单位名称：华能信息技术有限公司

成果类别：品牌数智实践

主要参与者：崔磊、肖勇、文子强、潘中英、陈磊

一、品牌实践背景

建设“数字华能”“智慧华能”，是顺应新发展阶段形势变化、抢抓信息革命机遇、构筑华能竞争新优势的内在要求。随着数字化转型发展中的新问题、新风险、新挑战不断涌现，华能集团提出逐步形成网络安全“三化六防”的综合防护体系建设要求。华能信息技术有限公司批准建设网络态势感知安全运营平台项目科技创新项目，以数据和情报驱动，并通过自动化或半自动化工具、流程和策略来对抗新一代威胁，基于能源电力行业网络态势感知的流量特征分析技术是平台的核心底座。

项目研究了安全预警风暴治理技术、超大规模多源异构安全数据治理技术，提出了新型风险预警、应急处置、排查整改、分析研判闭环管理机制，在此基础上研发部署了网络态势感知安全运营平台，形成了一套灵活高效适用的运营模式。创新点如下：

（一）基于深度威胁发现、深度威胁分析组件技术，研究提出了安全预警风暴治理技术，实现了多数量级的安全告警数据的有效降噪，显著提升了安全威胁识别效率。

（二）项目使用云边协同、国产密码、分布式安全日志汇聚等技术，构建了超大规模多源异构安全运行数据湖，为全面开展安全告警处理奠定了基础，实现了统一权限、统一分级管理。

（三）基于资产测绘组件技术、设备指纹漏洞匹配组件技术、流量审计分析组件技术、动态防护组件技术，研究提出了一个新型的风险预警、应急处置、排查整改、分析研判闭环管理机制。

通过数据资源整合及华能集团网络安全运营体系的改变，直接减少了各级单位在网络安全事件上的处置时间。本项目提升了华能集团信息化水平，促进办公效率、行业管理能力的提高，更好地服务于能源行业及用户，促进经济健康稳定发展。项目研发的网络态势感知安全运营平台在华能集团30家互联网出口单位和6家重点基层单位进行了部署运用，取得了显著的经济效益和社会效益，具有良好的推广应用前景。

二、品牌实践的创新性、科学性、实用性

本项目聚焦电力行业网络安全运营痛点，围绕安全告警治理、多源异构数据权限管控、资产风险闭环运营三大核心方向开展技术攻关与体系建设，突破了传统网络安全运营告警冗余、数据管控粗放、风险处置脱节等行业难题，形成多项自主核心技术成果，配套多项发明专利及软件著作权，技术先进、体系完善、落地性强，具备极高的行业创新价值、科学理论支撑及工程实用价值。现将成果核心特性说明如下：

（一）创新性

本项目立足电力行业大规模、多节点、广覆盖的网络安全运营场景，突破传统安全平台单一、被动、粗放的运营模式，融合大数据、机器学习、自然语言处理、多级权限管控等前沿技术，形成三大原创性核心创新成果，多项技术为行业首创，填补了全网智能化安全运营的技术空白，核心创新点及自主知识产权支撑如下：

1.基于深度威胁挖掘的智能告警风暴治理体系

针对传统安全告警误报率高、冗余量大、告警风暴频发、无法溯源根因、人工处置效率极低的行业痛点，项目创新构建全流程智能化告警治理技术体系。突破传统单一维度告警关联模式，创新融合多维度特征智能关联、语义信息精炼、可视化溯源图谱、自适应告警抑制四大核心技术，实现告警从被动接收向主动治理的跨越式升级。

区别于常规告警处理工具，本技术不仅基于时间、IP、事件类型等基础维度关联分析，还深度融合攻击行为、资产属性、威胁情报等多维特征，通过机器学习聚类分析、关联规则挖掘算法实现精准降噪；创新引入NLP自然语言处理技术，自动提炼告警核心信息、剔除冗余内容，大幅提升告警可读性；首创告警根因分析+溯源图谱可视化技术，完整还原攻击路径、攻击者画像及受影响资产关系，实现威胁直击根源；同时搭建机器学习自适应抑制机制，可自动学习历史误报模式、动态调整告警权重，搭配自定义白名单策略，灵活规避无效告警干扰。

