Cyberbezpieczeństwo kamer IP – jak chronić monitoring?

Kamera IP to w rzeczywistości mały komputer podłączony do sieci. Ma system operacyjny, serwer WWW, konta użytkowników i dostęp do internetu – a więc może stać się celem ataku. Przejęta kamera to nie tylko ryzyko, że ktoś obcy zobaczy obraz z Twojego domu czy firmy. Urządzenie może też zostać włączone do botnetu i posłużyć do ataków na inne systemy. Dlatego cyberbezpieczeństwo kamer IP i rejestratora NVR traktujemy w CSAFE równie poważnie jak dobór obiektywu czy rozmieszczenie kamer. Oto najważniejsze zasady, które stosujemy przy każdej instalacji.

Cyberbezpieczeństwo kamer IP zaczyna się od haseł

Dawniej wiele urządzeń miało fabryczne hasła typu „admin/12345”. Nowsze kamery i rejestratory Dahua czy Hikvision wymagają już ustawienia własnego hasła przy pierwszym uruchomieniu, ale to dopiero początek. Zalecamy:

• długie i unikalne hasła – najlepiej kilkanaście znaków, bez słów słownikowych, imion i dat;
• różne hasła dla rejestratora, kamer, routera i konta w aplikacji – jedno wykradzione hasło nie powinno otwierać wszystkich drzwi;
• bezpieczne przechowywanie haseł w menedżerze haseł, a nie na karteczce przyklejonej do rejestratora;
• zmianę haseł po zakończeniu prac serwisowych lub gdy dostęp miała osoba, która już nie powinna go mieć.

Osobne konta użytkowników i uprawnienia

Konto administratora powinno służyć wyłącznie do konfiguracji. Do codziennego oglądania obrazu tworzymy osobne konta z ograniczonymi uprawnieniami – np. tylko podgląd na żywo albo podgląd i odtwarzanie, bez możliwości zmiany ustawień czy usuwania nagrań. W firmie każdy uprawniony pracownik powinien mieć własne konto. Ułatwia to kontrolę, kto i kiedy przeglądał nagrania, a po odejściu pracownika wystarczy usunąć jedno konto, zamiast zmieniać hasła wszystkim. Warto też włączyć blokadę konta po kilku błędnych próbach logowania, jeśli urządzenie ją oferuje.

Regularne aktualizacje firmware

Producenci regularnie publikują nowe wersje oprogramowania, które poprawiają błędy, w tym luki bezpieczeństwa. W przeszłości zdarzały się podatności w kamerach różnych marek, które pozwalały na nieautoryzowany dostęp – i zostały załatane właśnie aktualizacjami. Dobre praktyki to:

1. sprawdzanie dostępności aktualizacji kilka razy w roku i po komunikatach bezpieczeństwa producenta;
2. pobieranie firmware wyłącznie z oficjalnych źródeł producenta;
3. wykonanie kopii konfiguracji przed aktualizacją;
4. aktualizowanie zarówno kamer, jak i rejestratora oraz routera;
5. wymiana urządzeń, które od dawna nie otrzymują wsparcia.

Uwaga: firmware musi pasować dokładnie do modelu i wersji sprzętowej urządzenia. Wgranie niewłaściwego pliku może trwale uszkodzić kamerę, dlatego przy większych systemach zalecamy, by aktualizacje wykonywał serwis.

Wyłącz UPnP i unikaj przekierowania portów

UPnP to funkcja, dzięki której urządzenie w sieci samo prosi router o otwarcie portów. Jest wygodna, ale niebezpieczna: rejestrator może w ten sposób wystawić swoje usługi do internetu, a Ty nawet nie będziesz o tym wiedzieć. Dlatego wyłączamy UPnP zarówno w rejestratorze i kamerach, jak i – jeśli to możliwe – w routerze.

Z tego samego powodu odradzamy ręczne przekierowanie portów (port forwarding) do rejestratora. Urządzenie wystawione bezpośrednio do internetu jest nieustannie skanowane przez automatyczne boty szukające znanych luk i słabych haseł. Wystarczy jedna niezałatana podatność, by ktoś przejął system.

