北京国基华电科技有限公司（以下简称国基华电）一直以保护国家关基信息基础设施的安全的责任，以自主研发和自主创新的信息安全产品和工控安全产品服务能源电力企业，并获得广大用户的高度认可。

关键基础设施，社会和国家运转至关重要的基础设施，如能源、交通、通信、金融等领域。智慧电厂和新能源场站都是基于现代信息技术的新型能源供应体系，具有数字化、智能化、自动化的特点。由于其重要性，智慧电厂和新能源场站常常成为攻击者的目标，安全风险也相对较高。

在《信息安全技术 关键信息基础设施安全保护要求》GB/T 39204-2022主动防御章节提出了<收敛暴露面-识别和减少互联网和内网资产的互联网协议地址、端口、应用服务等暴露面；减少对外暴露组织架构、邮箱账号、组织通信录等>，那么如何来满足关基国标的要求，同时在当前的网络安全态势下，更好的提升关基信息安全防护体系的建设，零信任网关能帮助我们能够解决以上问题。

零信任理念“以身份为中心、以权限为边界、持续信任评估、动态访问控制”，零信任技术打破传统以“网络”为中心的防护模式，构建以“人+设备+网络+环境”认证体系，即持续、动态的”用户+设备（环境/网络）“的检测与授权，提高关基整体系统的认证强度。

零信任架构下，访问客体是核心保护的资源，针对被保护资源构建保护面，资源包括但不限于业务应用、服务接口、操作功能和数据等关键信息基础设施。访问主体包括人员、设备、应用和系统等身份化之后的数字实体，在一定的访问上下文中，这些实体还可以进行组合绑定，进一步对主体进行明确和限定。

（1）WEB、APP统一门户

APP统一门户：实现企业办公APP都通过APP统一门户访问业务，支持反向拉起SDP客户端，收敛APP、H5互联网暴露面。

PC统一门户：PC端实现内、外网统一安全接入，实现单点登录，提高办公效率。

（2）以身份为基石

基于身份而非网络位置来构建访问控制体系，将身份化的人、设备和应用进行运行时组合构建访问主体，并为访问主体设定其所需的最小权限。当用户行为或环境发生变化时，国基华电零信任网关会持续监视上下文，基于位置、时间、安全状态和一些自定义属性实施访问控制管理。通过用户身份、终端类型、设备属性、接入方式、接入位置、接入时间来感知用户的访问上下文行为，并动态调整用户信任级别。

（3）业务安全访问

零信任架构关注业务保护面的构建，通过构建保护面实现对暴露面的收缩，国基华电零信任网关认证使用基于UDP协议的SPA单包授权认证机制，默认“拒绝一切”请求，仅在接收到合法的认证数据包的情况下，对用户身份进行认证。认证通过后，接入终端和网关之间建立基于UDP协议的加密隧道。SPA协议和加密隧道协议技术实现对外关闭所有的TCP端口，保证了潜在的网络攻击者嗅探不到零信任网关的端口，无法对网关进行扫描，预防网络攻击行为，有效地减少互联网暴露面。

（4）持续信任评估

持续信任评估是零信任体系从零开始构建信任的关键手段，通过信任评估模型和算法，实现基于身份的信任评估能力，国基华电零信任网关通过强大的身份服务来确保每个用户的访问，一旦身份验证通过，并能证明自己设备的完整性，赋予对应权限访问资源。国基华电零信任网关进行持续的自适应风险与信任评估，信任度和风险级别会随着时间和空间发生变化，根据安全等级的要求、网络环境等因素，对访问的上下文环境进行风险判定，对访问请求进行异常行为识别，并根据信任评估结果进行动态调整权限。

（5）动态访问控制

动态访问控制是零信任架构的安全闭环能力的重要体现。建议通过RBAC和ABAC的组合授权实现灵活的访问控制基线，基于信任等级实现分级的业务访问，同时，当访问上下文和环境存在风险时，需要对访问权限进行实时干预并评估是否对访问主体的信任进行降级或者二次鉴权。

（6）动态认证

根据用户的身份及帐号信息、设备信息和事先确定的认证策略进行强认证，采用互联网认证手段如人脸识别、扫描、手机号一键认证、指纹等实现设备和人员的动态鉴权能力。

业务场景

场景一、零信任SDP安全网关，取代VPN，提升企业安全防护能力

场景二、混合云、多数据中心场景

零信任架构具备多种灵活的实现方式和部署模式。其中，在远程办公、云计算平台、大数据中心、物联网、5G 应用等典型应用场景中，实施一个“从不信任，永远验证”的方法，根据访问主体和资源之间的授权关系，数据平台通过访问代理搭建安全的访问通道，对访问请求进行分流。控制平台的访问引擎负责指挥，按照“先认证后连接”原则，建立、维持有效连接，实施对资源的安全访问控制。在此过程中，对应用场景中出现的安全威胁进行监控，并及时响应，削减风险。

综上所述，将零信任网关应用于智慧电厂和新能源场站中，以提高系统和设备的安全性，使数据更安全，提高合规性和可视性，并提高组织的整体风险应对防护能力。保障整个能源供应体系的安全稳定运行。