Loading...
תוכן עניינים
מצלמת אבטחה שנועדה להגן על הלקוח יכולה להפוך בעצמה לפרצת האבטחה החמורה ביותר ברשת שלו. מצלמות IP עם סיסמת ברירת מחדל, קושחה ישנה או פורטים פתוחים לאינטרנט הן יעד מועדף לתוקפים – משתילי כופרה, רשתות בוטנט וגורמים המחפשים דלת אחורית אל הרשת הארגונית. עבור המתקין, הקשחת המצלמות אינה "תוספת" אלא חלק בלתי נפרד מהתקנה מקצועית. מדריך זה מרכז את כל שלבי ההקשחה – מהחלפת סיסמאות ועד הפרדת רשת וגישה מרוחקת מאובטחת – שכל מתקין CCTV חייב ליישם בכל אתר.
מצלמות אבטחה הן מכשירי IoT – מחשבים קטנים המחוברים לרשת באופן קבוע, 24 שעות ביממה. בניגוד למחשב שמתעדכן אוטומטית, מצלמה מותקנת פעם אחת ולרוב נשכחת. תוקפים יודעים זאת היטב, וסורקים כל העת את האינטרנט אחר מצלמות עם סיסמאות ברירת מחדל או חולשות ידועות. מצלמה פרוצה משמשת אותם לשלוש מטרות: ציתות לזרם הווידאו, שימוש במצלמה כ"קרש קפיצה" לחדירה עמוקה יותר לרשת הארגונית, וגיוס המצלמה לרשת בוטנט לתקיפות מניעת שירות.
המקרה המפורסם ביותר הוא רשת הבוטנט Mirai, שגייסה מאות אלפי מצלמות אבטחה ומכשירי IoT עם סיסמאות ברירת מחדל, והפילה שירותי אינטרנט מרכזיים ברחבי העולם. הלקח למתקין ברור: כל מצלמה שאינה מוקשחת אינה רק סיכון ללקוח, אלא נטל אבטחתי על כל הרשת. אחריות המתקין אינה מסתיימת בכך שהתמונה עולה – היא כוללת את הבטחת המצלמה מפני חדירה. הפרדת המצלמות משאר הרשת היא נדבך ראשון בהגנה זו, כמפורט במדריך יצירת רשתות וירטואליות (VLAN) להפרדה אבטחתית.
זהו הצעד החשוב ביותר, והמוזנח ביותר. מצלמה עם סיסמת ברירת המחדל של היצרן (admin/admin ודומותיהן) חשופה לחלוטין – רשימות סיסמאות ברירת מחדל של כל היצרנים זמינות באינטרנט לכל דורש. בכל התקנה יש להחליף מיד את סיסמת מנהל המערכת לסיסמה חזקה וייחודית, באורך של 12 תווים לפחות, המשלבת אותיות, ספרות ותווים מיוחדים. חשוב להחליף סיסמה לא רק ב-NVR אלא בכל מצלמה בנפרד, שכן רבות מהן שומרות ממשק ניהול עצמאי.
מעבר לסיסמת המנהל, מומלץ ליצור משתמשים נפרדים בעלי הרשאות מוגבלות עבור צפייה שוטפת, ולשמור את חשבון המנהל לתחזוקה בלבד. כך, גם אם פרטי משתמש הצפייה נחשפים, התוקף אינו מקבל שליטה מלאה על המערכת. תיעוד מסודר של המשתמשים והסיסמאות במאגר מאובטח (לא בקובץ טקסט גלוי) הוא חלק מהתקנה מקצועית.
| ⭐ שימו לב ⭐ אל תשתמשו באותה סיסמה בכל האתרים שאתם מתקינים. אם רשימת הסיסמאות "האחידה" של המתקין דולפת, כל הלקוחות נחשפים בבת אחת. סיסמה ייחודית לכל אתר היא כלל ברזל. |
יצרני המצלמות מפרסמים עדכוני קושחה שסוגרים חולשות אבטחה שהתגלו. מצלמה עם קושחה ישנה חשופה לחולשות מוכרות שתוקפים יודעים לנצל אוטומטית. חלק מהתקנה מקצועית הוא עדכון הקושחה של כל המצלמות וה-NVR לגרסה היציבה האחרונה עוד לפני מסירת המערכת ללקוח, ותיעוד גרסת הקושחה המותקנת.
