的全新的可信計算體系結構框架。,打基礎,具有自主的密碼體系,構主體,確定了四個主體標準是可信平臺控制模塊、可信平臺主板功能接口、可信基礎支撐軟件及可信網絡連接架構,搞配套,提出了四個配套標

11、準，分別是可信計算規范體系結構、可信服務器平臺、可信存儲及可信計算機可信性測評指南,成體系,包括了管控應用相關標準，涉及到等級保護系統各個方面,全新的可信計算標準體系,基于創新的體系結構框架，完成了核心的9部國家標準和5部國軍標的研究起草工作。其中，已發布國家標準3項和國軍標3項，即將發布國家標準2項，已發布團體標準（中關村可信計算產業聯盟標準）4項，授權國家專利上百項。,自主創新的標準體系,創新可信密碼體系,密碼算法,全部采用國有自主設計的算法，定義了可信計算密碼模塊（TCM）,密碼機制,采用對稱（SM2 算法）與公鑰密碼（SM2算法）相結合體制，提高了安全性和效率，其中，還應用SM3算法進

12、行完整性校驗,證書結構,采用雙證書結構，簡化了證書管理，提高了可用性和可管理性,創建主動免疫體系結構,主動免疫是中國可信計算革命性創新的集中體現,我國自主創建的主動免疫體系結構，在雙系統體系框架下，采用自主創新的對稱/非對稱相結合的密碼體制作為免疫基因,軟件基礎層,實現宿主操作系統和可信軟件基的雙重系統核心，通過在操作系統核心層并接一個可信的控制軟件，接管系統調用，在不改變應用軟件的前提下實施對應執行點的可信驗證，達到主動防御效果,網絡層,采用三層三元對等的可信連接架構，在訪問請求者、訪問連接者和管控者（即策略仲裁者）之間進行三重控制和鑒別，管控者對訪問請求者和訪問連接者實現統一的策略驗證，解

13、決了合謀攻擊的難題，提高系統整體的可信性,平臺主板,在可信平臺主板中增加了可信度量控制節點，實現了計算和可信雙節點融合,控制芯片,在主動度量控制芯片（TPCM）硬件中植入可信源根，并加以信任根控制功能，實現密碼與控制相結合，將可信平臺控制模塊設計為可信計算控制節點，實現TPCM對整個平臺的主動控制,云中心結構,信息系統云化是指其信息處理流程在云計算中心完成，一般由用戶網絡接入、區域邊界、計算環境和管理平臺組成，可以同時運行多個不同安全級別的信息系統，其安全防護能力高于承運最高等級信息系統的級別,可信云安全框架,云計算可信安全架構是在安全管理中心支撐下的可信計算環境、可信接入邊界、可信通信網絡三

14、重防護架構，如下圖所示：,可信云計算環境及連接傳遞,可信鏈傳遞從基礎設施可信根出發，度量基礎設施、計算平臺，驗證虛擬計算資源可信，支持應用服務的可信，確保計算環境可信。,第二部分 小結,01,我國在可信計算領域已經自主建立了完整的體系，開創了可信計算3.0時代,02,主動免疫的可信計算體系是我國構建網絡安全和信息系統安全的重要基礎和保障,03,云計算是可信計算當前最重要的應用方向之一,04,在云計算領域引入可信計算，構造主動免疫的云安全框架體系，可以指導完善云計算系統的安全防御機制，有力保障云計算產業的健康發展,3,電網自適應防護體系,”可信計算已經進入3.0時代，作為等級保護的關鍵支撐技術之

15、一，將在落實網絡安全等級保護制度上發揮更大作用。構筑網絡安全，應堅持走自主可控、安全可信的道路，基于我國自主創新的可信計算技術，搶占網絡空間安全戰略制高點?！鄙虿?公司網絡安全總體框架,公司網絡安全分區現狀,指用于監視和控制電力生產及供應過程的、基于計算機及網絡技術的業務系統及智能設備，以及作為基礎支撐的通信及數據網絡等，部署于控制區、非控制區和生產管理區。典型的電力監控系統主要包括：電力數據采集與監控系統、能量管理系統、變電站自動化系統、配電自動化系統、計量自動化系統、調度數據網、綜合數據網、電力設備在線監測系統等。,指承載公司營銷、資產、財務等管理與日常辦公業務流程的信息系統，不涉及電力

