Gebäudesysteme segmentieren, bevor die Kamera zum Dreh- und Angelpunkt wird

Irgendwo auf Ihrem Firmengelände gibt es eine Kamera, die einen Parkplatz, eine Ladezone oder eine Eingangshalle überwacht. Sie wurde von einem Facility Manager beschafft, von einem externen Dienstleister installiert und ist seitdem mit dem Unternehmensnetzwerk verbunden – möglicherweise schon lange, bevor sich jemand die Frage gestellt hat, welche Software darauf läuft. Die Warnung, die CERT-UA Ende vergangener Woche veröffentlichte und über die The Record am 26. Oktober berichtete, betrifft Kameras und Videorekorder von Dahua. Der zugrunde liegende Angriffsmechanismus verweist jedoch auf ein Problem, das sich seit Jahren auch in Ihrer eigenen Infrastruktur verbergen könnte.

CERT-UA zufolge gelang es Angreifern, über eine Cloud-Funktion namens Easy4IP auf internetverbundene Dahua-Geräte zuzugreifen. Diese Funktion verknüpft Geräte anhand ihrer Seriennummer mit der Cloud des Herstellers – selbst dann, wenn eine Firewall eingehende Verbindungen ansonsten blockieren würde. Da die Seriennummern einem vorhersehbaren Muster folgen, lassen sich die Kameras aufspüren, ohne dass ihre Kennungen jemals öffentlich bekannt gegeben wurden. Anschließend versuchen die Angreifer, schwache oder voreingestellte Passwörter auszunutzen oder zwei Authentifizierungsumgehungsschwachstellen aus dem Jahr 2021 zu missbrauchen. Hunt.io berichtete im August, dass bereits im Frühsommer mehr als 14.500 Dahua-Geräte kompromittiert worden waren, vor allem in der Ukraine und in Russland. Die Forscher wiesen außerdem darauf hin, dass bösartige Konten und Wiederherstellungscodes Passwortänderungen überstehen können und bei den meisten Firmware-Versionen selbst durch ein Zurücksetzen auf die Werkseinstellungen nicht unbedingt entfernt werden.

Das Problem geht weit über den Hersteller hinaus

Viele Leser werden die Meldung als Warnung für den Einkauf verstehen: Prüfen, ob Dahua-Kameras im Einsatz sind, die Marke verbieten und zum Tagesgeschäft zurückkehren. Das greift jedoch zu kurz.

Die entscheidende Erkenntnis ist eine andere: Eine Kamera ist kein bloßer Bestandteil der Gebäudeausstattung, sondern ein eingebetteter Computer mit Speicher, Netzwerkschnittstelle, Cloud-Client und Zugangsdaten. Sie erhält einen Netzwerkanschluss, landet in einem Standard-VLAN, wird nicht regelmäßig aktualisiert und hat häufig nicht einmal einen verantwortlichen Eigentümer im Anlagenverzeichnis. Genau diese Kombination nutzen Angreifer als Ausgangspunkt, um sich innerhalb eines Netzwerks weiterzubewegen. Wenn ein Gerät so günstig war, dass es nach der Installation einfach vergessen wurde, bleibt es unverwaltet. Und genau darin liegt das eigentliche Problem, auf das die Warnung aufmerksam macht.

Dasselbe Muster findet sich bei anderen Gebäudesystemen. Diese Geräte fallen aus dem Patch-Zyklus der IT, aus dem zentralen Identitätsmanagement und aus dem Änderungsmanagement heraus. Niemand rechnet damit, dass eine Kamera versucht, sich gegenüber anderen Komponenten des Netzwerks zu authentifizieren. Besonders gefährlich an der aktuellen Warnung ist, wie leicht diese Geräte erreichbar sind und wie dauerhaft Angreifer ihren Zugriff nach einer erfolgreichen Kompromittierung aufrechterhalten können. Ein Herstellerwechsel oder ein vorübergehender Beschaffungsstopp ändert nichts an Geräten, die bereits installiert und mit dem Netzwerk verbunden sind.

Behandeln Sie das Netzwerk wie eine produktive Infrastruktur

Die erste Prüfung beginnt mit einer einfachen Frage: Können Sie jede Kamera, jeden Netzwerkvideorekorder (NVR), jede Zutrittssteuerung, jedes Gebäudeautomations-Gateway und jeden intelligenten Zähler in Ihrem Netzwerk benennen?

