本发明属于电力技术信息安全防护领域，具体提供一种面向终端的边缘零信任引擎、认证防护系统及方法,边缘零信任引擎包括身份认证服务，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；信任度持续评估服务，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；动态防护策略生成服务，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；动态防护策略执行服务，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。可保障边缘终端运行全过程及边‑端交互全周期。
1.一种面向终端的边缘零信任引擎功能单元，其特征在于，边缘零信任引擎功能单元作为守护进程在终端系统引导时启动，包括身份认证服务模块、信任度持续评估服务模块、动态防护策略生成服务模块和动态防护策略执行服务模块；
身份认证服务模块，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；
信任度持续评估服务模块，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
动态防护策略生成服务模块，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
动态防护策略执行服务模块，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限；
信任度持续评估服务模块，用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0‑T4]；
若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
2.根据权利要求1所述的面向终端的边缘零信任引擎功能单元，其特征在于，身份认证服务模块，具体用于提取端设备身份信息；若边缘终端内部具备身份管理中心时将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；若边缘终端内部不具备身份管理中心，将端设备身份信息提交至云侧或实体平台侧身份管理中心验证端设备身份合法性。
3.根据权利要求2所述的面向终端的边缘零信任引擎功能单元，其特征在于，身份认证服务模块，具体用于若边缘终端身份管理中心验证端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，根据端设备接入场景判断是否需要向云侧或实体平台侧申请验证端设备合法性，若无需向云侧或实体平台侧身份管理中心申请验证，则认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
4.根据权利要求3所述的面向终端的边缘零信任引擎功能单元，其特征在于，身份认证服务模块，具体用于若需要向云侧或实体平台侧身份管理中心申请验证，生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心，接收云侧或实体平台侧身份管理中心发送的判断端设备身份合法性并对随机数R签名的签名结果及对应端设备的身份默认访问初始权限，判断签名正确性及端设备身份的合法性，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确且端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。
5.一种面向终端的边缘零信任引擎功能单元认证防护系统，其特征在于，包括边缘终端和分别与边缘终端通信的云侧或实体平台侧身份管理中心和端设备；
边缘终端内部署有如权利要求1‑4任一所述的边缘零信任引擎功能单元；
当边缘零信任引擎功能单元生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心时，云侧或实体平台侧身份管理中心，用于判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至所述的边缘零信任引擎功能单元。
6.根据权利要求5所述的面向终端的边缘零信任引擎功能单元认证防护系统，其特征在于，边缘终端内部设置有身份管理中心；
身份管理中心，用于接收边缘零信任引擎功能单元提交的端设备身份信息，并基于所述身份信息进行端设备身份合法性的验证。
7.一种面向终端的边缘零信任引擎功能单元认证防护方法，其特征在于，包括如下步骤：端设备向边缘终端提出访问请求；
若边缘终端不具备身份管理中心，边缘零信任引擎功能单元生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心；
云侧或实体平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎功能单元；
边缘零信任引擎功能单元判断签名正确性及身份判断结果；
若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；
若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
若签名正确且端设备身份合法，边缘零信任引擎功能单元调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；
边缘零信任引擎功能单元监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
边缘零信任引擎功能单元根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
边缘零信任引擎功能单元基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限；
