أمّن كاميرات المراقبة وأجهزة NVR: دليل دفاعي عملي ضد الاختراق

الهدف من كاميرات المراقبة هو حماية الشركة، لكن نظام كاميرات IP المضبوط بشكل سيئ قد يتحول إلى نقطة ضعف في حد ذاته: جهاز على الشبكة بكلمة مرور افتراضية، وبرنامج تشغيل قديم، ومسار مباشر من الإنترنت. والوصول غير المصرح به قد يعني مشاهدة غرباء لتسجيلات خاصة، أو حذف التسجيلات وقت الحاجة إليها، أو استخدام جهاز مخترق كنقطة عبور إلى شبكة المكتب. يشرح هذا الدليل كيفية حماية كاميرات المراقبة وأجهزة NVR من الاختراق بأسلوب دفاعي وعملي، لأصحاب الشركات وفرق تقنية المعلومات وفنيي التركيب. التركيز هنا على الإعدادات والعادات الجيدة، لا على طرق الهجوم.

لماذا تحتاج أنظمة الكاميرات إلى اهتمام بالأمن السيبراني؟

كاميرات IP الحديثة وأجهزة التسجيل الشبكية (NVR) هي في الحقيقة أجهزة كمبيوتر صغيرة؛ تعمل بنظام تشغيل، ولها واجهة ويب، وخدمات شبكية، وغالبًا اتصال سحابي. ومثل أي جهاز متصل بالإنترنت، تحتاج إلى تحديثات وكلمات مرور قوية وموقع مدروس داخل الشبكة. والمشكلة أنها كثيرًا ما تُركّب مرة واحدة ثم تُنسى لسنوات، ولهذا تحديدًا تستحق روتين حماية مقصودًا.

الحسابات وكلمات المرور

تخلص من كلمات المرور الافتراضية

غيّر كل كلمات المرور الافتراضية على الكاميرات وجهاز التسجيل وأي برنامج مرتبط أثناء التركيب، وقبل توصيل النظام بالإنترنت. كثير من الأجهزة الحديثة تفرض كلمة مرور جديدة عند أول تشغيل، لكن الأجهزة الأقدم أو الأرخص قد لا تفعل. افحص كل جهاز على حدة، بما في ذلك الكاميرات التي تُضاف لاحقًا.

استخدم كلمات مرور قوية وفريدة

• استخدم كلمات مرور طويلة وفريدة لكل جهاز، أو على الأقل لجهاز التسجيل وحسابات المدير، ولا تكرر كلمة مرور الواي فاي أو البريد.
• احفظها في مدير كلمات مرور تتحكم فيه الشركة، لا على ورقة ملصقة على جهاز التسجيل، ولا في هاتف الفني وحده.
• اتفق كتابيًا على أن يسلّم الفني جميع بيانات دخول المدير عند انتهاء المشروع.

افصل حساب المدير عن حسابات المشاهدة

أنشئ حسابًا مستقلًا لكل شخص يشاهد التسجيلات بالصلاحيات التي يحتاجها فقط: مشاهدة مباشرة فقط، أو استعراض تسجيلات كاميرات محددة، أو صلاحية التصدير لمدير بعينه. واترك حساب المدير للإعدادات، ولا تستخدمه للمشاهدة اليومية. ومبدأ أقل صلاحية الذي يحمي برامج الشركات، كما في دليل نظام الصلاحيات في برامج الشركات، ينطبق تمامًا على أنظمة المراقبة.

ألغِ الوصول عند مغادرة الأشخاص

عندما لا يعود موظف أو شركة حراسة أو فني تركيب بحاجة إلى الوصول، عطّل حسابه وغيّر أي كلمة مرور مشتركة كان يعرفها. وراجع قائمة المستخدمين على جهاز التسجيل وفي تطبيق الهاتف كل بضعة أشهر؛ فالحسابات تتراكم بصمت.

تحديث البرامج الثابتة واختيار المُصنّع

يصدر المصنّعون تحديثات للبرنامج الثابت (Firmware) تعالج ثغرات أمنية. والكاميرا التي لا تُحدَّث تحتفظ بكل نقاط الضعف المعروفة التي خرجت بها من المصنع.

