IP-видеонаблюдение: как обеспечивается безопасность системы

Безопасность IP-видеонаблюдения держится на четырёх уровнях: кто заходит в систему (учётные записи и права), как видео доходит до телефона (шифрование канала), как камеры включены в сеть объекта (изоляция и закрытые порты) и что физически защищает регистратор (шкаф, питание, резервная запись). Взламывают обычно не «камеру» как устройство — взламывают заводской пароль вида admin/12345 и порт, который наспех открыли наружу, чтобы «смотреть с телефона». Всё остальное — надстройки над этими четырьмя вещами.

Что на самом деле можно потерять

Разговор о защите начинается с вопроса, ради чего злоумышленнику вообще нужна ваша система. Сценариев три, и они разной тяжести.

• Живое видео. Посторонний видит, что происходит прямо сейчас: есть ли кто-то дома, когда закрывается магазин, где стоит касса, в какое время приезжает инкассация.
• Архив. Хуже: записи можно не только просмотреть, но и удалить — именно тот фрагмент, ради которого систему и ставили.
• Сеть объекта. Камера — это маленький компьютер в вашей сети. С устаревшей прошивкой она становится точкой входа: дальше идут роутер, кассовое оборудование, рабочие компьютеры, сетевое хранилище.

Третий сценарий недооценивают чаще всего. В магазине или офисе камеры нередко подключают в ту же сеть, где работает бухгалтерия, — просто потому, что «розетка ближе». Разделение сети стоит копейки на этапе монтажа и не делается никогда после.

Открытая трансляция и закрытая система — это разные задачи

Иногда камера ставится не ради охраны: показать вид на горы, витрину кафе, ход стройки заказчику. Такую трансляцию действительно достаточно закрыть одним паролем на администрирование. Но подход «у нас же просто камера» механически переносят на объект, где нужна охрана, — и получают дырявую систему.

Уровень первый: учётные записи и права

Базовая защита — не «сложный пароль», а понимание, сколько людей и с какими полномочиями имеют доступ. На объекте, где систему поставили «под ключ» и отдали один логин на всех, безопасности нет независимо от марки оборудования.

• Заводской пароль меняется до того, как устройство увидит сеть, а не «потом, когда будет время».
• У каждого пользователя своя учётная запись: охранник, управляющий, собственник, подрядчик по обслуживанию.
• Права разграничиваются по ролям: только живое видео; живое видео и архив за последнюю неделю; выгрузка фрагментов; изменение настроек.
• Учётные записи уволенных сотрудников удаляются в тот же день, а не остаются «на всякий случай».
• Если мобильное приложение поддерживает двухфакторное подтверждение входа — оно включается.

Практический пример из розницы: продавцу доступ к архиву обычно не нужен вовсе, охраннику хватает живого видео и просмотра последних суток, а выгружать записи наружу должен один человек — директор или руководитель службы безопасности. Такая схема закрывает не столько внешних злоумышленников, сколько ситуацию «кто-то из своих стёр нужный кусок».

Уровень второй: как видео доходит до телефона

Самая частая уязвимость на небольших объектах — открытый наружу веб-интерфейс регистратора. Мастер пробрасывает порт на роутере, чтобы клиент мог зайти по адресу и посмотреть камеры, и с этого момента устройство доступно всему интернету. Автоматические сканеры находят такие адреса быстро — не потому, что кто-то целенаправленно охотится за вашим двором, а потому, что подбор идёт по всему диапазону адресов подряд.

• Облачное подключение (P2P). Регистратор сам устанавливает связь с сервером, снаружи ничего открывать не нужно — самый безопасный вариант для дома и небольшого бизнеса.
• Белый IP с пробросом портов. Работает, но требует дисциплины: нестандартные порты, ограничение доступа по списку адресов, обязательное шифрование, регулярные обновления прошивки.
• VPN до объекта. Самый закрытый способ: снаружи нет ни одного открытого сервиса, доступ получают только устройства с ключом. Логичный выбор для сети магазинов, склада, производства.

Отдельно стоит проверить, по какому протоколу приложение забирает видео и настроен ли на регистраторе защищённый вход. Оборудование HiWatch, Hikvision, Dahua, Tiandy давно умеет шифровать соединение — вопрос только в том, включил ли это монтажник.

