智慧灯杆解决方案

　　一、智慧灯杆背景分析
　　在新基建的背景下，5G网络建设将面临大量基站建设，同时＂万物互联＂背景下智慧城市的传感器建设需求也十分迫切。智慧灯杆的建设可以有效地实现成本城市整体运营的降本增效、有利于城市管理效率提升。目前，国家政策导向大力支持智慧灯杆研发及应用，深圳、上海等城市已经逐步展开智慧灯杆试点应用，企业积极投入研发要素拓宽产业应用场景及功能。
　　智慧灯杆是智慧城市建设的重要组成部分，是将摄像头、广告屏、充电桩、小基站等功能集于一身的新型信息基础设施，能够完成对照明、公安、市政、气象、环保、通信等多个行业的数据信息进行采集、发布以及传输。与此同时，作为5G时代车联网建设、云网建设以及通信网络建设的重要组成部分，智慧灯杆也将得以广泛应用。
　　二、智慧灯杆现状分析
　　2.1、灯杆业务组成分析
　　智慧路灯控制系统是由软件系统和硬件系统组成，分为数据采集层、通信层、应用层和交互层四层，通过各层的相互配合，实现了路灯设施管理、故障报警、用电监测、路灯控制等应用功能。由此可见智慧灯杆业务对前端场景的准确度、及时性有一定要求，业务运转具备一定自动化程度，因此有大量物联网设备在灯杆业务中应用，所以灯杆采集层设备的安全性至关重要。
　　2.2、灯杆安全现状分析
　　前端灯杆数据采集设备大多都处于网络边界无人值守的状态，且自身基本不具备任何安全防护能力，存在许多安全风险点。
　　2.2.1、智慧灯杆部署在户外，且长期无人值守，资产容易被私接
　　资产以次充好、非法接入、私自篡改替换（用电监测数据采集失败或采集错误），造成经济损失。
　　2.2.2、智慧灯杆系统网络异常行为难以发现，非法入侵难防备
　　照明系统被非法入侵，无法正常照明影响居民生活（如实时更改路灯运行状态、故障报警情况）造成安全事故。
　　2.2.3、智慧灯杆系统被黑客利用脚本语言发现漏洞，植入病毒对路灯进行操控
　　利用固件漏洞植入控制病毒，短时间病毒大量横向传播，致使业务瘫痪（控制智能灯杆整个灯控系统）。
　　2.2.4、智慧灯杆系统存在后门或弱口令漏洞，易沦陷为黑客利用攻击的肉鸡
　　LED显示屏图片、监控视频被替换成恶意负面视频，对社会造成影响。
　　2.3、智慧灯杆攻击案例
　　2020年2月5日全球领先网络安全解决方案提供商Check Point 软件技术有限公司的威胁情报部门 Check Point Research 今天披露了一些漏洞，可被黑客用于接管智能电灯及其控制器，进而将勒索软件或其他恶意软件传播到智慧灯杆系统中。黑客通过对智慧路灯的芯片固件进行分析，发现可能存在的一些漏洞，通过这些漏洞，很快便破解了智慧灯杆控制系统，从而实现远程操控。
　　如果不法分子进入系统，可能将一个街区乃至整个城市的智慧灯杆突然关闭，夜间突如其来的黑暗会造成严重的交通事故。同时，智慧灯杆一旦被利用，可以通过声音和图像传递非法信息，造成恐慌和骚乱。更有甚者，如果被大批量控制，智慧灯杆拍摄的画面可以被用于很多非法用途，也可能会导致交通数据的泄露等问题，严重的可能会威胁公共安全，乃至国家安全。
　　2.4、智慧灯杆防护思路
　　通过分析攻击案例后发现，智慧灯杆不能及时发现非法接入设备，导致黑客通过路灯存在的一些安全漏洞进行网络攻击，如何解决智慧灯杆存在的安全问题需考虑以下几方面：
　　2.4.1可信终端设备
　　需考虑对关键设备进行加固，具备对智慧灯杆系统终端流量数据采集、监控、防护、预警处置等能力。需要与安全运营中心实现智慧灯杆端到端安全联动，在合理范围内执行终端网络阻断等处置策略，实现智慧灯杆安全运营中心与运营商等业务安全赋能。
　　2.4.2可信通信网络
　　需考虑传输链路的安全可信通信能力，及时发现智慧灯杆系统网络存在的恶意远程控制、病毒等信息。
　　2.4.3可信安全边界
　　需考虑满足智慧灯杆＂云、管、边、端＂的边界隔离、访问控制、入侵防范、安全审计及物联网安全扩展要求。
　　2.4.4可信安全运营中心
　　需考虑对智慧灯杆系统、通信链路、平台等资产及海量业务安全数据进行统一采集和归类汇总；对业务场景中各类网络安全事件进行实时监控和集中审计，并进一步进行事件关联性挖掘，识别安全异常和潜在安全事件；将威胁事件与智慧灯杆业务进行有机结合，通过态势感知大屏将全局的安全态势以图形化的方式直观呈现，将安全由不可见变为可见。
