IP Kamera ve NVR Siber Güvenlik Kontrol Listesi

IP kameralar, NVR’lar ve VMS sunucuları kurumsal ağlardaki en kalabalık cihaz grubu olabilir. Uzun yıllar güncellenmeden çalışabilen bu cihazlar, kamera ve kayıt cihazlarını etkileyen güvenlik açıklarının istismar edilen açık listelerinde düzenli yer alması nedeniyle ciddi bir saldırı yüzeyi oluşturur. Bu kontrol listesi, bir video gözetim sisteminin güvenlik hijyenini dört başlıkta gözden geçirmenizi sağlar.

1. Cihaz seviyesi

• Varsayılan parola yok: Tüm kamera, NVR ve switch’lerde fabrika parolaları değiştirilmiş mi? Her cihazda aynı parola kullanılıyor mu?
• Parola yönetimi: Yönetici parolaları bir parola kasasında, cihaz bazında saklanıyor mu?
• Firmware: Her cihazın sürümü envanterde mi? Üretici güvenlik bültenleri periyodik kontrol ediliyor mu?
• Gereksiz servisler: Telnet, FTP, UPnP, SSH (kullanılmıyorsa), eski RTSP kimlik doğrulama modları kapalı mı?
• Şifreli yönetim: Yönetim arayüzü HTTPS üzerinden mi? Kendinden imzalı sertifikalar yerine kurumsal sertifika kullanılabiliyor mu?
• Kimlik doğrulama: ONVIF tarafında eski username token yerine digest veya TLS kullanılıyor mu? ONVIF, Profile S’in sona ermesi gerekçesi olarak username token’ın zayıflığını gösterir (ONVIF rehberi).
• Saat: Tüm cihazlar güvenilir bir NTP kaynağına senkron mu? Yanlış saat, log ve olay incelemesini anlamsızlaştırır.
• Destek süresi: Üretici desteği bitmiş (EOL) cihazlar listelenmiş ve izole edilmiş mi?

2. Ağ seviyesi

• Segmentasyon: Kameralar kurumsal kullanıcı ağından ve OT ağından ayrı segmentte mi? Segmentler arası trafik kurallarla sınırlı mı? (kamera VLAN’ı)
• İnternet maruziyeti: NVR veya kameralar için port yönlendirme var mı? UPnP ile otomatik açılmış portlar var mı? Kurum dışından bir tarama ile doğrulandı mı?
• Bulut/P2P servisleri: Üreticinin P2P bağlantı servisleri bilinçli olarak mı açık?
• Kameraların dışa erişimi: Kameraların internete çıkışı kapalı mı?
• Uzaktan erişim: VPN veya denetlenmiş bir aracı servis mi kullanılıyor? Çok faktörlü doğrulama var mı?
• Switch güvenliği: Kullanılmayan portlar kapalı mı? Port güvenliği veya 802.1X değerlendirildi mi?

3. Erişim ve yetki

• Kişisel kullanıcılar: Ortak “admin” hesabı yerine her kullanıcının kendi hesabı var mı?
• Rol bazlı yetki: Operatör, inceleyici ve sistem yöneticisi yetkileri ayrılmış mı? Dışa aktarma yetkisi sınırlı mı?
• Kamera kapsamı: Şube veya mağaza kullanıcıları yalnızca kendi kameralarına mı erişiyor?
• İşten ayrılma: Ayrılan personel ve servis firmalarının erişimi kapatılıyor mu?
• Gözden geçirme: Yetkiler üç–altı ayda bir gözden geçiriliyor mu? (erişim ve denetim izi)

4. İşletim ve izleme

• Envanter: Model, seri no, IP, MAC, switch portu, firmware ve konum bilgisi güncel mi?
• Loglar: Giriş denemeleri, yapılandırma değişiklikleri ve dışa aktarmalar loglanıyor mu? Loglar merkezi bir sisteme gönderiliyor mu?
• Değişiklik yönetimi: Yapılandırma değişiklikleri kayıt altına alınıyor mu?
• Yedekler: NVR/VMS yapılandırma yedekleri alınıyor ve geri yükleme denendi mi?
• Güncelleme süreci: Güncellemeler test grubunda deneniyor, planlı pencerede uygulanıyor mu? (firmware yönetimi)
• Fiziksel güvenlik: NVR ve kayıt sunucuları kilitli kabinet veya odada mı? Kameraların erişilebilir kabloları korumalı mı?

Önceliklendirme

Sık sorulan sorular

Kameralarımız kapalı ağda; yine de güncelleme gerekir mi?

Evet. Kapalı ağ riski azaltır ama ortadan kaldırmaz; ağa erişen bir cihaz veya kişi bilinen açıkları kullanabilir. Güncellemeler test edilerek planlı uygulanmalıdır.

Üretici bulut (P2P) servisini kapatmalı mıyız?

Kullanmıyorsanız kapatın. Kullanıyorsanız şifreleme, kimlik doğrulama ve veri yolunu değerlendirin; kurumsal ortamda VPN veya denetlenmiş bir erişim yöntemi tercih edilir.

Bu kontrol listesi sızma testi yerine geçer mi?

Hayır. Yapılandırma ve hijyen kontrolüdür. Yetkilendirilmiş bir sızma testi, saldırgan bakış açısıyla ek bulgular ortaya çıkarabilir.

Bu listeyi kendi sisteminizde uygulamak ve bulguları kontrollü şekilde gidermek için IP kamera ve NVR siber güvenlik sıkılaştırması hizmetimizi inceleyebilirsiniz. Kurum genelinde sızma testi ve güvenlik denetimleri için Eretek Siber Güvenlik ile birlikte çalışıyoruz.