Что делать с камерой, доступной из интернета напрямую

Камера доступна напрямую, когда её веб-интерфейс или видеопоток открывается из внешней сети без промежуточного защищённого канала. Технически это три типовые конфигурации: проброс порта (port forwarding) на маршрутизаторе, автоматическое открытие порта через UPnP и белый IP-адрес, выданный провайдером прямо на камеру или NVR.

Проверить это можно за несколько минут. Признаки прямого доступа:

• в настройках маршрутизатора есть правила проброса на внутренний адрес камеры или регистратора — обычно порты 80 и 443 (веб-интерфейс) и 554 (поток RTSP);
• в интерфейсе камеры включён UPnP и в статусе отображается «порт открыт»/«port mapping successful»;
• сотрудник открывает видео с телефона, просто вбив в браузере внешний адрес и порт, без подключения к корпоративной сети;
• провайдер выдал объекту статический внешний адрес, и он назначен не маршрутизатору, а самому видеорегистратору.

Отдельно стоит различать прямой доступ и облачный сервис производителя (P2P). Во втором случае порты снаружи не открыты, но камера сама инициирует постоянное соединение с сервером вендора, риск другой по природе, и о нём ниже.

Производители устройств об этом пишут прямо. В документе AXIS OS Hardening Guide рекомендуется отключать протоколы обнаружения (UPnP, Bonjour, WS-Discovery) после ввода устройства в эксплуатацию, а начиная с AXIS OS 12.0 обнаружение по UPnP отключено на заводе, именно чтобы сократить площадь атаки.

Камера — это полноценный компьютер под управлением Linux с сетевым стеком, веб-сервером и правами в вашей локальной сети. Получив на неё административный доступ, атакующий оказывается не «в картинке», а внутри сегмента, где часто живут кассовые терминалы, файловый сервер и рабочие места бухгалтерии.

Дальше сценарий разворачивается по шагам, знакомым любому специалисту по сетям:

1. Обнаружение. Сканеры непрерывно перебирают диапазоны адресов и характерные порты. По данным оповещения CISA TA16-288A, вредонос Mirai использовал короткий список из 62 распространённых заводских пар «логин — пароль», и этого хватало для массового заражения камер, регистраторов, роутеров и принтеров.
2. Вход. Заводская учётная запись, не смененная при монтаже, или известная уязвимость в необновлённой прошивке.
3. Закрепление. Устройство включается в ботнет либо остаётся тихим плацдармом: у камеры нет антивируса, а её перезагрузку никто не считает инцидентом.
4. Боковое перемещение. Из камеры сканируется внутренняя сеть, и если видеонаблюдение не вынесено в отдельный VLAN, атакующий видит те же ресурсы, что и офисный компьютер.
5. Реализация ущерба. Выгрузка архива, шифрование NVR, использование канала объекта для атак на третьих лиц.

Слабый пароль — это уязвимость одного устройства, а проброшенный наружу порт — это уязвимость всей сети. Смена пароля без закрытия внешнего доступа лечит симптом, а не причину.

По нашему опыту на объектах в Казахстане прямой доступ почти никогда не создаётся злым умыслом. Он появляется, когда собственнику нужно «посмотреть с телефона», монтажник открывает порт как самое быстрое решение, а потом объект живёт с этой настройкой годами, вместе с прошивкой, которую не обновляли с момента пусконаладки.

Ущерб от скомпрометированной камеры редко ограничивается видео. Мы разделяем последствия на три группы: утечка архива, нарушение законодательства о персональных данных и компрометация остальной сети. Каждая группа имеет разную стоимость и разные сроки восстановления.

Сценарий 1. Утечка архива. Нормативный минимум хранения — 30 суток. При опорном битрейте 5000 кбит/с одна камера пишет около 54 ГБ в сутки (0,625 МБ/с × 86 400 с) и примерно 1,62 ТБ за 30 суток. Объект на 20 камер держит порядка 32,4 ТБ материала: лица сотрудников и клиентов, номера автомобилей, время инкассации, маршруты перемещения, содержимое складских зон. Это готовая разведданная для подготовки кражи. Отдельно разбираем, сколько дней объекту действительно нужно хранить видеоархив и почему глубина влияет и на стоимость, и на риск.

