Camerele de supraveghere video IP (CCTV), sistemele NVR/DVR și echipamentele IoT (interfoane video, control acces, senzori de mediu sau imprimante) sunt cele mai frecvente porți de intrare pentru atacatorii cibernetici într-o rețea de companie. Multe dintre aceste dispozitive rulează versiuni vechi de Linux cu vulnerabilități cunoscute, folosesc parole implicite sau comunică nesigur cu servere P2P necunoscute din cloud. Dacă le conectezi în aceeași rețea locală (VLAN 1) cu calculatoarele contabilității sau serverele de fișiere, compromiterea unei singure camere oferă hackerilor acces complet în toată firma. În acest ghid tehnic explicăm cum se segmentează corect rețeaua CCTV prin VLAN-uri și reguli stricte de firewall.
1. Riscurile unei rețele CCTV neizolate pe un subnet plat
Într-o rețea fără segmentare (rețea plată), toate dispozitivele pot comunica direct între ele la nivelul Layer 2. Acest lucru creează trei amenințări majore:
- Atacuri de tip Botnet (ex: Mirai): Dispozitivele IoT infectate sunt recrutate automat în rețele botnet pentru atacuri DDoS sau criptare ransomware.
- Mișcare laterală (Lateral Movement): Odată ce un atacator preia controlul unei camere IP exterioare, poate scana rețeaua internă, intercepta traficul necriptat prin ARP Spoofing și ataca serverele de baze de date sau Active Directory.
- Acces fizic la cablul de rețea: Camerele de pe fațada clădirii sau din parcare au cablurile UTP/FTP expuse. Un intrus poate deconecta camera și conecta un laptop direct la cablu, devenind instantaneu parte din rețeaua locală a companiei dacă portul switch-ului nu este securizat.
2. Tabel comparativ: Rețea plată unică vs Rețea segmentată prin VLAN dedicat
| Criteriu de securitate | Rețea clasică plată (Fără VLAN) | Rețea enterprise segmentată (VLAN CCTV) |
|---|---|---|
| Izolare la nivel L2/L3 | Camerele pot comunica direct cu orice PC din birou. | Camerele pot comunica doar cu serverul NVR dedicat. |
| Acces în Internet al camerelor | Deschis total; risc masiv de scurgeri de flux video prin cloud P2P. | Blocat complet pe firewall; zero pachete trimise în afara rețelei. |
| Protecție la deconectarea camerei | Intrusul primește IP prin DHCP și accesează toată rețeaua. | Port Security oprește automat portul switch-ului la schimbarea MAC-ului. |
| Performanță și Broadcast Traffic | Traficul masiv de broadcast și multicast sufocă calculatoarele. | Domeniul de broadcast este complet izolat pe switch. |
3. Pașii de configurare pe Switch și Router (Firewall)
Pasul 1: Crearea VLAN-ului dedicat pe router și switch-uri
Alocă un VLAN ID și un subnet IP specific exclusiv pentru supraveghere video. De exemplu:
- VLAN 10 (Office LAN): Subnet
192.168.10.0/24(Calculatoare, laptopuri angajați). - VLAN 20 (Servere): Subnet
192.168.20.0/24(ERP, fișiere, active directory). - VLAN 30 (CCTV & IoT): Subnet
192.168.30.0/24(Doar camere IP și portul secundar NVR).
Pasul 2: Configurarea porturilor de switch în mod Access
Toate porturile switch-urilor PoE la care sunt conectate fizic camerele video trebuie configurate în modul Access (Untagged pe VLAN 30). Nicio cameră nu trebuie să aibă acces la porturi în modul Trunk (Tagged), împiedicând atacurile de tip VLAN Hopping.
Pasul 3: Reguli de Firewall L3 (Zero Trust pentru camerele IP)
Pe routerul de frontieră (MikroTik, pfSense, Fortinet sau OPNsense), configurează trei reguli stricte în tabela de filtrare:
- Blocare totală internet pentru VLAN 30: O cameră de supraveghere nu are niciun motiv tehnic legitim să trimită sau să primească pachete din internet. Tot traficul de ieșire (WAN) din VLAN 30 trebuie marcat cu
DROP. - Blocare acces din VLAN 30 către celelalte VLAN-uri interne: Camerele nu trebuie să poată iniția nicio conexiune către VLAN 10 sau VLAN 20.
- Permisiune unidirecțională pentru NVR: Doar NVR-ul (sau stațiile autorizate de dispecerat din VLAN 10) au voie să interogheze fluxurile RTSP (port 554) sau HTTP/HTTPS (porturile 80/443) din VLAN 30.
Pasul 4: Activarea Port Security pe switch
Pentru a neutraliza riscul fizic al cablurilor externe, activează funcția Port Security pe switch-urile cu management:
- Configurează
maximum-mac-count 1pe fiecare port conectat la o cameră. - Folosește modul
mac-address sticky: switch-ul învață adresa fizică MAC a camerei și o asociază portului. - Dacă cineva deconectează camera și introduce un alt dispozitiv, setează acțiunea de securitate pe
violation shutdown(portul switch-ului se dezactivează instantaneu și trimite alertă SNMP).
Monitorizare Rețea și Suport Avansat de Securitate IT
Vrei să știi în timp real dacă un switch PoE este supraîncărcat, dacă un flux RTSP s-a oprit sau dacă o cameră IP este offline? Folosește platforma de monitorizare continuă Infracheck.app pentru alerte instantanee la incidente. Iar pentru proiectarea și securizarea rețelelor structurate MikroTik/pfSense, apelează la inginerii de la ATG Services.
4. Monitorizarea disponibilității fluxurilor RTSP
Un sistem de supraveghere oferă siguranță doar dacă funcționează fără întrerupere. Nu aștepta ca un incident de securitate să aibă loc pentru a descoperi că o cameră a înghețat acum două săptămâni. Configurează monitorizarea automată:
- ICMP Ping: Verificare la fiecare 60 de secunde a fiecărei adrese IP din VLAN-ul CCTV.
- Verificare port RTSP (554 TCP): Verificarea răspunsului socket-ului de streaming video, nu doar a prezenței IP-ului în rețea.
- Monitorizare PoE prin SNMP: Urmărește consumul de wați pe fiecare port al switch-ului pentru a depista camerele defecte sau problemele de alimentare pe cablurile lungi.
5. Concluzie
Izolarea camerelor de supraveghere IP într-un VLAN separat, închiderea completă a accesului la internet și activarea regulilor de Port Security sunt măsuri obligatorii de igienă tehnică în orice companie. Aceste configurări simple elimină riscul ca echipamentele video să fie utilizate ca trambulină de atac împotriva datelor de business ale firmei tale.