Masz firmę, masz magazyn, masz monitoring – najnowsza technologia, podgląd na żywo, pełna kontrola. Pewnego dnia dostajesz powiadomienie: w magazynie wykryto ruch. Kamery pokazują sylwetkę kogoś, kogo nie powinien tam być. Przyjeżdża ochrona, wszystko sprawdzają. Tylko że w magazynie… nikogo nie ma. Pusto. Cisza, jakby nigdy nic. Kamery kłamały. A raczej – ktoś sprawił, że pokazały to, co miałeś zobaczyć. W tym czasie prawdziwi złodzieje okradają biuro, zabierają sprzęt, dokumenty. Czy monitoring działał? Owszem. Tyle że nie dla ciebie. Niestety, to realny problem. Hakerzy potrafią przejąć kontrolę nad systemem i podsunąć ci spreparowany obraz, podczas gdy prawdziwe zagrożenie dzieje się gdzieś indziej. Dlatego jeśli myślisz, że monitoring to gwarancja bezpieczeństwa, lepiej upewnij się, czy to ty kontrolujesz obraz – czy może ktoś właśnie kontroluje ciebie.

Brzmi nieprawdopodobnie? Niestety, eksperci ostrzegają, że przy słabo zabezpieczonych kamerach to realna możliwość – cyberprzestępcy mogą przechwycić obraz z kamer i podsunąć fałszywe nagrania służbom. W 2017 r. 70% kamer miejskiego monitoringu w Waszyngtonie zostało unieruchomionych przez ransomware, zostawiając miasto „ślepym” na trzy dni. Z kolei w 2021 r. hakerzy włamali się do systemu monitoringu w chmurze i uzyskali dostęp do 150 tysięcy kamer na całym świecie – podglądali na żywo m.in. zakłady Tesli, szpitale, a nawet więzienia. Takie incydenty uzmysławiają jedno: cyberbezpieczeństwo kamer monitoringu to palący problem, którego nie wolno lekceważyć.

Kamery do monitoringu stały się wszechobecne – od domowych wideodomofonów, przez sklepy i biura, po miejskie systemy dozoru. Niestety, wraz z ich rozpowszechnieniem nastąpił gwałtowny wzrost zagrożeń. Raport Check Point wskazuje, że na początku 2023 roku aż 54% organizacji co tydzień doświadczało prób ataków wymierzonych w urządzenia IoT, takie jak kamery. Skąd taka popularność ataków na kamery? Dla hakera słabo zabezpieczona kamera to wymarzony cel – często jest najsłabszym ogniwem sieci, bywa pozostawiona z domyślnym hasłem lub bez aktualizacji, a po przejęciu daje podgląd na poufne zdarzenia lub stanowi furtkę do innej infrastruktury. Wiele urządzeń starego typu nie szyfruje transmisji i działa na fabrycznych hasłach, które nigdy nie zostały zmienione. Badania firmy Kaspersky potwierdziły, że mnóstwo kamer przemysłowych przesyła obraz w sieci w sposób niezaszyfrowany – to pozwala intruzom nie tylko podglądać, ale nawet wstrzykiwać własne treści w strumień wideo. Już teraz cyberprzestępcy wykorzystują przejęte kamery w różny sposób: do szpiegowania i kradzieży danych (jak w wypadku ataku na system Verkada), do sabotowania bezpieczeństwa (jak ransomware blokujący kamery przed ważnymi wydarzeniami), a nawet do budowy botnetów. Głośnym przykładem było zainfekowanie tysięcy kamer marki Hikvision przez botnet Moobot oparty na malware Mirai. Wystarczył znany błąd w oprogramowaniu kamer, by przejąć nad nimi kontrolę i wykorzystać je do ataków DDoS. Konsekwencje takich incydentów są poważne: oprócz oczywistych luk w bezpieczeństwie fizycznym (bo wyłączone czy zmanipulowane kamery nie spełniają swojej roli), dochodzą kwestie prawne i finansowe. Utrata lub wyciek nagrań narusza prywatność osób (potencjalnie łamiąc regulacje RODO/GDPR), a ubezpieczyciel może odmówić wypłaty odszkodowania, jeśli okaże się, że system monitoringu padł ofiarą ataku przez zaniedbania w zabezpieczeniach. Stawka jest wysoka, a zagrożenie coraz bardziej realne.