Сценарий 2. Персональные данные. Видеозапись, позволяющая идентифицировать человека, относится к персональным данным в смысле Закона РК от 21.05.2013 № 94-V «О персональных данных и их защите» (adilet.zan.kz, Z1300000094). Собственник системы выступает владельцем или оператором данных и обязан принимать меры по их защите. Открытый из интернета архив — это не техническая небрежность, а вопрос к соблюдению закона. Подробнее — в разборе замечаний по персональным данным и видеозаписи лиц.

Сценарий 3. Сеть объекта. Здесь ущерб считают не в терабайтах, а в часах простоя: зашифрованный сервер, остановленная отгрузка, недоступные кассы. Камера в этом сценарии — только вход, а платит бизнес за последствия в основной инфраструктуре.

Если вы уже понимаете, что камера или регистратор видны снаружи, действовать нужно по фиксированному порядку: сначала закрыть периметр, потом разбираться. Ниже последовательность, которую наши инженеры применяют при выезде на такой инцидент. Она рассчитана примерно на час работы и не требует замены оборудования.

1. Закройте внешний доступ. На маршрутизаторе удалите правила проброса на адреса камер и NVR, отключите UPnP на маршрутизаторе и на самих устройствах. Это первое действие, а не последнее.
2. Смените учётные данные. Уникальный пароль на каждое устройство, а не один общий на объект — прямая рекомендация AXIS OS Hardening Guide. Заводскую учётную запись отключите или переименуйте, если прошивка позволяет.
3. Снимите список активных сессий и пользователей. Лишние учётные записи, неизвестные IP-адреса в журнале входов, включённые telnet/SSH — всё это фиксируется письменно до изменений.
4. Обновите прошивку камер и регистратора до актуальной версии производителя. Если устройство снято с поддержки и обновлений нет, это аргумент к его замене, а не к «поживём так».
5. Проверьте целостность архива. Убедитесь, что записи за требуемую глубину на месте и не удалены, и что дата/время на устройствах корректны.
6. Ограничьте сеть. Вынесите видеонаблюдение в отдельный VLAN, закройте ему выход в интернет и доступ к офисному сегменту, оставив только необходимое.
7. Зафиксируйте инцидент. Служебная записка с датой, перечнем найденного и выполненных действий. Без документа инцидента для проверяющих и для страховой его не было.

Отдельно предупредим о частой ошибке: перенос веб-интерфейса на «нестандартный» порт вроде 8443 не является защитой. Сканеры перебирают весь диапазон портов, и скрытность здесь даёт часы, а не безопасность.

Удалённый просмотр — законная потребность руководителя, и отказываться от неё не нужно. Вопрос в том, каким способом канал построен. Три распространённых варианта различаются не удобством, а тем, что именно открыто наружу и остаются ли следы обращения к архиву.

Если удалённый доступ нужен двум-трём людям, VPN закрывает задачу и не создаёт публичной точки входа. Если выбран облачный сервис вендора, убедитесь, что параллельно не оставлен «на всякий случай» проброс порта. Мы встречаем такую комбинацию регулярно, и она обнуляет смысл облака.

Стоит учитывать и то, что требования к системам видеонаблюдения периодически пересматриваются, и мы отслеживаем, что меняется для видеонаблюдения после обновлений 2026 года, чтобы настройки объекта не отставали от нормы.

Базовая защита строится на шести действиях, и все они выполняются штатными средствами оборудования, без покупки дополнительных лицензий. Этот минимум мы проверяем на каждом объекте, который берём на обслуживание, и рекомендуем закрепить его как внутренний регламент службы эксплуатации.

