Бейнебақылау камераларын телефоннан немесе ноутбуктен көру мүмкіндігі бұрыннан үйреншікті функцияға айналды. Басшы кеңседегі жағдайды тексере алады, дүкен иесі — сауда залын қарай алады, ал жүйелік әкімші — жабдықтың жұмысын қашықтан тексере алады.
Бірақ ыңғайлылықпен бірге маңызды сұрақ туындайды: камераларға, мұрағатқа және ұйымның ішкі желісіне бөгде адамдарға жол ашпай, бейнебақылауға интернет арқылы қол жеткізуді қалай ұйымдастыру керек?
Қате баптау бейнежазбаларды бөгде адамдардың көруіне ғана емес, басқа да салдарға әкелуі мүмкін. Осал жабдық компанияның басқа жүйелеріне шабуыл жасау үшін кіру нүктесіне айналуы ықтимал.
Камераларға қол жеткізу үшін олардың веб-интерфейстерін
интернетке тікелей ашу міндетті емес.
Көп жағдайда сенімді авторизациясы және құқықтарды бақылауы бар
қорғалған VPN-қосылымын немесе өндірушінің бұлттық шешімін
пайдалануға болады.
Бейнебақылауға қашықтан қол жеткізу қалай жұмыс істейді
Әдетте бейнебақылау жүйесі IP-камералардан, желілік жабдықтан және бейнеағындарды қабылдап, сақтайтын NVR бейнетіркегішінен тұрады.
Шағын жүйеде камералар жазбаларды жад карталарына немесе бұлтқа өздігінен сақтай алады. Ірі инсталляцияларда орталықтандырылған бейнебақылау сервері қолданылады.
Пайдаланушы кеңседен тыс жерден бейнені көре алуы үшін тиісті құрылғыға немесе сервиске қосылуды ұйымдастыру қажет.
Мұндай қосылудың бірнеше тәсілі бар. Олар баптау күрделілігімен, басқару мүмкіндіктерімен және берілетін деректерді бақылау деңгейімен ерекшеленеді.
Қашықтан қосылудың үш негізгі тәсілі
1. Өндірушінің бұлттық сервисі — P2P
Көптеген заманауи IP-камералар мен бейнетіркегіштер өндірушінің бұлттық платформасы арқылы қосылуды қолдайды.
Әдетте әкімші тіркегішті интернетке қосып, тиісті функцияны белсендіреді және құрылғыны сериялық нөмір немесе QR-код арқылы мобильді қолданбаға қосады.
Осыдан кейін пайдаланушы жергілікті желіден тыс жерде жүріп, қолданба арқылы бейнеағынды көре алады.
Мұндай схеманың басты артықшылығы — қарапайымдылық. Көбіне статикалық ашық IP-мекенжай немесе VPN-ді өз бетінше баптау қажет болмайды.
Алайда қашықтан қол жеткізу инфрақұрылымының бір бөлігін өндіруші басқаратынын түсіну қажет. Іске асыру тәсіліне байланысты қосылым тікелей немесе аралық серверлер арқылы өтуі мүмкін.
Корпоративтік пайдалану үшін сервистің қалай жұмыс істейтінін, көпфакторлы аутентификацияны, шифрлауды және жеке пайдаланушыларды басқаруды қолдайтынын тексеру маңызды.
Бұлттық қол жеткізуді пайдаланғанда өндірушінің беделін,
жаңартуларды қолдауын, шифрлау және деректерді сақтау тәсілдерін,
қол жеткізуді өшіру мүмкіндіктерін және аккаунт қорғанысын ескеру керек.
QR-код арқылы қосылудың өзі
жүйе қауіпсіздігіне кепілдік бермейді.
2. VPN арқылы қосылу
VPN пайдаланушының қашықтағы құрылғысы мен корпоративтік желі арасында қорғалған қосылым жасауға мүмкіндік береді.
Мысалы, басшы кеңседен тыс жерде жүр. Ол смартфонда VPN-клиентті іске қосып, авторизациядан өтеді және қорғалған қосылым арқылы бейнетіркегішке рұқсат етілген қол жеткізуді алады.
Дұрыс бапталған жағдайда NVR веб-интерфейсін және IP-камералардың өзін интернетке тікелей жариялаудың қажеті жоқ.
Ұйым үшін қолдағы жабдық қолдайтын болса, WireGuard немесе IPsec сияқты қолайлы VPN-технологиясын пайдалануға болады.
