IP Kameraları ve Kayıt Cihazını Hacklenmeye Karşı Koruma: Parolalar, Güncellemeler, VLAN — 2025 Açıkları Örneğiyle

Kamera ve kayıt cihazı; işletim sistemi, ağ arayüzü ve parolası olan küçük bilgisayarlardır. İnternetten erişilebilir ve hiç güncellenmiyorsa otomatik tarayıcılar onları birkaç saat içinde bulur. Saldırganların amaçları farklıdır: videoyu izlemek veya indirmek, cihazı başka sitelere saldıran bir botnete katmak, kamerayı ofisin iç ağına giriş noktası olarak kullanmak ya da sadece arşivi silmek.

Sahibi için bu soyut bir risk değildir. İnsanların göründüğü kayıtların sızması kişisel veriler kanununun ihlalidir ve bundan sistem operatörü, yani siz sorumlusunuz. Hacklenen kayıt cihazı tam da kaydın gerektiği gece kaydı durdurabilir. Botnetteki kamera ise internet hattını tüketir ve bazen sağlayıcının IP adresinizi engellemesine yol açar.

2025 yazında Dahua iki açıkla ilgili bir bülten yayımladı: ONVIF protokol işleyicisindeki CVE-2025-31700 ve dosya yükleme işleyicisindeki CVE-2025-31701. Her ikisi de 10 üzerinden 8,1 puanla derecelendirildi: özel hazırlanmış bir ağ paketi kamerayı çökertebilir, bazı modellerde ise uzaktan kod çalıştırılmasına yol açabilir. Yaygın IPC-1XXX, IPC-2XXX, IPC-WX, IPC-ECXX serileri ile SD3A ve SD2A PTZ kameralar etkilendi; 16 Nisan 2025'ten sonra derlenen yazılımlar etkilenmiyor. Düzeltmeler üreticinin indirme merkezinde, bulut güncellemeli cihazlara ise otomatik geliyor.

Hikvision tarafında Eylül 2025'te araştırmacılar eski açıkları istismar girişimlerinde yeni bir dalga kaydetti: 2017'de düzeltilen CVE-2017-7921 ve Eylül 2021'de düzeltilen CVE-2021-36260. Her ikisi de 9,8 puan. Saldırganlar varsayılan ve zayıf parolaları denedi, yıllardır güncellenmemiş yazılımlı cihazları aradı.

Her iki olaydan çıkan ders aynı: hedef yeni kameralar değil, güncellenmemiş ve doğrudan internete açılmış olanlardır. Üreticiler açıkları kapatır ama düzeltme kurulmadıkça hiçbir şeyi değiştirmez. Aşağıda riskin büyük kısmını kapatan beş önlem var.

En yaygın hata, kameraları telefondan izlemek için routerda port yönlendirmedir: kayıt cihazının web arayüzü dünyadaki her tarayıcıya açık hâle gelir. İkincisi routerda açık bırakılan UPnP'dir; kamera bunun üzerinden kendine port açar. Üreticiler ve araştırmacılar tam olarak bu ikisinin önce kapatılmasını öneriyor.

Uzaktan izleme farklı yapılır. Birinci seçenek üreticinin bulutudur: Hikvision'da Hik-Connect, Dahua'da DMSS. Bağlantıyı cihazın kendisi başlatır, routerda port açmaya gerek yoktur, video şifreleme anahtarıyla korunur. İkinci seçenek routerdaki VPN'dir: telefon veya dizüstü ofis ağına şifreli bir tünelle bağlanır ve kameraları içeriden görüyormuş gibi görür. Birden çok tesisi olan işletme için VPN daha güvenilir ve kullanışlıdır.

Kontrol etmek kolay: router ayarlarını açın, port yönlendirme ve UPnP bölümüne bakın. Kameralara veya kayıt cihazına yönlendirilmiş kurallar varsa ve UPnP açıksa, ilk düzeltilecek şey budur.

Yeni Hikvision ve Dahua kameralar varsayılan parolayla çalışmaz; kendi parolanızla etkinleştirilmeleri gerekir. Ancak eski sistemlerde hâlâ admin/12345 ve kurulumcunun kayıt cihazına kalemle yazdığı parolalar görülür. Parola uzun olmalı, harf, rakam ve sembol içermeli, kayıt cihazı ve bulut hesabı için farklı olmalıdır.

Kimse her gün yönetici olarak çalışmamalıdır. Güvenlik görevlileri ve personel için yalnızca gerekli kameraları izleme yetkisi olan ayrı hesaplar açılır; yükleniciye geçici erişim verilir ve iş bitince geri alınır. Birkaç hatalı denemeden sonra hesap kilidini açın; böylece 2025'te saldırganların kullandığı parola deneme işe yaramaz.

