IP-kameralar va registratorni buzib kirishdan qanday himoya qilish: parollar, yangilanishlar, VLAN — 2025-yil zaifliklari misolida

Kamera va registrator — operatsion tizimi, tarmoq interfeysi va paroli bor kichik kompyuterlar. Agar ular internetdan ochiq boʻlsa va yangilanmasa, avtomatik skanerlar ularni bir necha soatda topadi. Buzgʻunchilarning maqsadlari turlicha: videoni koʻrish yoki yuklab olish, qurilmani boshqa saytlarga hujum qilish uchun botnetga qoʻshish, kamerani ofisning ichki tarmogʻiga kirish nuqtasi sifatida ishlatish yoki shunchaki arxivni oʻchirish.

Egasi uchun bu mavhum xavf emas. Odamlar tushgan yozuvlarning sizib chiqishi — shaxsiy maʼlumotlar toʻgʻrisidagi qonunni buzish boʻlib, uning uchun tizim operatori, yaʼni siz javob berasiz. Buzilgan registrator aynan yozuv kerak boʻlgan kechada yozishni toʻxtatishi mumkin. Botnetdagi kamera esa internet kanalini yeydi va baʼzan provayder IP-manzilingizni bloklashiga olib keladi.

2025-yil yozida Dahua ikki zaiflik haqida byulleten eʼlon qildi: ONVIF protokoli ishlov beruvchisidagi CVE-2025-31700 va fayllarni yuklash ishlov beruvchisidagi CVE-2025-31701. Ikkalasi 10 balldan 8,1 ga baholangan: maxsus tuzilgan tarmoq paketi kameraning ishdan chiqishiga, baʼzi modellarda esa begona kodning bajarilishiga olib kelishi mumkin. Ommaviy IPC-1XXX, IPC-2XXX, IPC-WX, IPC-ECXX seriyalari, burilma SD3A va SD2A taʼsirlangan; yigʻilish sanasi 2025-yil 16-apreldan keyingi proshivkalar zaif emas. Tuzatishlar ishlab chiqaruvchining yuklab olish markazida joylangan, bulutli yangilanishga ega qurilmalarga esa ular avtomatik keladi.

Hikvisionda 2025-yil sentyabrida tadqiqotchilar eski zaifliklardan foydalanishga urinishlarning yangi toʻlqinini qayd etdi: 2017-yilda tuzatilgan CVE-2017-7921 va 2021-yil sentyabrida tuzatilgan CVE-2021-36260. Ikkalasi 9,8 ballga baholangan. Hujumchilar zavod va kuchsiz parollarni terib koʻrdi va yillar davomida yangilanmagan proshivkali qurilmalarni qidirdi.

Ikkala voqeadan xulosa bitta: xavf ostida yangi kameralar emas, balki yangilanmagan va internetga toʻgʻridan-toʻgʻri ochilganlar qoladi. Ishlab chiqaruvchilar teshiklarni yopadi, lekin tuzatish oʻrnatilmaguncha hech narsani oʻzgartirmaydi. Keyin — xavfning katta qismini yopadigan beshta chora.

Eng koʻp uchraydigan xato — telefondan kameralarni koʻrish uchun routerda port yoʻnaltirish: registratorning veb-interfeysi dunyodagi har qanday skanerga ochiq boʻlib qoladi. Ikkinchisi — routerda yoqilgan UPnP, u orqali kamera oʻziga oʻzi port ochadi. Ishlab chiqaruvchilar va tadqiqotchilar aynan shu ikki narsani birinchi navbatda oʻchirishni maslahat beradi.

Masofadan koʻrish boshqacha qilinadi. Birinchi variant — ishlab chiqaruvchi buluti: Hikvisionda Hik-Connect yoki Dahuada DMSS. Ulanishni qurilmaning oʻzi boshlaydi, routerda port ochish kerak emas, video esa shifrlash kaliti bilan himoyalanadi. Ikkinchi variant — routerdagi VPN: telefon yoki noutbuk ofis tarmogʻiga shifrlangan kanal orqali ulanadi va kameralarni ichkaridan koʻrgandek koʻradi. Bir nechta obyektli biznes uchun VPN ishonchliroq va qulayroq.

Oʻzingizni tekshirish oson: router sozlamalariga kirib, port yoʻnaltirish va UPnP boʻlimini koʻring. Agar u yerda kameralar yoki registrator manzillariga qoidalar boʻlsa va UPnP yoqilgan boʻlsa — tuzatish kerak boʻlgan birinchi narsa shu.

Yangi Hikvision va Dahua kameralari zavod paroli bilan ishlamaydi — ularni oʻz parolingizni berib faollashtirish kerak. Lekin eski tizimlarda hali ham admin/12345 va montajchi registratorga marker bilan yozib qoʻygan parollar uchraydi. Parol uzun, harf, raqam va belgilardan iborat va registrator hamda bulut akkaunti uchun har xil boʻlishi kerak.

Har kuni administrator ostida ishlanmaydi. Qoʻriqlash va xodimlarga faqat kerakli kameralarni koʻrish huquqiga ega alohida hisob qaydnomalari yaratiladi; pudratchiga vaqtinchalik kirish beriladi va ishlardan keyin qaytarib olinadi. Bir necha notoʻgʻri kirish urinishidan keyin bloklashni yoqing — shunda 2025-yilda hujumchilar foydalangan parollarni terib koʻrish befoyda boʻladi.

