Как защитить камеру видеонаблюдения от взлома

Защитить камеру видеонаблюдения от взлома проще, чем кажется. Почти все случаи, которые мы видели на объектах, начинались не с хитрой атаки, а с пароля 12345 и порта регистратора, открытого в интернет через роутер. Камеру никто специально не искал. Её нашёл сканер, который круглые сутки перебирает адреса и стучится в типовые порты.

Мы ставим системы в Москве и области и регулярно приезжаем на чужой монтаж: «камеры сами поворачиваются», «в архиве пусто», «регистратор перезагружается по ночам». Ниже то, что мы проверяем и настраиваем в таких случаях. Большую часть можно сделать самому за вечер.

Как взламывают камеры видеонаблюдения на практике

Чтобы защита была осмысленной, полезно знать, откуда приходят. Сценариев немного.

Заводской или простой пароль

Самый частый случай. Старые регистраторы Hikvision до 2016 года шли с паролем 12345, Dahua с admin/admin, бюджетные китайские на прошивке XMEye часто вообще без пароля. Новые прошивки заставляют придумать пароль при первом включении, но люди ставят «11111111» или номер телефона. Перебор таких паролей занимает минуты.

Открытые порты и UPnP

Чтобы смотреть камеры с телефона, кто-то когда-то пробросил на роутере порты 80, 554 и 8000 прямо на регистратор. Или роутер сделал это сам через UPnP, а регистратор с включённым UPnP его об этом попросил. Веб-интерфейс регистратора оказывается доступен любому, кто знает ваш внешний IP. Поисковики вроде Shodan показывают такие устройства тысячами.

Старая прошивка с известной дырой

У крупных брендов были серьёзные уязвимости. У Hikvision в 2017 году нашли обход авторизации (CVE-2017-7921), в 2021 году выполнение команд без пароля (CVE-2021-36260). У Dahua в 2021 году был обход входа (CVE-2021-33044). Производители выпустили исправления, но камера, которую не обновляли с момента установки, так и осталась уязвимой. Здесь пароль уже не спасает.

Утёкший пароль от облака

Если камера подключена к Hik-Connect, Imou, EZVIZ или Xiaomi, вход идёт через аккаунт облака. Тот же пароль, что на почте и маркетплейсе, утёк где-то ещё, и его пробуют на облачных сервисах. Камеру при этом даже не трогают: заходят в приложение как владелец.

Пароли и учётные записи: первое, что меняем

На каждом объекте мы начинаем с этого. Занимает десять минут.

• Длинный пароль администратора на регистраторе и на каждой камере отдельно. Не меньше 12 символов, буквы разного регистра и цифры. Пароль камеры и пароль регистратора лучше сделать разными.
• Отдельный пользователь для просмотра. Владельцу и сотрудникам даём учётку с правами «только смотреть живое видео и архив». Администратор нужен раз в полгода, и пароль от него не должен жить в телефоне охранника.
• Блокировка после неудачных попыток. В Hikvision это «Безопасность → Служба безопасности → Блокировка IP», в Dahua похожий пункт в разделе «Система → Безопасность». Пять ошибок подряд, и адрес блокируется на 30 минут. Перебор после этого теряет смысл.
• Двухфакторный вход в облачный аккаунт, если сервис его поддерживает, и пароль, который больше нигде не используется.

Пароли записываем в акт сдачи и отдаём клиенту. Себе не оставляем, если договор на обслуживание не заключён. Так честнее и безопаснее: у монтажника не должно быть вечного доступа к вашим камерам.

Как защитить IP камеру от взлома через сеть

Пароль закрывает одну дверь. Остальные закрываются настройкой сети, и здесь чаще всего ошибаются при самостоятельном монтаже.

Не пробрасывать порты регистратора в интернет

Это главное правило. Если на роутере есть проброс 80, 8000, 37777, 554 или 34567 на регистратор или камеру, его нужно удалить. Для просмотра с телефона есть два нормальных способа.

Первый: облако производителя (Hik-Connect, DMSS, Imou). Регистратор сам держит исходящее соединение с сервером, входящие порты не нужны. Второй: VPN до домашнего или офисного роутера. Телефон подключается к VPN и видит регистратор как в локальной сети. Многие роутеры Keenetic и MikroTik поднимают WireGuard штатно. Это надёжнее облака, но настраивать дольше.

