Какой минимум киберзащиты обязателен для системы видеонаблюдения?

IP-камера — полноценное сетевое устройство с процессором, операционной системой, веб-интерфейсом и постоянным подключением к сети объекта. Для нападающего её ценность не в картинке, а в положении: она уже внутри периметра, и с неё просматривается то, что снаружи не видно — сетевой видеорегистратор (NVR), серверы, рабочие станции бухгалтерии и склада.

Отсюда практический вывод, который мы повторяем на каждом обследовании, — незащищённая камера становится точкой входа в сеть объекта. Сценарий редко выглядит как «кто-то смотрит ваше видео». Гораздо чаще это автоматический перебор учётных данных по открытому в интернет порту, закрепление на устройстве и дальнейшее движение внутрь, к тем системам, ради которых всё и затевалось.

Производители подтверждают эту логику своими же требованиями к развёртыванию. В руководстве Axis Communications «AXIS OS Hardening Guide» устройство не начинает работу, пока администратор не задаст пароль, а рекомендации по изоляции устройств выстроены вокруг CIS Critical Security Controls — то есть камера в них рассматривается как обычный сетевой узел со всеми вытекающими обязанностями.

Типовых векторов немного, и почти все они относятся к настройке, а не к «хитрому взлому». По нашему опыту обследования систем видеонаблюдения на объектах в Казахстане повторяются одни и те же шесть ситуаций, причём чаще всего сразу несколько на одной системе. Ни одна из них не требует от нападающего дорогого инструмента: достаточно сканера сети и списка заводских учётных данных.

1. Заводские и типовые учётные данные. Пароль администратора остался тем, что был в коробке, либо заменён на один общий «для всех камер».
2. Прямой доступ из интернета. На роутере проброшен порт веб-интерфейса регистратора, «чтобы смотреть с телефона». Такой узел находится автоматическим сканированием, без всякого интереса именно к вашему объекту.
3. Непатченная прошивка. Устройства работают на версии, с которой их смонтировали несколько лет назад. Axis в том же руководстве прямо указывает, что актуальная прошивка (или ветка долгосрочной поддержки LTS) закрывает большую часть известных уязвимостей.
4. Плоская сеть. Камеры, регистратор, кассы, Wi-Fi для гостей и офисные компьютеры находятся в одном сегменте без разграничения.
5. Одна учётная запись на всех. Охрана, инженер и подрядчик заходят под общим администратором, и по журналу невозможно установить, кто именно выгружал запись.
6. Незакрытые доступы подрядчиков и уволенных сотрудников. Учётка, созданная на время пусконаладки, живёт годами.

Первые четыре пункта устраняются настройкой без замены оборудования. Последние два — это уже не техника, а регламент: кому и на каком основании выдаётся доступ, и кто его отзывает.

Базовая защита системы видеонаблюдения собирается из шести действий, и все шесть выполнимы на существующем оборудовании. Это не «идеальная» конфигурация, а тот уровень, при котором система перестаёт находиться автоматическим сканированием и попадать в чужие руки из-за заводского пароля. Каждый пункт можно проверить самостоятельно за несколько минут.

Пункты 2 и 4 усиливают друг друга: закрытый снаружи, но плоский внутри сегмент защищает только от случайного сканера, а сегментированная сеть с проброшенным наружу портом регистратора оставляет открытой самую ценную точку, сам архив. Axis в руководстве по усилению защиты рекомендует изолировать устройства и сопутствующую инфраструктуру в сети, отделённой от рабочей и бизнес-сети, применяя VLAN, ограничение маршрутизации, межсетевое экранирование на уровнях L2/L3 и списки доступа, а для удалённых площадок — VPN.

Отдельного норматива, который описывал бы киберзащиту видеонаблюдения для любого частного объекта в Казахстане, нет, поэтому обязанности собираются из нескольких документов. Прямые требования касаются самой системы и обращения с записями; конкретные меры защиты сетевого оборудования законодательство оставляет владельцу, но спрашивает за результат: за сохранность архива и персональных данных.

Требования к системе. Постановление Правительства РК от 06.05.2021 № 305 (adilet.zan.kz, P2100000305) обязывает оснащать объекты утверждённого перечня системами охранного телевидения и хранить архив не менее 30 суток. Технические параметры каналов и порядок подключения к Национальной системе видеомониторинга задают Правила функционирования НСВМ — приказ Председателя КНБ РК от 27.10.2020 № 69-қе (adilet.zan.kz, V2000021693). В Приложении 2 к этим Правилам зафиксированы разрешение не ниже 1920×1080, 25 кадров/с, битрейт от 5000 кбит/с, светочувствительность 0,01 лк, исполнение IP66, архив не менее 30 суток и автономность питания не менее 60 минут. Если ваш объект попадает в перечень, начинать стоит с вопроса о подключении к национальной системе видеомониторинга, а не с настройки камер.

Требования к записям. Видеозапись, по которой можно установить личность, относится к персональным данным. Здесь работают Закон РК от 21.05.2013 № 94-V «О персональных данных и их защите» (adilet.zan.kz, Z1300000094) и Правила осуществления собственником и (или) оператором, а также третьим лицом мер по защите персональных данных — приказ Министра цифрового развития, инноваций и аэрокосмической промышленности РК от 12.06.2023 № 179/НҚ (adilet.zan.kz, V2300032810). Практические последствия для видеонаблюдения мы разбирали в материале про замечания по персональным данным и видеозаписи лиц.