Niebieski kaktus

Czym wyróżnia się podejście MOBOTIX do cyberbezpieczeństwa? W obliczu opisanych zagrożeń producent kamer MOBOTIX obrał własną drogę, by uczynić swoje systemy możliwie najbezpieczniejszymi. Ich filozofia nosi nazwę Cactus Concept – metaforycznie wskazuje na system uzbrojony w kolce ochronne z każdej strony. W praktyce oznacza to holistyczne podejście do zabezpieczeń: ochronę każdego elementu urządzenia od etapu projektu, przez produkcję, aż po użytkowanie, a do tego pełne szyfrowanie end-to-end na każdym etapie przesyłania i zarządzania strumieniem wideo. Oferowane rozwiązanie to kompletny system, od początku do końca odporny na ataki hakerskie. Udaje się to osiągnąć, ponieważ kamery MOBOTIX działają w oparciu o zdecentralizowaną architekturę. W odróżnieniu od wielu konkurencyjnych systemów, gdzie „mózgiem” jest centralny rejestrator lub serwer, kamery IoT MOBOTIX same wykonują wszystkie zadania – lokalnie przetwarzają obraz, analizują zdarzenia (np. detekcja ruchu, rozpoznawanie obiektów), a nawet przechowują nagrania na pokładzie (lub przekazują je dalej w postaci zaszyfrowanej). Taki model zmniejsza ryzyko utraty danych lub ich przechwycenia w trakcie przesyłania, bo znaczną część pracy wykonuje się w bezpiecznym środowisku wewnątrz kamery, a nie innych urządzeniach w sieci. Po drugie, MOBOTIX przyjęło zasadę Security by Design – bezpieczeństwo jest wbudowane od podstaw. Każda kamera działa na zmodyfikowanym i dodatkowo zabezpieczonym systemie Linux, a całość oprogramowania MOBOTIX pisze samodzielnie.

Dzięki temu MOBOTIX unika pułapek wykorzystywania oprogramowania firm trzecich. Jeśli jakaś popularna biblioteka lub chipset ma lukę, wiele innych marek jest narażonych na atak, podczas gdy MOBOTIX – kontrolując własny kod i komponenty – szybciej reaguje i nie zawiera „obcego” podatnego kodu. Kolejnym wyróżnikiem jest brak ukrytych dostępów i tylnej furtki. Przykładowo, po pierwszym uruchomieniu kamery wymuszona jest zmiana fabrycznego hasła administratora na inne, silne hasło. Jeśli zaś chodzi o odzyskiwanie dostępu, MOBOTIX stawia na fizyczne bezpieczeństwo: nie ma uniwersalnego „klucza master” ani łatwej procedury zdalnego resetu hasła. Gdy administrator zapomni hasła, kamera musi zostać odesłana do producenta albo obsłużona przez certyfikowanego partnera z użyciem specjalnego narzędzia. To utrudnienie dla zapominalskich, ale ogromna zaleta dla bezpieczeństwa – oznacza, że producent nie zostawił tylnej furtki, którą mógłby wykorzystać także przestępca. MOBOTIX dba również o zgodność z najwyższymi standardami – jako pierwsza firma w Europie uzyskała certyfikat CNPP potwierdzający cyberodporność kamer IoT, a niezależni specjaliści z firmy SySS regularnie testują kamery MOBOTIX 7 i Mx6 serii pod kątem ataków.

Ufaj, ale sprawdzaj. Czy rzeczywiście jest tak dobrze jak zapewnia producent? Poprosiliśmy o pomoc w tej kwestii specjalistów z firmy Grandmetric. Na naszą prośbę przeprowadzili kompleksowe pentesty kamery MOBOTIX M73...

„Podczas przeprowadzonych testów penetracyjnych w naszym odizolowanym środowisku laboratoryjnym, kamera MOBOTIX została poddana wszechstronnej analizie pod kątem ewentualnych luk bezpieczeństwa. Należy zaznaczyć, że badana konfiguracja obejmowała wyłącznie pracę kamery bez zewnętrznego kontrolera NVR (Network Video Recorder).

W ramach testów bezpieczeństwa skupiliśmy się na analizie interfejsu Web Interface, który w przypadku kamer MOBOTIX pełni rolę aplikacji webowej. Przeprowadziliśmy szereg testów zgodnych ze standardami OWASP Top 10, w wyniku czego nie stwierdziliśmy krytycznych podatności skutkujących przejęciem kamery lub wrażliwych danych. Pokazuje to, że fabryczna konfiguracja urządzenia – choć podstawowa – jest dobrze zabezpieczona już na starcie.