Бұл ретте VPN өздігінен барлық қауіпсіздік мәселесін шешпейді. VPN-шлюзді қорғау, жаңартуларды уақтылы орнату, кілттерді басқару және ішкі ресурстарға қол жеткізуді шектеу қажет.
Егер пайдаланушыға тек камераларды көру қажет болса, VPN оған барлық серверлер мен жұмыс станцияларына автоматты түрде қол жеткізу бермеуі тиіс.
3. Ашық IP-мекенжай арқылы тікелей қосылу
Техникалық тұрғыдан қашықтан қол жеткізуді маршрутизатордағы порттарды қайта бағыттау арқылы ұйымдастыруға болады. Бұл жағдайда интернеттен келетін сұраулар тікелей бейнетіркегішке немесе IP-камераға беріледі.
Мұндай тәсіл ескі жүйелерде және кейбір шағын инсталляцияларда кездеседі.
Алайда ол қосымша шабуыл бетін қалыптастырады: бөгде пайдаланушылар мен автоматтандырылған сканерлер қолжетімді сервисті тауып, баптау қателерін, әлсіз парольдерді немесе белгілі осалдықтарды пайдалануға тырысуы мүмкін.
IP-камераның немесе NVR-дің әкімшілік интерфейсіне
порттарды қайта бағыттауды тек қосылу ыңғайлылығы үшін
пайдаланбаған жөн.
Сенімді авторизациясы бар қорғалған шлюз
немесе басқа шешім арқылы бақыланатын
қол жеткізуді ұйымдастырған дұрыс.
Әртүрлі міндетке қай тәсіл сәйкес келеді
Архитектураны таңдау жүйе көлеміне, құпиялық талаптарына, бар жабдыққа және техникалық қолдау мүмкіндіктеріне байланысты.
Шағын дүкен немесе кеңсе
Егер бірнеше камера және заманауи бейнетіркегіш қолданылса, өндірушінің бұлттық қол жеткізуін қарастыруға болады, бірақ оның қауіпсіздік механизмдері ұйым талаптарына сай болуы тиіс.
Жеке аккаунттарды, күрделі бірегей парольдерді және қолдау көрсетілсе, MFA-ны пайдалану маңызды.
Өз IT-инфрақұрылымы бар компания
Егер ұйым VPN-ді, желілік сегментацияны және пайдаланушыларды орталықтандырылған басқаруды қолданып жүрсе, бейнебақылауды қашықтан көруді қолданыстағы инфрақұрылымға енгізуге болады.
Бұл жүйеге кім қол жеткізетінін, қандай құрылғыларға қосылуға болатынын және қандай әрекеттерге рұқсат берілгенін өз бетінше бақылауға мүмкіндік береді.
Бірнеше филиал немесе нысан
Бірнеше аумақта орналасқан нысан болса, байланыс арналарының өткізу қабілетін, пайдаланушыларды басқаруды және орталық жүйенің қолжетімділігін ескеру қажет.
Талаптарға байланысты нысандар арасында қосылым ұйымдастыруға, орталықтандырылған бейнебақылау платформасын пайдалануға немесе жергілікті жазбаны қашықтан көрумен біріктіруге болады.
Назардан тыс қалдыруға болмайтын жеті баптау
1. Зауыттық парольдерді ауыстырыңыз
Жабдықты пайдалануға енгізгенде барлық қолданыстағы есептік жазбаларды тексеріп, белгілі зауыттық парольдерді ауыстыру қажет.
Тіркегіш, IP-камералар және желілік жабдық үшін бірегей парольдер қолданылуы тиіс. Барлық құрылғыға бір комбинацияны пайдалану оның компрометациясы салдарын ұлғайтады.
2. Қажетсіз желілік қызметтерді өшіріңіз
Кейбір құрылғыларда нақты бейнебақылау жүйесінде пайдаланылмайтын қызметтер қосулы болуы мүмкін.
Оларға ескірген хаттамалар, пайдаланылмайтын қашықтан басқару интерфейстері, FTP, Telnet немесе құрылғыларды табуға арналған қосымша сервистер жатуы мүмкін.
Қажетті қызметтер тізімі жабдық мүмкіндіктері мен таңдалған архитектураға байланысты анықталады.
UPnP-ге ерекше назар аудару керек: егер маршрутизатор мен құрылғы порттарды қайта бағыттау ережелерін автоматты түрде жасаса, әкімші ішкі сервистің сырттан қолжетімді болып қалғанын байқамай қалуы мүмкін.
