Szegmentálja az épület rendszereit, mielőtt a kamera a támadók ugródeszkájává válik

Az Önök telephelyén is lehet olyan kamera, amely egy parkolót, egy rakodóterületet vagy az előcsarnokot figyeli. Egy létesítményüzemeltetési vezető rendelte meg, egy külső kivitelező telepítette, és azóta is a vállalati hálózathoz csatlakozik – még abból az időből, amikor senki sem kérdezte meg, milyen szoftver fut rajta. A CERT-UA múlt hét végén közzétett figyelmeztetése, amelyről október 26-án a The Record is beszámolt, a Dahua kameráira és videórögzítőire vonatkozik. A támadás módszere azonban olyan problémára világít rá, amely évek óta a saját infrastruktúrájukban is jelen lehet.

A CERT-UA beszámolója szerint a támadók az internethez kapcsolódó Dahua-eszközöket egy Easy4IP nevű felhőszolgáltatáson keresztül érték el. Ez a funkció a sorozatszámuk alapján kapcsolja össze az eszközöket a gyártó felhőszolgáltatásával, még akkor is, ha a tűzfal egyébként blokkolná a kívülről érkező kapcsolatokat. Mivel a sorozatszámok előre jelezhető mintákat követnek, a kamerák akkor is felderíthetők, ha az azonosítóikat soha nem hozták nyilvánosságra. A támadók ezután gyenge vagy alapértelmezett jelszavakkal próbálkoznak, illetve két, még 2021-ben azonosított hitelesítés megkerülési sérülékenységet használnak ki. A Hunt.io augusztusi jelentése szerint a nyár korábbi szakaszában több mint 14 500 Dahua-eszközt kompromittáltak, elsősorban Ukrajnában és Oroszországban. A kutatók arra is felhívták a figyelmet, hogy a rosszindulatú fiókok és helyreállítási kódok a jelszó megváltoztatása után is megmaradhatnak, és a legtöbb firmware-verzió esetében még a gyári visszaállítás sem feltétlenül távolítja el őket.

A probléma messze túlmutat a gyártón

A legtöbben valószínűleg beszerzési figyelmeztetésként értelmezik a történteket: ellenőrizzük, van-e Dahua kameránk, tiltsuk le a márkát, és lépjünk tovább. Ez azonban csak a probléma szűk értelmezése.

A tágabb összefüggés az, hogy egy kamera nem egyszerű épületberendezési elem, hanem egy beágyazott számítógép saját tárhellyel, hálózati interfésszel, felhőkapcsolattal és hitelesítő adatokkal. Kap egy hálózati csatlakozót, bekerül egy alapértelmezett VLAN-ba, kimarad a rendszeres frissítési ciklusból, és gyakran még a nyilvántartásban sincs felelőse. A támadók pontosan az ilyen eszközöket használhatják ki arra, hogy a hálózat más részei felé továbblépjenek. Ha egy eszköz olyan olcsó volt, hogy telepítése után egyszerűen megfeledkeztek róla, akkor felügyelet nélkül marad. Valójában erre a problémára figyelmeztet a CERT-UA közleménye.

Ugyanez a helyzet az épület más rendszereinél is. Az eszközök kívül maradnak az IT-részleg frissítési ciklusán, a központi identitáskezelésen és a változáskezelési folyamatokon. Senki sem gondol arra, hogy egy kamera bejelentkezési kéréssel próbálkozhat a hálózat többi eleménél. A mostani figyelmeztetés azért különösen aggasztó, mert ezek az eszközök rendkívül könnyen elérhetők, és a támadók a hozzáférés megszerzése után tartósan meg is őrizhetik azt. A gyártóváltás vagy az új beszerzések átmeneti leállítása nem oldja meg a már telepített és hálózatra kapcsolt eszközök problémáját.

Kezelje a hálózatot éles üzemi infrastruktúraként

Az első ellenőrzés egyszerű kérdéssel kezdődik: pontosan meg tudja nevezni a hálózaton található összes kamerát, hálózati videórögzítőt (NVR), beléptetővezérlőt, épületfelügyeleti átjárót és okosmérőt?

