一种基于策略意图图与影子探针水印的边界防护设备策略合规审核及隐患治理方法与流程

本发明属于电力监控系统网络远程监督，尤其涉及一种基于策略意图图与影子探针水印的边界防护设备策略合规审核及隐患治理方法。

背景技术：

1、随着电力监控系统安全防护体系的持续完善，纵向加密装置、边界路由器、防火墙、服务器及主机探针等设备已广泛部署于生产控制大区与管理信息大区之间，承担跨安全区访问控制、策略执行、端口暴露面收敛及安全状态监测等关键职能。当前，电力监控系统网络边界呈现多厂商设备异构共存、策略变更频繁、业务访问关系动态调整等特点，资产台账、证书状态、端口服务指纹、主机探针遥测、内核网络流元数据等多源数据分别由不同管理平台采集存储，行业合规性要求亦持续细化，对边界防护设备策略配置、端口开放范围及跨区访问行为提出可审核、可追溯、可治理的监管目标。

2、针对边界防护设备策略合规审核，现有技术方案主要包括：基于静态策略文本解析与比对的方法，通过提取防火墙或路由器acl规则进行结构化差异比较；基于主动端口扫描的暴露面检测方法，向目标设备发送探测报文识别开放端口及服务版本；基于流量日志或告警事件的异常分析方法，借助netflow、sflow或安全告警日志统计访问特征并触发告警；以及基于单一数据源（如仅依赖边界设备日志或主机探针上报信息）的策略生效性判断。上述方案多独立部署，缺乏对多厂商异构策略的语义级统一处理，且高度依赖人工设定规则或异常样本标注。

3、然而，现有技术存在明显缺陷：一是静态策略文本比对无法感知策略实际执行效果，难以发现策略版本漂移及设备身份冒用问题；二是主动端口扫描可能扰动电力业务，且单独分析边界日志、主机探针或内核网络流任一数据源均无法交叉验证策略是否真实生效，存在日志缺失、探针绕过或记录被篡改等单点失效风险；三是端口暴露与策略不合规的判定缺少与资产角色、网络区域归属及业务基线的联合建模，缺乏治理知识库支撑，难以自动识别非授权跨区访问并形成标准化处置与回归验证闭环，导致高危端口长期开放、治理工作依赖人工经验且重复性高。

技术实现思路

1、发明目的：本发明的目的是提供一种基于策略意图图与影子探针水印的边界防护设备策略合规审核及隐患治理方法，通过将策略语义、影子探针水印与多源实测数据联合建模，以解决现有技术中静态比对无法感知策略实际执行效果、单数据源无法交叉验证策略真实生效性、以及缺乏资产区域基线与治理知识库联合建模导致难以自动识别非授权访问并形成闭环治理的技术问题。

2、技术方案：本发明所述的基于策略意图图与影子探针水印的边界防护设备策略合规审核及隐患治理方法，包括以下步骤：

3、s1、在电力监控系统运行期间，采集纵向加密装置、边界路由器、防火墙和主机探针的安全策略配置、访问控制规则、证书状态、资产台账、网络区域标签、端口开放状态、主机探针遥测、内核网络流元数据、dns解析记录、出口访问事件和安全告警数据；其中，来自不同厂商的纵向加密装置、边界路由器、防火墙和主机探针的安全策略配置及访问控制规则构成多厂商异构策略；

4、s2、将所述多厂商异构策略输入策略解析器，提取语法规则、参数字段、文本语义和合规标准，并结合设备身份、证书状态、资产台账、端口服务基线和网络区域标签，生成带策略版本签名的策略意图图；所述策略意图图包括设备节点、允许访问边、禁止访问边、协议端口约束、超时重试约束、纵向加密通道和跨区访问边界；

5、s3、依据所述策略意图图生成满足低风险约束的影子探针，并在所述影子探针的请求头、路径片段、请求间隔、端口访问序列或负载摘要中写入不可见策略路径水印；所述低风险约束包括采用只读接口、健康检查路径、幂等查询或被目标服务标记为影子请求的路径，探针采样率受预设采样率阈值约束，探针有效期处于探针时间窗内，且所述影子探针不写入真实业务数据、不改变目标设备配置和目标设备状态；

6、s4、在边界防护设备日志、主机探针遥测和内核网络视角分别观测真实业务请求与影子探针请求的设备身份、证书指纹、五元组、端口服务、访问路径、响应延迟、返回码、出口目标和水印传播结果；

7、s5、根据边界防护设备日志、主机探针遥测、端口服务指纹、内核网络流元数据、dns解析记录和出口访问事件构建实测访问图，并将所述实测访问图、影子探针水印传播轨迹和策略意图图进行图谱比对，计算策略偏离特征、水印缺失特征、设备日志与网络流观测分歧特征、高危端口暴露特征和策略漂移特征；