边缘零信任引擎功能单元中的信任度持续评估服务模块用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0‑T4]；
若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
8.根据权利要求7所述的面向终端的边缘零信任引擎功能单元认证防护方法，其特征在于，该方法还包括：若边缘终端具备身份管理中心，边缘零信任引擎功能单元将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；
若边缘终端身份管理中心验证端设备身份合法，边缘零信任引擎功能单元调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；执行步骤：边缘零信任引擎功能单元监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
若边缘终端身份管理中心验证端设备身份不合法，边缘零信任引擎功能单元生成告警信息、拒绝端设备访问请求，终止交互；
若边缘终端身份管理中心无法验证端设备身份合法性，边缘零信任引擎功能单元根据端设备接入场景判断是否需要向云侧或实体平台侧申请验证端设备合法性；
若无需向云侧或实体平台侧身份管理中心申请验证，边缘零信任引擎功能单元认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
若需要向云侧或实体平台侧身份管理中心申请验证，执行步骤：边缘零信任引擎功能单元生成随机数R并连同端设备身份信息上送至云侧或实体平台侧身份管理中心。
一种面向终端的边缘零信任引擎、认证防护系统及方法
技术领域
[0001] 本发明涉及电力技术信息安全防护领域，具体涉及一种面向终端的边缘零信任引擎、认证防护系统及方法。
背景技术
[0002] 随着移动互联网、物联网、工业互联网、车联网等新一代信息技术的快速发展，用户、设备、业务、平台日益多样化，传统的以内/外部网络划分是否“可信区域”的物理网络安全边界逐步瓦解，零信任理念随之产生。零信任理念基本原则是不应该自动信任内部或外部的任何人/事/物，应在授权前通过动态和持续的身份认证和评估机制，对网络环境中的访问主体人和设备的危险等级进行科学准确判定，采用最小特权访问策略，严格执行访问控制，提升所有网络实体连接之间的可信关系。
[0003] 目前零信任引擎已在平台侧初步落地应用，用于直接访问平台的用户、设备、业务、平台安全接入进行防护。随着新型电力系统建设持续深入，大量边缘设备、端设备在电网中部署，由边缘侧实现端设备数据汇聚、分析、上传及就地控制，平台侧部署的零信任引擎技术，难以应对海量终端接入电力物联场景的认证需求，且时延较长，不利于时延敏感的电力物联场景的应用推进，需要一套面向终端的轻量级边缘零信任安全引擎方案，将零信任引擎向边缘侧下沉，在边缘侧开展设备安全接入防护，保障电网及用户安全。
发明内容
[0004] 针对由边缘侧实现数据汇聚、分析、上传及就地控制，平台侧部署的零信任引擎技术，难以应对海量终端接入电力物联场景的认证需求，且时延较长，不利于时延敏感的电力物联场景的应用推进的问题，需要一套面向终端的轻量级边缘零信任安全引擎方案，将零信任引擎向边缘侧下沉，在边缘侧开展端设备安全接入防护。
[0005] 第一方面，本发明技术方案提供一种面向终端的边缘零信任引擎，作为守护进程在终端系统引导时启动，提供包括身份认证服务、信任度持续评估服务、动态防护策略生成服务和动态防护策略执行服务；
[0006] 身份认证服务，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；
[0007] 信任度持续评估服务，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
[0008] 动态防护策略生成服务，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
[0009] 动态防护策略执行服务，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。
[0010] 作为本发明技术方案的进一步限定，身份认证服务，具体用于提取端设备身份信息；若边缘终端内部具备身份管理中心时将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；若边缘终端内部不具备身份管理中心，将端设备身份信息提交至云/平台侧身份管理中心验证端设备身份合法性。
[0011] 作为本发明技术方案的进一步限定，身份认证服务，具体用于若边缘终端身份管理中心验证端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性，若无需向云/平台侧身份管理中心申请验证，则认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
[0012] 作为本发明技术方案的进一步限定，身份认证服务，具体用于若需要向云/平台侧身份管理中心申请验证，生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心，接收云/平台侧身份管理中心发送的判断端设备身份合法性并对随机数R签名的签名结果及对应端设备的身份默认访问初始权限，判断签名正确性及端设备身份的合法性，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确且端设备身份合法，调用对应边缘设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。
[0013] 作为本发明技术方案的进一步限定，信任度持续评估服务，用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0‑T4]及约束规则；约束规则如下：