Ha az eszközök listája egy, a létesítmény üzemeltetés által kezelt táblázatban található, jó eséllyel eltér attól, amit a hálózati kapcsolók ténylegesen mutatnak. Előfordulhat, hogy egyetlen csapatnak kellene felügyelnie a teljes infrastruktúrát, de nincs éjjel-nappali ügyelet, és a beszállító sem tud érdemi segítséget nyújtani a firmware frissítésével kapcsolatban. Az eszközleltárt ezért önálló projektként kell elkészíteni, a hálózat teljes körű felderítésével kezdve.

Implementációs és felmérési szolgáltatásaink pontosan ebben nyújtanak segítséget: el kell végezni a hálózati felderítést, át kell sorolni az eszközöket a megfelelő VLAN-okba, és meg kell erősíteni azoknak az eszközöknek a védelmét is, amelyeket nem lehet teljesen elkülöníteni.

Egy Easy4IP-t használó kamerának kizárólag a gyártó felhőszolgáltatását és az általa ténylegesen használt NTP-időszervert kellene elérnie – semmi mást. A hálózati szegmentálás teszi lehetővé, hogy egy kompromittált kamera ne az egész telephelyet veszélyeztesse, hanem a problémát egyetlen VLAN-ra korlátozza. Ehhez az épületüzemeltetési rendszereket külön VLAN-ba kell helyezni, és alapértelmezés szerint minden, a hálózat többi része felé irányuló forgalmat tiltani kell. A kimenő tűzfalszabályokat pedig az eszközök tényleges működési igényei alapján kell meghatározni, ahelyett, hogy korlátozás nélkül hagynánk a kapcsolatokat. Ez viszonylag kis hálózatmérnöki ráfordítást igényel, amely már az első sikeres alapértelmezettjelszó-próbálkozás esetén megtérülhet.

Kérdések, amelyek feltárják a rejtett kockázatokat

Amikor legközelebb egyeztet a létesítményüzemeltetési beszállítóval vagy a telepítést végző partnerrel, tegyen fel három kérdést, mielőtt továbblépnének:

• Melyik firmware-verzió fut az egyes eszközökön?
• Kinél vannak az adminisztrátori hozzáférési adatok?
• Milyen kimenő hálózati kapcsolatokat igényelnek a felhőfunkciók?

Ha a beszállító az első két kérdésre sem tud válaszolni, az önmagában sokat elárul arról, hogy megfelelően felügyelik-e az eszközöket. A harmadik kérdésre adott válaszra pedig szükség van a megfelelő hálózati szegmentálási szabályok kialakításához.

Érdemes azt is megkérdezni, hogy az eszközöket visszaállították-e a gyári beállításokra az utolsó firmware-frissítés óta. A Hunt.io megállapítása, miszerint a rosszindulatú fiókok a legtöbb esetben a gyári visszaállítás után is megmaradhatnak, azért lényeges, mert megváltoztatja a helyreállítás menetét. Ha egy eszközt már kompromittáltak, a gyári visszaállítás önmagában nem távolítja el a támadók által létrehozott fiókokat. A firmware-t frissíteni kell, és a felhőfiókokat is ellenőrizni szükséges. Ha a létesítményüzemeltetési csapat egyszerű berendezési tárgyként kezeli a kamerákat, akkor éppen egy ilyen egyeztetés során válhat láthatóvá a probléma.

Az ellenőrzés, amely a figyelmeztetés után is érvényes marad

Ez az eset idővel háttérbe szorul, a következő kamerabiztonsági figyelmeztetés pedig már egy másik gyártót nevezhet meg. Az alapvető ellenőrzési szempont azonban változatlan marad.

Ha az igazgatóság vagy egy ügyfél kérdőíve arra kérdez rá, hogyan szegmentálják a hálózatot, magabiztosan meg tudja mondani, hogy az egyes épületüzemeltetési rendszerek hol helyezkednek el a hálózaton, milyen rendszereket érhetnek el, és ki felel a frissítésükért?

Ha nem, akkor még azelőtt azonosította a hiányosságot, hogy egy támadó kihasználhatta volna. Ha igen, ügyeljen arra, hogy a kivételek listája a lehető legrövidebb maradjon.

Ha a kérdések megválaszolása során kiderül, hogy a telephelyi infrastruktúra védelme kevésbé átfogó a vártnál, egy rövid, pontozásos biztonsági önfelmérés segíthet a feltárt hiányosságokat fontossági sorrendbe rendezni, még a költségvetési egyeztetések megkezdése előtt.