Alohida — bulut uchun shifrlash kaliti (Hikvisionda u tasdiqlash kodi deb ataladi). U zavod holatida qoldirilmaydi va yorliqqa chop etilmaydi. Parol va kalitni qurilmaning veb-interfeysida yoki SADP utilitasi orqali almashtirish mumkin; buni qanday qilish kerakligini SADP haqidagi maqolada batafsil koʻrib chiqqanmiz.

2025-yilda Hikvisionga qilingan ikkala hujum toʻlqini toʻrt va sakkiz yillik zaifliklarga qaratilgan edi. Demak, buzilgan qurilmalar bir marta ham yangilanmagan. Proshivka versiyasini har chorakda tekshiring — u veb-interfeysda, SADPda va ilovada koʻrinadi — va ishlab chiqaruvchi saytidagi oxirgisi bilan solishtiring.

Proshivka faqat aniq model va apparat reviziyasi uchun rasmiy yuklab olish markazidan olinadi yoki bulutli yangilanish orqali oʻrnatiladi. Forumlar va messenjerlardagi proshivkalar — alohida xavf. Registratorni yangilashdan oldin konfiguratsiya yuklab olinadi, juda eski uskunada esa ishlab chiqaruvchi koʻrsatganidek oraliq versiyalar orqali ketma-ket yangilanadi.

Endi yangilanish chiqarilmaydigan kameralar uchun yechim bitta: ularni internetga chiqishi yoʻq alohida tarmoqda izolyatsiya qilish yoki almashtirish. Yangi ommaviy IP-kamera narxi odatda yozuvlar sizib chiqishi bilan bogʻliq hodisa narxidan kam.

Kameralarga buxgalteriyani koʻrish kerak emas, buxgalteriya kompyuterlariga esa kameralarni. Shuning uchun videokuzatuv alohida pastki tarmoq yoki VLANga chiqariladi: kameralar faqat registrator bilan aloqa qiladi, registrator esa tashqariga va ofis tarmogʻiga chiqadigan yagona qurilma. Agar xodim noutbukini buzishsa, u kameralarga yeta olmaydi va aksincha.

Texnik jihatdan VLAN boshqariladigan yoki «smart» PoE-kommutatorda va routerda sozlanadi. Kichik obyektlar uchun yanada osonrogʻi — oʻrnatilgan PoE-portli registrator: ularga ulangan kameralar registratorning ichki tarmogʻida boʻladi va ofis tarmogʻidan umuman koʻrinmaydi. Routerga kameralarning internetga chiqishini taqiqlovchi qoida qoʻshiladi: yangilanishlar va bulut registrator orqali ishlaydi.

Buning uchun katalogdan, masalan, VLAN va ACLga ega TP-Link SG2210P smart-kommutatori, TP-Link ER605 VPN-routeri va MikroTik hEX S routeri mos keladi. Videokuzatuv uchun routerlar va tarmoqlarni sozlashni alohida xizmat sifatida bajaramiz.

Foydalanmaydigan xizmatlarni oʻchiring: Telnet va SSH, kameraning oʻzidagi UPnP, kirish VPN orqali boʻlsa bulutli P2P. Eʼtibor bering: Dahuaning 2025-yildagi zaifliklaridan biri ONVIF ishlov beruvchisida edi — agar ONVIF uchinchi tomon registratoriga ulanish uchun kerak boʻlmasa, uni oʻchirgan maʼqul, kerak boʻlsa, unga parolli alohida foydalanuvchi bering.

Veb-interfeys uchun HTTP oʻrniga HTTPSni, NTP orqali vaqt sinxronizatsiyasini yoqing — aniq vaqtsiz hodisalar jurnallari tahlilda foydasiz — va vaqti-vaqti bilan kirishlar jurnalini koʻrib turing: notanish IP-manzillar, nomaʼlum foydalanuvchilar va oʻzgargan sozlamalar — kimdir allaqachon ichkarida ekanining birinchi belgisi.

Agar buzish belgilari boʻlsa, tartib shunday: qurilmani internetdan uzish, proshivkani yangilash, sozlamalarni tiklash, barcha hisob qaydnomalari uchun yangi parollar va shifrlash kalitini berish, routerni ochiq portlarga tekshirish.

Asosiy xavfni yopadigan beshta band: routerda kameralarga port yoʻnaltirish yoʻq va UPnP oʻchirilgan; registrator va bulut akkauntida uzun va har xil parollar, xodimlarda administrator huquqisiz oʻz hisob qaydnomalari bor; kameralar va registrator proshivkalari ishlab chiqaruvchining oxirgi versiyalaridan eski emas; kameralar internetga chiqishi yoʻq alohida tarmoqda; ortiqcha xizmatlar oʻchirilgan, kirishlar jurnali koʻrib turiladi.

Shaxsiy maʼlumotlar toʻgʻrisidagi qonunga koʻra yozuvlarni himoya qilish uchun tizim egasi javob beradi, shuning uchun bu bandlarni ichki reglamentda mustahkamlash kerak: parollarni kim almashtiradi, yangilanishlarni kim tekshiradi, arxivga kim kira oladi. Batafsil — videokuzatuv va shaxsiy maʼlumotlar haqidagi maqolamizda.

Agar tizim ancha oldin yoki turli pudratchilar tomonidan oʻrnatilgan boʻlsa, tekshiruv buyurtma qilish osonroq: muhandis roʻyxat boʻyicha oʻtadi, proshivkalarni yangilaydi, kameralarni alohida tarmoqqa chiqaradi va ochiq portlarsiz masofaviy kirishni sozlaydi. Keyin bu xizmat koʻrsatish shartnomasiga kiradi: jadval boʻyicha yangilanishlar va jurnallarni tekshirish. Qurilmalaringiz soni boʻyicha smetani ish kuni davomida yuboramiz.