Про оба способа подробно написано в статье про видеонаблюдение через интернет.

Выключить UPnP

UPnP выключаем в двух местах: в сетевых настройках регистратора и на самом роутере. Иначе через месяц после того, как вы всё закрыли, порт откроется снова сам. Проверить просто: в интерфейсе роутера есть список правил UPnP, и там не должно быть адреса регистратора.

Камеры за регистратором, а не в общей сети

У регистраторов с PoE-портами, например Hikvision DS-7608NXI-K2/8P (около 32 000₽) или Dahua NVR4108HS-8P-4KS2/L (около 21 000₽), камеры подключаются прямо в регистратор и получают адреса во внутренней подсети. Из домашней Wi-Fi сети до них не дотянуться, виден только регистратор. Это бесплатная изоляция, и мы почти всегда собираем системы именно так.

Если камер больше, чем PoE-портов, и стоит отдельный коммутатор, его лучше выделить в свой VLAN или хотя бы в отдельную физическую сеть без выхода в интернет. В офисе это особенно важно: компьютер бухгалтера с вирусом не должен видеть камеры. Про выбор коммутатора есть отдельная статья про PoE для видеонаблюдения.

Отключить лишние службы

В каждой камере включено больше, чем нужно. Мы выключаем Telnet и SSH, если они есть в меню, HTTP оставляем только для настройки или переключаем на HTTPS, отключаем ONVIF у камер, которые подключены к регистратору своего бренда по фирменному протоколу. На бюджетных китайских камерах ещё отключаем встроенное облако XMEye, если пользуемся другим способом доступа: оно работает через P2P-серверы, которыми никто не управляет.

Прошивки: обновлять или нет

Обновлять. Но с умом, а не по кнопке в первый же день.

Прошивку берём только с официального сайта производителя под точную модель и аппаратную ревизию. Регистратор, купленный на маркетплейсе, может оказаться версией для китайского рынка, и «международная» прошивка превратит его в кирпич. Модель и версия написаны на наклейке снизу и в меню «Информация об устройстве».

Порядок такой: сначала регистратор, потом камеры, по одной. Перед обновлением выгружаем файл конфигурации, чтобы не настраивать всё заново. Питание во время прошивки не должно пропадать, поэтому на объектах с перебоями сначала ставим ИБП. Мы видели два регистратора, которые умерли из-за выключенного света посреди обновления. Восстановить удалось один.

Честный минус: дешёвые камеры без бренда прошивок не получают вообще. Купили за 1 500₽ на маркетплейсе, через год в ней нашли дыру, и закрывать её никто не будет. Такую камеру можно держать только в изолированной сети за регистратором и никогда не выпускать в интернет напрямую.

Wi-Fi камеры и облачные сервисы

С ними другая история. Порты пробрасывать не нужно, камера сама подключается к облаку. Слабое место здесь аккаунт и домашний Wi-Fi.

• Пароль от Wi-Fi роутера длинный, шифрование WPA2 или WPA3. Гостевая сеть для камер, если роутер умеет, отдельно от компьютеров и телефонов.
• Аккаунт облака на отдельную почту, двухфакторный вход включён. Доступ родственникам даём через «Поделиться устройством», а не паролем от своего аккаунта.
• Раз в несколько месяцев открываем в приложении список устройств и пользователей, у которых есть доступ. Бывшая няня или прошлый арендатор квартиры часто так там и остаются.
• Камеру в спальне или детской лучше не ставить вовсе. Если стоит, выбирайте модель с физической шторкой или режимом приватности, например TP-Link Tapo C210 (около 2 500₽) или EZVIZ C6N. Шторка работает надёжнее любой настройки.

Подробно про плюсы и ограничения таких камер мы писали в статье про Wi-Fi камеры видеонаблюдения.

Физическая защита: про неё забывают

Взлом бывает не только через интернет. Регистратор, который стоит на полке в прихожей, вынесут вместе с архивом за минуту. Кабель камеры, торчащий снаружи, можно отрезать и воткнуть в него ноутбук.