16、生產及供應過程監視和控制，部署于信息內網區和信息外網區。典型的管理信息系統主要包括：營銷管理系統、資產管理系統、人力資源管理系統、協同辦公系統、決策支持系統、電子商務系統、互聯網網站等。,電力監控系統,管理信息系統,公司網絡安全分區現狀,“五區兩網”（I、II、III、IV、V區，調度數據網、綜合數據網）,公司終端安全分區要求,智能電網信息安全防護體系架構,電網自適應防護體系構建,可信動態轉換,可信風險防護矩陣,以黑白名單作為基礎信任與非信任作為樣本基數，即可信計算當中的識別“自己”和“非己”成分。,以入網終端的屬性、運行系統類別、行為慣性檢測等要素作為可信節點判斷參數，實現可信計算動態鏈的白

17、樣本轉化,結合南網總公司的防護基線，匯總并實施“5層7域”的安全防護矩陣，在設備或系統運行過程中，融入白樣本信息在每個節點而定可信計算中確保實時監測與自主可控，最終打造電網網絡安全的自適應防護體系,白樣本,機器學習,匹配模式,人工設置,名單樣本歸集,自適應防護體系構建,安全風險矩陣,信息安全主要風險分析矩陣圖,構建過程焦點問題,WHO,白名單、白樣本使用主體歸屬判定，使用主體是哪些？,WHEN,何時用白名單、何時用白樣本？,RUN,殺軟不升級，安全檢查是否允許,ALLOW,系統不更新，安全檢查是否允許,區別于傳統手段，白名單與白樣本應能同時使用并能實時進行轉化,對于程序穩定，進程變化較少（如：

18、調度自動化系統）采用白名單對于程序更新較頻繁，進程變化較多（如：管理信息系統）采用白樣本,第三部分 小結,01,依托可信計算3.0技術體系，XX電網公司基本建成了一套電網網絡安全自適應防護體系，大幅提升了電網的供電可靠性,02,當前體系日趨完善、自我演進中，并在此過程中能切實為電網公司網絡安全保駕護航,03,可信計算技術下的自適應防護體系搭建是電網網絡安全的重要的發展方向之一,04,在嚴謹遵循南網總公司安全基線前提下，結合區域電網網絡的信息安全特征，構建屬于自身的可信信任體系是解決安全問題的重要手段,4,自主研發創新,網絡安全是國家安全的重要組成部分，電網網絡安全是網絡安全的命脈所在。可信計算

19、改變了被動應對的防護模式，形成主動防御能力，發展基于可信計算的網絡安全自適應防護關鍵技術已刻不容緩。,實戰場景,電力監控系統網絡與信息安全防護是防范黑客、惡意代碼攻擊及侵害，保障電網安全穩定運行的重要屏障。,實戰場景,電力監控系統網絡與信息安全防護是防范黑客、惡意代碼攻擊及侵害，保障電網安全穩定運行的重要屏障。,實戰成果,項目通過西電東送應用于香港、澳門、越南、老撾、緬甸的電力互聯網絡及系統安全，保護范圍超過大湄公河次區域電力交易總量的98%。,項目在XX電網公司信息中心、電科院、南寧、河池、貴港、玉林供電局應用于保護智能用電小區居民用電、營業廳繳費終端、費控及變電站設備在線監測、視頻監控等業

