یک دوربین تحت شبکه، رایانه ای کامل با سیستم عامل و سرویس شبکه است که کسی به آن به چشم رایانه نگاه نمی کند. ریشه بیشتر حوادث این حوزه سه چیز ساده است: رمز پیش فرض، میان افزار به روزنشده و درگاه باز روی اینترنت. موثرترین اقدام هم پیچیده نیست: دوربین ها را در یک شبکه بسته نگه دارید و دسترسی بیرونی را فقط به سامانه بدهید، نه به تک تک دستگاه ها.
وقتی از امنیت سامانه نظارت تصویری حرف می زنیم، ذهن اغلب سراغ محافظت از تصویر می رود. اما مسئله بزرگ تر این است که خود دوربین ها می توانند نقطه ورود به شبکه سازمان باشند. دوربینی که سال ها بدون به روزرسانی روی شبکه مانده، در عمل یک رایانه رهاشده است که هیچ کس مسئولش نیست.
سطح حمله یک سامانه نظارت تصویری
پیش از راه حل، باید دید مهاجم از کجا می تواند وارد شود. یک سامانه نظارت تصویری چهار نقطه ورود دارد و هر کدام اقدام متفاوتی می خواهد.
رمز پیش فرض، هنوز رایج ترین ضعف
سال هاست که این مورد در صدر فهرست است. بسیاری از دوربین ها با نام کاربری و رمز کارخانه ای عرضه می شوند که در دفترچه راهنمای همان مدل، به صورت عمومی در دسترس است. یک نصب عجولانه، همان رمز را دست نخورده باقی می گذارد.
مشکل بزرگ تر این است که در پروژه های بزرگ، رمز روی همه دوربین ها یکسان گذاشته می شود تا کار نصب ساده تر شود. نتیجه اش این است که در دست داشتن یک رمز یعنی دسترسی به کل سامانه. اگر پیمانکار همان رمز را در پروژه های دیگرش هم به کار برده باشد، دامنه ماجرا از سازمان شما فراتر می رود.
اقدام درست: رمز هر دوربین جداگانه و تصادفی باشد و در یک مخزن امن نگهداری شود. یک سامانه مدیریت ویدیو خوب، اطلاعات ورود دوربین ها را رمزنگاری شده نگه می دارد و اپراتور اصلا لازم نیست آنها را بداند.
میان افزار به روزنشده
دوربین ها نرم افزار دارند و آن نرم افزار آسیب پذیری پیدا می کند. تفاوت با رایانه این است که هیچ کس به دوربین یادآوری نمی کند به روز شود، و در بسیاری از سازمان ها هیچ فرایندی برای این کار تعریف نشده است. دوربینی که پنج سال پیش نصب شده و از آن زمان دست نخورده، با آسیب پذیری های شناخته شده و منتشرشده کار می کند.
این کار در عمل زحمت دارد، مخصوصا با چند برند و چند مدل. اما دست کم دو چیز شدنی است: فهرست دقیقی از مدل و نسخه هر دوربین داشته باشید، و برای دوربین های حساس یک برنامه بازبینی سالانه بگذارید. سامانه ای که وضعیت دستگاه ها را پایش می کند، همین فهرست را به شما می دهد بدون آنکه لازم باشد دستی جمع کنید.
خطر اتصال مستقیم به اینترنت
این پرخطرترین کاری است که می توان با یک دوربین کرد و متاسفانه رایج است. کسی می خواهد از خانه تصویر را ببیند، پس درگاهی روی مودم باز می کند و آن را به دوربین هدایت می کند. از همان لحظه، آن دوربین در معرض کل اینترنت قرار دارد.
سازوکارهایی مثل UPnP این وضع را بدتر می کنند، چون دستگاه بدون اطلاع مدیر شبکه، خودش درگاه را روی مودم باز می کند. اگر UPnP روی تجهیزات شبکه فعال است، غیرفعالش کنید و درگاه ها را دستی و آگاهانه مدیریت کنید.
راه درست دسترسی از راه دور این است که هیچ دوربینی از بیرون قابل دسترسی نباشد و فقط سامانه، آن هم روی مسیر رمزنگاری شده و با احراز هویت، در دسترس باشد. سامانه ای که کاملا در مرورگر کار می کند این را ساده می کند، چون تنها چیزی که باید منتشر شود یک آدرس وب است، نه ده ها دستگاه.