8、s6、将所述策略偏离特征、水印缺失特征、设备日志与网络流观测分歧特征、高危端口暴露特征和策略漂移特征输入风险融合模型，结合资产重要度、设备关键度、证书状态、策略版本和历史隐患累积因子，输出边界防护设备策略合规风险评分和隐患类型；

9、s7、根据所述风险评分和隐患类型调用网络安全隐患治理知识库，生成策略整改、端口关闭、证书轮换、访问阻断、工单派发、状态跟踪和回归验证任务；

10、s8、根据策略版本、设备身份、证书状态、策略意图图、实测访问图、影子探针水印、端口服务指纹、风险分量、隐患类型、治理措施和回归验证结果生成远程监督报告。

11、优选的，步骤s1中，所述安全策略配置和访问控制规则至少包括源服务、目标服务、允许动作、拒绝动作、重定向动作、路由权重、超时约束、重试约束、出口边界和策略版本；

12、所述证书状态至少包括设备身份uri、证书指纹、证书颁发者和证书过期时间；

13、所述主机探针遥测和边界防护设备日志至少包括源设备、目标设备、访问方法、路径摘要、状态码、响应延迟、重试次数、策略命中状态、证书序列号、策略版本号、端口服务状态和水印字段；

14、所述内核网络流元数据至少包括源主机地址、目标主机地址、源端口、目标端口、协议类型、连接建立时间、连接持续时间、字节数、包数、tcp状态变化、dns响应地址、出口网关地址和纵向加密通道标识。

15、优选的，步骤s2中，所述策略意图图按照如下公式生成：

16、

17、

18、其中，表示t时刻由控制面推导得到的策略意图图，表示策略意图生成函数，表示t时刻控制面策略集合，表示t时刻设备身份集合，表示运行上下文，所述运行上下文包括安全区域、设备账户、证书状态、出口规则和租户标签，表示预期设备节点集合，表示预期允许访问边集合，表示边属性集合，表示由策略版本、证书批次和时间戳计算得到的签名属性；表示服务i到服务j的预期访问边，取值为1时表示允许访问，取值为0时表示不允许访问；表示在策略版本下源服务访问目标服务的授权函数；和分别表示源服务和目标服务在t时刻的证书状态，表示证书有效。

19、优选的，所述影子探针和不可见策略路径水印按照如下公式生成：

20、

21、

22、其中，表示t时刻生成的影子探针集合，表示探针生成函数，表示探针采样率，表示服务重要度约束，表示探针时间窗，表示第r个影子探针，和分别表示第r个影子探针的源服务和目标服务，表示探针路径，表示探针有效期，表示一次性随机数，表示探针发起时间；表示第r个影子探针对应的不可见策略路径水印，表示基于密钥的消息认证函数，k表示水印密钥，sid表示监测会话标识，符号“||”表示字段拼接；、、、和共同参与水印计算，以防止不同路径、不同服务或不同时段的水印被重放。

23、优选的，步骤s5中，所述实测访问图和水印传播轨迹按照如下公式生成：

24、

25、

26、

27、其中，表示t时刻从数据面观测得到的实测访问图，表示实测访问图生成函数，表示t时刻主机探针遥测集合，表示t时刻内核网络流元数据集合，表示t时刻dns解析记录与出口访问事件集合，表示实测设备节点集合，表示实测调用边集合，表示实测边属性集合；表示主机探针遥测与内核网络流之间的匹配判定函数，取值为1表示两者对应同一次设备访问，取值为0表示不匹配；表示将设备身份映射为关键主机ip的函数，表示源设备，表示目标设备，表示源主机地址，dstip表示目标主机地址，和分别表示主机探针遥测和内核网络流的时间，表示允许的时间对齐窗口；表示水印传播轨迹集合，表示第r条水印轨迹，、和分别表示第r条水印是否被主机探针、内核网络流和边界出口观测到。

28、优选的，步骤s5中，所述策略偏离特征、水印缺失特征、设备日志与网络流观测分歧特征、高危端口暴露特征和策略漂移特征分别按照如下公式计算：

29、

30、

31、

32、

33、

34、其中，mpolicy表示策略偏离分量，dg表示图距离函数，表示策略意图图，表示实测访问图，表示策略偏离归一化尺度；mwm表示水印缺失分量，wexp表示期望被观测到的水印集合，wobs表示实际观测到的水印集合，| |表示集合基数；mdual表示设备日志与网络流观测分歧分量，h表示主机探针遥测记录，k表示内核网络流记录，表示主机探针遥测与内核网络流的联合观测集合；mport表示高危端口暴露分量，nporthighrisk表示高危端口命中次数，nportall表示端口访问总次数；mdrift表示策略漂移分量，revdevice表示边界防护设备加载的策略版本，revbaseline表示合规基线策略版本，policystate表示策略状态，abnormal表示策略状态异常；min函数用于将分量截断到0至1范围，max函数用于避免分母为0。