Ayrıca bulut şifreleme anahtarı var (Hikvision buna doğrulama kodu der). Varsayılan bırakılmaz ve etikete basılmaz. Parola ve anahtar cihazın web arayüzünden veya SADP aracıyla değiştirilebilir; nasıl yapılacağını SADP yazımızda ayrıntılı anlattık.

2025'teki her iki Hikvision saldırı dalgası da dört ve sekiz yıllık açıkları kullandı. Demek ki hacklenen cihazlar hiç güncellenmemişti. Yazılım sürümünü her çeyrekte kontrol edin — web arayüzünde, SADP'de ve uygulamada görünür — ve üreticinin sitesindeki son sürümle karşılaştırın.

Yazılım yalnızca tam model ve donanım revizyonu için resmî indirme merkezinden alınır ya da bulut güncellemesiyle kurulur. Forumlardan ve mesajlaşma uygulamalarından gelen yazılımlar ayrı bir risktir. Kayıt cihazını güncellemeden önce yapılandırma dışa aktarılır, çok eski donanımda ise üreticinin belirttiği gibi ara sürümlerden geçerek adım adım güncellenir.

Artık güncelleme almayan kameralar için tek çözüm var: internet erişimi olmayan ayrı bir ağda izole etmek ya da değiştirmek. Yeni yaygın bir IP kamera genellikle kayıt sızıntısı olayından daha ucuzdur.

Kameraların muhasebeyi, muhasebe bilgisayarlarının da kameraları görmesine gerek yok. Bu yüzden kamera sistemi ayrı bir alt ağa veya VLAN'a alınır: kameralar yalnızca kayıt cihazıyla konuşur, kayıt cihazı dışarıya ve ofis ağına çıkan tek cihazdır. Bir çalışanın dizüstüsü ele geçirilse kameralara ulaşamaz, tersi de geçerli.

Teknik olarak VLAN, yönetilebilir veya akıllı bir PoE switch'te ve routerda ayarlanır. Küçük tesisler için daha da basiti dahili PoE portlu kayıt cihazıdır: bu portlara bağlanan kameralar kayıt cihazının iç ağında kalır ve ofis ağından hiç görünmez. Routera kameraların internete çıkmasını yasaklayan bir kural eklenir; güncellemeler ve bulut kayıt cihazı üzerinden çalışır.

Kataloğumuzdan bunun için örneğin VLAN ve ACL destekli TP-Link SG2210P akıllı switch, TP-Link ER605 VPN router ve MikroTik hEX S router uygundur. Kamera sistemleri için router ve ağ yapılandırmasını ayrı bir hizmet olarak yapıyoruz.

Kullanmadığınız servisleri kapatın: Telnet ve SSH, kameradaki UPnP, erişim VPN üzerindense bulut P2P. Dikkat: Dahua'nın 2025 açıklarından biri ONVIF işleyicisindeydi — ONVIF üçüncü taraf kayıt cihazına bağlanmak için gerekmiyorsa kapatmak daha iyidir; gerekiyorsa ona parolalı ayrı bir kullanıcı tanımlayın.

Web arayüzü için HTTP yerine HTTPS'yi, NTP saat senkronizasyonunu açın — doğru saat olmadan olay kayıtları incelemede işe yaramaz — ve giriş kayıtlarını düzenli olarak gözden geçirin: tanımadık IP adresleri, bilinmeyen kullanıcılar ve değişmiş ayarlar birinin zaten içeride olduğunun ilk işaretidir.

Hacklenme belirtileri varsa sıra şöyle: cihazı internetten ayırın, yazılımı güncelleyin, ayarları sıfırlayın, tüm hesaplar için yeni parolalar ve şifreleme anahtarı belirleyin, routerı açık portlar için kontrol edin.

Ana riski kapatan beş madde: routerda kameralara port yönlendirme yok ve UPnP kapalı; kayıt cihazında ve bulut hesabında uzun ve farklı parolalar var, personel yönetici yetkisi olmayan kendi hesaplarını kullanıyor; kamera ve kayıt cihazı yazılımları üreticinin son sürümlerinde; kameralar internet erişimi olmayan ayrı bir ağda; gereksiz servisler kapalı ve giriş kayıtları izleniyor.

Kişisel veriler kanununa göre kayıtların korunmasından sistem sahibi sorumludur; bu yüzden bu maddeler iç yönetmelikte yer almalı: parolaları kim değiştirir, güncellemeleri kim kontrol eder, arşive kim erişir. Ayrıntılar kamera sistemleri ve kişisel veriler hakkındaki yazımızda.

Sistem uzun zaman önce ya da farklı yükleniciler tarafından kurulduysa denetim yaptırmak daha kolaydır: mühendis listeyi uygular, yazılımları günceller, kameraları ayrı ağa alır ve açık port olmadan uzaktan erişimi kurar. Ardından bu bakım sözleşmesinin parçası olur: planlı güncellemeler ve kayıt kontrolleri. Cihaz sayınıza göre teklifi bir iş günü içinde veriyoruz.