Kamera ve NVR Zafiyet Takibi: CVE, Üretici Bülteni ve Önceliklendirme

Kamera ve NVR’lar kurum ağında en az izlenen, en uzun süre yerinde kalan ve en geç güncellenen cihazlardır. Yeni bir güvenlik bülteni yayımlandığında “bizde bu modelden var mı, varsa ne kadar acil?” sorusuna dakikalar içinde cevap veremiyorsanız zafiyet yönetimi yapılmıyor demektir. Aşağıda kamera envanterini CVE kayıtları ve üretici bültenleriyle eşleştirmeyi, CVSS puanını maruziyetle birlikte tartmayı, yamanın gecikeceği ve desteğin bittiği durumlarda verilecek kararları sahada uygulandığı sırayla ele alıyoruz.

Kamera zafiyetleri neden ayrı takip edilir

Kurumsal zafiyet yönetimi programları sunucu ve istemci odaklıdır. Ajan kurulamayan gömülü cihazlar raporlarda ya hiç görünmez ya da “bilinmeyen cihaz” satırında kalır. Kamerayı ayrı ele almayı gerektiren nedenler:

• Ajan yok: sürüm bilgisi yalnız cihaz API’sinden, VMS’ten veya envanterden gelir.
• Yama döngüsü farklı: firmware güncellemesi kamerayı yeniden başlatır, kayıt boşluğu oluşturur ve VMS uyumluluğu test edilmeden yapılamaz.
• OEM zinciri: aynı firmware tabanı farklı markalarla satılabilir; zafiyet etiket markasının değil asıl üreticinin bülteninde çıkar.
• Uzun ömür: kameralar çoğu zaman üreticinin destek süresinden daha uzun süre sahada kalır.
• Sahiplik belirsizliği: kamera sistemi güvenlik birimine, ağ BT’ye, bakım bir yükleniciye ait olabilir. Zafiyet kaydının kime atanacağı baştan yazılmazsa kayıt kimseye gitmez.

Envanter ile CVE eşleştirme

Zafiyet takibi envanterden daha iyi olamaz. Eşleştirme için gereken minimum alanlar:

Alan	Örnek	Neden gerekli
Asıl üretici / etiket markası	Üretici A / Marka B	OEM zafiyetlerini yakalamak
Model ve donanım revizyonu	Model X, rev. 2	Bültenler model bazında yayımlanır
Firmware sürümü	5.7.x	Etkilenen sürüm aralığını kontrol etmek
Ağ konumu ve maruziyet	Kamera VLAN’ı, NAT yok	Önceliklendirme
Açık servisler	HTTPS, RTSP, üretici SDK portu	Saldırı vektörüyle eşleştirme
Destek bitiş tarihi	Üretici yaşam döngüsü sayfasından	Yama beklentisi

Firmware sürümünü elle tutmak birkaç ay içinde çöker. Kaynak olarak VMS’in cihaz listesi dışa aktarımı, üreticinin cihaz yönetim yazılımı veya ONVIF GetDeviceInformation çağrısı kullanılabilir; ONVIF bu çağrıda üretici, model, firmware sürümü, seri numarası ve donanım kimliğini döndürür. Envanter alanlarının yapısı için kamera envanteri nasıl tutulur rehberine bakabilirsiniz.

Envanteri doğrulamak için servis taraması yapacaksanız kamera ağında temkinli olun. Bazı gömülü cihazlar yoğun tarama altında yanıt vermez veya yeniden başlar; tarama yüzünden kayıt boşluğu oluşması sahada görülen bir durumdur. Taramayı bakım penceresinde, düşük hızda ve önce pilot bir alt ağda çalıştırın:

# Kamera alt ağında tipik servisleri ve sürüm bilgisini düşük hızda tarama
nmap -sV -T2 -p 80,443,554,8000,37777 10.20.30.0/24 -oX kamera-tarama.xml

Örnekteki 8000 ve 37777 portları bazı üreticilerin SDK/istemci protokolleri için kullandığı varsayılan portlardır. Bu portların açık görünmesi, etiketin arkasındaki asıl üreticiyi tahmin etmede de ipucu verir.