• افحص إصدارات البرامج الثابتة على كل الكاميرات وجهاز التسجيل أثناء التركيب، وحدّثها من المصدر الرسمي للمصنّع.
• جدوِل فحصًا دوريًا، مثل كل ثلاثة أشهر، واشترك في النشرات الأمنية للمصنّع إن وُجدت.
• فضّل المصنّعين الذين ينشرون تنبيهات أمنية، ويوفرون تحديثات منتظمة، ويوضحون مدة دعم منتجاتهم، ويتيحون طريقة للإبلاغ عن الثغرات.
• خطط لاستبدال الأجهزة التي توقفت تحديثاتها، خاصة تلك التي يمكن الوصول إليها من خارج الشبكة المحلية.
• احفظ نسخة من الإعدادات قبل التحديث، ونفّذه في وقت هادئ تحسبًا لحاجة أي جهاز إلى تدخل.

المشاهدة عن بُعد دون كشف الأجهزة للإنترنت

المشاهدة من الهاتف من أكثر مزايا أنظمة IP قيمة، وهي أيضًا المصدر الأشهر لكشف الأجهزة. والمبدأ الأساسي هنا: لا يجب أن تكون الكاميرات أو جهاز التسجيل متاحة مباشرة من الإنترنت.

تجنب فتح المنافذ مباشرة (Port Forwarding)

فتح منافذ الراوتر ليصبح جهاز التسجيل متاحًا من أي مكان يعرّضه للفحص الآلي المستمر الذي يجري عبر الإنترنت. وإذا اقترح الفني هذا الحل، فاطلب بديلًا.

فضّل الشبكة الافتراضية الخاصة (VPN)

تنشئ الـ VPN نفقًا مشفرًا من الهاتف أو الكمبيوتر إلى شبكة الشركة، فلا يصل إلى جهاز التسجيل إلا المستخدمون الموثّقون، ويبقى الجهاز نفسه غير مرئي من الخارج. وكثير من أجهزة الراوتر والجدران النارية المخصصة للشركات تدعم VPN. أما الشركات متعددة الفروع فيمكنها ربط الفروع ببعضها عبر VPN بين المواقع.

افهم خدمات P2P والسحابة

يوفر كثير من المصنّعين خدمة P2P أو خدمة سحابية تتيح لتطبيق الهاتف الاتصال دون فتح منافذ، عبر تمرير الاتصال من خلال خوادم المصنّع. هذا غالبًا أبسط وقد يكون أكثر أمانًا من فتح المنافذ، لكنه يعني الثقة في منصة المصنّع وفي حماية حسابك عليها. إذا استخدمتها، فاحمِ الحساب السحابي بكلمة مرور قوية ومصادقة متعددة العوامل إن توفرت، وراجع الأجهزة المرتبطة به، وعطّل الخاصية على الأجهزة التي لا تحتاج وصولًا عن بُعد.

تصميم الشبكة: الراوتر والجدار الناري وVLAN

قوِّ إعدادات الراوتر والجدار الناري

• غيّر كلمة مرور إدارة الراوتر وحدّث برنامجه الثابت.
• عطّل خاصية UPnP على الراوتر وعلى الكاميرات وجهاز التسجيل قدر الإمكان، حتى لا تفتح الأجهزة منافذ بنفسها.
• عطّل إدارة الراوتر من الإنترنت ما لم تكن ضرورية ومحمية.
• راجع قواعد فتح المنافذ واحذف أي قاعدة لا يستطيع أحد تفسير سبب وجودها.

افصل الكاميرات بشبكة افتراضية VLAN

الـ VLAN شبكة محلية افتراضية تفصل الكاميرات عن أجهزة المكتب وأجهزة نقاط البيع وشبكة الضيوف، حتى لو كانت على السويتشات نفسها. ومع قواعد الجدار الناري تتواصل الكاميرات مع جهاز التسجيل فقط، ولا يصل إلى واجهة جهاز التسجيل إلا أجهزة مصرح لها. وإذا اختُرقت كاميرا يومًا، فلن تصل بسهولة إلى بقية الشبكة. ويمكن للأنظمة الصغيرة تحقيق فصل مشابه بشبكة مستقلة للكاميرات، وهو ما توفره كثير من أجهزة NVR عبر منافذ PoE المدمجة.

