איך לדעת אם מערכת המצלמות נפרצה: סימני אזהרה, מבדק אבטחה למערכות ותיקות ותגובה לאירוע

מערכת מצלמות פרוצה כמעט אף פעם לא נראית פרוצה. המצלמות מצלמות, ההקלטות נשמרות, הלקוח מרוצה – ובמקביל מישהו אחר צופה באותו וידאו, או שהמצלמות משתתפות במתקפה על אתר בצד השני של העולם. בניגוד לפריצה פיזית שמשאירה סימנים, פריצת סייבר למערכת CCTV מתוכננת להישאר שקטה: התוקף מרוויח יותר ממערכת שממשיכה לעבוד. במדריך הזה – ההשלמה למדריך ההקשחה שלנו – נעבור על סימני האזהרה שמסגירים מערכת פרוצה, נבנה מבדק אבטחה של שעה למערכות ותיקות שהותקנו לפני שהמודעות עלתה, ונגדיר מה עושים צעד-אחר-צעד כשהחשד מתאשר.

למה פריצה למצלמות היא שקטה – ומה התוקף בעצם רוצה

כדי לדעת מה לחפש, צריך להבין מה התוקף מחפש. שלוש מטרות עיקריות, לפי סדר שכיחות:

• גיוס לבוטנט: המטרה הנפוצה ביותר, והכי פחות "אישית". סריקות אוטומטיות מאתרות מצלמות עם סיסמאות ברירת מחדל או קושחה פגיעה, משתילות קוד, והמצלמה הופכת לחייל במתקפות DDoS – כמו רשת Mirai המפורסמת, שנבנתה כמעט כולה ממצלמות ורכיבי IoT. המצלמה ממשיכה לתפקד; רק החיבור לאינטרנט "כבד" יותר משהיה.
• צפייה וציתות: גישה לווידאו חי ולהקלטות – מפגיעה בפרטיות בבית מגורים ועד איסוף מודיעין עסקי (מתי המחסן ריק, איפה הכספת, מתי אין שומר).
• קרש קפיצה לרשת: המצלמה או ה-NVR כנקודת כניסה ראשונה, שממנה התוקף מדלג לשרתים, מחשבים וקבצים – במיוחד ברשתות שטוחות בלי הפרדת VLAN.

המשותף לשלוש המטרות: לתוקף אין אינטרס שתגלו. לכן אי אפשר לסמוך על "היינו מרגישים" – צריך לבדוק באופן יזום.

שמונת סימני האזהרה: מה מסגיר מערכת פרוצה

מבדק אבטחה של שעה למערכת ותיקה: פרוטוקול בשטח

עשרות אלפי מערכות CCTV בישראל הותקנו לפני שההקשחה הפכה לסטנדרט – עם admin/12345, קושחה מ-2018 ו-Port Forwarding פתוח לעולם. אם אתם מקבלים אתר כזה לתחזוקה, זה המבדק המובנה:

1. מיפוי (10 דקות): כמה מצלמות, אילו דגמים, איזה NVR, מי מחזיק גישה מרחוק ואיך (אפליקציית P2P? Port Forwarding? VPN?). אם אין תיעוד – זה הממצא הראשון.
2. בדיקת חשיפה לאינטרנט (10 דקות): זה הממצא הקריטי ביותר. בראוטר, פתחו את טבלת ה-Port Forwarding וה-UPnP: כל פורט שמפנה למצלמה או ל-NVR (80, 554, 8000, 37777 והדומים) פירושו שהמערכת נגישה לכל סורק אוטומטי באינטרנט. מנועי חיפוש ייעודיים לרכיבים חשופים מאנדקסים מצלמות כאלה בתוך ימים מרגע החיבור.
3. בדיקת משתמשים וסיסמאות (10 דקות): בכל מצלמה ו-NVR – האם סיסמת ברירת המחדל עדיין פעילה? האם יש משתמשים שאיש לא יודע להסביר? האם כולם משתמשים ב-admin אחד משותף?
4. גרסאות קושחה (10 דקות): רשמו את גרסת הקושחה של כל דגם והשוו לגרסה העדכנית באתר היצרן. קושחה בת 3–4 שנים כמעט בוודאות מכילה חולשות שפורסמו ומנוצלות אוטומטית.
5. שירותים פתוחים (10 דקות): UPnP, Telnet, P2P ענן ו-ONVIF ללא אימות – כל מה שמדריך ההקשחה אומר לכבות, בדקו אם הוא דולק.
6. סריקת סימני פריצה (10 דקות): עברו על טבלת שמונת הסימנים למעלה – לוגים, הגדרות DNS, תעבורה יוצאת, רצף הקלטות.

את הממצאים מגישים ללקוח כדוח קצר עם שלוש רמות: קריטי (חשוף לאינטרנט / סיסמת ברירת מחדל / סימני פריצה), חשוב (קושחה ישנה, שירותים פתוחים, אין הפרדת רשת), מומלץ (תיעוד, משתמשים אישיים, HTTPS). דוח כזה הוא גם מסמך מקצועי שמגן עליכם – וגם, בפועל, הצעת המחיר הבאה שלכם.

