Кибербезопасность камер: 7 настроек доступа

Камера, доступная из интернета по логину «admin» и паролю «admin», — это открытая дверь в локальную сеть. Массовые сканирования находят такие устройства за часы, а не за месяцы. Хорошая новость: чтобы закрыть систему, достаточно нескольких настроек, и ни одна из них не требует специальных знаний.

Что на самом деле ломают

Атакуют не «камеру как таковую», а точку входа. Чаще всего используют три вещи: пароль по умолчанию, порт видеонаблюдения, открытый наружу, и устаревшую прошивку с известной уязвимостью. Реже — P2P-сервис производителя с коротким паролем. Задача не в том, чтобы сделать камеру «невидимой», а в том, чтобы снаружи не было канала, через который можно войти.

Семь настроек, которые закрывают доступ

1. Смените пароль на каждом устройстве

Уникальный пароль, а не один на весь объект. Если прошивка поддерживает — включите блокировку после нескольких неудачных попыток и двухфакторную аутентификацию для веб-интерфейса.

2. Не пробрасывайте порты видеонаблюдения наружу

Проброс портов 80, 8000, 554, 37777 и подобных — самый частый способ «сделать доступ с телефона». Именно он превращает камеру в публичный сервис. Правильный путь — VPN.

3. Удалённый доступ — через VPN

Поднимите VPN на роутере или на отдельном устройстве и подключайтесь к нему с телефона или ноутбука. Тогда веб-интерфейс и архив остаются внутри сети и снаружи недоступны. Если VPN невозможен, используйте P2P-сервис производителя с сильным паролем и включённой двухфакторной аутентификацией — но это компромисс, а не норма.

4. Отключите UPnP на роутере

UPnP позволяет устройству самостоятельно открыть себе порт наружу — без ведома администратора. Для сети с камерами эта функция вредна.

5. Обновляйте прошивки

Производители закрывают уязвимости обновлениями. Проверяйте прошивку камер и регистратора хотя бы раз в полгода; для критичных объектов — раз в квартал. Перед обновлением сохраните конфигурацию: часть настроек после обновления придётся восстановить.

6. Изолируйте камеры в отдельную подсеть

Видеонаблюдению не нужен выход в интернет. Отдельный VLAN или хотя бы отдельная подсеть с правилом «наружу нельзя, к регистратору можно» сокращает последствия любого взлома: даже получив доступ к камере, злоумышленник не увидит компьютеры и файловые серверы.

7. Отключите лишние сервисы

Анонимный доступ ONVIF и RTSP, неиспользуемые протоколы, гостевые учётные записи, тестовые аккаунты от монтажников — всё это закрывается. Заодно проверьте учётные записи: должно остаться ровно столько, сколько нужно, и у каждой — своя роль.

Признаки, что доступ уже есть

• в журнале устройства входы с незнакомых адресов или в нерабочее время;
• камера периодически перезагружается или сбрасывает настройки;
• изменились зоны детекции, ракурс или расписание записи;
• исходящий трафик с камеры или регистратора значительно выше обычного.

Если что-то из этого совпало — не перезагружайте устройство сразу: сохраните журналы, затем обновите прошивку, смените все пароли и закройте внешние порты.

Проверка за пять минут

Самый быстрый аудит делается без специальных средств: посмотрите в настройках роутера список проброшенных портов и правил UPnP. Если среди них есть камера, регистратор или видеосервер — это и есть та самая открытая дверь. Второй шаг — пройтись по списку устройств и убедиться, что нигде не осталось заводского пароля.

Итог

Безопасность системы видеонаблюдения — это в первую очередь отсутствие лишних входов снаружи, а не антивирус на камере. Смена паролей, VPN вместо проброса портов, обновления и изоляция в отдельную подсеть закрывают подавляющее большинство реальных инцидентов. Если систему ставили без этих настроек, стоит пересмотреть конфигурацию — это быстрее, чем разбираться с последствиями. Оборудование для корректной настройки — NVR и IP-камеры; помощь с аудитом — на странице услуг.