隨著國家“雙碳”戰(zhàn)略的落實，浙江浙能電力股份有限公司(簡稱浙能電力)全面貫徹浙江省委省政府和省國資委數(shù)字化改革的要求，今年按照浙能集團工作要求，深入開展浙能集團數(shù)字化“132”工程建設，圍繞數(shù)字管理、數(shù)字生產(chǎn)、數(shù)字服務“三大應用”和標準制度體系、網(wǎng)絡安全體系“兩個體系”建設，取得初步成效。

作為大型能源企業(yè)的浙能電力，隨著數(shù)字化改革進入到深水區(qū)，針對電力監(jiān)控系統(tǒng)、信息系統(tǒng)的穩(wěn)定性、實時性、可靠性提出了更高要求，給網(wǎng)絡安全防護帶來了巨大的挑戰(zhàn)，企業(yè)安全能力亟需全面提升。

綜合防護體系護航數(shù)字化改革

為保障企業(yè)在數(shù)字化改革的進程中全面應對復雜的網(wǎng)絡安全風險，浙能電力以“推進平戰(zhàn)結合的網(wǎng)絡安全綜合防護體系”為安全建設目標，以“完善管理機制，處置工具，提升處置能力”為運營體系建設抓手，并與深信服科技等網(wǎng)絡安全合作伙伴協(xié)同合作研究，為企業(yè)構建“平戰(zhàn)結合”綜合防護體系，幫助浙能電力實現(xiàn)常態(tài)化、體系化、實戰(zhàn)化的網(wǎng)絡安全目標。

“平戰(zhàn)結合”綜合防護體系包含企業(yè)日常與網(wǎng)絡被攻擊等多種場景的運營模式，在網(wǎng)絡受到攻擊時，運營模式與策略可快速“一鍵生成自動響應流程”，及時應對網(wǎng)絡攻擊情景。同時通過重點打造零信任對外業(yè)務發(fā)布模式、內外網(wǎng)隔離架構、外網(wǎng)虛擬專線、電力工控安全監(jiān)測、管理運營流程等綜合安全防護體系，實現(xiàn)發(fā)電企業(yè)網(wǎng)絡狀態(tài)可監(jiān)測、邊界可防御、入侵可識別、態(tài)勢可感知、戰(zhàn)時可響應的常態(tài)化安全防護目標，幫助浙能電力實現(xiàn)了安全綜合防護服務能力的全面提升。

構建零信任實戰(zhàn)五步法

“平戰(zhàn)結合”體系是浙能電力基于零信任理念構建的安全防護體系，目的是建立“上下一體，分級分控，安全分區(qū)，網(wǎng)絡專用”的網(wǎng)絡安全綜合防護體系，保障企業(yè)內外網(wǎng)業(yè)務的安全運行，通過一年多的運行磨合和升級加固，總結了零信任體系的動態(tài)訪問實戰(zhàn)五步法。

首先是業(yè)務代理發(fā)布，升級訪問流程架構。無論是移動辦公，還是內部業(yè)務訪問，需先通過零信任網(wǎng)關的認證，然后由零信任網(wǎng)關代理訪問內部業(yè)務網(wǎng)絡，同時開啟內部業(yè)務網(wǎng)絡訪問審計功能。零信任控制器對接統(tǒng)一身份權限中心，可實現(xiàn)每個身份賬號訪問業(yè)務系統(tǒng)時只具備最小訪問權限。

其次是單包授權機制，實現(xiàn)業(yè)務發(fā)布隱身。傳統(tǒng)業(yè)務系統(tǒng)對外端口易遭受大量掃描攻擊，零信任系統(tǒng)利用本身最新一代的SPA單包授權技術，為每個員工分配唯一的SPA碼并與終端電腦綁定，采用“一人一碼”的全新管理模式，當驗證通過后才能與服務端建立安全隧道訪問業(yè)務，實現(xiàn)零信任邊界網(wǎng)關服務端口的隱身。

然后是多因子認證鑒權。利用內部APP結合短信碼的方式實現(xiàn)增強認證，并基于終端所處的環(huán)境對登錄行為進行分析。一方面按照規(guī)范化、最小化原則賦予用戶最小的資源訪問權限，避免暴露過多內網(wǎng)業(yè)務。另一方面，引入動態(tài)權限調整策略，用戶訪問業(yè)務系統(tǒng)的過程中，對訪問終端、訪問行為實時監(jiān)測，發(fā)現(xiàn)不符合的訪問策略能動態(tài)調整用戶的訪問權限，同時通過二次認證、安全警示等灰度處置方式，精細化控制訪問過程。

再然后是虛擬專線技術，拒絕一機兩網(wǎng)跨網(wǎng)訪問。在業(yè)務系統(tǒng)運維中管理員強制開啟虛擬專線功能，開啟后將使終端僅能訪問內網(wǎng)業(yè)務，不再具有外網(wǎng)資源的訪問權限，較大程度避免了一機兩網(wǎng)的跨網(wǎng)操作風險，避免了主機淪為跳板訪問的風險。

最后聯(lián)動檢測技術，優(yōu)化攻擊溯源。為防止隱性信任訪問，浙能電力為實際攻防場景打造快速精準匹配策略，匹配現(xiàn)有態(tài)勢感知工具，進行高級威脅分析，抽象賬號分析、設備出向和入向行為分析三種精準溯源場景，實現(xiàn)快速聯(lián)動響應。