На частных домах мы прячем регистратор в шкаф или в техническое помещение, а запасной копией настраиваем запись событий в облако или на карту памяти в самих камерах. Уличные камеры ставим на высоту от 2,5 метров, кабель заводим через стену сразу за корпусом, без петель снаружи. В подъездах и на парковках берём антивандальные купольные камеры с классом IK10.

В прошлом месяце в Видном разбирали случай в магазине. Регистратор стоял под кассой, его просто выключили из розетки, и архива за ночь кражи не осталось. Перенесли регистратор в запираемый шкаф в подсобке, добавили ИБП на 600 ВА и запись тревожных событий в облако. Работы на полтора часа.

Как проверить, не взломана ли уже ваша камера

Признаки, на которые стоит обратить внимание:

• поворотная камера сама меняет положение;
• в журнале регистратора есть входы с незнакомых IP-адресов или в ночное время;
• появились пользователи, которых вы не создавали;
• регистратор стал часто перезагружаться или тормозить без причины;
• пропал архив или изменились настройки записи;
• роутер показывает большой исходящий трафик в те часы, когда камеры никто не смотрит.

Журнал входов есть в любом нормальном регистраторе. В Hikvision это «Обслуживание → Журнал», фильтр «Операции» и «Вход в систему». Если там чужие адреса, сбрасываем всё к заводским настройкам, обновляем прошивку, меняем пароли и только потом подключаем к сети заново. Просто сменить пароль мало: если зашли через уязвимость, внутри может остаться чужой пользователь или изменённая настройка.

Открыт ли регистратор в интернет, можно проверить со своего телефона через мобильный интернет, отключив Wi-Fi. Наберите в браузере внешний IP дома или офиса. Если открылась страница входа регистратора, порт проброшен, и его надо закрывать.

Короткий чек-лист защиты камер видеонаблюдения

• пароли администратора длинные и разные для регистратора и камер;
• для повседневного просмотра отдельная учётка без прав администратора;
• блокировка IP после неудачных попыток входа включена;
• проброса портов на регистратор нет, UPnP выключен на роутере и регистраторе;
• доступ с телефона через облако производителя или VPN;
• камеры в подсети регистратора или в отдельном VLAN;
• Telnet, лишние HTTP-порты и ненужные P2P-облака отключены;
• прошивки обновлены с официального сайта, конфигурация сохранена;
• регистратор физически спрятан и стоит на ИБП.

Если хочется, чтобы это сделали за вас, мы выполняем такую настройку и при новом монтаже, и на уже работающих системах в рамках обслуживания видеонаблюдения. Новую систему под ключ с правильной сетью с первого дня можно заказать на странице установка видеонаблюдения, стоимость работ есть в прайсе.

Часто задаваемые вопросы

Можно ли взломать камеру видеонаблюдения, если она не подключена к интернету?

Удалённо нельзя. Остаётся физический доступ к кабелю, регистратору или локальной сети. Поэтому камеры без выхода в интернет надёжно защищены от сканеров, но регистратор всё равно стоит прятать и закрывать паролем.

Безопасно ли смотреть камеры через Hik-Connect или Imou?

Для дома и небольшого бизнеса да, при длинном уникальном пароле аккаунта и включённом двухфакторном входе. Это безопаснее проброса портов. Если нужен максимальный контроль над данными, ставьте VPN до роутера и обходитесь без облака.

Как часто обновлять прошивку камер?

Раз в полгода проверять, вышла ли новая версия, и ставить её, если в описании есть исправления безопасности. Срочно обновлять, когда производитель публикует предупреждение об уязвимости для вашей модели.

Что делать, если камеру уже взломали?

Отключить регистратор от интернета, сбросить к заводским настройкам, поставить свежую прошивку с официального сайта, задать новые пароли, закрыть проброс портов и UPnP. После этого подключать снова и следить за журналом входов первые недели.

Помогает ли смена стандартного порта?

Почти нет. Сканеры перебирают все порты, а не только 80 и 8000. Смена порта уменьшает шум в журнале, но защиту даёт только закрытый доступ из интернета и нормальный пароль.