חשוב להוריד קושחה אך ורק מאתר היצרן הרשמי או מהיבואן המורשה – קבצי קושחה ממקורות לא מהימנים עלולים להכיל דלת אחורית. מומלץ להטמיע נוהל בדיקה תקופתי של עדכוני קושחה חדשים, במיוחד לאחר פרסום חולשה משמעותית. ההקפדה על רכישת ציוד מיבואן מורשה מבטיחה גם גישה לעדכוני קושחה מקוריים ותמיכה לאורך זמן.
מצלמות מגיעות מהיצרן עם שירותים רבים מופעלים כברירת מחדל, שרבים מהם אינם נחוצים ומהווים "משטח תקיפה" מיותר. הכלל המקצועי הוא לכבות כל שירות שאינו בשימוש. השירותים המרכזיים שיש לבחון ולכבות כשאינם נדרשים:
| שירות | למה לכבות |
| UPnP | פותח פורטים ברשת אוטומטית וחושף את המצלמה לאינטרנט ללא ידיעתכם |
| P2P / ענן | מחבר את המצלמה לשרת חיצוני; אם אינו נדרש, כבו אותו לצמצום חשיפה |
| Telnet / SSH | ממשקי ניהול מרוחקים ישנים ולא מוצפנים – יעד קלאסי לתקיפה |
| ONVIF (ללא אימות) | אם אינו מוגן בסיסמה, מאפשר גישה לזרם הווידאו; חייב אימות |
שירות ה-UPnP הוא מסוכן במיוחד, משום שהוא עלול לפתוח פורטים בנתב ולחשוף את המצלמה לאינטרנט הפתוח באופן אוטומטי, גם כשלא התכוונתם לכך. כיבוי UPnP הן במצלמה והן בנתב הוא צעד הקשחה בסיסי. גם שירותי P2P/ענן, הנוחים לגישה מרחוק, מהווים חשיפה – אם הלקוח אינו זקוק להם, עדיף לכבותם ולהשתמש בגישה מרוחקת מאובטחת יותר, כפי שנפרט בהמשך.
גם אם מצלמה תיפרץ, הפרדת רשת נכונה מבטיחה שהנזק יישאר תחום. העיקרון הוא למקם את כל מערכת הצילום ברשת וירטואלית (VLAN) נפרדת לחלוטין מרשת המחשבים והנתונים של הארגון. כך, תוקף שהשתלט על מצלמה אינו מקבל גישה לשרתים, למחשבים או למידע העסקי, ומשתמש ברשת הנתונים אינו יכול לגשת ישירות למצלמות.
עיקרון חשוב נוסף הוא לצמצם את חשיפת ה-NVR לאינטרנט. במקום להנגיש כל מצלמה בנפרד, המצלמות מדברות רק עם ה-NVR ברשת המבודדת, וה-NVR הוא הנקודה היחידה (והמאובטחת) שדרכה מתאפשרת צפייה. הגדרת חוקי גישה (ACL) במתג מנוהל קובעת בדיוק איזו תעבורה מותרת בין הרשתות. יישום מלא של ארכיטקטורה זו דורש מתג מנוהל תומך VLAN ו-ACL, כמפורט במדריך סוויץ' מנוהל או רגיל, ובחירת המתג הנכון מתוארת גם במדריך תכנון תקציב כוח PoE ובחירת מתג.
הצורך של הלקוח לצפות במצלמות מהנייד הוא לגיטימי, אך הדרך שבה מיישמים אותו קובעת את רמת האבטחה. השיטה הנפוצה והמסוכנת ביותר היא Port Forwarding – פתיחת פורט בנתב שמנגיש את ה-NVR ישירות לאינטרנט. שיטה זו הופכת את המערכת לגלויה לכל סורק אוטומטי ברשת, והיא אחת הסיבות המרכזיות לפריצות.