Oczywiście, jak w przypadku każdego systemu sieciowego, bardzo istotne jest przeprowadzenie prawidłowego hardeningu kamery jeszcze przed włączeniem jej do produkcyjnego środowiska. MOBOTIX dostarcza w tym zakresie szczegółowy przewodnik, w którym krok po kroku opisuje zalecane konfiguracje: Cyber Protection Guide.

Nieodpowiednie lub niekompletne ustawienia bezpieczeństwa mogą skutkować nieautoryzowanym dostępem do API kamery i manipulacją funkcjami – jak chociażby zmianą parametrów nagrywania czy sterowaniem głowicą kamery. Właściwa konfiguracja zabezpieczeń zgodnie z dokumentacją producenta znacząco minimalizuje to ryzyko i zapewnia stabilne, odporne na ataki środowisko.

W trakcie testów wykryliśmy także pewne luki w starszych bibliotekach jQuery dołączonych do urządzenia. Na szczęście nie przełożyły się one na realne scenariusze umożliwiające przeprowadzenie skutecznego ataku. Niemniej jednak zawsze zalecamy cykliczne aktualizowanie całego oprogramowania, jeśli producent udostępni nowszą wersję – zarówno samego firmware’u kamery, jak i używanych w nim komponentów.

Na pochwałę zasługuje również fakt, że kamera MOBOTIX korzysta z mechanizmu hashowania MD5 z solą (salt), co zapobiega przechwyceniu poświadczeń nawet w sytuacji, gdy panel administracyjny byłby dostępny poprzez protokół HTTP. Jednak w zgodzie z najlepszymi praktykami bezpieczeństwa, zawsze rekomendujemy włączenie szyfrowanej komunikacji HTTPS dla interfejsu administracyjnego.

Podsumowując, przeprowadzone testy pokazały, że przy zachowaniu podstawowych dobrych praktyk i uwzględnieniu wskazówek hardeningu, kamera MOBOTIX może skutecznie zabezpieczyć się przed wieloma potencjalnymi zagrożeniami. Sugerujemy jednak każdemu użytkownikowi dokładne zapoznanie się z wytycznymi producenta oraz bieżące dbanie o regularne aktualizacje, aby w pełni wykorzystać potencjał bezpieczeństwa oferowanego przez to urządzenie.

Pod względem sieciowym kamera działa bardzo dyskretnie – nie generuje zbędnego ruchu i nie wprowadza zakłóceń w komunikacji sieciowej. To zdecydowanie na plus, zwłaszcza w środowiskach, gdzie ważna jest przejrzystość i kontrola nad ruchem w sieci.

Jeśli chodzi o podatności, to wszelkie zagrożenia zgłoszone do bazy CVE są na bieżąco analizowane i łatane przez producenta. Oprogramowanie kamer objęte jest aktywnym wsparciem, co daje pewność, że urządzenia są regularnie aktualizowane i pozostają bezpieczne również w dłuższej perspektywie.” – Jakub Grzelski, Senior Systems Engineer, Grandmetric .

Grandmetric to polska spółka technologiczna. Na co dzień projektuje i wdraża infrastrukturę IT, zapewniając bezpieczeństwo danych, a także projektuje wydajne centra danych i skuteczne systemy odzyskiwania danych. Ich eksperci rozwiązują problemy techniczne, dostarczają sprzęt, projektują rozwiązania, instalują, konfigurują, a także zarządzają infrastrukturą operacyjnie.

Wszystko to składa się na obraz systemu zaprojektowanego tak, aby opierał się atakom zanim one nastąpią, a nie działał dopiero po szkodzie. Innymi słowy, podejście MOBOTIX do cyberbezpieczeństwa wyróżnia kompleksowość. Koncepcja Kaktusa przekłada się na wiele konkretnych funkcji i mechanizmów bezpieczeństwa, które warstwowo chronią urządzenia. Można wyróżnić kilka najważniejszych zabezpieczeń zaimplementowanych w kamerach MOBOTIX:

• Aktualne oprogramowanie (firmware). Podstawą jest utrzymanie najnowszej wersji oprogramowania kamery, zawierającej wszystkie aktualizacje bezpieczeństwa. MOBOTIX udostępnia bezpłatne aktualizacje firmware na swojej stronie i zaleca regularne ich wgrywanie. Dzięki temu znane luki zostają załatane, zanim zdąży je wykorzystać atakujący.
• Unikanie nieznanej konfiguracji. Przy instalacji lub przejęciu istniejącej kamery zaleca się reset do ustawień fabrycznych, aby usunąć ewentualne złośliwe lub niepożądane ustawienia. To zapewnia czysty start z domyślnym, kontrolowanym stanem bezpieczeństwa.
• Wielopoziomowe konta użytkowników. Kamery MOBOTIX mają rozbudowany system kontroli dostępu. Można utworzyć do 25 różnych grup użytkowników o odmiennych uprawnieniach i do 100 indywidualnych kont. Domyślnie przewidziano trzy główne poziomy dostępu: Gość – tylko podgląd obrazu live z ograniczoną częstotliwością klatek, Użytkownik – podgląd oraz częściowe ustawienia, np. parametry obrazu czy odtwarzanie nagrań oraz Administrator – pełna konfiguracja, w tym ustawienia bezpieczeństwa. Taki podział pozwala stosować zasadę minimalnych uprawnień – każdy dostaje tylko taki dostęp, jakiego potrzebuje. Np. pracownik ochrony może oglądać obraz, ale nie zmieni konfiguracji kamery; technik serwisu może mieć dostęp do obrazu i niektórych ustawień, ale nie do krytycznych opcji bezpieczeństwa. Co więcej, każda akcja zalogowanego użytkownika jest logowana, więc wiadomo „kto i co zrobił”.
• Indywidualne konta zamiast współdzielenia. Zaleca się, by każda osoba miała własny login, zamiast współdzielić jedno konto administratora. MOBOTIX umożliwia łatwe tworzenie wielu użytkowników i przypisywanie ich do grup. Dzięki temu, jeśli dojdzie do nieautoryzowanego działania, logi pokażą konkretnie które konto (która osoba) za tym stała – zwiększa to odpowiedzialność i umożliwia szybkie reagowanie.
• Wyłączenie dostępu publicznego (anonimowego). W ustawieniach domyślnych (dla ułatwienia początkowej konfiguracji) kamery pozwalają na tzw. public access, czyli dostęp do podglądu bez hasła. Jednak stanowczo zaleca się wyłączenie trybu publicznego natychmiast po wstępnej instalacji. Gdy dostęp publiczny jest wyłączony, żaden niezalogowany użytkownik nie zobaczy obrazu ani nie odtworzy nagrań, a tym bardziej nie zmieni ustawień. To oczywiste, ale bywa zaniedbywane przy słabych systemach – w internecie wciąż znaleźć można setki kamer dostępnych dla każdego. MOBOTIX eliminuje ten problem poprzez zmianę jednego ustawienia.
• Kontrola dostępu na poziomie sieci (IP Allowlist). Kamery MOBOTIX mogą filtrować połączenia także po adresach IP lub nazwach hostów. Administrator może zdefiniować „listę dozwolonych” adresów (lub całych podsieci), z których wolno łączyć się z kamerą, i/lub listę zabronionych. Próba połączenia z adresu spoza listy będzie odrzucona nawet jeśli intruz znałby poprawne hasło. To jak dodatkowy mur przed logowaniem – dwupoziomowa weryfikacja (najpierw adres IP, potem dopiero hasło użytkownika).
• Wbudowana ochrona przed atakami brute-force. MOBOTIX wyposażył kamery w mechanizm Intrusion Detection, który automatycznie rozpoznaje próby łamania haseł metodą siłową (brute force). Jeżeli ktoś będzie wielokrotnie zgadywać login/hasło, kamera sama podniesie alarm (np. wyśle powiadomienie) i zablokuje podejrzany adres IP po określonej liczbie nieudanych prób. To znaczy, że haker prędzej zostanie zablokowany, niż zdąży wypróbować odpowiednio dużo kombinacji hasła. Taka automatyczna „samodziałająca ochrona” działa 24/7 bez udziału administratora.
• Blokada skanowania i indeksowania kamer w sieci. Urządzenia MOBOTIX pozwalają zabronić tzw. web crawlingu, czyli automatycznego przeszukiwania zawartości serwera WWW kamery przez roboty sieciowe. W praktyce chodzi o to, żeby np. wyszukiwarka internetowa lub bot nie zindeksował publicznie strony kamery i nie uwidocznił np. miniatur obrazów czy stron statusowych. Ta opcja chroni przed niepotrzebnym ujawnianiem informacji o kamerze w internecie i zmniejsza ruch sieciowy generowany przez niechciane skanery. Innymi słowy, kamera staje się mniej widoczna dla potencjalnych napastników szukających ofiar skanerami.
• VPN, bezpieczny tunel do zdalnego dostępu. Kamery MOBOTIX mają wbudowanego klienta OpenVPN, co pozwala zestawić zaszyfrowany tunel między kamerą a zdalnym hostem lub siecią. Jeżeli potrzebujemy oglądać obraz spoza lokalnej sieci (np. z domu monitorować firmę), lepiej niż wystawiać kamerę bezpośrednio do internetu jest skonfigurować VPN. Kamera może sama inicjować połączenie VPN do serwera (np. w centrali firmy lub na routerze) i dzięki temu będzie dostępna zdalnie tak, jakby była w sieci wewnętrznej, ale cały ruch przejdzie bezpiecznie zaszyfrowanym kanałem. MOBOTIX daje tu wybór: można skorzystać z własnego serwera OpenVPN albo komercyjnej usługi VPN.
• Segmentacja sieci (VLAN). W środowiskach korporacyjnych zaleca się odseparowanie sieci CCTV od reszty sieci komputerowej. Kamery MOBOTIX wspierają konfigurację VLAN (Virtual LAN), co pozwala logicznie wydzielić ruch wideo od innego ruchu danych. Praktycznie oznacza to, że nawet jeśli kamery fizycznie korzystają z tej samej infrastruktury co komputery, to komunikacyjnie są w osobnej strefie, do której nie mają dostępu zwykli użytkownicy sieci biurowej. Oddzielenie VLAN chroni przed nieautoryzowanym dostępem (trudniej „podsłuchać” kamery czy włamać się do nich z sieci firmowej) oraz zapobiega wzajemnemu zakłócaniu – nawet jeśli ktoś zalewa sieć biurową ruchem, nagrania z kamer na osobnym VLAN pozostaną płynne. To kolejna warstwa obrony na poziomie architektury sieciowej.