החשד התאשר – מה עכשיו? תגובה לאירוע בשמונה צעדים

מצאתם משתמש זר, DNS ששונה או תעבורה חשודה. סדר הפעולות חשוב, כי טיפול לא נכון גם משאיר דלת אחורית וגם מוחק ראיות:

1. נתקו מהאינטרנט – לא מהחשמל. הסירו את חוקי ה-Port Forwarding, כבו UPnP, נתקו את קו ה-WAN אם צריך. אל תאתחלו ואל תבצעו Factory Reset עדיין – אם ללקוח יש נזק ממשי והוא שוקל תלונה, המצב הנוכחי הוא הראיה.
2. תעדו: צילומי מסך של המשתמשים הזרים, הלוגים, ההגדרות ששונו וכתובות ה-IP. חמש דקות של תיעוד עכשיו שוות הרבה אחר כך.
3. יידעו את הלקוח מיד ובכתב. תארו מה נמצא, מה המשמעות (צפייה? בוטנט?), ומה אתם עומדים לעשות. אם המצלמות מכסות אזורים רגישים או שנחשף מידע על אנשים – ללקוח עשויות להיות חובות דיווח משלו, וההחלטה הזו שלו, לא שלכם.
4. Factory Reset לכל רכיב שנחשד – מצלמות ו-NVR. קוד זדוני יכול לשרוד החלפת סיסמה; איפוס מלא + קושחה נקייה הם הדרך היחידה לוודא שהוא איננו.
5. עדכנו קושחה לגרסה האחרונה לפני שמחברים חזרה לרשת – אחרת אתם מחזירים את אותה חולשה שדרכה נכנסו.
6. סיסמאות חדשות לכולם, כולל לראוטר ולכל חשבון שנגע במערכת – והפעם משתמש אישי לכל גורם, לא admin משותף.
7. בנו מחדש את הגישה מרחוק נכון: VPN במקום Port Forwarding, והפרדת המצלמות ל-VLAN ייעודי כך שגם פריצה עתידית לא תהיה קרש קפיצה לשאר הרשת – ההגדרות המלאות במדריך סגמנטציית ה-VLAN ובמדריך ההקשחה המלא.
8. קבעו ביקורת חוזרת אחרי שבועיים: לוגים נקיים? תעבורה תקינה? זו גם ההזדמנות לסגור עם הלקוח נוהל בדיקה תקופתי.

מפריצה חד-פעמית לשירות קבוע: מבדק תקופתי כמוצר

הלקח העסקי מכל אירוע כזה פשוט: אבטחת CCTV היא לא פעולה חד-פעמית ביום ההתקנה אלא תהליך מתמשך – קושחות מתעדכנות, חולשות חדשות מתפרסמות, ועובדים שעוזבים משאירים אחריהם סיסמאות. מבדק חצי-שנתי של שעה (לפי הפרוטוקול למעלה) + עדכון קושחות הוא שירות שקל לתמחר, קל להסביר ללקוח אחרי כל כתבה בחדשות על מצלמות פרוצות, והוא שמפגיש אתכם עם האתר לפני שהתקלה הבאה עושה את זה. אצל לקוחות עם מערכות אינטרקום ובקרת כניסה על אותה רשת – הרחיבו את המבדק גם אליהן; העקרונות זהים, ופאנל אינטרקום פרוץ הוא מילולית דלת פתוחה.

שאלות נפוצות על זיהוי פריצות במערכות CCTV

הלקוח שואל: "אפשר לדעת בוודאות שלא צפו בנו?"

תשובה כנה: לא תמיד. אם הלוגים נשמרו ומראים את כל הכניסות – אפשר לשחזר תמונה טובה. אבל בהרבה מצלמות היומן קצר או ניתן למחיקה, ותוקף מיומן מנקה אחריו. מה שכן אפשר לומר בוודאות: ממתי המערכת מאובטחת. לכן התשובה המקצועית ללקוח היא "אי אפשר לשחזר את העבר במלואו – אפשר לוודא שמהיום זה סגור", וזה בדיוק מה שהמשולש איפוס-קושחה-סגירת כניסה עושה.

המערכת עובדת דרך אפליקציית P2P של היצרן – זה נחשב חשוף?

פחות מ-Port Forwarding פתוח, אבל זו לא תעודת ביטוח: אתם סומכים על האבטחה של שרתי היצרן ועל חוזק הסיסמה בחשבון הענן. אם משתמשים ב-P2P – סיסמה חזקה ייחודית, אימות דו-שלבי אם קיים, ועדיין לכבות UPnP ולוודא שאין פורטים פתוחים במקביל. ללקוחות עסקיים ההמלצה נשארת VPN.

מצאתי בראוטר פורט פתוח למצלמה – זה אומר שכבר נפרצו?

לא בהכרח, אבל ההנחה הבטוחה היא שכן: מערכת חשופה לאינטרנט עם סיסמה חלשה נסרקת ונמצאת בתוך ימים. גם אם אין סימני פריצה בלוגים, התייחסו אליה כאל "חשודה" – סגרו את החשיפה, החליפו סיסמאות, עדכנו קושחה. עלות הטיפול המונע זהה לעלות הטיפול באירוע, בלי הנזק.

האם מצלמות אנלוגיות (על DVR) חסינות לכל זה?

המצלמות עצמן – כן, אין להן כתובת IP. אבל ה-DVR שאליו הן מחוברות הוא מחשב לכל דבר, וברוב המקרים הוא דווקא החוליה החשופה: מחובר לאינטרנט לצפייה מרחוק, עם קושחה שלא עודכנה מעולם. כל המבדק הזה תקף ל-DVR בדיוק כמו ל-NVR.

כמה זמן לאחור צריך לבדוק לוגים?

כמה שיש. ברוב המצלמות היומן מוגבל לאלפי שורות אחרונות – עוד סיבה להגדיר שליחת לוגים לשרת חיצוני (Syslog) באתרים רגישים, כך שגם תוקף שמוחק את היומן המקומי לא מוחק את העותק. זו תוספת של חמש דקות ביום ההתקנה ששווה זהב ביום האירוע.

מחזקים אבטחה למערכות קיימות? כומפניקס איתכם