جداسازی شبکه، بیشترین اثر با کمترین هزینه
اگر فقط یک اقدام قرار باشد انجام دهید، این است. دوربین ها را در یک شبکه مجزا بگذارید که به شبکه اداری و به اینترنت مسیر مستقیم ندارد. سرور سامانه به هر دو دسترسی دارد و نقش دروازه را دارد.
اثرش دوگانه است. اول اینکه اگر دوربینی به خطر بیفتد، مهاجم در شبکه ای گیر می کند که چیز باارزش دیگری در آن نیست. دوم اینکه اگر رایانه ای در شبکه اداری آلوده شود، به دوربین ها نمی رسد. این جداسازی معمولا با VLAN انجام می شود و هزینه اش تقریبا صفر است چون سوییچ های مدیریتی از قبل این قابلیت را دارند.
سرویس های بلااستفاده را خاموش کنید
یک دوربین معمولی بیش از آنچه فکر می کنید سرویس شبکه دارد: رابط وب، دسترسی خط فرمان، پروتکل های کشف، اشتراک فایل و گاهی سرویس هایی که فقط برای پیکربندی اولیه لازم بوده اند. هر کدام یک در باز است و بیشترشان هرگز استفاده نمی شوند.
پس از راه اندازی، در پنل هر دوربین سرویس هایی را که به آن نیاز ندارید غیرفعال کنید. معمولا آنچه واقعا لازم است دو چیز بیشتر نیست: جریان تصویر و رابط مدیریت، و دومی هم فقط از شبکه مدیریت باید در دسترس باشد. اگر مطمئن نیستید سرویسی لازم است یا نه، خاموشش کنید و سامانه را آزمایش کنید؛ برگرداندنش کار یک دقیقه است.
این کار در پروژه های بزرگ حوصله می خواهد، ولی می توان آن را یک بار روی یک دوربین انجام داد و همان پیکربندی را روی بقیه دوربین های همان برند اعمال کرد. بهتر است این کار را از پیمانکار به عنوان بخشی از تحویل پروژه بخواهید تا بعدا به عهده خودتان نماند.
وقتی پیمانکار یا شرکت نگهدارنده دسترسی دارد
این موضوعی است که کمتر درباره اش حرف زده می شود و در عمل یکی از رایج ترین نقاط ضعف است. شرکتی که سامانه را نصب کرده معمولا برای پشتیبانی دسترسی دارد، و آن دسترسی اغلب کامل است و هیچ وقت هم بسته نمی شود.
سه قاعده اینجا کمک می کند. اول، حساب پیمانکار باید حساب جداگانه خودش باشد نه حساب مشترک با تیم داخلی؛ اینطور در گزارش ها می توان دید کدام کار را چه کسی انجام داده. دوم، دسترسی باید به اندازه کار باشد؛ کسی که برای نگهداری سرور می آید لازم نیست به آرشیو تصویر دسترسی داشته باشد. سوم، دسترسی از راه دور پیمانکار باید موقت باشد و پس از پایان کار بسته شود، نه اینکه دائمی بماند.
و یک بازبینی ساده که سالی یک بار ارزشش را دارد: فهرست همه حساب های فعال را در بیاورید و برای هر کدام بپرسید این حساب مال کیست و هنوز لازم است یا نه. در سامانه ای که چند سال کار کرده، معمولا چند حساب پیدا می شود که صاحبشان مدت هاست سازمان را ترک کرده است.
ده اقدام عملی
این فهرست را می توانید به عنوان معیار بازبینی سامانه فعلی یا شرط پذیرش از پیمانکار به کار ببرید. وضعیت تیک ها در همین مرورگر شما ذخیره می شود.