2.构建多源异构安全数据湖细粒度多级权限管控模式

针对集团多级组织架构、多子公司、多基层单位的运营特点，解决全网安全数据孤岛、数据共享难、越权访问、数据泄露风险高等行业痛点，创新设计多层次隔离架构+五权分立精细化权限体系，打破传统单一角色权限管控模式粗放、适配性差的局限性。

创新搭建租户、组织双层立体隔离架构，实现集团、二级公司、基层企业三级数据与操作独立隔离，保障层级化安全管控；首创安全数据所有权、使用权、管理权、运维权、安全责任权五权分立机制，实现权限精细化拆分与灵活授权，适配多级管理架构的权限分配需求；创新融合RBAC角色访问控制与ABAC属性访问控制双重技术，构建细粒度、可组合、可定制的精准权限管控模型，搭配数据加密、全程审计、隔离防护等技术，实现全网安全数据的安全可控共享。

3.资产风险预警驱动的全闭环安全运营机制

突破传统网络安全“重检测、轻整改、无闭环”的运营短板，构建细粒度资产测绘+多源情报融合+自动化流程驱动+全生命周期闭环的安全运营新模式，实现网络安全从被动防御处置向主动预警、闭环治理的跨越式转型。

采用端口扫描、协议识别、流量监控等技术，实现全网资产常态化测绘，精准采集资产全维度细粒度信息，建立标准化资产台账；创新融合CNVD、CNNVD、CVE官方及第三方多源漏洞情报，通过情报归一化治理、持久化存储，构建动态更新的威胁情报库，大幅提升威胁感知精准度；首创漏洞预警、工单下发、进度督办、智能提醒、整改复查、归档复盘的全自动化流程，打通风险发现到整改落地的全链路；最终形成“预警通报—协查—处置—复查—归档”全生命周期闭环管理体系，彻底解决漏洞遗漏、整改滞后、责任不清的行业难题。

（二）科学性

本项目成果依托大数据、人工智能、网络安全、权限管控、资产测绘等成熟科学理论与技术体系，经过理论论证、模型推演、技术攻关和落地验证，整体架构科学、技术逻辑严密、理论支撑扎实，符合网络安全运营、数据安全治理的规范标准，具备极强的学术科学性和技术严谨性。项目基于大数据分布式处理框架搭建超大规模多源异构安全数据湖，遵循高安全、高可用、高扩展的科学设计原则，规范接入流量、日志、资产、漏洞、情报等全维度安全数据，通过标准化抽取、转换、装载治理流程，解决数据孤岛、数据质量参差不齐等问题，构建了“数据可视、质量可溯、安全可控、能力可享”的一体化数据服务体系。同时，项目构建标准化安全监测与威胁分析体系，从资产、攻击者、安全矩阵等多维度搭建监测模型，通过时间轴事件聚合、攻击过程回放、上下文关联分析等科学方法，实现威胁行为的全流程研判，技术逻辑严谨、分析维度全面。

