Проблемы, связанные с необходимостью обеспечения надежной защиты технологий видеонаблюдения, сегодня выходят на первый план
Серьезно озадаченные громкими скандалами последнего времени, связанными с массовыми хищениями конфиденциальной информации, коммерческие компании предпринимают различные шаги для обеспечения надежной защиты своих продуктов и персональных данных клиентов от незаконных действий хакеров и других злоумышленников.
Постоянно растущее количество новостей о попытках хищения конфиденциальной информации у коммерческих компаний наводит на мысль о том, что киберпреступность становится одной из основных проблем современного мира. Учитывая тесную взаимосвязь видеонаблюдения с другими компонентами систем безопасности, задача обеспечение защиты этих технологий от внешних угроз выходит на первый план не только у производителей, но также у интеграторов и конечных пользователей.
Способность современных систем дополнять видеозаписи аналитической информацией и биометрическими данными пользователей делает их еще более привлекательными для преступников. Соответственно, возрастает насущная потребность в инструментах эффективного выявления и предотвращения киберпреступлений.
Высокий уровень компьютерных угроз создал условия, в которых производители устройств, особенно работающих в сфере безопасности, предпринимают согласованные усилия, чтобы не допустить превращения своих продуктов в «заднюю дверь», с помощью которой хакеры могли бы получать доступ к клиентским сетям и конфиденциальным данным, содержащимся в них.
Осведомленность всех участников рынка о кибербезопасности оказывает положительное влияние на отрасль в целом, так как заставляет производителей тщательно прорабатывать вопросы защищенности нового оборудования и ПО еще на этапе их разработки и тестирования.
Однако меры предосторожности, предпринимаемые производителями в связи с растущим риском кибератак, в некоторых случаях могут сами становиться причиной определенных проблем для интеграторов и конечных пользователей.
Если производители систем видеонаблюдения в погоне за безопасностью начинают пренебрегать простотой использования своих платформ и сильно ограничивают преимущества IP-сетей и удаленного доступа, то клиенты могут либо совсем отвернуться от таких решений, либо начать искать способы обхода предусмотренных в них мер защиты.
Для устранения подобных проблем разработчикам необходимо находить разумный компромисс между приемлемым уровнем кибербезопасности, с одной стороны, и простотой использования, надежностью, расширяемостью, доступностью, функциональной совместимостью и удобством администрирования системы, с другой. Причем важность любого из перечисленных выше факторов может варьироваться в зависимости от предпочтений и требований каждого конкретного пользователя.
Один из самых мощных методов кибербезопасности, используемых производителями, не имеет ничего общего с технологиями. В наш век, когда хакеры ежесекундно пытаются получить доступ к устройствам и сетям, тесное общение с клиентами является ключевым фактором противодействия этим попыткам.
Многие производители предоставляют на своем веб-сайте специальную область для размещения в ней клиентами информации об уязвимостях своих продуктов. Часто исправление таких уязвимостей связано с необходимостью обновления микропрограммного обеспечения систем, поэтому в соответствующем разделе сайта выкладываются обновленные версии ПО, доступные для скачивания и установки всеми пользователями.
Когда дело касается кибербезопасности, основным инструментом защиты является пароль. Очень часто изначально установленные пароли остаются неизменными долгое время, поэтому многие производители включают меры, чтобы не допускать этого.
Но даже простой смены не всегда достаточно, учитывая склонность людей выбирать легко запоминаемые варианты, которые гораздо проще взламываются злоумышленниками. Поэтому сегодня большинство производителей, помимо требования периодической смены пароля, устанавливают и более жесткие требования к его формату и сложности (ограничение минимальной длины, обязательное наличие цифр, прописных и строчных букв, специальных символов).
Шифрование идет рука об руку с защитой паролем, и это гарантирует безопасную передачу видео и данных от устройства на головную станцию. Если локальная система VMS или NVR устанавливает доверенное исходящее соединение с платформой облачного хранения, то устраняется потенциальная уязвимость сети, связанная с необходимостью использования открытых портов сетевого брандмауэра.
Защита целостности видеоинформации приобретает особенно важное значение, когда она используется для доказательных целей. Panasonic, например, в своих приложениях помимо надежных сертификатов и технологий обнаружения и анализа кибератак, предоставляемых сторонней компанией DigiCert, использует собственные встроенные алгоритмы верификации и шифрования данных.
В идеальных условиях кибербезопасность могла бы работать по принципу «установи и забудь». Но поскольку мы живем в реальном мире, программное обеспечение (ПО) работающих устройств должно периодически обновляться, иначе обеспечивать защиту оборудования от вновь появляющихся угроз просто не получится.
Для серьезных интеграторов правилом «хорошего тона» сегодня становится подключение к сетям клиентов только тех устройств, производители которых готовы в обязательном порядке предоставлять микропрограммные обновления своих продуктов. К сожалению, такой ответственный подход пока не свойственен индустрии IoT («интернет вещей»), где довольно часто возможность обновления прошивок устройств после обнаружения в них проблем с безопасностью просто не предусмотрена, и это создает злоумышленникам вполне комфортные условия для последующих атак.