3. Микробағдарламаларды тұрақты жаңартыңыз
IP-камера немесе бейнетіркегіш — өзінің операциялық жүйесі, желілік қызметтері және бағдарламалық қамтылымы бар мамандандырылған компьютер.
Өндірушілер анықталған осалдықтар мен жабдық жұмысының қателерін түзететін жаңартулар шығара алады.
Жаңарту алдында микробағдарламаның нақты модельмен үйлесімділігін тексеріп, конфигурацияны сақтап, бейнебақылау жұмысындағы ықтимал үзілісті ескеру қажет.
Қауіпсіздік түзетулері енді шығарылмайтын жабдықты әрі қарай пайдалану және ықтимал ауыстыру тұрғысынан бөлек бағалау керек.
4. Бейнебақылау желісін жұмыс желісінен бөліңіз
Корпоративтік инфрақұрылымда камераларды бөлек желілік сегментте немесе VLAN-да орналастырған дұрыс.
Бұл олардың жұмыс станцияларымен, бухгалтерлік серверлермен, файлдық сақтау орындарымен және басқа ресурстармен әрекеттесуін шектеуге мүмкіндік береді.
Алайда бөлек VLAN құрудың өзі оқшаулауға кепілдік бермейді. Желіаралық экран ережелерін баптап, тек шынымен қажет қосылымдарға рұқсат беру керек.
Мысалы, камераларға бейнетіркегішпен әрекеттесуге рұқсат беріліп, ал пайдаланушы желісіне еркін қол жеткізуге тыйым салынуы мүмкін.
5. Пайдаланушылар құқықтарын бөліңіз
Дүкен басшысына әдетте ағымдағы бейнені көру және қажет болса мұрағатқа қол жеткізу жеткілікті.
Жүйелік әкімшіге жабдықты баптау және диагностикалау үшін қосымша өкілеттіктер қажет болуы мүмкін.
Бұл міндеттерді жеке есептік жазбалар мен әртүрлі қол жеткізу деңгейлерін пайдаланып бөліп берген дұрыс.
NVR-дің бас әкімшісінің логині мен паролін барлық қызметкерге беруге болмайды.
6. Журналдау мен уақытты баптаңыз
Инциденттерді тергеу үшін пайдаланушы жүйеге қашан қосылғанын, қандай әрекеттер жасағанын және сәтсіз авторизация әрекеттері болған-болмағанын білу пайдалы.
Тиісті мүмкіндік болса, журналдауды қосып, жабдық уақытын сенімді дереккөзбен синхрондау қажет.
Журналдарды рұқсатсыз өзгертуден қорғап, ұйымның ішкі ережелеріне сәйкес сақтау керек.
7. Бейнежазбалардың өзін қорғаңыз
Қашықтан қол жеткізу қауіпсіздігі — тек онлайн-трансляцияны қорғау ғана емес.
Бейнежазбалар мұрағатында да қызметкерлер, клиенттер және ұйым қызметі туралы құпия ақпарат болуы мүмкін.
Сақтау мерзімдерін, материалдарды көру және жүктеп алу құқықтарын, жою тәртібін және критикалық жазбаларды резервтік көшіру қажеттілігін анықтау керек.
Мұрағатты жүктеп алуға қол жеткізуді тек уәкілетті қызметкерлерге берген жөн.
Неге камераларды кәдімгі кеңсе желісіне шектеусіз қоспау керек
Шағын компанияда қызметкерлер компьютерлері, принтерлер, серверлер, Wi-Fi және IP-камералар үшін бір ортақ желі жиі пайдаланылады.
Мұндай архитектурада бір желілік құрылғының компрометациясы басқа жүйелерге шабуыл жасау қаупін арттыруы мүмкін.
Желіні бөлу қажетсіз әрекеттесу үшін қолжетімді бағыттардың санын азайтуға көмектеседі.
Бұл ретте кіріс қосылымдарын ғана емес, құрылғылардың қажетсіз шығыс қосылымдарын да шектеу маңызды. Егер камераларға интернетке тікелей шығу қажет болмаса, оны тыйым салуға болады.
Камераларға қол жеткізуі бар телефон жоғалса не істеу керек
Егер қызметкер бейнебақылауды көруге арналған қолданба орнатылған смартфонын жоғалтса, алдын ала белгіленген тәртіп бойынша әрекет ету қажет.