Bezpieczny zdalny dostęp: P2P lub VPN

Skoro nie przekierowujemy portów, jak oglądać obraz w telefonie? Są dwie główne drogi:

• Usługa P2P producenta (np. Dahua P2P z aplikacją DMSS, Hik-Connect u Hikvision) – rejestrator łączy się z serwerem producenta, a aplikacja zestawia połączenie bez otwierania portów. To wygodne i wystarczające dla większości domów. Ważne, by konto w aplikacji miało silne hasło i – jeśli to możliwe – dodatkowe zabezpieczenie logowania.
• VPN – telefon lub komputer łączy się najpierw z Twoją siecią przez szyfrowany tunel, a dopiero potem z rejestratorem. Rejestrator w ogóle nie jest widoczny z internetu. To rozwiązanie, które polecamy firmom i bardziej wymagającym użytkownikom. Routery MikroTik czy Ubiquiti pozwalają skonfigurować np. WireGuard lub inny protokół VPN.

Osobna sieć VLAN dla kamer

W wielu domach i firmach kamery są w tej samej sieci co komputery, telefony i telewizory. Jeśli któreś z tych urządzeń zostanie zainfekowane, atakujący ma łatwą drogę do kamer – i odwrotnie. Rozwiązaniem jest segmentacja sieci, czyli wydzielenie kamer do osobnej sieci VLAN. Dobrze skonfigurowana sieć pozwala:

• zablokować kamerom bezpośredni dostęp do internetu, jeśli nie jest potrzebny;
• pozwolić kamerom komunikować się wyłącznie z rejestratorem;
• dopuścić do rejestratora tylko wybrane urządzenia, np. komputer w recepcji.

Prostszą formą jest podłączenie kamer bezpośrednio do portów PoE rejestratora, które tworzą odrębną sieć wewnętrzną. Przy większych systemach stosujemy zarządzalne switche i routery MikroTik, TP-Link lub Ubiquiti. Więcej o tym, jak projektujemy sieci, przeczytasz na stronie instalacji LAN i Wi-Fi.

Kamery Wi-Fi i chmura – na co uważać

Popularne kamery Wi-Fi do samodzielnego montażu też wymagają uwagi. Przed zakupem sprawdź, czy producent regularnie wydaje aktualizacje i jak długo wspiera dany model. Zabezpiecz konto w aplikacji silnym hasłem i włącz weryfikację dwuetapową, jeśli jest dostępna. Sieć Wi-Fi, do której podłączona jest kamera, powinna korzystać z szyfrowania WPA2 lub WPA3 i mieć mocne hasło – słabe zabezpieczenie sieci bezprzewodowej osłabia ochronę wszystkich podłączonych urządzeń.

Dodatkowe dobre praktyki

• Wyłącz nieużywane usługi – np. Telnet, SSH, FTP, SNMP, jeśli nie są potrzebne.
• Używaj HTTPS do logowania przez przeglądarkę zamiast niezaszyfrowanego HTTP.
• Synchronizuj czas (NTP) – poprawna data i godzina są ważne dla wartości dowodowej nagrań i dla logów.
• Przeglądaj logi rejestratora pod kątem nieudanych logowań.
• Zabezpiecz fizycznie rejestrator i switch – zamknięta szafa utrudnia kradzież dysku lub podpięcie obcego urządzenia.
• Zabezpiecz router – zmień domyślne hasło, aktualizuj oprogramowanie i wyłącz zdalne zarządzanie z internetu.

Podsumowanie

Bezpieczny monitoring to nie tylko dobre kamery, ale też przemyślana konfiguracja: silne i unikalne hasła, osobne konta użytkowników, aktualne oprogramowanie, wyłączony UPnP, brak przekierowań portów, dostęp przez P2P lub VPN oraz wydzielona sieć dla kamer. Wszystkie te elementy uwzględniamy przy montażu systemów monitoringu CCTV, a istniejące instalacje możemy sprawdzić i zabezpieczyć.

Obsługujemy region: Bielsko-Biała i okolice: Żywiec, Kęty, Andrychów, Skoczów, Czechowice-Dziedzice, Pszczyna, Cieszyn i Oświęcim. Zrobimy przegląd Twojego monitoringu i sieci oraz przygotujemy bezpłatną wycenę zmian. Zadzwoń: 505 298 048 lub napisz do nas.