　　三、解决方案
　　3.1、方案架构
　　我司安全团队紧贴智慧灯杆业务架构，结合设备的分布情况进行灵活部署，整体方案是从端测、边侧、核心层、云端这几方面入手进行安全防护，全方位持续性监测网内可能存在的安全隐患。
　　1）端侧嵌入轻量级安全心SDK，可覆盖Linux、安卓、RTOS等多种操作系统，深入到物联网最末端。
　　2）边侧部署感知层安全网关，对物联网前端设备进行安全防护；支持2G/3G/4G、RJ45有线、Lora、串口、光口多种网络通信方式，低功耗无风扇设计，支持复杂户外环境、满足宽温、宽压。
　　3）核心层部署流量安全检测网关，实时对物联网节点与物联网业务进行安全检测。
　　4）云端搭建集中管控的物联网安全感知管理平台、流量AI算法中心、云端安全库。
　　3.2、方案功能介绍
　　3.2.1、资产发现清点模块
　　基于流量实时分析手段，系统自动发现智慧灯杆系统中的接入设备，快速识别设备类型、厂家品牌等设备信息，并根据IP和Mac等设备指纹进行资产梳理。
　　1）终端发现与识别：针对APN专网或者通过互联网通道上传流量到服务器侧的终端资产进行被动探测，根据其流量特征、设备信息对设备进行识别，识别范围包括但不限于设备IP、Mac地址、设备编号、终端类型等信息。
　　2）资产台账梳理：将网络中发现的各种终端资产进行展示，建立相关资产台账，提供管理、查询、导出等功能。
　　3.2.2、资产准入控制与仿冒检测模块
　　智慧灯杆系统设备接入网络后，对其各类行为进行全周期安全分析，当设备产生异常行为，产生攻击行为或恶意仿冒替换行为，阻断其与外界通信连接，保护设备和数据业务安全。
　　1）终端准入管控：对网内已有设备及新接入设备进行入网管控，或根据异常行为分析和攻击检测的结果，确保非正常情况下可对终端入网进行控制和处理。
　　2）终端准入策略：支持准入策略的预制，即全部准入方式与人工审核方式，可根据网内运维情况灵活运行，同时支持设置终端类型指纹作为准入策略，满足不同类型终端的入网控制。
　　3）终端指纹生成：安全探针发现资产后，管理员可以对特定的设备生成指纹信息，包括但不限于设备的IP地址、设备名称、终端类型以及流量特征生成设备指纹并作为设备在管理平台的唯一标识。
　　4）设备指纹禁用：管理员可以对已经判定是非法接入、无授权接入、不安全设备、已退运下线的设备指纹进行管理，如果确认不允许其再接入到网络内，可以对相应的设备进行指纹删除/禁用。
　　5）设备仿冒监测：如非法资产通过伪造真实资产IP/MAC接入网络中，经检测后安全监管平台会显示终端为仿冒状态，并进行告警。同时提供IP使用全周期进行详细审计，详细记录每一MAC地址使用不同IP地址对应的时段，并可确认该IP在该时段是否被分配给不同的MAC地址使用过。
　　6）立即断网：对于判断属于恶意或高危的物联网终端，可以通过管理界面下发立即断网操作，操作生效后，恶意终端将立即在相应的端口生效断网。
　　7）旁路部署阻断：安全探针支持与交换机、防火墙的联动处置，满足不改变网络拓扑条件下亦能完成设备阻断。
　　3.2.3、资产安全运维管理模块
　　安全监测平台可对灯杆系统中的设备连接状态进行全生命周期监测，及时发现设备离线，私自接入，替换等异常接入情况。
　　1）终端状态监控:支持对网内设备工作状态进行全周期状态监控，对现有的已准入、已记录的终端设备的情况进行实时统计，如在线状态、工作状态、维修更换记录等。
　　2）工作状态监测：根据终端与服务器的交互流量进行监控，对其业务上报周期与网络活跃度进行统计，当识别到活跃度过低时，系统及时判断与告警。
　　3）资产责任制管理：支持资产责任制信息管理，管理资产所属责任人、联系方式等档案信息，如出现故障时便于找到运维人员，系统可以按照设定自动发送短信或者邮件进行故障上报。
　　4）资产信息联动运维：支持基于资产ID，安全编码等索引，通过与业务平台对接，实现安全监测管理平台向终端所属的业务平台进行跳转。
　　3.2.4、网络行为检测模块
　　安全监测平台以灯杆系统网络行为安全分析为基础，通过自动化学习把网络中的智能灯杆设备访问行为识别为白名单模型，只要发生网络攻击或白名单外的行为，无论攻击者采用何种攻击方法，难免要在网内进行探测、攻击、传输、下载等活动，这些攻击活动在网络安全策略的过滤下将自动浮出水面，迅速暴露出来。
