Hackerangreb på netværksovervågningssystemer

En grundlæggende opgave i overvågningssystemet er at sikre sikkerhed, samtidig med at overholder de grundlæggende privatlivsregler eller virksomhedshemmeligheder for den overvågede facilitet. Et godt designet og konfigureret system vil kun opfylde sin grundlæggende opgave, når det er sikret og beskyttet korrekt, hvilket betyder at systemet skal være korrekt konfigureret til drift, især hvad angår driften i netværket med internetadgang.

For nylig har vi observeret stigningen i hackerangreb på autonome sikkerhedssystemenheder, som f.eks. IP-kameraer, DVR / NVR-registreringsenheder, der opererer i netværket. Mange enheder er mål for angreb, fordi sikkerhedsregler, der er forbundet med konfigurationen af deres sikkerhed til drift i netværket, ignoreres. Hvad der også er vigtigt her er konfigurationen af adgangsenheder (for eksempel en router) ved udgangen af et lokalt netværk, der er forbundet med overvågningssystemet, hvilket muliggør adgang til dette system fra det omfattende internet.

Fig. 1. Hacker-software venter på at gøre brug af sårbarheden i dit system ...

I mange tilfælde årsagen til indgreb af en hacker er ikke en fejl eller sikkerhedshul i sikkerhedsudstyret, men blot "åben dør" i form af standard sikkerhedskonfiguration, som er ensbetydende med mangel af systembeskyttelse.

Hvis et IP-kamera er tilsluttet til internettet (konfigureret til at være synlig på internettet), en uautoriseret person har nem adgang til en billedstrøm fra kameraet og dens konfiguration. Et eksempel på en advarsel for os alle er hjemmesiden www.insecam.org hvis ophavsmænd ikke behøvede at hacke nogen enheder.

Fig. 2. Hvis du ikke har sikret dit kamera, er det muligt, at hele verden ser på dig!

Det var nok at skrive et script, der søgte på internettet til IP-videokameraer og derefter kontrollere, om adgang er mulig ved hjælp af en standardbruger login og producentens kodeord (forudindstillet, mens du køber et sådant videokamera). Med et positivt resultat bliver et billede fra et sådant IP-kamera udgivet på deres hjemmeside uden ejerens viden. Det viser sig, at der i verden er tusindvis af usikrede CCTV-kameraer , i virksomheder, lagerhuse, butikker og også i private huse. Det ville være nok, efter at have købt et IP-kamera ændre en standardadgangskode, før den gøres tilgængelig på internettet, og et billede fra et sådant videokamera vil ikke blive offentliggjort på denne hjemmeside (heldigvis ændring af konfiguration og indstillinger af en adgangskode sletter et IP-kamera fra denne hjemmeside).

Flere og flere hackerangreb er rettet mod CCTV-optagere, der opererer i overvågningssystemer. Sådanne angreb forårsager ofte fejl, som f.eks. sletning eller beskadigelse af enhedens hukommelse. Hvis du læser malware (virus) på en enhed, kan den omdannes til en robot, der udfører angreb på andre computersystemer eller en maskine, der er beregnet til et bestemt formål (f.eks. Bitcoin digger). Hver optager er en specialiseret single-board computer til optagelse af videodata, hvilket gør den til en potentiel udstyrsressource, som kan bruges via internettet som en ”zombie” til forskellige formål.

Fig. 3. Optagerkort. En optager er en fuldt funktionel single-board computer dedikeret til et bestemt formål.

Hacker-software eller et virus, der angriber en enhed, ikke kun bruger almindeligt kendskab til standardadgangskoder, men også forsøger at få adgang til en sådan enhed gennem svage adgangskoder, når vi for eksempel ændrer en standardadgangskode ”admin”til admin1 - dette øger ikke vores sikkerhed, fordi angriberen kan nemt finde frem til vores kode. Endnu et andet problem er serviceadgangskoder oprettet af fabrikanterne til kritisk oplåsning af en enhed, når en bruger glemmer sit kodeord. Sådanne adgangskoder, når de kommer i uønskede hænder, eller hvis de kan genereres på en eller anden måde er en fare, der kan bruges af en hacker (den såkaldte bagdør, eng.backdoor).

Derfor er det bortset fra optagerens konfiguration vigtigt at oprette et dedikeret netværk, inden for hvilket den vil fungere, korrigeret sikker konfiguration af adgangsindretninger til dette netværk (brug ikke DMZ-funktion - demilitariseret zone - der giver ubegrænset adgang til enheden, ændring af standardkommunikationsporte, der muliggør filtrering af adresser) og installation af den nyeste firmware i enheder, der beskytter alle rapporterede uregelmæssigheder og øger sikkerhedsniveauet for sådanne enheder.

