叁仟智慧路灯杆前端设备网络安全防护方案

　　“多杆合一”的智慧路灯杆以道路杆件为载体集成挂载多种设备，实现了资源集约化与景观美化。它通过运用先进的信息通信和物联网技术，为城市运行提供智慧照明、无线通信、交通管理、城市监控、公共广播、信息发布、智能充电、环境监测等等多种高效服务，是智慧城市不可或缺的新型基础设施，是数字化时代的融合基础设施。
　　目前，智慧路灯杆在我国处于探索与实践并重的初始阶段，市场规模、建设数量增长态势良好，据“灯杆智慧说”统计，截止目前全国建设完成的智慧路灯杆数量已经超过10万根。在初始阶段，大家往往更关注配套政策、产业标准、建设推广、运维管理、盈利模式等，在各类政策、标准密集发布推动下，产业发展逐步进入快车道。但与如火如荼的建设相比，大家对智慧路灯杆系统信息安全的关注度尚显不足甚至缺失。
　　智慧路灯杆作为城市运行数据存储、处理的末端设施，承载着重要数据，联接多个传感类、控制类设备，若其自身缺乏安全防护，面临非法入侵、恶意控制、数据泄露等安全风险，由于其分布在城市道路的各处，将成为智慧城市网络安全的一个致命软肋！因此，智慧路灯杆安全必须引起足够的重视，将安全建设纳入智慧路灯杆建设的必要范畴。
　　智慧路灯杆前端设备安全痛点
　　智慧路灯杆系统通信系统架构主要由三大部分组成：智慧路灯杆前端设备、路由汇聚设备和机房控制中心。
　　图一智慧路灯杆通信系统架构
　　观察智慧路灯杆安全体系，机房控制中心往往堆叠着最全、最成熟的安全解决方案，满足相应的等保要求，涉及物理安全防护、边界防护、终端安全防护、安全审计等等；汇聚层同样有相应的安全要求及解决方案，涉及到综合机房安全防护、边界防护以及传输安全防护等等，尤其在传输安全方面，通常会有专网或专线为数据安全传输保驾护航。
　　然而，可以明显看到，以上传统安全解决方案并没有效覆盖智慧路灯杆前端设备，这些身处末端、挂载着多种设备、承载着城市运行重要信息的智慧路灯杆前端设备，其自身安全却被忽视了，存在着安全防护空白，带来了如下安全痛点：
　　恶意控制：
　　黑客组织非法入侵智慧路灯杆，恶意控制信号灯、路灯等挂载设备，影响灯杆正常使用，还可能威胁公共安全。
　　内容篡改：
　　恶意篡改户外挂载灯杆信息屏的音频、视频发布内容，播放虚假、不良或反动的信息，造成恶劣的社会影响。
　　信息泄露：
　　智慧路灯杆系统采集到的城市运行数据可能遭遇泄露、外流，存在被非法利用、恶意篡改的风险，可能危害公共安全或造成财产损失。
　　植入病毒：
　　智慧路灯杆系统遭遇黑客入侵后可能被植入病毒（如挖矿病毒）。一方面影响每支杆自身正常高效的工作，另一方面病毒存在交叉感染风险，会快速在智慧路灯杆甚至智慧城市物联网网络中传播开来。
　　智慧路灯杆前端设备芯片里的一些固件总会存在或多或少的安全漏洞，对于一些专业人员，只需要花费少量时间、执行若干行代码，即可随意控制智慧路灯杆前端设备，这样的安全隐患就在我们身边，必须引起足够的重视和加以借鉴。
　　智慧路灯杆前端设备的特点
　　要解决前端设备的安全问题，首先需理清前端设备有哪些特点，方能对症下药。
　　1。需要接入网络联网
　　智慧路灯杆前端设备采集到的城市运行数据需要传回控制中心管理平台进行分析处理。运营者也需要向其下发内容，如控制指令或广告包等。
　　2。缺乏安全防护裸奔
　　由于硬件资源有限、操作系统不兼容等诸多原因，前端设备自身往往缺乏安全防护能力，通常难以在设备上安装杀毒、准入等第三方安全控件。
　　3。存在安全漏洞漏洞
　　设备可能存在潜在的系统漏洞，容易成为“僵木蠕”攻击的目标。常见弱口令、高危端口使用等现象。日常通过U盘或远程运维时，易感染病毒、木马。
　　4。难以统一管理分散
　　智慧路灯杆前端设备数量多，物理位置分散，难以统一部署安全防护策略，使用传统安全解决方案则运维负担较重。灯杆遭遇威胁攻击时无法及时发现问题、定位及处理。
　　以上特点使得智慧路灯杆前端设备暴露于危险的网络环境下，随时可能遭受威胁攻击。要实现针对前端设备的安全防护，就务必充分考虑其自身特点，选择适合、可行的解决方案。
