Dahua kameros ir Easy4IP: ką tikrinti, kai nuotolinė prieiga apeina ugniasienės ribas

Ką pranešė CERT-UA?

Ukrainos CERT-UA paskelbė, kad užfiksuota atvejų, kai užpuolikai pasiekė „Dahua“ IP kamerų ir DVR/NVR vaizdo įrašus, pakeitė įrenginių konfigūraciją ir sukūrė trečiųjų šalių paskyras. Pranešime neįvardytas tikslus paveiktų įrenginių skaičius, incidentų laikas, konkrečios organizacijos ar atsakingas veikėjas. Todėl šio įspėjimo negalima pateikti kaip visų „Dahua“ kamerų kompromitavimo ar konkrečios grupės priskyrimo. CERT-UA pranešimas (ukrainiečių kalba) ↗

Kaip P2P nuotolinė prieiga keičia tinklo riziką?

„Easy4IP“ skirta nuotoliniu būdu pasiekti kamerą ar registratorių per gamintojo paslaugą. Įrenginys pats užmezga ryšį į debesijos infrastruktūrą, o naudotojas prie jo jungiasi programėle ar naršykle. Dėl tokio tarpinio ryšio kamera gali būti pasiekiama ir esant NAT ar ugniasienei, net jei į kamerą nėra atidarytas tiesioginis įeinantis prievadas.

Ši detalė nereiškia, kad vien serijos numerio žinojimas visais atvejais suteikia prieigą prie vaizdo. CERT-UA aprašytame scenarijuje nuspėjami serijos numeriai padeda automatizuotai atpažinti prie debesijos prijungtus įrenginius; po to prieigai gali būti bandomi silpni ar numatytieji slaptažodžiai arba naudojama pasenusi programinė įranga su autentifikavimo apėjimo spragomis. Tai, kad maršrutizatorius neleidžia tiesioginio prisijungimo iš interneto, savaime nepatvirtina, kad P2P funkcija išjungta.

Ukrainos įspėjime nurodytos ir 2021 m. spragos CVE-2021-33044 bei CVE-2021-33045, tačiau jos paveikia tik tam tikrus „Dahua“ gaminius ir programinės įrangos versijas. „Dahua“ yra paskelbusi paveiktų produktų sąrašą ir pataisytą programinę įrangą. Tikrinkite tikslų modelį ir firmware versiją pagal gamintojo pranešimą; nereikėtų daryti išvados, kad visi šio gamintojo įrenginiai yra pažeidžiami. „Dahua“ saugumo pranešimas apie CVE-2021-33044 ir CVE-2021-33045 ↗

Ką patikrinti „Dahua“ kameroje ar registratoriuje?

1. Inventorizuokite modelius ir versijas. Užrašykite kameros, DVR/NVR modelį, serijos numerį, firmware versiją, įjungtus nuotolinės prieigos būdus ir atsakingą savininką. Serijos numerio nereikia skelbti viešai.
2. Įvertinkite, ar Easy4IP/P2P būtinas. Jei nuotolinio P2P ryšio nereikia, išjunkite jį įrenginyje ir pašalinkite įrenginį iš nereikalingų debesijos paskyrų. Jei funkcija būtina, apribokite prieigą iki paskirtų naudotojų ir prižiūrėkite paskyros apsaugą.
3. Įdiekite gamintojo firmware pataisas. Remkitės konkrečiam modeliui nurodyta pataisyta versija arba naujausia palaikoma programine įranga. Atnaujinimą pirmiausia išbandykite viename įrenginyje ir pasirūpinkite konfigūracijos atsargine kopija.
4. Pakeiskite bendrus ir numatytuosius slaptažodžius. Kiekvienam įrenginiui ir administravimo paskyrai naudokite unikalų slaptažodį. Pašalinkite nenaudojamas paskyras ir patikrinkite, ar nėra nežinomų administratorių.
5. Peržiūrėkite konfigūracijos pakeitimus. Patikrinkite kameros kryptį, įrašymo parametrus, laiko nustatymus, tinklo adresus ir naudotojų sąrašą. Netikėtas kameros pasukimas ar nauja paskyra gali būti svarbus incidento požymis.
6. Patikrinkite žurnalus. Ieškokite neįprastų prisijungimų, nuotolinių sesijų, paskyrų kūrimo ir konfigūracijos keitimų. Išsaugokite įrašus prieš atlikdami gamyklinį atstatymą ar kitus veiksmus, kad neprarastumėte tyrimui naudingų duomenų.
7. Atskirkite kameras nuo verslo tinklo. Naudokite atskirą VLAN ar tinklo segmentą. Leiskite tik būtiną ryšį tarp kamerų, registratoriaus ir administravimo darbo vietų; blokuokite nereikalingas jungtis į internetą ir kitus vidinius tinklus.
8. Pašalinkite nereikalingą tiesioginį pasiekiamumą. Patikrinkite maršrutizatoriaus prievadų persiuntimą, UPnP ir viešus administravimo portalus. Nuotoliniam administravimui naudokite kontroliuojamą VPN ar kitą patvirtintą prieigos kelią, o ne atvirą kameros valdymo sąsają.

Nepainiokime dviejų skirtingų pranešimų

Šių metų rugpjūtį „Hunt.io“ atskirai paskelbė tyrimą apie „Operation CameraSwarm“: tyrėjai nurodė, kad birželio–liepos mėnesiais buvo pažeista daugiau kaip 14 530 „Dahua“ įrenginių, daugiausia patvirtintų atvejų fiksuota Ukrainoje ir Rusijoje. Naujausiame CERT-UA įspėjime minėti incidentai turi panašių techninių požymių, tačiau jų ryšys su „CameraSwarm“ ar tuo pačiu užpuoliku nepatvirtintas. Šių skaičių negalima priskirti naujajam CERT-UA pranešimui. „Hunt.io“ „Operation CameraSwarm“ tyrimas ↗

Kodėl tai svarbu ir Lietuvoje?

Šis įspėjimas nėra teiginys, kad Lietuvos kameros jau atakuojamos tokiu pačiu būdu. Tačiau P2P nuotolinė prieiga, seniai neatnaujinta programinė įranga, bendri slaptažodžiai ir kameros, prijungtos prie bendro darbuotojų tinklo, yra valdymo klausimai, kuriuos verta spręsti nepriklausomai nuo gamintojo. Vaizdo sistema turi būti inventorizuota taip pat kruopščiai kaip serveriai ir tinklo įranga.