הפתרון המקצועי הוא VPN: הלקוח מתחבר תחילה בערוץ מוצפן אל הרשת המקומית, ורק אז ניגש למצלמות כאילו הוא נמצא באתר. כך אף פורט אינו חשוף ישירות לאינטרנט. חלופה נוחה נוספת היא שימוש בשירות ענן מאובטח של היצרן (P2P) עם אימות דו-שלבי, המתאים ללקוחות קטנים שאין להם תשתית VPN. הכלל: לעולם לא לחשוף NVR ישירות לאינטרנט דרך Port Forwarding ללא שכבת הגנה.
תעבורה לא מוצפנת בין המצלמה לצופה חשופה לציתות ולחטיפת פרטי התחברות. הפעלת HTTPS בממשק הניהול של המצלמה וה-NVR מצפינה את התקשורת ומונעת חשיפת סיסמאות. כאשר משתמשים ב-ONVIF לשילוב בין רכיבים של יצרנים שונים, יש לוודא שהחיבור מאובטח בסיסמה ואינו פתוח לגישה אנונימית. הצפנה היא שכבה שמשלימה את ההפרדה והסיסמאות – יחד הן יוצרות הגנה רב-שכבתית.
אבטחת סייבר מושלמת חסרת ערך אם תוקף יכול פשוט לגשת פיזית ל-NVR ולנתק אותו או לגנוב את הכונן. ה-NVR/DVR צריך להיות ממוקם בארון תקשורת נעול, ולא במקום גלוי וזמין. גם נגישות הכבילה חשובה: כבל רשת חשוף בחוץ מאפשר לתוקף לנתק מצלמה או לחבר מכשיר עוין. שימוש בכבילה מוגנת ובמסלולים סמויים, כמפורט במדריך סוגי סיכוך כבלי רשת, תורם גם לאבטחה הפיזית וגם לאמינות המערכת.
לסיכום שלבי ההקשחה, לפני מסירת כל מערכת יש לעבור על הרשימה הבאה:
| פעולה | סטטוס |
| החלפת כל סיסמאות ברירת המחדל לסיסמאות חזקות וייחודיות | ✔ |
| יצירת משתמשי צפייה בהרשאות מוגבלות | ✔ |
| עדכון קושחה לכל המצלמות וה-NVR | ✔ |
| כיבוי UPnP, Telnet ושירותים מיותרים | ✔ |
| הפרדת המצלמות ל-VLAN נפרד | ✔ |
| גישה מרחוק דרך VPN בלבד (ללא Port Forwarding ישיר) | ✔ |
| הפעלת HTTPS והצפנה | ✔ |
| מיקום ה-NVR בארון נעול | ✔ |
| ⭐ טיפ מקצועי ⭐ הפכו את צ'ק-ליסט ההקשחה לחלק קבוע מטופס מסירת הפרויקט. לקוח שמקבל אישור חתום שהמערכת הוקשחה מקבל ערך מוסף אמיתי, ואתם מגנים על עצמכם מבחינת אחריות מקצועית. |
הקשחה בזמן ההתקנה היא נקודת הפתיחה, אך איומי הסייבר מתפתחים כל הזמן. חולשות חדשות מתגלות, ועדכוני קושחה חדשים מתפרסמים. מומלץ להציע ללקוחות חוזה תחזוקה הכולל בדיקה תקופתית של עדכוני קושחה, ריענון סיסמאות וסקירת הגדרות האבטחה. שירות זה אינו רק מקור הכנסה חוזר למתקין, אלא ערך אמיתי שמגן על הלקוח לאורך זמן.
ראוי לזכור שאבטחה משתלבת גם עם יכולות מתקדמות של המערכת. מצלמות מודרניות עם אנליטיקת וידאו מבוססת בינה מלאכותית, כמתואר במדריך אבולוציית האנליטיקה בווידאו, מעבדות מידע רגיש שדורש הגנה מוגברת, ומערכות בקרת כניסה ביומטריות, כמפורט במדריך ארכיטקטורת בקרת כניסה וזיהוי ביומטרי, מנהלות נתונים אישיים שחייבים אבטחה מחמירה.