قيّد الاتصالات الخارجة

إذا كان جدارك الناري يسمح، فحدد العناوين الخارجية التي يمكن للكاميرات الاتصال بها. فالكاميرات تحتاج غالبًا إلى جهاز التسجيل وخادم الوقت فقط، وخدمة التحديث أو السحابة الخاصة بالمصنّع إن كانت مستخدمة.

عطّل الخدمات والخصائص غير المستخدمة

كثيرًا ما تأتي الكاميرات وأجهزة التسجيل بخدمات مفعّلة أكثر مما تحتاج. راجع إعدادات الشبكة في كل جهاز وأوقف ما لا تستخدمه، بعد التأكد مع الفني من أن جهاز التسجيل لا يعتمد عليه:

• بروتوكولات الإدارة القديمة أو غير المشفرة مثل Telnet أو FTP إن وُجدت.
• الوصول عبر HTTP العادي إذا كان HTTPS متاحًا.
• خصائص مثل UPnP أو P2P أو تنبيهات البريد أو الربط مع جهات خارجية إن لم تكن مستخدمة.
• خيارات المشاهدة للضيوف أو دون تسجيل دخول.

التشفير وضبط الوقت

استخدم HTTPS للوصول إلى واجهات الأجهزة، والاتصالات المشفرة في تطبيق الهاتف إن كانت مدعومة. وإذا كانت الأجهزة تستخدم شهادات ذاتية التوقيع داخل الشبكة المحلية، فافهم التحذيرات بدلًا من تعويد الموظفين على تجاوز أي تحذير. واضبط جميع الأجهزة على مصدر وقت موثوق حتى تحمل التسجيلات والسجلات توقيتًا دقيقًا؛ فالوقت غير الدقيق قد يقلل قيمة التسجيل حين تحتاجه أكثر.

السجلات والنشاط المريب

تحتفظ أجهزة NVR بسجلات لتسجيل الدخول وتغيير الإعدادات والاستعراض والتصدير. فعّل التسجيل، وراجعه دوريًا أو عند الشك في أي شيء. ومن العلامات التحذيرية:

• تسجيلات دخول في أوقات غير معتادة أو من أجهزة أو أماكن غير مألوفة.
• محاولات دخول فاشلة متتالية.
• تغييرات غير متوقعة في الإعدادات، أو حسابات جديدة، أو كاميرات معطلة.
• غياب تسجيلات في فترات كان يُفترض أن يسجل فيها النظام.
• كاميرات تتحرك أو تعيد التشغيل أو تتصرف بشكل غير معتاد دون سبب واضح.

إذا لاحظت هذه العلامات، فأوقف الوصول عن بُعد، وغيّر كلمات مرور المدير من جهاز موثوق، وافحص البرامج الثابتة وحسابات المستخدمين، واطلب من الفني أو مسؤول تقنية المعلومات مراجعة النظام. واحتفظ بالسجلات والتسجيلات التي قد تحتاجها لاحقًا.

الحماية المادية لجهاز التسجيل

من يستطيع الوصول إلى جهاز التسجيل بيده يستطيع فصله عن الكهرباء أو نزع الأقراص الصلبة أو إعادة ضبطه. ضع جهاز NVR في خزانة أو غرفة مغلقة بعيدًا عن الأماكن العامة، وصِل كهرباءه بجهاز UPS. واحمِ الكابلات والسويتشات الموجودة في أماكن يسهل الوصول إليها، وركّب الكاميرات بطريقة تصعّب العبث بها. وفكّر فيما إذا كانت التسجيلات المهمة تحتاج نسخة في مكان ثانٍ.

نسخ الإعدادات والتعافي

صدّر إعدادات جهاز التسجيل والكاميرات بعد التركيب وبعد أي تغيير مهم، واحفظها بشكل آمن لأنها قد تحتوي إعدادات حساسة. ووثّق النظام: قائمة الأجهزة، وعناوين IP، وإصدارات البرامج الثابتة، والحسابات، ومن يملك صلاحية المدير. التوثيق الجيد يتيح التعافي السريع أو تغيير جهة التركيب دون فقد السيطرة على النظام.

الاستخدام الآمن لتطبيق الهاتف

• ثبّت تطبيق المصنّع من المتاجر الرسمية فقط.
• امنح كل شخص دخولًا خاصًا به في التطبيق مرتبطًا بحساب محدود الصلاحيات، ولا تشارك حساب المدير داخل التطبيق.
• احمِ الهواتف بقفل شاشة، واحذف التطبيق أو الحساب من الهواتف المفقودة أو المباعة أو هواتف الموظفين السابقين.
• راجع الهواتف والحسابات المرتبطة بالنظام إذا كان التطبيق أو الخدمة السحابية يعرض ذلك.