Det er vigtigt at følge nedenstående regler:

En adgangskode skal være svært at gætte og indeholde forskellige tegn og cifre. Kun autoriserede brugere skal have adgang til sådanne adgangskoder. Det er også værd at overveje en systematisk ændring af adgangskoder, som er en anden sikkerhedsforanstaltning mod gætte sådanne adgangskoder (ændring af en autoriseret medarbejder, afsløring af fortrolige data). Det anbefales også at være opmærksom på Onvif-godkendelser. I nogle IP-kameramodeller er det nødvendigt at ændre Onvif-adgangskode på trods af at systemet ændres.

DMZ er en demilitariseret zone - hvis vi placerer vores enhed i denne routerzone, giver vi adgang fra eksternt netværk til alle porte, der er åbne i en standardkonfiguration af vores enhed (en enhed er placeret uden for routerens firewall). Det er meget farligt, fordi de fleste konfigurationer har en TELNET port åben som standard, som hovedsagelig bruges til hacking af enheder. På routeren er det nødvendigt at omdirigere porte, der er nødvendige for kommunikation med enheden (HTTP, TCP). Bredt udvalg af porte må ikke omdirigeres, men kun dem, der kræves til opfyldelse af specifikke funktioner. Hvis netværkskameraer er tilsluttet til optageren, så er det ikke nødvendigt at omdirigere deres porte til korrekt kommunikation med overvågningssystemet. Det er nok kun at omdirigere optagerens porte.

Standardport 80 er oftest angrebet af hackere. Hvis du ændrer standardnumrene af porte, så er det vanskeligere at gætte dem af tredje personer.

Aktivering af denne mulighed i routeren gør det muligt at angive specifikke adresser (netværks-IP eller fysisk MAC) af de betroede enheder, som vi tillader fjernforbindelse med vores enhed.

En sikker sky sikrer beskyttelse af en enhed, der arbejder inden for denne sky.

I tilfælde af kundeapplikationer er det forbudt at anvende automatisk logfunktion, især når en computer bruges af mange mennesker. Brugernavn og adgangskode skal også være unikke. Brug af identiske adgangskoder til forskellige tjenester på forskellige konti udgør en risiko i tilfælde af lækage af private oplysninger eller tyveri. Dette er andre trin for at forbedre sikkerheden og forhindre uautoriserede persons adgang. Hvis systemet bruges af mange mennesker, skal du kontrollere, om alle har tilladelser, der er relevante for deres opgaver (ikke højere end nødvendigt).

Overvågningssystemenheder skal være placeret i et separat netværk uden andre enheder med fri adgang fra og til internettet. Det er en sikkerhedsforanstaltning mod uautoriseret adgang. Hvis der ikke er nogen mulighed for at oprette et fysisk adskilt netværk, er det nødvendigt at oprette et undernetværk med en pulje af IP-adresser, der er forskellige fra dem, der allerede findes i installationen (f.eks. 10.10.10.xxx og gøre undernetmasken mindre til f.eks. 255.255. 255,0). Adgangen til et sådant netværk vil blive aktiveret af en ekstra router, som omdirigerer forbindelser mellem netværker.

Du bør altid kontrollere versionen og muligheden for at opdatere firmwaren. Den nyeste software forbedrer enhedens sikkerhedsniveau som følge af at eliminere potentielle fejl / sårbarheder, der findes i de tidligere versioner.

En masse netværk videokameraer og optagere har indbygget HTTPS kommunikations mulighed med brug af SSL. Dens aktivering muliggør kodning af kommunikation mellem enheder, hvilket forhindrer for eksempel at få fat i et kodeord på forbindelsen.

Det er altid værd at gøre sig bekendt med enhedens dokumentation. Det giver os mulighed for at kende de funktioner, den har, og hvilke funktioner der er aktiveret som standard. Det anbefales, at anvende en tilgang, der består i at deaktivere alle funktioner, som vi ikke er sikre på. Når vi ikke bruger sådanne protokoller som UPnP, er SNMP, MULTICAST er det nødvendigt at deaktivere dem.

Hvis der er en mistanke om, at der var uautoriseret adgang til vores system, kan systemlogfiler være nyttige her, hvilket gør det muligt at bestemme nogle oplysninger (loggningsdato, IP-adresse, anvendte funktioner).

Det er også værd at nævne, at optageren skal placeres i et beskyttet rum, der forhindrer fysisk adgang for uautoriserede personer (kasser, Rack skabe, serverrum) .

Overholdelse af ovenstående sikkerhedsregler af overvågningssystem installatører vil helt sikkert give mulighed for at skabe et sikkert system, og i brugerens øjne er sikker og enkel systemdrift den bedste anbefaling til installatøren som en ægte ekspert.