לא כל ציוד נולד שווה מבחינת אבטחה. מצלמות ו-NVR מיצרנים מובילים מקבלים עדכוני קושחה שוטפים ותומכים ביכולות הקשחה מתקדמות, בעוד ציוד זול וגנרי לרוב אינו מתעדכן ונותר חשוף. בחירת ציוד מיבואן מורשה מבטיחה קושחה מקורית, עדכונים ותמיכה. מגוון מצלמות אבטחה IP, מערכות NVR וציוד אבטחה, לצד מתגים מנוהלים התומכים ב-VLAN וב-ACL, מהווים את הבסיס למערכת מאובטחת.
חברת כומפניקס, המייבאת ציוד מתח נמוך ומצלמות אבטחה בייבוא בלעדי משנת 1954, מלווה מתקינים בבחירת ציוד תומך-אבטחה ובתכנון ארכיטקטורת רשת מוקשחת, ומספקת ייעוץ טכני מקצועי בכל שלבי הפרויקט.
מתכננים מערכת CCTV מאובטחת או רוצים לוודא שהתקנה קיימת מוקשחת כראוי? הצוות המקצועי של כומפניקס לרשותכם. צרו קשר עכשיו לייעוץ והתאמת פתרונות אבטחה.
החלפת כל סיסמאות ברירת המחדל לסיסמאות חזקות וייחודיות, בכל מצלמה וב-NVR בנפרד. סיסמאות ברירת המחדל של היצרנים ידועות ומפורסמות באינטרנט, ומצלמה שנותרה עם סיסמת ברירת מחדל חשופה לחלוטין. זהו הצעד היחיד שמונע את מרבית הפריצות האוטומטיות.
לא. Port Forwarding חושף את ה-NVR ישירות לאינטרנט וגלוי לכל סורק אוטומטי, והוא אחת הסיבות המרכזיות לפריצות. הדרך המאובטחת לגישה מרחוק היא VPN, שבו המשתמש מתחבר תחילה בערוץ מוצפן לרשת ורק אז ניגש למצלמות, או שירות ענן מאובטח עם אימות דו-שלבי.
UPnP מאפשר למכשירים לפתוח פורטים בנתב באופן אוטומטי, ובכך עלול לחשוף את המצלמה לאינטרנט הפתוח בלי שהתכוונתם לכך ובלי ידיעתכם. כיבוי UPnP הן במצלמה והן בנתב מונע פתיחת פורטים לא מבוקרת ומצמצם משמעותית את משטח התקיפה.
קריטי. קושחה ישנה מכילה חולשות ידועות שתוקפים מנצלים אוטומטית. יש לעדכן את כל המצלמות וה-NVR לגרסה היציבה האחרונה עוד לפני מסירת המערכת. חשוב להוריד קושחה אך ורק מאתר היצרן הרשמי או מהיבואן המורשה, שכן קבצים ממקורות לא מהימנים עלולים להכיל דלת אחורית.
כן, זו אחת ההגנות החשובות ביותר. גם אם מצלמה תיפרץ, הפרדתה ל-VLAN נפרד מבטיחה שהתוקף לא יקבל גישה לשרתים, למחשבים ולמידע העסקי של הארגון. ההפרדה תוחמת את הנזק ומונעת שימוש במצלמה כ"קרש קפיצה" לחדירה עמוקה יותר לרשת.
אחריות המתקין המקצועי אינה מסתיימת בכך שהתמונה עולה. הקשחה בסיסית – החלפת סיסמאות, עדכון קושחה, כיבוי שירותים מיותרים והפרדת רשת – היא חלק בלתי נפרד מהתקנה תקינה. מומלץ לצרף צ'ק-ליסט הקשחה חתום לטופס המסירה, ולהציע חוזה תחזוקה שמבטיח אבטחה מתמשכת לאורך חיי המערכת.