1. Пароли. Уникальный пароль на каждое устройство, заводские учётные записи отключены, доступ по ролям: оператор смотрит «живое» видео, выгрузку архива делает ограниченный круг лиц.
2. Прошивки. Плановое обновление камер, NVR и коммутаторов; устройства без поддержки производителя — в план замены с указанием срока.
3. Сеть. Видеонаблюдение в отдельном VLAN, без выхода в интернет для камер, без проброса портов; UPnP и лишние протоколы обнаружения отключены.
4. Сервисы. Отключить всё, что не используется: telnet, SSH, FTP, мультикаст-обнаружение, гостевой доступ. Управление — через VMS, а не через браузер на каждой камере.
5. Журнал доступа к архиву. Кто, когда и какой фрагмент выгружал. Это одновременно и защита от инсайдера, и доказательная база при разбирательстве.
6. Физика и питание. Закрытые монтажные шкафы, недоступные сетевые розетки в публичных зонах, резервное питание регистратора.

Шестой пункт часто недооценивают. Сетевая розетка камеры в незапертом тамбуре — это тот же прямой доступ, только с улицы, и пароль на веб-интерфейсе от него не защищает.

Отдельного нормативного акта «о кибербезопасности видеонаблюдения» для коммерческих объектов в Казахстане нет, поэтому требования собираются из нескольких документов. Ниже те, которые применимы к обычному объекту с системой видеонаблюдения, с точными реквизитами.

Хранение архива. Постановление Правительства РК от 06.05.2021 № 305 (adilet.zan.kz, P2100000305) устанавливает обязательное оснащение объектов из перечня системами видеонаблюдения и срок хранения записей не менее 30 суток. Скомпрометированный регистратор, на котором записи затёрты или зашифрованы, — это нарушение выполнимости этого требования, а не только внутренняя неприятность.

Технические минимумы и подключение к НСВМ. Правила функционирования Национальной системы видеомониторинга утверждены приказом Председателя КНБ РК от 27.10.2020 № 69-қе (adilet.zan.kz, V2000021693). Приложение 2 к этим Правилам задаёт технический минимум: разрешение не ниже 1920×1080, 25 кадров/с, битрейт не менее 5000 кбит/с, светочувствительность 0,01 лк, исполнение IP66, хранение архива не менее 30 суток, автономность не менее 60 минут. Если объект подключается к НСВМ, вопрос защищённости канала перестаёт быть внутренним делом. Разбирали отдельно, нужно ли объекту подключение к национальной системе видеомониторинга.

Персональные данные. Закон РК от 21.05.2013 № 94-V «О персональных данных и их защите» относит идентифицирующую человека видеозапись к персональным данным и возлагает на владельца и оператора обязанность принимать меры по их защите.

Уголовная сторона. Неправомерный доступ к информации, в информационную систему или сеть телекоммуникаций квалифицируется по ст. 205 Уголовного кодекса РК (adilet.zan.kz, K1400000226). Для собственника это означает, что при обнаружении факта доступа корректный путь — фиксация инцидента и обращение в правоохранительные органы, а не тихая перенастройка оборудования с потерей следов.

Наказание не наступает автоматически по факту открытого порта: конкретная квалификация зависит от обстоятельств, категории объекта и наступивших последствий. Но с точки зрения проверки и суда разница между «мы не знали» и «мы выявили, зафиксировали и устранили» принципиальная.

Ответственность за конфигурацию системы несёт собственник объекта, даже если настройки делал подрядчик. Договор не переносит ответственность целиком, но определяет, кто за что отвечает технически и кто платит за устранение последствий. Формулировки стоит внести до инцидента, а не после.

Что имеет смысл прописать в договоре на монтаж или обслуживание:

• запрет на проброс портов и включение UPnP без письменного согласования с заказчиком;
• обязанность подрядчика сдавать объект без заводских паролей, с передачей учётных данных ответственному лицу под роспись;
• регламент обновления прошивок: периодичность, кто инициирует, где фиксируется;
• ведение и хранение журнала доступа к архиву, порядок выгрузки записей по запросу;
• порядок отзыва доступов при увольнении сотрудников заказчика и при смене персонала подрядчика;
• срок реакции на инцидент информационной безопасности и состав действий в первые часы.

Последний пункт особенно важен, если систему обслуживает внешняя организация: без зафиксированного SLA спор о том, чей это был инцидент, растянется дольше, чем восстановление. Мы подробно разбирали, как контрактно разграничить ответственность между заказчиком и подрядчиком при инциденте.