“多杆合一”的智慧路燈杆以道路杆件為載體內建挂載多種裝置，實作了資源集約化與景觀美化。它通過運用先進的資訊通信和物聯網技術，為城市運作提供智慧照明、無線通信、交通管理、城市監控、公共廣播、資訊釋出、智能充電、環境監測等等多種高效服務，是智慧城市不可或缺的新型基礎設施，是數字化時代的融合基礎設施。
目前，智慧路燈杆在大陸處于探索與實踐并重的初始階段，市場規模、建設數量增長态勢良好，據“燈杆智慧說”統計，截止目前全國建設完成的智慧路燈杆數量已經超過10萬根。在初始階段，大家往往更關注配套政策、産業标準、建設推廣、運維管理、盈利模式等，在各類政策、标準密集釋出推動下，産業發展逐漸進入快車道。但與如火如荼的建設相比，大家對智慧路燈杆系統資訊安全的關注度尚顯不足甚至缺失。
智慧路燈杆作為城市運作資料存儲、處理的末端設施，承載着重要資料，聯接多個傳感類、控制類裝置，若其自身缺乏安全防護，面臨非法入侵、惡意控制、資料洩露等安全風險，由于其分布在城市道路的各處，将成為智慧城市網絡安全的一個緻命軟肋！是以，智慧路燈杆安全必須引起足夠的重視，将安全建設納入智慧路燈杆建設的必要範疇。
智慧路燈杆前端裝置安全痛點
智慧路燈杆系統通信系統架構主要由三大部分組成：智慧路燈杆前端裝置、路由彙聚裝置和機房控制中心。
圖一 智慧路燈杆通信系統架構
觀察智慧路燈杆安全體系，機房控制中心往往堆疊着最全、最成熟的安全解決方案，滿足相應的等保要求，涉及實體安全防護、邊界防護、終端安全防護、安全審計等等；彙聚層同樣有相應的安全要求及解決方案，涉及到綜合機房安全防護、邊界防護以及傳輸安全防護等等，尤其在傳輸安全方面，通常會有專網或專線為資料安全傳輸保駕護航。
然而，可以明顯看到，以上傳統安全解決方案并沒有效覆寫智慧路燈杆前端裝置，這些身處末端、挂載着多種裝置、承載着城市運作重要資訊的智慧路燈杆前端裝置，其自身安全卻被忽視了，存在着安全防護空白，帶來了如下安全痛點：
惡意控制：
黑客組織非法入侵智慧路燈杆，惡意控制信号燈、路燈等挂載裝置，影響燈杆正常使用，還可能威脅公共安全。
内容篡改：
惡意篡改戶外挂載燈杆資訊屏的音頻、視訊釋出内容，播放虛假、不良或反動的資訊，造成惡劣的社會影響。
資訊洩露：
智慧路燈杆系統采集到的城市運作資料可能遭遇洩露、外流，存在被非法利用、惡意篡改的風險，可能危害公共安全或造成财産損失。
植入病毒：
智慧路燈杆系統遭遇黑客入侵後可能被植入病毒（如挖礦病毒）。一方面影響每支杆自身正常高效的工作，另一方面病毒存在交叉感染風險，會快速在智慧路燈杆甚至智慧城市物聯網網絡中傳播開來。
智慧路燈杆前端裝置晶片裡的一些固件總會存在或多或少的安全漏洞，對于一些專業人員，隻需要花費少量時間、執行若幹行代碼，即可随意控制智慧路燈杆前端裝置，這樣的安全隐患就在我們身邊，必須引起足夠的重視和加以借鑒。
智慧路燈杆前端裝置的特點
要解決前端裝置的安全問題，首先需理清前端裝置有哪些特點，方能對症下藥。
1. 需要接入網絡——聯網
智慧路燈杆前端裝置采集到的城市運作資料需要傳回控制中心管理平台進行分析處理。營運者也需要向其下發内容，如控制指令或廣告包等。
2. 缺乏安全防護——裸奔
由于硬體資源有限、作業系統不相容等諸多原因，前端裝置自身往往缺乏安全防護能力，通常難以在裝置上安裝殺毒、準入等第三方安全控件。
3. 存在安全漏洞——漏洞
裝置可能存在潛在的系統漏洞，容易成為“僵木蠕”攻擊的目标。常見弱密碼、高危端口使用等現象。日常通過U盤或遠端運維時，易感染病毒、木馬。
4. 難以統一管理——分散
智慧路燈杆前端裝置數量多，實體位置分散，難以統一部署安全防護政策，使用傳統安全解決方案則運維負擔較重。燈杆遭遇威脅攻擊時無法及時發現問題、定位及處理。
以上特點使得智慧路燈杆前端裝置暴露于危險的網絡環境下，随時可能遭受威脅攻擊。要實作針對前端裝置的安全防護，就務必充分考慮其自身特點，選擇适合、可行的解決方案。
物聯網感覺層網關安全技術要求