[0014] T0≤T＜T1，设置持续监测交互过程；
[0015] T1≤T＜T2，设置持续监测交互过程，并进入动态防护策略生成服务；
[0016] T2≤T＜T3，为黄色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
[0017] T3≤T≤T4，为红色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务。
[0018] 作为本发明技术方案的进一步限定，动态防护策略包括：
[0019] 若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
[0020] 若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
[0021] 若T3≤T≤T4，中止交互。
[0022] 第二方面，本发明技术方案提供一种面向终端的边缘零信任引擎认证防护系统，包括边缘终端和分别与边缘终端通信的云/平台侧身份管理中心和端设备；
[0023] 边缘终端内部署有如第一方面所述的边缘零信任引擎；
[0024] 当边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心时，云/平台侧身份管理中心，用于判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至所述的边缘零信任引擎。
[0025] 作为本发明技术方案的进一步限定，边缘终端内部设置有身份管理中心；
[0026] 身份管理中心，用于接收边缘零信任引擎提交的端设备身份信息，并基于所述身份信息进行端设备身份合法性的验证。
[0027] 第三方面，本发明技术方案提供一种面向终端的边缘零信任引擎认证防护方法，包括如下步骤：
[0028] 端设备向边缘终端提出访问请求；
[0029] 边缘零信任引擎提取端设备身份信息；
[0030] 若边缘终端不具备身份管理中心，边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心；
[0031] 云/平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎；
[0032] 边缘零信任引擎判断签名正确性及身份判断结果；
[0033] 若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；
[0034] 若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
[0035] 若签名正确且端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；
[0036] 边缘零信任引擎监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
[0037] 边缘零信任引擎根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
[0038] 边缘零信任引擎基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。
[0039] 作为本发明技术方案的进一步限定，该方法还包括：
[0040] 若边缘终端具备身份管理中心，边缘零信任引擎将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；
[0041] 若身份管理中心验证端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；执行步骤：边缘零信任引擎监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
[0042] 若身份管理中心验证端设备身份不合法，边缘零信任引擎生成告警信息、拒绝端设备访问请求，终止交互；
[0043] 若身份管理中心无法验证端设备身份合法性，边缘零信任引擎根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性；
[0044] 若无需向云/平台侧身份管理中心申请验证，边缘零信任引擎认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；
[0045] 若需要向云/平台侧身份管理中心申请验证，执行步骤：边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心。
[0046] 在云‑边‑端体系架构下，基于零信任理念，提出一种面向终端的边缘零信任引擎，支持边缘终端内部署，提供端设备接入的身份认证、信任度持续评估、动态防护策略生成、动态防护执行服务，实现边‑端设备安全交互。
[0047] 从以上技术方案可以看出，本发明具有以下优点：将零信任理念从平台侧下沉至边缘侧，进行协议、流量、日志、文件、接口等全方位监测，将安全防护范围延伸到边缘侧；边缘零信任引擎在保障安全交互前提下以减少业务影响为约束条件，具备轻量级、业务无感知特点，可以在现阶段电力业务场景部署的边缘终端侧应用，不影响业务交互；面向终端的边缘零信任引擎作为守护进程部署在终端根目录侧，随系统引导时候启动，优先级更高，可保障边缘终端运行全过程及边‑端交互全周期。
[0048] 此外，本发明设计原理可靠，结构简单，具有非常广泛的应用前景。
[0049] 由此可见，本发明与现有技术相比，具有突出的实质性特点和显著地进步，其实施的有益效果也是显而易见的。
附图说明
[0050] 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
