امنیت سایبری دوربین مداربسته؛ نگاهی به سند امنیت محصول داهوا و چک‌لیست عملی خریدار
امنیت سایبری دوربین مداربسته دیگر یک موضوع لوکس نیست؛ دوربینی که به اینترنت وصل است باید مثل هر دستگاه شبکه دیگر جدی گرفته شود. در این مطلب نگاهی می‌اندازیم به سند امنیت محصول داهوا تا ببینیم یک برند بزرگ امنیت را چطور تضمین میکند، و در انتها یک چک‌لیست عملی برای امن کردن سیستم خودتان می‌گیرید.
تیم فنی فروشگاه· کارشناس دوربین مداربسته۱۶ مرداد ۱۴۰۵۵ دقیقه مطالعه
چرا امنیت سایبری دوربین مداربسته حالا یک موضوع جدی است؟
دوربین مداربسته دیگر یک دستگاه منفصل نیست؛ به اینترنت وصل است، روی شبکه اداری قرار می‌گیرد و تصویر شما را به موبایل می‌فرستد. همین اتصال، آن را به یکی از اهداف محبوب مهاجمان تبدیل کرده است. موارد سرقت تصویر، ورود دوربینها به بات‌نت‌ها و سواستفاده از رمزهای پیشفرض، دیگر خبر نیست. به همین دلیل، تولیدکنندگان بزرگ مجبور شده‌اند نشان دهند امنیت را از مرحله طراحی جدی می‌گیرند.
داهوا نسخه ۳ سند امنیت محصول خود (Product Security White Paper 3.0) را با همین هدف منتشر کرده است؛ سندی که توضیح میدهد این شرکت در چهار لایه، امنیت محصول را تضمین میکند: توسعه امن نرمافزار، معماری امنیتی داخلی محصول، انطباق با استانداردهای جهانی، و پاسخ به حوادث بعد از فروش. در ادامه هر لایه را به زبان ساده باز می‌کنیم و در انتها چک‌لیست عملی برای خریدار ارائه میشود.
لایه اول: امنیت از همان روز اول کدنویسی
مفهومی که داهوا با نام sSDLC مطرح میکند، یعنی چرخه توسعه امن نرمافزار. ایده ساده است: به جای اینکه در پایان ساخت محصول دنبال باگ بگردند، امنیت از مرحله تعریف نیازمندی و طراحی وارد فرآیند میشود؛ تحلیل امنیتی کد به صورت خودکار، تست نفوذ قبل از انتشار، و آموزش امنیتی تیم‌های مهندسی.
برای خریدار، این یعنی احتمال اینکه یک حفره امنیتی بچه‌گانه در firmware دستگاه بماند کمتر میشود. البته هیچ فرآیندی صددرصد نیست، اما تفاوت برندی که چنین چرخه‌ای دارد با برندی که firmware را یک بار منتشر و فراموش میکند، در بلندمدت کاملاً محسوس است.
لایه دوم: معماری امنیتی داخل خود دستگاه
لایه دوم مربوط به چیزهایی است که روی خود دوربین یا دستگاه ضبط اجرا میشود. داهوا از یک «خط پایه امنیتی» (Security Baseline) صحبت میکند که احراز هویت، سطح دسترسی، حسابرسی، محرمانگی، یکپارچگی داده و حفاظت از حریم خصوصی را در طراحی محصول پوشش میدهد. روی دستگاه، این مفاهیم به شکل قابلیت‌هایی مثل مرکز امنیت محصول (Product Security Center) دیده میشود: خودآزمایی وضعیت داخلی، پایش تهدید خارجی و هشدار لحظه‌ای ریسک.
به زبان ساده‌تر: دستگاهی که خودش وضعیت امنیتی‌اش را گزارش میدهد، به مدیر شبکه اجازه میدهد رمزهای ضعیف، سرویسهای باز و تنظیمات خطرناک را پیدا و اصلاح کند، قبل از اینکه مهاجم پیدایشان کند.
لایه سوم: گواهیهای بینالمللی؛ ادعا با مدرک
سومین بخش سند به گواهیهای مستقل اشاره دارد؛ جایی که ادعای امنیت به جای تبلیغات، توسط نهادهای ثالث سنجیده میشود. سه نمونه مهم:
Common Criteria (CC): ارزیابی بینالمللی امنیت محصولات IT بر اساس استاندارد ISO/IEC 15408.
FIPS 140-2: استاندارد دولت آمریکا برای ماژول‌های رمزنگاری؛ یعنی پیاده‌سازی رمزنگاری دستگاه مورد آزمون قرار گرفته است.