Құрылғыны корпоративтік жабдық тізімінен жай ғана алып тастау барлық белсенді сеанстың бірден аяқталуына әрдайым әкелмейді.
- Құрылғы жоғалғаны туралы IT-қауіпсіздікке жауапты адамға хабарлау.
- Мұндай мүмкіндік болса, қолданбаның белсенді сеанстарын кері қайтару.
- Компрометацияланған тіркелгі деректерін бұғаттау немесе өзгерту.
- Құрылғыға орнатылған VPN-кілттерді немесе сертификаттарды кері қайтару.
- Қосылым журналдарын күдікті белсенділікке тексеру.
- Корпоративтік MDM болса, қарастырылған бұғаттау немесе жұмыс деректерін жою функцияларын пайдалану.
Бейнебақылау жүйесін таңдағанда барлық басқа қызметкерлердің
парольдерін өзгертпей-ақ нақты пайдаланушыны
немесе құрылғыны өшіруге болатынын алдын ала тексерген жөн.
Орнатылған жүйенің қауіпсіздігін қалай тексеруге болады
Егер бейнебақылау бірнеше жылдан бері жұмыс істесе, жабдықты түгендеуден және қазіргі қосылу схемасын талдаудан бастауға болады.
Ол үшін қандай құрылғылар қолданылатынын, кімнің әкімшілік қол жеткізуі барын, қандай желілік қызметтер белсенді екенін және қашықтан көру қалай ұйымдастырылғанын анықтау қажет.
Маршрутизатор баптауларын және ішкі сервистерді интернеттен қосылуға ашатын ережелердің бар-жоғын бөлек тексеру керек.
Камералар мен тіркегіштердегі зауыттық парольдер ауыстырылды
Әр қызметкерге жеке есептік жазба бапталды
Көру және әкімшілік құқықтар бөлінді
Қолдау көрсетілсе, бұлттық аккаунттар үшін MFA қосылды
Микробағдарлама жаңартуларының бар-жоғы тексерілді
Қажетсіз желілік қызметтер өшірілді
UPnP және порттарды қайта бағыттау ережелері тексерілді
Камералар негізгі жұмыс желісінен бөлінді
Желіаралық экран ережелері құрылғыларға қол жеткізуді шектейді
Қашықтан қол жеткізу бақыланатын қосылым арқылы ұйымдастырылды
Жеке қызметкердің қол жеткізуін кері қайтару мүмкіндігі тексерілді
Уақыт, журналдау және оқиғаларды бақылау бапталды
Бейнежазбаларды сақтау және жүктеп алу ережелері анықталды
Бейнебақылау архитектурасын қашан қайта қарау керек
Қосымша тексеруге жаңартулардың болмауы, ортақ әкімшілік парольдердің қолданылуы, порттарды қайта бағыттаудың белгісіз ережелері немесе жеке пайдаланушыны өшіру мүмкін еместігі себеп болуы мүмкін.
IT-мердігер ауысқаннан, әкімші жұмыстан кеткеннен немесе күдікті қосылымдар анықталғаннан кейін де жүйені тексерген жөн.
Егер жабдыққа өндіруші енді қолдау көрсетпесе және қажетті қорғаныс деңгейін қамтамасыз етуге мүмкіндік бермесе, ұйым оны жаңғыртуды немесе ауыстыруды қарастыра алады.
Қорытынды
Камераларды ыңғайлы қашықтан көру үшін бүкіл бейнебақылау жүйесін интернетке жариялаудың қажеті болмауы тиіс.
Шағын компанияға сапалы іске асырылған бұлттық сервис қолайлы болуы мүмкін. Өз IT-инфрақұрылымы бар ұйымға — бақыланатын VPN-қосылым. Екі жағдайда да нақты жабдықтың мүмкіндіктері мен деректер құпиялылығына қойылатын талаптарды ескеру қажет.
Жеке есептік жазбалар, жаңартулар, желіні бөлу, қашықтан қол жеткізуді бақылау және мұрағатты дұрыс басқару бейнебақылауды пайдалану тәуекелдерін азайтуға көмектеседі.
Корпоративтік инфрақұрылымды ұйымдастыру туралы толығырақ мына бөлімнен білуге болады: «Желілер және серверлер», ал техникалық қорғаныс шаралары туралы — мына бөлімде: «Киберқауіпсіздік».