Kaynaklar: üretici bültenleri, NVD, CISA KEV

Kaynak	Ne sağlar	Sınırlama
Üretici PSIRT bültenleri	Etkilenen model, sürüm ve düzeltilmiş firmware	Format her üreticide farklı; OEM markalar yayımlamayabilir
NVD (CVE + CVSS + CPE)	Standart kayıt, puan, makinece okunabilir API	Zenginleştirme gecikebilir; CPE eşleşmesi eksik olabilir
CISA KEV kataloğu	Aktif olarak istismar edildiği bilinen CVE’ler	Yalnız istismarı doğrulanmış kayıtlar
CISA ICS bültenleri	Endüstriyel ve gözetim ürünleri için ayrıntılı bülten	Tüm üreticileri kapsamaz
FIRST EPSS	Önümüzdeki 30 günde istismar olasılığı tahmini	Olasılıksal bir model; kurum bağlamını bilmez
USOM duyuruları	Türkiye’ye yönelik uyarı ve bildirimler	Kapsamı duyuruya göre değişir

Birincil kaynak üretici bültenidir; hangi firmware’in düzeltmeyi içerdiğini yalnız üretici söyler. Envanterdeki her üreticinin güvenlik bülteni sayfasını ve varsa e-posta veya RSS aboneliğini kayıt altına alın. CISA KEV kataloğu JSON formatında da yayımlanır; envanterdeki üreticilerle düzenli eşleştirmek birkaç satırlık iştir:

curl -sO https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json

jq -r '.vulnerabilities[]
  | select(.vendorProject | test("Hikvision|Dahua|Axis|Hanwha|Bosch"; "i"))
  | [.cveID, .vendorProject, .product, .dateAdded] | @tsv' \
  known_exploited_vulnerabilities.json

Üretici listesini elle yazmayın, envanterinizden üretin. Örneğin Hikvision web sunucusundaki komut enjeksiyonu zafiyeti CVE-2021-36260 bu katalogda yer alır. Kamera ürünlerinin aktif istismar listelerinde bulunması, riskin teorik olmadığını gösterir.

Önceliklendirme: CVSS ve maruziyet

CVSS taban puanı zafiyetin teknik ciddiyetini verir; sizin ağınızdaki aciliyeti vermez. Kamera ağında aciliyeti üç soru belirler: Aktif istismar biliniyor mu? Saldırı vektörüne kim erişebiliyor? Kimlik doğrulama gerekiyor mu? Aşağıdaki matris bir örnek politikadır; hedef süreleri kendi bakım kapasitenize göre belirleyin.

Durum	Öncelik	Örnek hedef süre
KEV’de var veya istismar kodu yayımlanmış ve cihaz internetten / kullanıcı ağından erişilebilir	Acil	Erişimi aynı gün kısıtla, yamayı en kısa bakım penceresinde uygula
Kimlik doğrulamasız uzaktan istismar (CVSS kritik), cihaz yalnız kamera VLAN’ında	Yüksek	Birkaç hafta içinde
Kimlik doğrulama gerektiren veya yerel ağdan istismar, sıkı ACL arkasında	Orta	Planlı firmware döngüsünde
Kullanılmayan servisteki zafiyet (servis kapatılabilir)	Düşük	Servisi kapat, sonraki döngüde yamala

“Erişilebilir” hanesini varsayımla değil, kanıtla doldurun: firewall ve ACL kuralları, NAT ve port yönlendirme kayıtları, üretici P2P bulut servisinin açık olup olmadığı. Sahada en sık atlanan nokta sonuncusudur. P2P bulut erişimi açık bir NVR, port yönlendirme olmasa da dışarıdan erişilebilir sayılır; bu konuyu P2P bulut erişimi ve VPN karşılaştırması yazısında ele aldık.

Yama uygulanamıyorsa telafi edici kontroller

Yamanın gecikmesinin meşru nedenleri vardır: VMS uyumluluğu doğrulanmamıştır, kamera kesinti kaldırmayan bir alandadır, ya da üretici henüz düzeltme yayımlamamıştır. Bu süre boşa geçmemeli. Zafiyete göre seçilecek telafi edici kontroller:

• Erişimi daraltma: zafiyetli servise (web arayüzü, SDK portu) yalnız kayıt sunucusu ve yönetim istasyonundan erişim; diğer tüm kaynaklar ACL ile reddedilir.
• Servisi kapatma: kullanılmayan UPnP, P2P, Telnet/SSH, FTP veya üretici SDK servisi kapatılır. Kapalı servis istismar edilemez.
• Dışa çıkışı engelleme: kameranın internete ve kullanıcı ağına başlattığı bağlantılar engellenir; istismar sonrası komuta-kontrol bağlantısı ve yanal hareket zorlaşır.
• İzlemeyi sıkılaştırma: zafiyetli cihaz grubu için yeni hedef IP, yeni port ve kimlik doğrulama hatası alarmlarının eşikleri düşürülür.
• Kimlik bilgisi yenileme: kimlik bilgisi sızdıran zafiyetlerde yamadan sonra da parola ve sertifika değiştirilir. Yama açığı kapatır, çalınan parolayı geri almaz.

Her telafi edici kontrol, hangi zafiyet için uygulandığı ve ne zaman kaldırılacağıyla birlikte kayda geçmeli. Kayıtsız geçici istisna, birkaç yıl sonra kimsenin açıklayamadığı kalıcı bir kurala dönüşür.

