零信任与安全增强

EnerOS 全面落地零信任架构：从不信任，始终校验（Never Trust, Always Verify）。所有内部服务间通信强制 mTLS 双向认证，由内置 CA 签发证书；所有命令决策链路通过 HMAC 签名链式审计并落入 WORM 取证存储；同时配套入侵检测（IDS）、密钥管理（KMS）与合规框架（NERC CIP / IEC 62443 / GB/T 22239）。

零信任安全由 eneros-trust、eneros-ids、eneros-audit 三个 crate 协同提供，覆盖身份、传输、决策、存储四个维度。

安全架构总览

┌────────────────────────────────────────────────────────────┐
│                     外部访问层                              │
│  REST / GraphQL / WebSocket / SSE  ──▶  Gateway (mTLS)     │
└──────────────────────────┬─────────────────────────────────┘
                           │
┌──────────────────────────▼─────────────────────────────────┐
│                   身份与授权层                              │
│  X.509 + SPIFFE ─▶ RBAC + ABAC ─▶ Audit Decision          │
└──────────────────────────┬─────────────────────────────────┘
                           │
┌──────────────────────────▼─────────────────────────────────┐
│                  服务间通信层                               │
│  Agent ◀─mTLS──▶ Kernel  Agent ◀─mTLS──▶ Agent            │
│  所有 RPC 强制 TLS 1.3 + PQC 混合 cipher                   │
└──────────────────────────┬─────────────────────────────────┘
                           │
┌──────────────────────────▼─────────────────────────────────┐
│                   审计与取证层                              │
│  HMAC 链式审计 ─▶ WORM 存储（7 年保留）                    │
│  IDS 规则 + 异常检测 ─▶ SOC 告警通道                       │
└────────────────────────────────────────────────────────────┘

内部 CA 与证书

EnerOS 内置私有 CA，自动签发与轮转所有内部服务证书。CA 支持 Root CA 与 Intermediate CA 两级结构，遵循 X.509 v3 标准。

use eneros_security::{Ca, CertificateSpec, KeyUsage, KeyAlgorithm};
use std::time::Duration;

let ca = Ca::builder()
    .root_key_path("/etc/eneros/ca.key")
    .root_cert_path("/etc/eneros/ca.crt")
    .intermediate_key_path("/etc/eneros/intermediate.key")
    .intermediate_cert_path("/etc/eneros/intermediate.crt")
    .build().await?;

// 为内部服务签发证书
let spec = CertificateSpec::new("agent-runtime.eneros.internal")
    .sans(vec!["agent-runtime", "10.0.0.5", "agent-runtime.default.svc"])
    .validity(Duration::from_secs(86400 * 90))
    .key_usage(KeyUsage::ServerAndClient)
    .key_algorithm(KeyAlgorithm::EcdsaP256)
    .extensions(vec![
        Extension::spiffe_uri("spiffe://eneros/agent-runtime"),
        Extension::basic_constraints(ca: false, path_len: 0),
    ]);

let cert = ca.issue(spec).await?;
println!("签发证书序列号: {}", cert.serial_number);
println!("有效期至: {}", cert.not_after);

证书自动轮转

CA 监控所有已签发证书，到期前 30 天自动续签，零停机：

use eneros_security::ca::RotationPolicy;

let rotation = RotationPolicy::new()
    .renew_before(Duration::from_secs(86400 * 30))
    .on_renew(|old, new| async move {
        kernel.reload_tls_cert(new).await?;
        notify_service("agent-runtime").await
    })
    .parallelism(4);  // 并发续签

ca.enable_rotation(rotation).await?;

CA 配置参数

mTLS 双向认证

所有 RPC 通道（Agent ↔ Kernel、Agent ↔ Agent、Gateway ↔ Backend）强制 mTLS，未通过认证的连接在 TCP 握手阶段即被拒绝。

use eneros_security::tls::{TlsConfig, TlsVersion, CipherSuite};

let tls = TlsConfig::mutual()
    .server_cert("/etc/eneros/certs/server.crt")
    .server_key("/etc/eneros/certs/server.key")
    .client_ca("/etc/eneros/ca.crt")
    .min_version(TlsVersion::TLS_1_3)
    .cipher_suites(CipherSuite::post_quantum())
    .session_resumption(false)
    .client_auth(ClientAuth::RequireAnyCert)
    .verify_callback(|cert| async move {
        let chain = cert_chain_store.verify(&cert).await?;
        if !chain.has_spiffe_uri() {
            return Err(TlsError::InvalidIdentity);
        }
        Ok(())
    });

server.listen(addr, tls).await?;

TLS 配置参数

HMAC 链式审计

每条审计记录都包含前一条的 HMAC-SHA256，形成不可篡改的链式结构。任何中间记录被修改都会导致后续所有记录的链断裂。

use eneros_security::audit::{AuditChain, AuditEntry, AuditContext};
use std::collections::HashMap;

let mut chain = AuditChain::open("/var/eneros/audit.chain")?;