Powyższe przykłady to zaledwie kilka ze wszystkich dostępnych metod ochrony wzajemnie się uzupełniających, tworząc spójną tarczę. Ważne jest, że wiele z nich wymaga aktywacji lub konfiguracji przez użytkownika – MOBOTIX daje narzędzia, ale to świadome ich użycie zapewnia pełnię bezpieczeństwa. Dlatego producent publikuje m.in. Cyber Protection Guide z instrukcjami, jak krok po kroku zabezpieczyć cały system.

Kamery monitoringu muszą być bezpieczne jak sejf, bo stały się integralną częścią infrastruktury IT. W dobie rosnących zagrożeń nie wystarczy już po prostu zamontować kamer i o nich zapomnieć. Na szczęście nowoczesne systemy, takie jak MOBOTIX, oferują rozbudowane mechanizmy obronne – od zdecentralizowanej architektury utrudniającej atak, po dziesiątki ustawień chroniących przed włamaniem, podsłuchem czy sabotażem. Koncepcja Kaktusa pokazuje, że kompleksowe podejście może uczynić z kamer prawdziwie twardy orzech do zgryzienia dla hakerów. Kluczem jest jednak świadomość i działanie użytkowników: nawet najlepsza kamera nie zabezpieczy się sama. Warto więc już dziś przyjrzeć się własnemu systemowi monitoringu – zmienić słabe hasła, włączyć dostępne zabezpieczenia, odciąć niepotrzebny dostęp. Nie czekajmy, aż wydarzy się incydent – proaktywna obrona to jedyna rozsądna strategia. Cyberbezpieczeństwo kamer to inwestycja w spokojny sen – zarówno nasz, jak i osób, których bezpieczeństwa strzeżemy. Bezpieczne kamery to nie tylko ochrona przed hackerami, ale i gwarancja, że w krytycznym momencie monitoring nie zawiedzie.

Jakub Sobek

Artykuł firmy Konica Minolta

Źródła:

1. https://blog.checkpoint.com/security/the-tipping-point-exploring-the-surge-in-iot-cyberattacks-plaguing-the-education-sector
2. https://plblog.kaspersky.com/systemy-kamer-miejskiego-monitoringu-sa-dziurawe/3047/
3. https://www.bitdefender.com/en-us/blog/hotforsecurity/iot-attack-surface
4. https://www.ifsecglobal.com/global/mobotix-cactus-concept-protects-every-element-device-cyber-attacks-late/
5. https://duo.com/decipher/mirai-based-botnet-infects-vulnerable-surveillance-cameras
6. https://www.businessinsider.com/verkada-hackers-breached-security-cameras-at-tesla-in-hospitals-jails-report-2021-3?IR=T
7. https://www.bitdefender.com/en-us/blog/hotforsecurity/70-washington-dcs-cctv-cameras-infected-ransomware