（三）实用性

本项目成果紧密贴合网络安全运营实际场景，聚焦常态化安全运营、重大活动重保、应急处置、风险整改等核心刚需，落地性强、适配度高、成效显著，可快速复制推广，具备极高工程实用价值和行业应用价值。成果落地后解决了传统安全运营告警泛滥、误报漏报频发、威胁溯源困难、数据管控混乱、漏洞整改滞后、权责划分不清等突出问题。通过智能化告警治理，大幅降低安全人员人工研判压力；通过细粒度权限管控，实现集团多级单位数据安全共享与合规使用；通过资产风险闭环管理，实现漏洞风险精准定位、快速整改、全程可控，极大降低人力成本、时间成本和安全风险，全面提升企业网络安全运营精细化、智能化水平。同时，全面支撑常态化安全运维、重大网络安全重保、攻防演习、突发事件应急处置等各类实战场景，构建“实战工作常态化，常态工作实战化”的运营机制。同时，平台支持集团公司、二级单位、基层企业多级联动与一键应急处置、自动化安全响应，实现全网安全工作统一指挥、统一调度、统一处置，补齐了电力企业隐蔽定向威胁攻击自动发现、深度分析的能力短板，完善了主动防御、纵深防御、精准防护的全网安全防护体系。项目成果充分适配集团化、层级化、分布式的管理架构，既能支撑集团总部全网统筹管控，又能赋能下属二级公司、基层企业独立开展安全运营，可快速推广覆盖全集团体系。通过“平台+服务、数据+情报、管理+制度”的一体化模式，全方位支撑企业数字化转型安全保障，可为电力行业网络安全体系建设提供成熟、可复制、可落地的标杆方案，助力企业构建全方位、全过程、全生命周期的网络安全保障体系，具备极强合规实用价值和安全生产保障价值。

三、实践过程

华能蓝盾网络态势感知安全运营平台安全数据融合实施计划在2023年12月1日前将各单位数据接入到集团网络安全态势感知运营平台，确保数据质量充分支撑网络安全运营工作。实施人员方面，华能集团网络态势感知安全运营平台安全数据融合实施计划在2023年12月1日前将各单位数据接入到集团网络安全态势感知运营平台，确保数据质量充分支撑网络安全运营工作。实施范围方面，本项目数据采集覆盖外网（运维管理区），采集内容包含流量数据与日志数据两大类。其中，流量数据针对该区域互联网出口开展采集，数据经专用流量采集装置预处理后，按照NetFlow、DNS、FTP、HTTP、SQL、IMAP、POP3、SMTP、SMB、SSH、TELNET等网络协议分类；日志数据通过UDP协议传输至分布式日志汇聚组件的对应端口。本次采集的数据均为网络安全设备依据检测规则识别的疑似威胁信息，包含告警信息、漏洞信息、违规行为日志、非法访问日志等。按告警类型可分为三大类：一是网络攻击告警，涵盖网络扫描探测、漏洞利用、后门利用、后门植入、凭据攻击、信号干扰、拒绝服务、网页篡改、暗链植入、域名劫持、流量劫持、APT攻击等；二是恶意程序告警，包含计算机病毒、网络蠕虫、特洛伊木马、僵尸网络、混合攻击程序、恶意代码内嵌网页、恶意代码宿主站点、勒索软件、挖矿病毒等；三是异常邮件告警，包括针对性恶意软件、恶意URL、可疑文件、可疑URL、垃圾邮件/灰色邮件、网络钓鱼、内容违例等。

四、项目效益

（一）经济效益突出

项目总投资额1995.76万元。本项目已在集团互联网出口收敛单位推广建设，在每个互联网出口收敛单位布置华能蓝盾网络态势感知采集装置，并提供设备装置的安装调试服务。现有30家互联网出口收敛单位，每个单位费用124万元，预计经济收入3720万元，现已产生经济收入3252.9万元，新增利润729.2万元。平均每个单位节约安全运维人员3人，按照每人20万元的人力资源成本计算，每年可节约安全运维成本60万元。按照集团30家应用单位计算，间接经济效益达1800万元以上。

（二）社会效益明显

通过数据资源整合及华能集团网络安全运营体系的改变，直接减少了各级单位在网络安全事件上的处置时间。本项目提升了华能集团信息化水平，促进办公效率、行业管理能力的提高，更好地服务于能源行业及用户，促进经济健康稳定发展。

按照国家和集团公司相关要求，华能蓝盾网络态势感知安全运营平台的核心技术和关键模块均为自主研发，例如智能告警风暴治理引擎、细粒度权限管理模块、安全运营闭环体系等，避免了对国外产品的依赖，保障了系统的安全可控。平台支持部署在国产化软硬件平台上，例如国产操作系统、国产中间件、国产数据库等，同时使用本单位自主人员进行运行维护，进一步提升了系统的自主可控能力，起到了很好的自主可控试点示范效果。