35、优选的，步骤s6中，所述风险融合模型按照如下公式计算风险评分并判定隐患类型：

36、

37、

38、

39、

40、其中，表示风险特征向量，asset表示资产重要度，crit表示设备关键度，hist表示历史隐患累积因子，表示t时刻历史隐患累积因子，λ表示衰减系数且取值范围为0到1，用于降低较早隐患的影响；表示t时刻风险评分，σ表示归一化函数，表示偏置项，w表示权重向量，表示权重向量与风险特征向量的内积；表示隐患类型，θ表示隐患类型判定函数，表示策略意图图，表示实测访问图，表示水印传播轨迹集合，表示运行上下文；所述隐患类型至少包括策略不合规、纵向加密策略缺失、设备身份冒用、证书异常、策略版本漂移、影子探针水印缺失、高危端口开放、非授权跨区访问和跨区异常访问中的一种或多种。

41、优选的，步骤s7和步骤s8中，当风险评分超过预设阈值或隐患类型属于高危类型时，按照如下公式生成治理措施并形成远程监督报告：

42、

43、

44、其中，表示t时刻输出的治理措施集合，表示治理策略生成函数，表示t时刻风险评分，表示隐患类型，表示t时刻受影响设备或关键主机的资产重要度，limit表示限流策略，isolate表示隔离关键主机，rollback表示回滚或修订边界防护设备策略，revokecert表示吊销或轮换设备证书，closeport表示关闭高危端口，dispatchticket表示生成处置工单，report表示生成远程监督报告；report表示远程监督报告对象，s表示监督会话锚点，p表示控制面策略集合，i表示设备身份集合，h表示主机探针遥测集合，k表示内核网络流集合，d表示dns解析记录与出口访问事件集合，表示影子探针集合，表示风险特征向量；若风险来自策略绕过或设备日志与网络流观测分歧，则优先修订边界防护设备策略并执行访问阻断，若风险来自证书异常或设备身份冒用，则优先轮换或吊销证书，若风险来自高危端口开放，则优先关闭端口并生成回归验证任务。

45、本发明所述的基于策略意图图与影子探针水印的边界防护设备策略合规审核及隐患治理系统，包括采集模块、策略解析模块、策略意图生成模块、影子探针模块、双观测对齐模块、风险融合模块、隐患治理知识库模块和报告模块；

46、所述采集模块用于采集策略配置、访问控制规则、资产台账、证书状态、端口状态、主机探针遥测、内核网络流元数据、dns解析记录、出口访问事件和安全告警数据；

47、所述策略解析模块用于将多厂商异构策略转化为结构化字段和文本语义；

48、所述策略意图生成模块用于生成带策略版本签名的策略意图图；

49、所述影子探针模块用于生成和注入带不可见策略路径水印的低风险影子探针；

50、所述双观测对齐模块用于对边界防护设备日志、主机探针遥测、内核网络流元数据、端口服务指纹、dns解析记录和出口访问事件进行时间窗对齐和图谱比对；

51、所述风险融合模块用于计算策略偏离分量、水印缺失分量、设备日志与网络流观测分歧分量、高危端口暴露分量和策略漂移分量，并输出风险评分和隐患类型；

52、所述隐患治理知识库模块用于生成治理措施、处置工单、状态跟踪规则和回归验证规则；

53、所述报告模块用于输出远程监督报告。

54、一种电子设备及计算机可读存储介质，所述电子设备包括处理器和存储器，所述存储器中存储有计算机程序，所述计算机程序被所述处理器执行时实现所述基于策略意图图与影子探针水印的边界防护设备策略合规审核及隐患治理方法；所述计算机可读存储介质中存储有计算机程序，所述计算机程序被处理器执行时实现所述基于策略意图图与影子探针水印的边界防护设备策略合规审核及隐患治理方法。

55、有益效果：与现有技术相比，本发明具有如下显著优点：1、通过建立影子探针（快速资源）与策略意图图及治理知识库（慢速资源）间的自动置换机制，在探针观测资源耗尽前主动将合规判定压力转移至慢速深度校验，缓解新能源波动下因快资源用尽、慢资源闲置导致的电网平衡能力下降，保障频率稳定；2、将策略意图图与携带不可见水印的影子探针实测轨迹联动审核，无需解密业务载荷即可验证跨区访问是否真正遵循策略，缓解静态规则与实际执行路径的偏离问题；3、联合边界设备日志、主机探针遥测与内核网络流元数据进行多视角对齐，识别仅出现在网络层或仅出现在日志侧的异常连接，缓解单数据源导致的误判与漏报；4、融合资产重要度、证书状态、策略版本及历史隐患因子，并自动生成阻断、证书轮换、端口关闭等闭环治理任务，精准定位非授权外联、策略漂移等隐患，缓解人工治理滞后问题。