Здравствуйте. Наши коллеги по цеху (мы занимаемся системами видеонаблюдения) сообщили, что в последние 6 месяцев поступают вопросы от заказчиков, связанные с вмешательством в работу камер видеонаблюдения сторонними лицами. Якобы происходит внедрение в системы, установленных преимущественно на коммерческих объектах. Некто получает доступ к онлайн-трансляции, микрофонам (если имеется двусторонняя голосовая связь). В этой связи вопрос, возможно ли подобное?

При использовании внешних ip адресов и ddns на камере такое вполне возможно.
IP Камера должна находиться за NAT в закрытой подсети. В этом случае получить управление камерой будет намного сложней.

Недавно произошла массовая атака и масштабная волна взломов, направленных на камеры и цифровые видеорегистраторы (DVR), произведенные компанией Xiongmai Technology (XM). Киберпреступники активно используют уязвимости в прошивке этих устройств, что приводит к серьезным последствиям для многих пользователей.

Уязвимость и методы взлома

Основная проблема кроется в уязвимости прошивки, установленной на DVR и камерах XM. Хакеры используют сканеры для поиска открытых портов и получают доступ к устройствам, обходя установленные пароли. Злоумышленники извлекают списки пользователей и хеши паролей, что позволяет им проникнуть в системы видеонаблюдения.

Важно отметить, что простое изменение паролей и портов на DVR не является долгосрочным решением. После получения доступа киберпреступники могут установить свою прошивку на устройство, что может привести либо к успешной замене программного обеспечения, либо к полному отказу устройства из-за сбоев.

Почему это произошло?

Массовый взлом стал возможен во многом из-за того, что установщики систем видеонаблюдения в основном являются инженерами по слаботочным системам, которые используют простые, но небезопасные методы удаленного доступа, такие как переадресация портов и назначение внешних IP-адресов устройствам, или использование динамических DNS-сервисов (Dyndns). Эти практики оставляют устройства уязвимыми для киберугроз, что приводит к широким последствиям.

Как защитить свои устройства?

Если ваш DVR уже взломан, необходимо немедленно отключить его от внешних сетей. Затем переустановите оригинальную прошивку производителя и установите последние доступные обновления безопасности.

Чтобы предотвратить подобные инциденты в будущем, рекомендуется держать ваш DVR в локальной сети, защищенной брандмауэром. Удаленный доступ к устройству должен осуществляться с использованием защищенных технологий, таких как SmartVision. Эти решения обеспечивают безопасное подключение без необходимости статических IP-адресов, открытых RTSP-потоков, переадресации портов или услуг Dyndns.

Современные решения, такие как программа SmartVision и сервис VideoSurveillance.Cloud, обеспечивают безопасный удаленный доступ к камерам без дополнительных уязвимостей, связанных с настройками сети.

В контексте растущих киберугроз крайне важно уделять особое внимание безопасности ваших устройств видеонаблюдения. Переход на современные и защищенные технологии удаленного доступа и правильная конфигурация вашей сети могут предотвратить нежелательные вторжения и сохранить ваши данные в безопасности.

В рекламе всё красиво: сидишь в кафе и смотришь склад, офис и собаку на диване (на который ей нельзя). В реальности за кадром обычно роутер с включённым UPnP, камеры с интерфейсом времён динозавров и регистратор, который «лучше не трогать, а то сломается». А вокруг этого всего уже ходят боты и сканеры и проверяют чаще, чем вы сами заходите посмотреть архив.

Сам удалённый доступ — это нормально. Проблема начинается, когда его делают по инструкции из коробки. Проброс портов + DDNS — классика. Работает? Да. Безопасно? Примерно как домофон без двери. Адрес известен, порт открыт, дальше вопрос времени, пароля и фантазии того, кто постучится. И да, обычно камеры ещё и в одной сети со всем офисом — привет, «зашёл посмотреть камеру, вышел с доступом ко всему».

Более цивилизованные варианты существуют. STUN/TURN — это когда камеры не торчат в интернет как сайты, а сами устанавливают соединение наружу. Иногда получается напрямую, иногда через сервер-ретранслятор. Не магия, но уже не «ключ под ковриком».

Самый скучный и потому самый рабочий вариант — VPN или облако. Камеры сидят в своей норке, наружу ничего не торчит, подключаешься через защищённый туннель или через сервис, где доступ по аккаунтам и правам.

Итого:

* Камеры, торчащие в интернет по порту, — это прошлый век и будущие проблемы.
* VPN или облачный доступ — чуть менее удобно, зато спишь спокойнее.
* Пароли «admin123» и прошивки десятилетней давности — это не «и так работает», это «пока не заметили».

Да, безопасный вариант требует на пару кликов больше. Зато потом не придётся искать свою парковку или склад в подборке «случайные камеры со всего мира».