Как защитить IP-камеры и регистратор от взлома: пароли, обновления, VLAN — на примере уязвимостей 2025 года

Камера и регистратор — это маленькие компьютеры с операционной системой, сетевым интерфейсом и паролем. Если они доступны из интернета и не обновляются, их находят автоматическими сканерами за часы. Цели у злоумышленников разные: посмотреть или выгрузить видео, включить устройство в ботнет для атак на чужие сайты, использовать камеру как точку входа во внутреннюю сеть офиса или просто стереть архив.

Для владельца это не абстрактный риск. Утечка записей с людьми — нарушение закона о персональных данных, ответственность за которое несёт оператор системы, то есть вы. Взломанный регистратор может перестать писать как раз в ту ночь, когда запись нужна. А камера в ботнете съедает интернет-канал и иногда приводит к блокировке вашего IP-адреса провайдером.

Летом 2025 года Dahua опубликовала бюллетень о двух уязвимостях: CVE-2025-31700 в обработчике протокола ONVIF и CVE-2025-31701 в обработчике загрузки файлов. Обе оценены в 8,1 балла из 10: специально сформированный сетевой пакет может привести к сбою камеры, а на части моделей — к выполнению чужого кода. Затронуты массовые серии IPC-1XXX, IPC-2XXX, IPC-WX, IPC-ECXX, поворотные SD3A и SD2A; прошивки с датой сборки после 16 апреля 2025 года уязвимостям не подвержены. Исправления выложены в центре загрузок производителя, а устройствам с облачным обновлением они приходят автоматически.

У Hikvision в сентябре 2025 года исследователи зафиксировали новую волну попыток эксплуатации старых уязвимостей: CVE-2017-7921, исправленной ещё в 2017 году, и CVE-2021-36260, исправленной в сентябре 2021 года. Обе оценены в 9,8 балла. Атакующие перебирали заводские и слабые пароли и искали устройства с прошивками, которые не обновлялись годами.

Вывод из обеих историй один: под удар попадают не новые камеры, а необновлённые и выставленные в интернет напрямую. Производители закрывают дыры, но исправление ничего не меняет, пока его не установили. Дальше — пять мер, которые закрывают подавляющую часть риска.

Самая частая ошибка — проброс портов на роутере, чтобы смотреть камеры с телефона: веб-интерфейс регистратора становится доступен любому сканеру в мире. Вторая — включённый на роутере UPnP, через который камера сама открывает себе порты. Именно эти две вещи производители и исследователи советуют выключить в первую очередь.

Удалённый просмотр делается иначе. Первый вариант — облако производителя: Hik-Connect у Hikvision или DMSS у Dahua. Соединение инициирует само устройство, порты на роутере открывать не нужно, а видео защищается ключом шифрования. Второй вариант — VPN на роутере: телефон или ноутбук подключается к офисной сети по зашифрованному каналу и видит камеры так же, как изнутри. Для бизнеса с несколькими объектами VPN надёжнее и удобнее.

Проверить себя просто: зайдите в настройки роутера и посмотрите раздел переадресации портов и UPnP. Если там есть правила на адреса камер или регистратора, а UPnP включён, — это первое, что нужно исправить.

Новые камеры Hikvision и Dahua не работают с заводским паролем — их нужно активировать, задав свой. Но в старых системах до сих пор встречаются admin/12345 и пароли, которые монтажник записал маркером на регистраторе. Пароль должен быть длинным, из букв, цифр и символов, и разным для регистратора и облачного аккаунта.

Под администратором не работают каждый день. Охране и сотрудникам создают отдельные учётные записи с правами только на просмотр нужных камер; подрядчику выдают временный доступ и забирают его после работ. Включите блокировку после нескольких неверных попыток входа — тогда перебор паролей, которым пользовались атакующие в 2025 году, становится бесполезным.

Отдельно — ключ шифрования для облака (у Hikvision его называют кодом верификации). Его не оставляют заводским и не печатают на наклейке. Сменить пароль и ключ можно в веб-интерфейсе устройства или через утилиту SADP; как это сделать, мы подробно разбирали в статье про SADP.