實際上，國家早已針對智慧路燈杆前端裝置這類物聯網感覺層裝置的安全防護提出過要求，即國家标準《資訊安全技術 物聯網感覺層網關安全技術要求》。該标準針對智慧路燈杆智盒網關這樣的感覺層網關提出安全要求，作為前端裝置中起着上傳下達樞紐作用的重要節點，做好智盒網關的安全防護，便能較好地填補前端裝置的防護空白。
标準主要包括六大部分，實體安全和安全保障要求部分較為基礎；感覺終端接入認證、資料保護、系統安全保護部分是基于智盒網關自身系統的安全要求，在網關層面便能實作；而網絡通路控制部分實作方式較多，相對最難做，接下來我們将重點讨論智慧路燈杆智盒網關的網絡通路控制該如何做。
智慧路燈杆智盒網關網絡通路控制
1、精簡精準的通路控制
叁仟智盒網關網絡通路控制需實作的具體内容應遵循國家标準安全技術要求，需要指出的是，相關防護手段應該是精準、精簡、瘦身地，因為前端裝置是布局分散的邊緣物聯網終端，我們不可能為其附加笨重、複雜的防護手段，而應該綜合考慮功能性與便捷性，化繁為簡，實作小而美的精準通路控制。
2、分布式邊緣防護手段
對于天生實體位置分散的智慧路燈杆前端裝置，分布式的邊緣防護手段明顯更合适。一方面更貼近被保護裝置，另一方面更具針對性，能夠實作精準防護。傳統的集中式防護手段（往往就是在燈杆通信系統的接入層或彙聚層部署安全裝置），存在幾個弊端：
- 安全裝置性能需彈性增長
- 前端裝置跨網段，安全裝置政策配置複雜
- 遠距離安全防護，效果難保障
- 前端裝置之間會存在交叉感染風險
是以，對智慧路燈杆前端裝置的安全防護更需要的是分布式的方式，即貼身地、一對一地安全防護。
3、獨立的軟硬體環境
傳統的“寄生式”防護手段，如第三方廠家的殺毒或準入軟體等，大多以純軟體的形式安裝部署在網關作業系統中。其最大的問題是與網關的軟硬體環境捆綁過于緊密，一方面會占用網關的硬體性能資源；另一方面，一旦有病毒等惡意代碼程式繞過防護手段，感染了網關，有可能通過反殺寄生在網關上的防護程式，進而取得網關的控制權，進而發動内部網絡攻擊。
是以，為安全子產品提供獨立的軟硬體環境至關重要。不論它是以外置防護裝置的形态出現，還是以嵌入式安全芯的形态出現，都應為其配置獨立的計算環境，做到與智盒網關互不幹擾，網關發生變化（軟體更新、配置更新、被攻陷等）時，安全子產品不受影響。
4.無IP網絡隐身部署模式
對于智慧路燈杆這類邊緣物聯網終端，安全子產品往往是直接部署在業務網絡上的，即串接在生産系統業務網絡的網線上，如果給每個安全子產品配置設定一個業務網絡IP位址，不僅會占用大量網絡資源，還需改變現有的網絡結構。采用無IP部署模式，節約網絡資源，降低部署難度，同時安全子產品沒有IP即實作了網絡隐身，可免疫掃描攻擊，進一步提高了安全防護等級。
5.集中式的統一管控平台
統一管控平台部署在機房控制中心，一方面覆寫全網分布式邊緣防護裝置（外置或安全芯），實作全面管控與分析；另一方面與機房中智慧路燈杆運維管理平台實作關聯，綜合處理各類資料。統一管控平台起着兩個作用：向下，能夠下發通路控制政策，統一管理所有分布式防護裝置；向上，能夠收集相關網絡行為日志，進行分析、處理、展現等。統一管控平台與分布式防護裝置組成了一個整體，實作了對前端裝置的全面安全防護。
分布式防護裝置存在多種部署方式，應對不同的場景。
- 以外置防護裝置的形态串接于智盒網關後（針對有線場景）
- 以外置防護裝置的形态串接于網關和無線路由器之間（針對部分無線場景）
- 以安全芯的形态內建到網關内部（針對部分無線場景及無法放置外置裝置的場景）
-
叁仟智慧路燈杆前端裝置網絡安全防護方案
最後，随着智慧城市的蓬勃發展，智慧路燈杆等邊緣物聯網終端必然爆發式增長，随之而來的終端安全問題不容忽視。我們應未雨綢缪，抓緊強化網絡中每個環節的安全能力，尤其需要加強前端裝置這一薄弱環節的安全防護。通過應用邊緣物聯網終端安全解決方案，有效感覺網絡安全态勢、洞察潛在安全風險、抵禦内外網絡攻擊、防範敏感資料洩露、營造清朗網絡空間，為“萬物互聯”保駕護航！