// 第一条记录自动形成创世块（genesis）
chain.append(AuditEntry::new()
    .actor("dispatch_agent")
    .actor_identity("spiffe://eneros/dispatch-agent")
    .action("open_breaker")
    .target(breaker_id.to_string())
    .target_type("breaker")
    .verdict("allow")
    .context(AuditContext::new()
        .insert("reason", "fault_isolation")
        .insert("command_id", "cmd-7821")
        .insert("safety_check", "passed"))
    .timestamp(now())).await?;

// 后续记录自动引用前一条的 HMAC
chain.append(AuditEntry::new()
    .actor("self_healing_agent")
    .action("restore_power")
    .target(feeder_id.to_string())
    .verdict("allow")
    .timestamp(now())).await?;

// 验证链完整性
let valid = chain.verify().await?;
assert!(valid, "审计链被篡改");

审计字段说明

WORM 取证存储

审计日志写入 WORM（Write Once Read Many）存储，满足 NERC CIP-007 与 IEC 62443 要求。底层使用带只读挂载的文件系统，任何后续修改尝试都会被文件系统直接拒绝。

use eneros_security::worm::{WormStore, Compression, HashAlgo, RetentionPolicy};

let worm = WormStore::mount("/var/eneros/worm")?
    .retention(RetentionPolicy::years(7))  // 7 年保留
    .compression(Compression::Zstd { level: 6 })
    .hash_chain(HashAlgo::Sha256)
    .segment_size(64 * 1024 * 1024)  // 64MB 段
    .immutable_after_close(true);

worm.append(&audit_entry).await?;

// 试图篡改将失败
let result = worm.overwrite(0, &fake_entry).await;
assert!(result.is_err(), "WORM 存储拒绝写入");

// 读取历史审计
let records = worm.query(Query::by_actor("dispatch_agent")
    .range(now() - Duration::from_secs(86400) .. now()))
    .await?;

WORM 配置参数

入侵检测（IDS）

内置基于规则与异常的 IDS，覆盖典型电力 OT 攻击模式。规则可在运行时热加载，无需重启服务。

use eneros_security::ids::{Ids, Signature, AlertAction, Severity};

let mut ids = Ids::new()
    .signature(Signature::modbus_anomaly()
        .severity(Severity::High))
    .signature(Signature::scada_unauthorized_command()
        .severity(Severity::Critical))
    .signature(Signature::rapid_breaker_operation()
        .window(Duration::from_secs(60))
        .threshold(10))  // 命令风暴：60 秒内 ≥10 次开关操作
    .signature(Signature::lateral_movement()
        .severity(Severity::High))
    .signature(Signature::unusual_login_time()
        .baseline(Duration::from_secs(86400 * 30)))
    .action_on_alert(AlertAction::BlockAndNotify);

ids.start().await?;

// 订阅告警
while let Some(alert) = ids.alerts().recv().await {
    println!("[{}] {}", alert.severity, alert.message);
    notify_soc(&alert).await?;
    if alert.severity == Severity::Critical {
        kernel.lockdown().await?;
    }
}

IDS 规则库

密钥管理（KMS）

支持本地 KMS、SoftHSM2、PKCS#11 硬件 HSM 与云 KMS 集成：

use eneros_security::kms::{Kms, KeyId, KeyAlgorithm, KmsBackend, KeyPolicy};

let kms = Kms::builder()
    .backend(KmsBackend::SoftHsm2)
    .config("/etc/eneros/kms.conf")
    .build().await?;

// 创建密钥
let key_id = kms.create_key(KeyAlgorithm::Aes256Gcm)
    .policy(KeyPolicy::rotate_every(Duration::from_secs(86400 * 90)))
    .await?;

// 加密 / 解密
let ciphertext = kms.encrypt(&key_id, plaintext).await?;
let plaintext = kms.decrypt(&key_id, &ciphertext).await?;

// 密钥轮转
kms.rotate(&key_id).await?;

// 列出密钥
for key in kms.list_keys().await? {
    println!("密钥 {} 当前版本 {}", key.id, key.current_version);
}

KMS 后端对比

合规框架

EnerOS 内置多套合规框架，可按租户配置：

安全能力矩阵

性能指标

与其他能力的关系

• 安全守卫：安全网关基于身份认证结果执行决策，详见 安全守卫
• 多租户隔离：租户身份绑定证书，按租户分配 SPIFFE 命名空间
• 国际化合规：合规框架支持多区域差异化配置，详见 国际化与合规
• 物联网接入：IoT 设备使用专用证书体系接入，详见 物联网泛在接入
• 高可用：审计日志跨区域复制，WORM 段在副本间保持强一致

相关文档

• 安全守卫 — 安全网关基于身份认证
• 多租户与隔离 — 租户身份绑定证书
• 国际化与合规 — 多区域合规框架
• 物联网泛在接入 — IoT 设备证书管理
• 高可用增强 — 审计跨区域复制