Обе волны атак 2025 года на Hikvision били по уязвимостям четырёх- и восьмилетней давности. Значит, устройства, которые взломали, не обновлялись ни разу. Проверяйте версию прошивки раз в квартал — она видна в веб-интерфейсе, в SADP и в приложении, — и сравнивайте с последней на сайте производителя.

Прошивку берут только из официального центра загрузок под точную модель и аппаратную ревизию либо ставят через облачное обновление. Прошивки с форумов и из мессенджеров — отдельный риск. Перед обновлением регистратора выгружают конфигурацию, а на очень старом оборудовании обновляют последовательно, через промежуточные версии, как указывает производитель.

Для камер, на которые обновлений больше не выпускают, решение одно: изолировать их в отдельной сети без выхода в интернет или заменить. Стоимость новой массовой IP-камеры обычно меньше, чем цена инцидента с утечкой записей.

Камерам незачем видеть бухгалтерию, а компьютерам бухгалтерии — камеры. Поэтому видеонаблюдение выносят в отдельную подсеть или VLAN: камеры общаются только с регистратором, регистратор — единственное устройство, которое выходит наружу и в офисную сеть. Если взломают ноутбук сотрудника, до камер он не дотянется, и наоборот.

Технически VLAN настраивается на управляемом или «смарт» PoE-коммутаторе и на роутере. Ещё проще для небольших объектов — регистратор со встроенными PoE-портами: камеры, подключённые к ним, оказываются во внутренней сети регистратора и вообще не видны из офисной. На роутере добавляют правило, запрещающее камерам выход в интернет: обновления и облако работают через регистратор.

Из каталога для этого подходят, например, смарт-коммутатор TP-Link SG2210P с VLAN и ACL, VPN-маршрутизатор TP-Link ER605 и маршрутизатор MikroTik hEX S. Настройку роутеров и сетей под видеонаблюдение мы делаем как отдельную услугу.

Выключите сервисы, которыми не пользуетесь: Telnet и SSH, UPnP на самой камере, облачный P2P, если доступ идёт через VPN. Обратите внимание: одна из уязвимостей Dahua 2025 года находилась в обработчике ONVIF — если ONVIF не нужен для подключения к стороннему регистратору, его лучше отключить, а если нужен, задайте для него отдельного пользователя с паролем.

Включите HTTPS вместо HTTP для веб-интерфейса, синхронизацию времени по NTP — без точного времени журналы событий бесполезны при разборе — и периодически просматривайте журнал входов: незнакомые IP-адреса, неизвестные пользователи и изменённые настройки — первый признак, что кто-то уже внутри.

Если признаки взлома есть, порядок такой: отключить устройство от интернета, обновить прошивку, сбросить настройки, задать новые пароли для всех учётных записей и ключ шифрования, проверить роутер на открытые порты.

Пять пунктов, которые закрывают основной риск: на роутере нет проброса портов на камеры и выключен UPnP; у регистратора и облачного аккаунта длинные разные пароли, у сотрудников — свои учётные записи без прав администратора; прошивки камер и регистратора не старше последних версий производителя; камеры в отдельной сети без выхода в интернет; лишние сервисы выключены, журнал входов просматривается.

По закону о персональных данных за защиту записей отвечает владелец системы, поэтому эти пункты стоит закрепить во внутреннем регламенте: кто меняет пароли, кто проверяет обновления, кто имеет доступ к архиву. Подробнее — в нашей статье о видеонаблюдении и персональных данных.

Если систему ставили давно или разными подрядчиками, проще заказать проверку: инженер пройдёт по чек-листу, обновит прошивки, вынесет камеры в отдельную сеть и настроит удалённый доступ без открытых портов. Дальше это входит в договор обслуживания: обновления и проверка журналов по графику. Смету по числу ваших устройств возвращаем в течение рабочего дня.