Все ведущие производители систем видеонаблюдения, как и в случае с передачей данных, стараются защищать свои обновления с помощью шифрования. «Мы всегда хотим быть уверены в том, что файл, устанавливаемый пользователем на нашем оборудовании, не был взломан или злонамеренно испорчен. Для этого мы используем шифрование на всех прошивках и для всех продуктов компании», - говорит в этой связи менеджер технической поддержки Аарон Сакс из Hanwha Techwin America.
С точки зрения кибербезопасности важно точно знать, откуда поступают продукты, и каким образом поставщики защищают свои устройства перед их отправкой реселлерам или специалистам в области безопасности.
Для Axis Communications, к примеру, это означает использование специальных групп программистов, которые сосредоточены на задачах безопасного кодирования и тестирования продукта в течение всего процесса его разработки.
Hanwha Techwin America самостоятельно управляет своим производством, контролируя весь процесс, от поставок сырья до отгрузки готовой продукции потребителям.
В качестве мер, предпринимаемых производителями для обеспечения того, чтобы никто не мог использовать цепочку поставок для компрометации продуктов, используются модули доверенных платформ (TPM) и функции безопасной загрузки. Чип TPM хранит ключи шифрования RSA, специфичные для аппаратной аутентификации головной системы. По словам Уэйна Дорриса (Axis), шифрование поддерживается внутри чипа на аппаратном уровне и недоступно изменению средствами ПО.
Продукты, предлагающие безопасную загрузку, практически исключают возможность постороннего вмешательства в программный код в промежутке времени между производством и развертыванием системы. А в том очень маловероятном случае, когда кому-то действительно удастся это сделать, устройство просто не запустится.
Спектр киберугроз постоянно развивается. И хотя многие компании стараются быть в курсе уязвимостей и других негативных факторов, хакеры постоянно работают над тем, чтобы находиться на один шаг впереди. Для решения этой проблемы ведущие производители применяют тестирование своих продуктов на взлом, проводимое как собственными силами, так и сторонними организациями.
Вместо того, чтобы игнорировать так называемых «этических хакеров», компания FLIR, наоборот, привлекает и тесно сотрудничает с этими людьми, которые пытаются найти любые ошибки или уязвимости в продуктах компании.
MOBOTIX - еще один производитель, идущий по аналогичному пути для нейтрализации потенциальных угроз.
Hanwha привлекает сторонних тестировщиков на ранних этапах запуска продукта. «Они смотрят на наши продукты, на наш код для выявления уязвимостей и поиска ошибок, - говорит Сакс. - Когда мы готовим продукт к выпуску, у нас есть время и возможности смягчить любые проблемы, чтобы он был более безопасным и надежным при выходе на рынок».
«Конечные пользователи также играют важную роль в кибербезопасности, внедряя надежные сетевые протоколы и используя такие передовые методы защиты, как установка сложных паролей и проведение необходимых обновлений ПО», - считает Джереми Кимблер из Honeywell Commercial Security.
Вот почему одним из наиболее распространенных шагов, предпринимаемых производителями, является предоставление определенных ресурсов интеграторам и конечным пользователям. К таким ресурсам, например, относятся руководства по защите решений от киберугроз, в которых приведены развернутые рекомендации по обеспечению безопасности.
«Эти руководства предоставляют базовую конфигурацию для работы с постоянно изменяющимся спектром угроз, и задача установщика состоит в том, чтобы сопоставить содержание документа с политикой кибербезопасности конечного пользователя, - говорит Уэйн Доррис из Axis Communications. - Надежная и четко прописанная политика кибербезопасности является ключом к снижению рисков и грамотному использованию мер защиты. И это, в свою очередь, смягчает любые другие угрозы, возникающие в отношении камер и устройств, находящихся в сети».
При написании руководств по кибербезопасности и предоставлении пользователям любых других ресурсов, производители должны учитывать широкий круг потенциальных проблем. Но это, конечно, не означает, что всякая практика, изложенная в этих ресурсах, применима к каждому конечному пользователю.
«Нет такой буквы закона и нет единого способа обеспечения кибербезопасности, но есть лучшие практики, которым каждый может следовать, чтобы улучшить кибербезопасность именно своего решения, - говорит Уолберг (FLIR). - Именно поэтому мы создали лучшие практики по киберзащите, которые сопровождают каждый наш продукт».
В дополнение к публикациям официальных документов и руководств по усилению безопасности на корпоративном веб-сайте, компания Hanwha дополнительно проводит тематические вебинары, а также рассказывает о кибербезопасности на различных отраслевых мероприятиях.
«Мы всегда и везде говорим о важности кибербезопасности. И таким образом эта тема продолжает оставаться актуальной в сознании людей, а не уходит на второй или третий план», - эти слова Аарона Сакса из Hanwha Techwin America как нельзя лучше отражают важность поднятой в этой статье проблематики.