ETSI EN 303 645: استاندارد اروپایی امنیت سایبری برای دستگاههای اینترنت اشیا مصرفی که الزاماتی مثل حذف رمز پیشفرض همگانی، گزارش آسیبپذیری و بهروزرسانی امن را پوشش میدهد.
وقتی در دیتاشیت محصولی نام این گواهی‌ها را می‌بینید، می‌توانید وجودشان را از مراجع رسمی استعلام کنید. همین قابلیت استعلام است که گواهی را از شعار تبلیغاتی جدا میکند.
لایه چهار: وقتی باگ پیدا میشود، چه اتفاقی می‌افتد؟
هیچ محصول نرم‌افزاری بدون آسیبپذیری نیست؛ تفاوت برندها در نحوه پاسخ است. داهوا یک تیم واکنش به حوادث امنیتی محصول (PSIRT) دارد که آسیبپذیریهای گزارش‌شده را دریافت، پردازش و افشا میکند و این شرکت عضو شبکه بینالمللی CNA است؛ یعنی میتواند برای آسیبپذیریهای محصولات خود شناسه CVE رسمی صادر کند. فرآیند مدیریت آسیبپذیری هم با استانداردهای ISO/IEC 30111 و ISO/IEC 29147 هم‌راستا اعلام شده است.
نکته عملی برای خریدار: وجود کانال رسمی گزارش باگ و انتشار منظم بهروزرسانی، به معنای زنده بودن چرخه امنیت است. برندی را ترجیح دهید که صفحه advisory امنیتی دارد و تاریخ آخرین بهروزرسانی firmware محصولش مشخص است.
امنیت دوربین شما: چک‌لیست عملی بعد از خرید
امنیت مسئولیت مشترک سازنده و کاربر است. حتی امن‌ترین دستگاه هم با نصب بد باز میشود. این فهرست را بعد از نصب هر سیستم نظارتی اجرا کنید:
رمز پیشفرض را بلافاصله عوض کنید و از رمز یکتا و طولانی استفاده کنید؛ رمز admin/12345 رایج‌ترین راه ورود مهاجمان است.
Firmware را بهروز نگه دارید. به‌روزرسانی‌های امنیتی دقیقاً برای بستن آسیبپذیریهای شناخته‌شده منتشر میشوند.
سرویسهای غیرضروری را خاموش کنید. UPnP، Telnet و پورت‌های اضافه که استفاده نمی‌شوند، بسته شوند.
دوربینها را در VLAN جدا قرار دهید تا از شبکه اداری و مالی جدا بمانند.
دسترسی از راه دور را اصولی بدهید. به جای باز کردن پورت روی مودم، از روش‌های رسمی P2P یا VPN استفاده کنید.
لاگ دستگاه را دوره‌ای بررسی کنید؛ تلاش‌های ورود ناموفق و IPهای ناشناس زنگ خطر هستند.
بزرگ‌ترین حفره امنیتی در پروژه‌های واقعی، نه فناوری پیشرفته مهاجم، بلکه رمز پیش‌فرضی است که هیچ‌کس حوصله عوض کردنش را نداشته.
این سند برای خریدار ایرانی چه فایده‌ای دارد؟
اول، معیار مقایسه است. وقتی بین دو برند مردد هستید، از هر دو بخواهید سند امنیت محصول، گواهی‌ها و سیاست به‌روزرسانی‌شان را ارائه کنند. برندی که مدرک ندارد، خودش پاسخ را داده. دوم، آرامش ذهن در پروژه‌های حساس است. برای بانک‌ها، مراکز درمانی و صنایع، وجود گواهی‌هایی مثل FIPS 140-2 و Common Criteria در بسیاری از مناقصات الزام یا امتیاز محسوب میشود. سوم، مسیر شکایت روشن است؛ اگر روزی آسیبپذیری در دستگاه پیدا کردید، می‌دانید آن را به کدام کانال رسمی گزارش دهید.
نکات کلیدی
سند امنیت محصول داهوا چهار لایه را پوشش میدهد: توسعه امن، معماری امنیتی داخلی، گواهیهای بینالمللی و پاسخ به حوادث.
گواهی‌هایی مثل Common Criteria، FIPS 140-2 و ETSI EN 303 645 ادعای امنیت را به مدرک قابل استعلام تبدیل می‌کنند.
عضویت در CNA و داشتن تیم PSIRT یعنی چرخه گزارش و وصله آسیبپذیری به صورت رسمی وجود دارد.
امنیت مسئولیت مشترک است؛ تعویض رمز پیشفرض و بهروزرسانی firmware دو اقدام ساده با بیشترین اثر هستند.