از مورد بررسی شده
ریسک ها و راه مقابله در یک نگاه
| ریسک | چه اتفاقی می افتد | اقدام |
|---|---|---|
| رمز پیش فرض | دسترسی کامل به دوربین با اطلاعات عمومی | رمز جداگانه و تصادفی برای هر دستگاه |
| میان افزار قدیمی | سوءاستفاده از آسیب پذیری منتشرشده | فهرست نسخه ها و بازبینی دوره ای |
| درگاه باز روی اینترنت | دوربین در معرض اسکن خودکار جهانی | دسترسی فقط از طریق سامانه و مسیر رمزنگاری شده |
| شبکه مشترک با اداری | گسترش نفوذ از یک لایه به لایه دیگر | جداسازی با VLAN |
| دسترسی بیش از حد کاربران | دیده شدن تصویری که نباید دیده شود | دسترسی نقش محور و بازبینی دوره ای |
| نبود ثبت وقایع | ناتوانی در پاسخ به اینکه چه کسی چه دید | ثبت کامل و گزارش گیری |
| وابستگی به سرویس ابری سازنده | خروج تصویر از مرز سازمان | استقرار کاملا درون سازمانی |
چرا استقرار آفلاین بیشترین اثر را دارد
بیشتر اقدامات بالا، سطح حمله را کوچک می کنند. استقرار کاملا درون سازمانی، یک دسته کامل از ریسک ها را از میان برمی دارد.
سامانه ای که برای کار کردن به سرویس ابری سازنده وصل می شود، یعنی تصویر شما از مرز سازمان خارج می شود و یعنی در دسترس بودن سامانه شما به در دسترس بودن آن سرویس وابسته است. سامانه ای که کاملا روی زیرساخت خودتان اجرا می شود، هیچ کدام از این دو را ندارد: نه داده ای بیرون می رود و نه وابستگی بیرونی برای کار کردن هست.
این همان چیزی است که در سازمان های مالی و زیرساخت های حساس معمولا شرط ورود است، نه یک مزیت. الزامات این حوزه را در نظارت تصویری بانک و معیارهای انتخاب سامانه را در ده معیار انتخاب VMS بررسی کرده ایم.
سوالات متداول درباره امنیت دوربین مداربسته
آیا دوربین مداربسته قابل هک شدن است؟
بله، و در بیشتر موارد از راه های ساده ای مثل رمز پیش فرض، میان افزار به روزنشده یا درگاه باز روی اینترنت. نکته مهم این است که هدف مهاجم همیشه دیدن تصویر نیست؛ گاهی دوربین فقط نقطه ورودی به شبکه سازمان است. به همین دلیل جداسازی شبکه اهمیت زیادی دارد.
مهم ترین اقدام امنیتی چیست؟
اگر فقط یک کار قرار باشد انجام دهید، دوربین ها را در یک شبکه جدا بگذارید که مسیر مستقیم به اینترنت و به شبکه اداری ندارد. هزینه این اقدام تقریبا صفر است و بیشترین اثر را دارد، چون هم نفوذ به دوربین را محدود می کند و هم گسترش آن را.
آیا دسترسی از راه دور به تصویر امن است؟
بستگی دارد به اینکه چطور انجام شود. باز کردن درگاه روی مودم و هدایت آن به دوربین، ناامن ترین شکل ممکن است. راه درست این است که هیچ دوربینی از بیرون در دسترس نباشد و فقط سامانه، روی مسیر رمزنگاری شده و با احراز هویت، منتشر شود.
آیا استفاده از دوربین های ارزان قیمت ریسک امنیتی دارد؟
ریسک اصلی، خود قیمت نیست بلکه نبود پشتیبانی نرم افزاری است. دوربینی که سازنده اش دیگر برایش به روزرسانی منتشر نمی کند، با گذر زمان آسیب پذیرتر می شود بدون آنکه کاری از دست شما بربیاید. پیش از خرید، سابقه انتشار به روزرسانی آن مدل را بررسی کنید.
سامانه چطور می تواند به امنیت کمک کند؟
یک سامانه مدیریت ویدیو خوب چند کار انجام می دهد: اطلاعات ورود دوربین ها را رمزنگاری شده نگه می دارد تا اپراتور اصلا آنها را نبیند، دسترسی را بر پایه نقش تعریف می کند، هر رویداد را ثبت می کند و سلامت دستگاه ها را پایش می کند تا دوربین از دسترس خارج شده به چشم بیاید. مهم تر از همه، وقتی تنها نقطه دسترسی خود سامانه باشد، دیگر لازم نیست هیچ دوربینی از بیرون در دسترس باشد.
سازوکارهای امنیتی آریسا، مثل رمزنگاری اطلاعات ورود دوربین ها، دسترسی نقش محور و ثبت کامل رویدادها، در صفحه امنیت و کنترل دسترسی آمده است. برای بررسی با شرایط سازمان خودتان دموی زنده درخواست دهید.