　　物联网感知层网关安全技术要求
　　实际上，国家早已针对智慧路灯杆前端设备这类物联网感知层设备的安全防护提出过要求，即国家标准《信息安全技术物联网感知层网关安全技术要求》。该标准针对智慧路灯杆智盒网关这样的感知层网关提出安全要求，作为前端设备中起着上传下达枢纽作用的重要节点，做好智盒网关的安全防护，便能较好地填补前端设备的防护空白。
　　标准主要包括六大部分，物理安全和安全保障要求部分较为基础；感知终端接入认证、数据保护、系统安全保护部分是基于智盒网关自身系统的安全要求，在网关层面便能实现；而网络访问控制部分实现方式较多，相对最难做，接下来我们将重点讨论智慧路灯杆智盒网关的网络访问控制该如何做。
　　智慧路灯杆智盒网关网络访问控制
　　1、精简精准的访问控制
　　叁仟智盒网关网络访问控制需实现的具体内容应遵循国家标准安全技术要求，需要指出的是，相关防护手段应该是精准、精简、瘦身地，因为前端设备是布局分散的边缘物联网终端，我们不可能为其附加笨重、复杂的防护手段，而应该综合考虑功能性与便捷性，化繁为简，实现小而美的精准访问控制。
　　2、分布式边缘防护手段
　　对于天生物理位置分散的智慧路灯杆前端设备，分布式的边缘防护手段明显更合适。一方面更贴近被保护设备，另一方面更具针对性，能够实现精准防护。传统的集中式防护手段（往往就是在灯杆通信系统的接入层或汇聚层部署安全设备），存在几个弊端：
　　安全设备性能需弹性增长
　　前端设备跨网段，安全设备策略配置复杂
　　远距离安全防护，效果难保障
　　前端设备之间会存在交叉感染风险
　　因此，对智慧路灯杆前端设备的安全防护更需要的是分布式的方式，即贴身地、一对一地安全防护。
　　3、独立的软硬件环境
　　传统的“寄生式”防护手段，如第三方厂家的杀毒或准入软件等，大多以纯软件的形式安装部署在网关操作系统中。其最大的问题是与网关的软硬件环境捆绑过于紧密，一方面会占用网关的硬件性能资源；另一方面，一旦有病毒等恶意代码程序绕过防护手段，感染了网关，有可能通过反杀寄生在网关上的防护程序，从而取得网关的控制权，进而发动内部网络攻击。
　　因此，为安全模块提供独立的软硬件环境至关重要。不论它是以外置防护设备的形态出现，还是以嵌入式安全芯的形态出现，都应为其配置独立的计算环境，做到与智盒网关互不干扰，网关发生变化（软件更新、配置更新、被攻陷等）时，安全模块不受影响。
　　4。无IP网络隐身部署模式
　　对于智慧路灯杆这类边缘物联网终端，安全模块往往是直接部署在业务网络上的，即串接在生产系统业务网络的网线上，如果给每个安全模块分配一个业务网络IP地址，不仅会占用大量网络资源，还需改变现有的网络结构。采用无IP部署模式，节约网络资源，降低部署难度，同时安全模块没有IP即实现了网络隐身，可免疫扫描攻击，进一步提高了安全防护等级。
　　5。集中式的统一管控平台
　　统一管控平台部署在机房控制中心，一方面覆盖全网分布式边缘防护设备（外置或安全芯），实现全面管控与分析；另一方面与机房中智慧路灯杆运维管理平台实现联动，综合处理各类数据。统一管控平台起着两个作用：向下，能够下发访问控制策略，统一管理所有分布式防护设备；向上，能够收集相关网络行为日志，进行分析、处理、展现等。统一管控平台与分布式防护设备组成了一个整体，实现了对前端设备的全面安全防护。
　　分布式防护设备存在多种部署方式，应对不同的场景。
　　以外置防护设备的形态串接于智盒网关后（针对有线场景）
　　以外置防护设备的形态串接于网关和无线路由器之间（针对部分无线场景）
　　以安全芯的形态集成到网关内部（针对部分无线场景及无法放置外置设备的场景）
　　最后，随着智慧城市的蓬勃发展，智慧路灯杆等边缘物联网终端必然爆发式增长，随之而来的终端安全问题不容忽视。我们应未雨绸缪，抓紧强化网络中每个环节的安全能力，尤其需要加强前端设备这一薄弱环节的安全防护。通过应用边缘物联网终端安全解决方案，有效感知网络安全态势、洞察潜在安全风险、抵御内外网络攻击、防范敏感数据泄露、营造清朗网络空间，为“万物互联”保驾护航！