　　1) 网络流量信息识别:通过网络行为分析技术，提取源Mac、目标Mac、源IP、目标IP、源端口、目的端口、网络协议、应用协议、特征字段和流量特征等信息。
　　2) 网络自动化学习与安全策略搭建：针对终端的多维度的网络行为数据，对终端可信业务进行自动化学习，通过设定最小合规行为模型；行为模型可直接被策略引用，对识别出的终端通信协议和终端端口信息进行实时监测，准确识别终端异常行为。
　　3) 终端入侵攻击检测：结合物联网层面的入侵攻击规则，检测物联网终端面临的恶意设备扫描、远程控制、ARP中间人攻击、DDOS攻击和暴力破解等典型物联网入侵行为，发现后及时拦截或告警。
　　4) 网络通信异常检测：支持对物联网设备通信业务场景，对数据包大小、频率、业务周期等特征进行行为学习，生成业务网络行为安全模型。可发现如短时间频繁访问、多个周期访问缺失等异常业务通信，并支持根据设备类型、所属分组等进行查询。
　　3.2.5、物联网安全管理平台
　　安全监测管理平台对灯杆系统中的物联网终端及安全产品进行集中管控，实现终端全面监控、实时告警、日志信息统一收集、关联分析等，降低运维成本、提高事件响应效率，形成各区、各路段安全态势分析，帮助企业掌握网络安全态势。
　　1）未知设备检测：支持快速检测未知设备对网内未知的设备接入进行实时告警，迅速发现系统中存在的非法接入。
　　2）网络行为模型管理：基于机器学习功能，从设备类型、协议、端口等多维度建立物联网终端安全模型，对安全探针产品识别出的物联网终端的通信协议和网络流量进行实时监测。
　　3）终端安全审计：从终端维度，审计各物联网设备历史上的安全状态、异常行为等安全信息。
　　4）事件关联分析：支持终端事件关联分析功能，具备分析事件的起源设备、目标设备、及其所经过的路径，将资产异常事件进行追溯取证，自动发现攻击路径以及物联网层面网络攻击检测。
　　5）用户管理：平台采用三权分立的管理模式，各管理员各司其职，相互监督，并审计管理员、安全员和审计员等各个角色的操作行为，有效避免了越权和权限过大带来的安全隐患。
　　6）版本管理：支持平台统一对安全探针下发系统升级命令，可以快速适应客户不断增长的安全需求，终端安全永不停更。
　　3.2.6、安全监测图形化展示
　　详细记录智能灯杆网络中的资产状态、准入监测、资产异常行为、网络异常行为进行实时监测和告警。
　　1）在线数量统计：对当前在线的物联网终端设备进行数量统计，可以根据设备类型、设备区域、设备归属进行统计。
　　2）离线设备统计：对已获得准入权限、曾经上线的离线物联网终端进行统计，支持根据下线时间、下线原因等进行统计。
　　3）终端在线率统计：对已获得准入权限的物联网终端进行在线统计，可以根据时间、设备类型、设备区域、设备归属进行统计。
　　4）准入成功统计：系统支持对已获得准入认证的物联网终端进行统计。
　　5）准入失败统计：系统支持对准入认证失败的物联网终端进行统计。
　　6）新增设备统计：系统支持对新上线的物联网终端进行统计，支持根据设备类型、上线时间、所属分组等进行统计。
　　7）设备类型统计：系统支持对当前已注册、已准入等物联网终端设备的类型进行统计，统计还可根据设备所属组织架构、设备类型等统计。
　　8）告警统计：系统支持对系统发出的告警进行统计，支持根据告警等级、告警对象、告警范围、告警时间等进行统计。
　　9）历史入网记录统计：系统支持对系统历史入网情况进行统计，支持入网设备类型，入网准入控制等历史情况统计查询。
　　10）GIS地图展示：提供高清GIS地图展示，在地理位置上直观展现资产、风险和威胁事件等信息。
　　四、价值点
　　1)及时了解智慧灯杆系统各终端设备的运行状态，快速发现设备是否存在故障，提高运维人员的工作效率，保障灯杆业务的正常运行。
　　2)及时发现智慧灯杆系统内部网络行为异常，攻击行为异常等相关信息，持续性对灯杆业务进行监测，从而降低网络事件的发生。
　　3)及时发现非法设备接入智慧灯杆系统，快速进行准入管控处理，从而降低安全事故的发生。
　　4)对智慧灯杆系统中所有网络行为进行快速学习，形成一套专门针对智慧灯杆业务环境独有的模型策略，针对网内可能存在的安全漏洞和非法网络访问行为进行快速阻断，降低安全事件的发生。