مثال: إحكام نظام مكتب صغير

شركة صغيرة لديها ثماني كاميرات IP وجهاز NVR رُكّبت قبل سنوات، مع مشاهدة عن بُعد عبر منفذ مفتوح في الراوتر. خطة إحكام منطقية ستكون: تحديث البرامج الثابتة لجهاز التسجيل والكاميرات، وتغيير كل كلمات المرور وإنشاء حسابات مشاهدة مستقلة، وحذف قاعدة فتح المنفذ وتعطيل UPnP، وإعداد VPN للمديرَين اللذين يحتاجان المشاهدة عن بُعد، ونقل الكاميرات إلى VLAN مستقلة، وتفعيل السجلات وHTTPS، ووضع جهاز التسجيل في خزانة الخادم مع UPS، ثم توثيق كل شيء. لا تغير أي خطوة من هذه الخطوات طريقة التسجيل، لكنها جميعًا تقلل التعرض للخطر.

قائمة التركيب والتسليم

أخطاء شائعة

• أن يكون الفني هو الشخص الوحيد الذي يعرف كلمة مرور المدير.
• فتح المنافذ من أجل وصول "سريع" عن بُعد ثم نسيان الأمر.
• حساب مشاهدة واحد مشترك للجميع، بمن فيهم موظفون سابقون.
• عدم تحديث البرامج الثابتة إطلاقًا بعد التركيب.
• وضع جهاز التسجيل على رف مكشوف في مكان عام.

الأسئلة الشائعة

هل تطبيق السحابة أو P2P الخاص بالمصنّع آمن؟

قد يكون خيارًا معقولًا، وغالبًا أفضل من فتح المنافذ، لكنه يعتمد على مستوى أمان المصنّع وعلى حماية حسابك. استخدم كلمات مرور قوية ومصادقة متعددة العوامل إن توفرت، وعطّله حيث لا تحتاج وصولًا عن بُعد.

هل كاميرات الواي فاي أقل أمانًا من السلكية؟

ليس بالضرورة، إذا كانت شبكة الواي فاي تستخدم تشفيرًا حديثًا وكلمات مرور قوية. لكن كاميرات PoE السلكية أكثر ثباتًا عادةً، والإشارة اللاسلكية قد تتعرض للتشويش، لذلك تستفيد المناطق الحساسة غالبًا من التوصيل السلكي.

كم مرة يجب مراجعة أمان الكاميرات؟

مراجعة ربع سنوية للبرامج الثابتة والحسابات والسجلات روتين معقول لمعظم الشركات، مع مراجعة فورية عند مغادرة أي شخص لديه صلاحية وصول أو عند ظهور أي شيء غير معتاد.

كيف نعرف أن نظامنا تعرض لوصول غير مصرح به؟

راجع سجلات جهاز التسجيل بحثًا عن تسجيلات دخول غير مألوفة، أو مستخدمين جدد، أو تغييرات في الإعدادات، أو فجوات في التسجيل. وإذا بدا أي شيء غير طبيعي، فقيّد الوصول عن بُعد واطلب مراجعة متخصصة.

الخلاصة

حماية كاميرات IP وأجهزة NVR لا تعتمد على أدوات باهظة، بل على أساسيات ثابتة: لا كلمات مرور افتراضية، وحسابات مستقلة بصلاحيات محدودة، وبرامج ثابتة محدثة، ولا كشف مباشر للإنترنت، وشبكات مفصولة، وخدمات غير مستخدمة معطلة، وسجلات يراجعها أحد، وجهاز تسجيل محمي ماديًا. اجعل هذه النقاط جزءًا من التركيب والتسليم، ثم راجعها بانتظام.

راجع أمان نظام الكاميرات لديك

إذا كانت كاميراتك قد رُكّبت منذ سنوات، أو لست متأكدًا من طريقة ضبط المشاهدة عن بُعد، فمراجعة تركز على الأمان يمكن أن تحدد ما يجب تغييره. تعرّف على خدمة أنظمة الأمن والمراقبة، أو اطلب مراجعة أمان لنظام الكاميرات.