Требования по информационной безопасности. Единые требования в области информационно-коммуникационных технологий и обеспечения информационной безопасности утверждены постановлением Правительства РК от 20.12.2016 № 832 (adilet.zan.kz, P1600000832). Их положения по информационной безопасности обязательны для госорганов, местных исполнительных органов, государственных юридических лиц, субъектов квазигосударственного сектора, владельцев и операторов негосударственных информационных систем, интегрированных с государственными, а также владельцев и операторов критически важных объектов информационно-коммуникационной инфраструктуры — важный нюанс, который часто теряют. Для торгового центра или производственной площадки вне этих категорий документ — ориентир и хорошая проверочная рамка, а не прямая обязанность.

Ответственность. За нарушение законодательства о персональных данных предусмотрена административная ответственность по ст. 79 КоАП РК. Действия самого нападающего квалифицируются по ст. 205 УК РК (неправомерный доступ к информации, в информационную систему или сеть телекоммуникаций) и ст. 206 УК РК (неправомерное уничтожение или модификация информации) — с оговоркой, что состав связан с причинением существенного вреда. Для владельца объекта заявление в полицию не восстанавливает удалённый архив и не снимает вопросов о том, как хранились записи.

Архив требует собственного контура защиты, потому что именно он представляет ценность и для нападающего, и для проверяющего. При битрейте 5000 кбит/с из Приложения 2 к Правилам НСВМ одна камера пишет 0,625 МБ/с × 86 400 с = 54 000 МБ, то есть около 54 ГБ в сутки, а за нормативные 30 суток — примерно 1,62 ТБ. Это большой массив, из которого достаточно удалить один вечер.

Ключевой риск здесь не кража всего архива, потому что вынести десятки терабайт незаметно тяжело. Риск в точечных операциях: удалить фрагмент, изменить глубину хранения так, чтобы нужный день «сам» затёрся раньше срока, выгрузить один эпизод. Все три действия выполняются из того же веб-интерфейса, под тем же общим администратором, и без журнала их невозможно ни заметить, ни доказать.

Поэтому права на архив разводятся минимум на четыре уровня: просмотр в реальном времени, просмотр записей, выгрузка фрагментов, изменение настроек хранения и удаление. Учётные записи — именные, а не должностные. Журнал входов и выгрузок хранится отдельно от самого регистратора, иначе он теряет смысл при компрометации устройства. Отдельно стоит согласовать глубину хранения с реальной потребностью объекта — мы разбирали это в материале о том, сколько дней нужно хранить видеоархив.

Самая частая брешь в системах, которые мы принимаем на обслуживание, — не уязвимость прошивки, а живой доступ подрядчика, оставшийся после пусконаладки. Он удобен обеим сторонам: инженер не выезжает, заказчик быстрее получает реакцию. Проблема в том, что этот доступ обычно не именной, не ограничен по времени и не отражён в договоре.

Рабочая практика простая. Доступ подрядчика — именной, выдаётся на срок работ и отзывается в день их окончания. Удалённое подключение идёт через VPN, а не через проброшенный порт. Каждое подключение видно в журнале. В договоре фиксируется, кто из сотрудников подрядчика имеет доступ и в каком объёме, и что происходит при их увольнении.

Это же относится к внутренним ролям: охранник, который смотрит живое видео, не должен иметь прав на удаление записей и изменение настроек хранения. Если система уже работает и вы не знаете, кто и что в ней может, начинать разумно с обследования — по логике, близкой к аудиту систем безопасности промышленного объекта.

Проверка базового минимума не требует остановки объекта и специального инструмента: нужны доступ администратора к регистратору, доступ к настройкам роутера и список камер. Один инженер проходит её за рабочий день на системе среднего размера. Порядок шагов выстроен от самых дешёвых по трудозатратам действий к организационным.

1. Соберите инвентарь. Модель, IP-адрес, версия прошивки по каждой камере и по регистратору. Без этого списка остальные шаги проверить нечем.
2. Проверьте доступ снаружи. Откройте таблицу перенаправления портов на роутере: есть ли правила, ведущие на адреса камер или NVR. Если есть, фиксируйте как первоочередное к устранению.
3. Проверьте пароли. Попробуйте войти на выборку камер заводскими учётными данными из документации вендора. Одна сработавшая пара означает, что проверять нужно все устройства.
4. Сверьте версии прошивок с актуальными на сайте производителя. Обновление планируйте на регламентное окно, а не «прямо сейчас».
5. Проверьте сегментацию. С обычного офисного компьютера попробуйте открыть веб-интерфейс камеры. Если он открывается, сети не разделены.
6. Разберите учётные записи. Выгрузите список пользователей регистратора с полномочиями. Найдите общие, тестовые и подрядческие; определите владельца по каждой.
7. Проверьте журнал. Выгрузите журнал входов и выгрузок за последний месяц. Если журнал отключён или ведётся только на самом NVR, это отдельная задача.

Сводный пример. Объект на 24 камеры: при битрейте 5000 кбит/с и глубине 30 суток защищаемый архив составляет 24 × 1,62 ТБ = 38,88 ТБ. Именно этот массив после проверки закрывается разграничением прав из пункта 5 таблицы и журналом из пункта 6, а не только паролем на регистраторе. Результат первого прохода стоит зафиксировать письменно: без исходного среза следующая проверка не покажет, что изменилось.