Wenn die Antwort in einer Tabelle liegt, die von der Facility-Abteilung gepflegt wird, unterscheidet sich diese Liste wahrscheinlich von dem, was die Netzwerk-Switches tatsächlich anzeigen. Möglicherweise ist ein einziges Team für die gesamte Infrastruktur zuständig, ohne dass es einen 24/7-Bereitschaftsdienst gibt. Gleichzeitig ist der Dienstleister nicht in der Lage, bei Fragen zu Firmware-Updates weiterzuhelfen. Deshalb sollte das vollständige Anlagenverzeichnis als eigenständiges Projekt erstellt werden – beginnend mit einer systematischen Bestandsaufnahme im Netzwerk.

Unsere Implementierungs- und Assessment-Services sind genau auf solche Aufgaben ausgerichtet: Die Geräte müssen identifiziert, den richtigen VLANs zugeordnet und diejenigen gehärtet werden, die sich nicht vollständig isolieren lassen.

Eine Kamera, die Easy4IP nutzt, sollte ausschließlich die Cloud des Herstellers und den tatsächlich benötigten NTP-Zeitserver erreichen können – und sonst nichts. Durch Netzwerksegmentierung lässt sich erreichen, dass eine kompromittierte Kamera nicht zum Problem für das gesamte Firmengelände wird, sondern der Vorfall auf ein einzelnes VLAN begrenzt bleibt. Dazu werden die Gebäudesysteme in ein dediziertes VLAN verschoben und Verbindungen zum übrigen Netzwerk standardmäßig blockiert. Ausgehende Firewall-Regeln sollten sich danach richten, welche Verbindungen das Gerät tatsächlich benötigt, statt den Netzwerkverkehr unbeschränkt zuzulassen. Dieser überschaubare Aufwand für die Netzwerktechnik kann sich bereits dann auszahlen, wenn jemand erstmals ein voreingestelltes Passwort errät.

Fragen, die Schwachstellen in der Infrastruktur aufdecken

Wenn Sie das nächste Mal mit einem Facility-Dienstleister oder Installationspartner sprechen, sollten Sie drei Fragen stellen, bevor das Gespräch zum nächsten Thema übergeht:

• Welche Firmware-Version läuft auf jedem einzelnen Gerät?
• Wer verfügt über die administrativen Zugangsdaten?
• Welche ausgehenden Netzwerkverbindungen benötigen die Cloud-Funktionen?

Kann der Dienstleister die ersten beiden Fragen nicht beantworten, sagt das bereits viel darüber aus, ob die Geräte angemessen verwaltet werden. Die Antwort auf die dritte Frage benötigen Sie, um die Regeln für die Netzwerksegmentierung korrekt festzulegen.

Fragen Sie außerdem, ob die Geräte seit dem letzten Firmware-Update auf die Werkseinstellungen zurückgesetzt wurden. Die Erkenntnis von Hunt.io, dass bösartige Konten bei den meisten Geräten auch nach einem Werksreset bestehen bleiben können, ist deshalb relevant, weil sie die Wiederherstellung nach einem Sicherheitsvorfall beeinflusst. Wurde ein Gerät kompromittiert, reicht ein Reset allein nicht aus, um die angelegten Konten zu entfernen. Die Firmware muss aktualisiert und die zugehörigen Cloud-Konten müssen überprüft werden. Wenn das Facility-Team eine Kamera wie einen gewöhnlichen Einrichtungsgegenstand behandelt, wird das Problem spätestens bei einem solchen Gespräch sichtbar.

Die Prüfung, die auch nach der nächsten Warnung relevant bleibt

Dieser Vorfall wird irgendwann aus den Schlagzeilen verschwinden. Die nächste Sicherheitswarnung zu Kameras wird möglicherweise einen anderen Hersteller betreffen. Die grundlegende Prüffrage bleibt jedoch dieselbe.

Wenn der Vorstand oder ein Kunde in einem Fragebogen wissen möchte, wie Sie Ihr Netzwerk segmentieren, können Sie dann zuverlässig angeben, wo sich jedes Gebäudesystem im Netzwerk befindet, welche Systeme es erreichen kann und wer für seine Aktualisierung verantwortlich ist?

Wenn nicht, haben Sie die Sicherheitslücke erkannt, bevor ein Angreifer sie ausnutzen konnte. Wenn ja, sollten Sie darauf achten, dass die Liste der Ausnahmen möglichst kurz bleibt.

Falls sich bei der Beantwortung dieser Fragen herausstellt, dass die Sicherheitsmaßnahmen für Ihre Infrastruktur weniger umfassend sind als erwartet, kann eine kurze, bewertete Sicherheits-Selbsteinschätzung dabei helfen, die festgestellten Schwachstellen zu priorisieren – noch bevor die Budgetplanung beginnt.