Уровень третий: сеть объекта

Камеры не должны находиться в одной плоской сети с рабочими компьютерами и кассами. На объекте любого размера это решается на этапе прокладки структурированной кабельной системы: камеры уходят в отдельный сегмент, откуда наружу доступна только запись и просмотр.

• Отдельная подсеть или VLAN для видеонаблюдения.
• Отключённый UPnP на роутере — иначе устройства открывают порты наружу самостоятельно, без ведома владельца.
• Обновление прошивок камер и регистратора хотя бы раз в год: производители закрывают именно те дыры, которыми пользуются массовые сканеры.
• Отключение неиспользуемых сервисов на камерах — телнета, лишних веб-служб, гостевых учётных записей.
• Проводное подключение вместо Wi-Fi везде, где можно протянуть кабель: PoE-линия не глушится и не отваливается при загрузке домашней сети.

Wi-Fi-камеры удобны в квартире и на даче, но у беспроводного канала есть свойство, о котором редко говорят в магазине: его можно заглушить бытовым устройством. Для объекта, где видеонаблюдение — часть охраны, это аргумент в пользу кабеля.

Уровень четвёртый: железо, питание и мороз

Про физическую защиту вспоминают в последнюю очередь, хотя самый простой способ «взломать» систему — вынести регистратор. В частных домах Алматы его нередко ставят в прихожей рядом с входной дверью, то есть в первой же комнате, куда попадает посторонний.

• Регистратор — в запираемом шкафу, подсобке или отдельном помещении, не на виду.
• Источник бесперебойного питания: при отключении света система должна пережить хотя бы отключение, а не терять запись ровно в нужный момент.
• Дублирование записи: карта памяти в камере или вторая копия на сетевом хранилище — если регистратор унесут, часть событий сохранится.
• Диски специально для видеонаблюдения: они рассчитаны на круглосуточную запись, обычные настольные изнашиваются заметно быстрее.

Зима добавляет свои требования. При −30 °C уличная камера без обогрева может не запуститься после отключения питания: холодный старт для электроники тяжелее, чем работа на морозе. Жёсткий диск тем более не любит холод, поэтому регистратор ставят в отапливаемом помещении, а не в неотапливаемом гараже или на веранде. Отдельная зимняя беда — конденсат: камеру, принесённую с мороза в тёплое помещение, нельзя сразу включать.

Время, дата и ценность архива

Запись имеет смысл только тогда, когда по ней можно что-то разобрать и когда её штамп времени соответствует реальности. Если регистратор не синхронизирован по времени, а после отключения питания сбрасывает часы, архив превращается в набор роликов с неизвестной датой. Синхронизация времени по сети настраивается один раз и дальше работает сама.

Второй момент — глубина архива. Полезно заранее решить, за какой период записи должны быть доступны: для квартиры хватает нескольких суток, для магазина обычно нужен запас в пару недель, для склада — больше. От этого зависит и объём дисков, и режим записи: по движению или непрерывно.

Ошибки, которые встречаются чаще всего

• Заводской логин и пароль остались после монтажа.
• Одна учётная запись на всех сотрудников, пароль знает даже бывший персонал.
• Порт регистратора открыт в интернет ради удобного просмотра.
• Камеры и офисные компьютеры в одной сети без разделения.
• Прошивки не обновлялись ни разу с момента установки.
• Никто не проверял, идёт ли запись, пока архив не понадобился — а диск давно вышел из строя.
• Уличная камера направлена на соседский двор или чужой вход: это регулярный источник конфликтов и жалоб, при этом для охраны собственного объекта такой ракурс обычно бесполезен.

Последние два пункта закрываются регулярным обслуживанием: проверка записи, состояния дисков, актуальности учётных записей и ракурсов занимает немного времени, но именно она отличает работающую систему от набора камер на стене.

Чем помогает ONSET

Мы проектируем и монтируем системы так, чтобы защита закладывалась сразу: отдельный сегмент сети, роли пользователей вместо общего пароля, закрытый удалённый доступ, регистратор в защищённом месте, питание с резервом. Специалисты ONSET проведут монтаж видеонаблюдения или аудит уже работающей системы, подберут оборудование в каталоге под конкретный объект и настроят онлайн-доступ через сервис onsetcam.kz. На работы даём гарантию 12 месяцев, на оборудование — до 24 месяцев; шоурум в Алматы, филиалы в Таразе и Атырау.