[0051] 图1是本发明一个实施例的边缘零信任引擎各服务示意性框图。
[0052] 图2是本发明一个实施例的边缘零信任引擎工作流程示意图。
[0053] 图3是本发明实施例提供的系统示意连接框图。
[0054] 图4是本发明实施例系统中身份认证流程示意图。
[0055] 图5是本发明实施例所述方法的流程示意图。
具体实施方式
[0056] 为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
[0057] 如图1所示，本发明技术方案提供一种面向终端的边缘零信任引擎，包括身份认证服务、信任度持续评估服务、动态防护策略生成服务和动态防护策略执行服务；
[0058] 身份认证服务，用于验证提出访问请求的端设备的合法性，并给出初始访问权限；
[0059] 信任度持续评估服务，用于监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
[0060] 动态防护策略生成服务，用于根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
[0061] 动态防护策略执行服务，用于基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。边缘零信任引擎的工作流程如图2所示。
[0062] 身份认证服务，具体用于提取端设备身份信息；若边缘终端内部具备身份管理中心时将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；若边缘终端内部不具备身份管理中心，将端设备身份信息提交至云/平台侧身份管理中心验证端设备身份合法性。
[0063] 身份认证服务，具体用于若边缘终端身份管理中心验证端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性，若无需向云/平台侧身份管理中心申请验证，则认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
[0064] 身份认证服务，具体用于若需要向云/平台侧身份管理中心申请验证，生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心，接收云/平台侧身份管理中心发送的判断端设备身份合法性并对随机数R签名的签名结果及对应端设备的身份默认访问初始权限，判断签名正确性及端设备身份的合法性，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确但是端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确且端设备身份合法，调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。
[0065] 在有些实施例中，信任度持续评估服务，用于持续监测边缘终端与端设备的交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控，调用端设备业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0‑T4]及约束规则；约束规则如下：
[0066] T0≤T＜T1，设置持续监测交互过程；
[0067] T1≤T＜T2，设置持续监测交互过程，并进入动态防护策略生成服务；
[0068] T2≤T＜T3，为黄色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
[0069] T3≤T≤T4，为红色预警范围，设置持续监测交互过程，生成告警信息，并进入动态防护策略生成服务。
[0070] 相应的，动态防护策略包括：
[0071] 若T1≤T＜T2，调整身份认证方式及频次、调整交互数据加解密方式；
[0072] 若T2≤T＜T3，基于最小权限原则，细粒度调整相应端设备访问权限；
[0073] 若T3≤T≤T4，中止交互。
[0074] 目前边缘零信任引擎已在电力系统台区智能融合终端、智慧能源单元、桩/站用安全智能交互终端完成部署，作为终端守护进程在边缘终端系统引导时候启动，用于智能断路器、换相开关、智能电能表、用户空调负荷监测设备、电动汽车充电桩等端设备接入的全周期监测，保障边‑端交互安全。部署环境如下：
[0075] 台区智能融合终端：CPU智芯微SCM701D，2G内存，主频最高1GHz，枢纽OS操作系统。
[0076] 智慧能源单元：CPU瑞芯微RK3568J，2G内存，主频最高2GHz,Linux操作系统。
[0077] 桩/站用安全智能交互终端：CPU瑞芯微RK3568J，2G内存，主频最高2GHz,Linux操作系统/翼辉SylixOS系统。
[0078] 如图3所示，本发明技术方案提供一种面向终端的边缘零信任引擎认证防护系统，包括边缘终端和分别与边缘终端通信的云/平台侧身份管理中心和端设备；
[0079] 边缘终端内部署有如上述实施例所述的边缘零信任引擎；具体的，边缘终端本身应安全可靠，边缘终端从加电开始应建立以硬件为信任根的信任链，度量操作系统加载代码和操作系统内核，实现从开机到操作系统装载的可信引导；边缘零信任引擎作为守护进程部署在边缘终端根目录下，在系统引导的时候启动,提供边缘零信任服务，并且一直运行直到系统关闭。