Desteği biten cihazlar: izolasyon veya değişim

Üretici güvenlik güncellemesi yayımlamayı bıraktığında, o cihaz için çıkacak her yeni zafiyet kalıcıdır. Yama gelmeyecek. Destek bitiş tarihlerini üreticinin güncel yaşam döngüsü sayfasından doğrulayıp envantere işleyin ve kararı açıkça verin:

Karar	Ne zaman uygun	Koşul
Değişim	İnternete veya kullanıcı ağına erişimi olan cihaz; bilinen istismar edilen zafiyet	Bütçe ve yaşam döngüsü planına alınır
İzolasyon + risk kabulü	Kayıt sunucusu dışında hiçbir sistemle konuşmayan, değiştirilmesi kısa vadede mümkün olmayan cihaz	Yazılı risk kabulü, sahibi ve gözden geçirme tarihi
Kullanımdan kaldırma	Kapsamı başka kamerayla karşılanan cihaz	Port kapatılır, envanterden düşülür

Değişim kararlarını tek tek değil, yaşam döngüsü planı içinde toplu vermek bütçe açısından daha yönetilebilirdir; ayrıntılar için kamera sistemi yaşam döngüsü ve yenileme planı rehberine bakabilirsiniz.

Aylık zafiyet gözden geçirme döngüsü

1. Envanteri tazele: VMS ve cihaz yönetim aracından model ve firmware listesini çek; envanterle farkları düzelt.
2. Kaynakları tara: üretici bültenleri, KEV ve NVD’de son gözden geçirmeden bu yana yayımlanan kayıtları envanterdeki üretici ve modellerle eşleştir.
3. Önceliklendir: her eşleşmeye maruziyet kanıtını ekle ve öncelik matrisini uygula.
4. Ata: firmware güncellemesi, telafi edici kontrol veya risk kabulü için sahip ve tarih belirle.
5. Doğrula: önceki ay kapatılan kayıtların firmware sürümünü cihazdan tekrar oku. Envanterde “güncellendi” yazması kanıt değildir; cihazın verdiği sürüm kanıttır.
6. Raporla: açık kayıt sayısı, gecikmiş kayıtlar ve desteği biten cihazlar yönetime tek sayfada sunulur.

Acil öncelikli kayıtlar aylık döngüyü beklemez; KEV’e yeni eklenen ve envanterinizle eşleşen bir kayıt olağan dışı bir gözden geçirmeyi tetikler. Kurumun genel zafiyet programıyla bağlantı kurmak için zafiyet yönetimi programı yazısı tamamlayıcıdır.

Mevcut kamera filosunun zafiyet durumunu bağımsız olarak çıkarmak için kamera sistemleri teknik denetimi, bulguların firmware tarafında kapatılması için firmware güncelleme yönetimi hizmetlerimize bakabilirsiniz.

Sık sorulan sorular

Kamera zafiyetlerini klasik zafiyet tarayıcısıyla bulmak yeterli mi?

Tek başına yeterli değil. Tarayıcılar kamera firmware sürümünü her zaman doğru okuyamaz ve bazı kameralar yoğun taramada yeniden başlar. Ana yöntem, envanterdeki model ve firmware bilgisini üretici bültenleriyle eşleştirmektir; tarama bunu doğrulamak için kullanılır.

CVSS puanı yüksek her zafiyet acil midir?

Hayır. CVSS zafiyetin teknik ciddiyetini gösterir; aciliyeti aktif istismar bilgisi ve kameraya kimin erişebildiği belirler. İnternetten erişilemeyen, sıkı ACL arkasındaki bir kameradaki yüksek puanlı zafiyet, internete açık bir NVR’daki orta puanlı ve aktif istismar edilen zafiyetten sonra ele alınabilir.

Markası farklı görünen kamera başka üreticinin zafiyetinden etkilenebilir mi?

Evet. Bazı markalar başka üreticilerin donanım ve firmware’ini kendi etiketiyle satar. Zafiyet asıl üreticinin bülteninde yayımlanır, etiket markası bülten yayımlamayabilir. Bu yüzden envantere cihazın asıl üreticisini ve firmware tabanını yazın.

Desteği biten kamerayı hemen değiştirmek zorunlu mu?

Zorunlu değil, ama bir risk kararı gerektirir. Kamera izole bir segmentte, yalnız kayıt sunucusuyla konuşacak şekilde sınırlandırılıp yazılı bir risk kabulüyle bir süre kullanılabilir. İnternete veya kullanıcı ağına erişimi olan, desteği bitmiş cihazlar ise değişim planına alınmalıdır.