20、務用電安全。,應用于智能充電服務平臺安全防護，成功保障華南5省、香港、澳門6萬輛電動汽車、624座充電站、10萬個充電樁的互通數據傳輸安全。,成功發現并阻斷“海蓮花”、“摩訶草”等APT攻擊25次，保障了XX電網公司社會用電量超過2000億千瓦時，對XX新一代信息技術創新發展，國家及地區能源安全保障乃至“一帶一路”建設具有重大戰略意義。,基于云計算和可信計算的信息安全大數據資源訪問控制系統,信息安全管理模塊,云存儲服務模塊,基于可信的密鑰生成模塊,大數據服務模塊,基于可信的解密模塊,10月份,用于在可信的安全網絡環境下，將云存儲服務模塊上的封裝好的三重加密密文解密得到明文信息。,大數據服務模塊

21、,用于在可信的安全網絡環境下，生成系統初始的公開參數和主密鑰。,用于在可信的安全網絡環境下，對用戶屬主客戶端上的明文進行三重加密。,用于為訪問用戶提供數據存儲服務,用于根據已驗證的信息管理經驗對信息安全進行管理，包括風險評估模塊和風險控制模塊。,基于可信的加密模塊,用戶接入模塊,用于實現訪問用戶向云存儲服務模塊發送訪問請求以及讀取云存儲服務模塊上的密文。,技術內容,創新成果,基于可信計算的大數據安全防護云系統,技術內容,多級可信安全防護配置系統,安全等級相同的網絡節點之間，采用基于網絡層的安全網際協議IPSec進行信息交互；不同安全等級的網絡節點之間，采用工作在網絡層協議之上的應用層協議進行信

22、息交互。,云服務系統,包括云存儲模塊和云計算模塊,包括關聯矩陣生成模塊、最小生成樹模塊、分級模塊和更替模塊，通過計算網絡節點的重要性值將網絡節點分為4個不同的安全等級。,網絡安全監測系統,用于監測網絡節點數和網絡節點位置，配合網絡節點安全分級系統共同構建安全信任環境，其包括感知模塊和傳輸模塊。,可信云網絡節點安全分級系統,創新成果,基于大數據和可信計算的信息網絡安全自防御系統,技術內容,基于可信的數據集儲模塊,基于可信的數據傳輸模塊,風險分析反饋模塊,風險檢測模塊,安全防御模塊,10月份,對反饋信息、檢測結果和評估結果進行綜合分析，得到相應的綜合風險，調用相應且合適的安全策略。,用于在已驗證的

23、安全網絡環境下根據反饋信息對正在運行的終端進行實時檢測并輸出檢測結果。,根據傳遞的有用數據和已經驗證的風險管理經驗進行風險分析并輸出反饋信息。,用于對風險檢測模塊的輸出結果進行評估并輸出評估結果。,用于實現各模塊的有用數據的加密傳遞。,用于收集并加密存儲終端的含有用戶相關信息的有用數據。,風險評估模塊,預警模塊,包括安全開關和報警器，當風險超過自防御系統防御能力或者安全防御模塊出現故障時，安全開關會自動將切斷電源，同時報警器發出警報。,圖4:本發明各模塊的連接示意圖,圖5:本發明的原理示意圖,創新成果,基于大數據和可信計算的信息安全風險防護系統,技術內容,通過可信的信息采集模塊、大數據分析模塊

24、以及可信數據云存儲模塊共同構建；,用于根據分析出的數據和已經經過認證的風險管理經驗對網絡信息安全風險進行風險評估，包括針對信息安全威脅場景的模糊風險評估模塊和可信風險分析模塊。,包括可信風險控制模塊，所述可信風險控制模塊用于根據所述分析結果調整網絡的訪問控制策略和易感節點安全策略，加強已被感染節點的安全管理。,圖7:本發明的原理示意圖,圖4:本發明各模塊的連接示意圖,創新成果,第三部分 小結,01,XX電網公司得電網網絡安全自適應防護體系是可信計算技術的應用起點，未來仍有一段漫長道路需要堅守與探索前進,02,在可信計算、云計算、大數據等新技術浪潮下，安全防護工作既要推進，也要重視技術的自主創新,03,知識產權也是公司重要資產，要重視其原創性、創新性、實用性與推廣性,匯報完畢 感謝欣賞,