[0080] 端设备向边缘终端提出访问请求时，边缘零信任引擎验证访问端设备的合法性，并给出初始访问权限。身份认证服务流程见图4；边缘零信任引擎提取端设备身份信息；若边缘终端内部具备身份管理中心，边缘零信任引擎将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性：若边缘终端身份管理中心验证端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；若边缘终端身份管理中心无法验证端设备身份合法性，边缘零信任引擎根据段设备接入场景判断是否需要向云/平台侧申请验证端设备合法性，若无需向云/平台侧身份管理中心申请验证，边缘零信任引擎认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若需要向云/平台侧身份管理中心申请验证，边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心，云/平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎，边缘零信任引擎判断签名正确性及身份判断结果，若签名不正确生成告警信息、拒绝端设备访问请求，终止交互；若签名正确、端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互；若签名正确、端设备身份合法，边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限。若边缘终端内部不具备身份管理中心，由云/平台侧身份管理中心验证端设备身份合法性。
[0081] 前期，由平台侧分析各类端设备、各类业务场景下端设备访问边缘终端全周期的交互协议、流量、频次、访问日志、敏感文件、端口等状态，构建各类端设备、各类业务场景下的交互安全行为基线，发送至边缘终端；针对通过身份认证、接入边缘终端的端设备，由边缘零信任引擎持续监测边‑端交互过程，通过监听边缘终端数据总线进行协议合规性分析、流量分析、交互频次分析、访问日志分析、敏感文件监控、端口监控等，调用该类端设备、该业务场景下的交互安全行为基线，对端设备访问过程进行异常监测，并实时量化相应端设备信任度值T，并设定信任度阈值范围[T0‑T4]，以“保障安全交互前提下减少业务影响”为约束条件，设定如下规则：
[0082] T0≤T＜T1：为安全阈值，持续监测交互过程；
[0083] T1≤T＜T2：为安全阈值，持续监测交互过程，并进入动态防护策略生成服务；
[0084] T2≤T＜T3：为黄色预警阈值，持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
[0085] T3≤T≤T4：为红色预警阈值，持续监测交互过程，生成告警信息，并进入动态防护策略生成服务；
[0086] 根据边‑端交互过程中的信任度值，边缘零信任引擎生成动态防护策略具体包括：T1≤T＜T2：调整身份认证方式及频次、调整交互数据加解密方式；
[0087] T2≤T＜T3：基于最小权限原则，细粒度调整相应端设备访问权限；
[0088] T3≤T≤T4：中止交互。
[0089] 基于生成的动态防护策略，边缘零信任引擎驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限身份。
[0090] 如图5所示，本发明实施例提供一种面向终端的边缘零信任引擎认证防护方法，包括如下步骤：
[0091] 步骤1：端设备向边缘终端提出访问请求；
[0092] 步骤2：边缘零信任引擎提取端设备身份信息；
[0093] 步骤3：边缘终端是否具备身份管理中心；
[0094] 若否，执行步骤4；若是，执行步骤12；
[0095] 步骤4：边缘零信任引擎生成随机数R并连同端设备身份信息上送至云/平台侧身份管理中心；
[0096] 步骤5：云/平台侧身份管理中心判断端设备身份合法性并对随机数R签名，将签名结果及对应端设备的身份默认访问初始权限发送至边缘零信任引擎；
[0097] 步骤6：边缘零信任引擎判断签名正确性及身份判断结果；
[0098] 若签名不正确，执行步骤7；若签名正确但是端设备身份不合法，执行步骤7；若签名正确且端设备身份合法，执行步骤8；
[0099] 步骤7：生成告警信息、拒绝端设备访问请求，终止交互；
[0100] 步骤8：边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；
[0101] 步骤9：边缘零信任引擎监测边缘终端与端设备的交互过程，对端设备访问过程进行异常监测，实时量化相应端设备信任度值，并设定信任度阈值范围；
[0102] 步骤10：边缘零信任引擎根据边缘终端与端设备交互过程中的信任度值，生成动态防护策略；
[0103] 步骤11：边缘零信任引擎基于生成的动态防护策略，驱动相应模块动态调整防护策略，并更新对应端设备的身份默认访问初始权限。
[0104] 步骤12：边缘零信任引擎将端设备身份信息提交至边缘终端身份管理中心验证端设备身份合法性；
[0105] 若验证端设备身份合法，执行步骤13；若验证端设备身份不合法，执行步骤14；若无法验证端设备身份合法性，执行步骤15；
[0106] 步骤13：边缘零信任引擎调用对应端设备的身份默认访问初始权限，同意端设备接入并输出初始访问权限；执行步骤9；
[0107] 步骤14：边缘零信任引擎生成告警信息、拒绝端设备访问请求，终止交互；
[0108] 步骤15：边缘零信任引擎根据端设备接入场景判断是否需要向云/平台侧申请验证端设备合法性；
[0109] 若否，执行步骤16；若是，执行步骤4；
[0110] 步骤16：边缘零信任引擎认为端设备身份不合法，生成告警信息、拒绝端设备访问请求，终止交互。
[0111] 本发明实施例所述的方法是基于上述实施例所述的系统的方法。
[0112] 作为本发明的面向终端的边缘零信任引擎、认证防护系统及方法是结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。
[0113] 尽管通过参考附图并结合优选实施例的方式对本发明进行了详细描述，但本发明并不限于此。在不脱离本发明的精神和实质的前提下，本领域普通技术人员可以对本发明的实施例进行各种等效的修改或替换，而这些修改或替换都应在本发明的涵盖范围内/任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。
