Kamera ve NVR Güvenlik Açıkları: CVE Nasıl Okunur, Firmware Nasıl Güncellenir, Destek Biterse Ne Yapılır?

Kamera güvenlik açığı nedir ve neden önemlidir?

Kamera, NVR veya DVR'deki güvenlik açığı, cihazın yazılımında bulunan ve kötü niyetli birinin yetkisiz erişim, kontrol ya da veri çekme için kullanabileceği bir hatadır. Bu hata cihazı üreten firmanın kasıtlı bir tercihi değildir; karmaşık yazılımlarda zamanla keşfedilen, düzeltilmesi gereken bir kusurdur. Önemli olan, açığın bilinmesinden sonra düzeltmenin ne kadar hızlı uygulandığıdır.

Kayıt cihazları ve kameralar ağa bağlı küçük bilgisayarlardır. Üzerlerinde web arayüzü, uzaktan erişim servisi, video akış protokolleri ve çoğu zaman bulut bağlantısı çalışır. Her ek servis, saldırı yüzeyini büyütür. Güvenlik açığı sömürülürse sonuç görüntülerin izlenmesinden kaydın silinmesine, cihazın ağdaki başka bilgisayarlara sıçrama noktası olarak kullanılmasına kadar uzanabilir.

Bu nedenle kamera güvenliği yalnızca doğru yere kamera koymaktan ibaret değildir. Kurulumdan sonra cihazın yazılımını güncel tutmak, kurulumcu ile kullanıcı arasında açıkça paylaşılması gereken bir sorumluluktur.

CVE ve CVSS nasıl okunur?

CVE, kamuya açıklanmış bir güvenlik açığına verilen standart kimlik numarasıdır ve CVE-YYYY-NNNN biçimindedir; yıl, açığın numaralandırıldığı yılı, sonraki rakamlar sıra numarasını gösterir. Aynı numara üretici bildirimlerinde, ulusal zafiyet veritabanlarında ve güvenlik tarayıcılarında kullanıldığı için farklı kaynaklardaki bilgileri birbiriyle eşleştirmeyi sağlar.

CVSS, açığın ciddiyetini 0,0 ile 10,0 arasında puanlayan bir çerçevedir. FIRST kuruluşunun CVSS v3.1 belirtimindeki nitel ölçeğe göre puanlar şu sınıflara ayrılır:

• 0,0: Yok (None).
• 0,1 – 3,9: Düşük (Low).
• 4,0 – 6,9: Orta (Medium).
• 7,0 – 8,9: Yüksek (High).
• 9,0 – 10,0: Kritik (Critical).

Puan tek başına karar vermez: ortamınıza göre değerlendirin

CVSS üç metrik grubundan oluşur: değişmeyen teknik özellikleri gösteren Temel (Base), zamanla değişen sömürü ve yama durumunu gösteren Zamansal (Temporal) ve kullanıcıya özgü koşulları yansıtan Çevresel (Environmental) metrikler. Üretici genellikle ilk ikisini yayımlar; çevresel etkiyi sizin ortamınıza bakarak değerlendirmeniz gerekir.

Örneğin kimlik doğrulama gerektirmeden uzaktan çalışan kritik bir açık, cihazı internete açık olan bir tesis için acildir. Aynı cihaz yalnızca yerel ağda, ayrı bir VLAN içinde ve dışarıdan erişimsiz ise risk daha düşüktür; ama yine de planlı güncelleme kapsamında kapatılmalıdır. Öncelik belirlerken şunlara bakılır:

• Açığın uzaktan mı yoksa yerel ağdan mı sömürüldüğü.
• Sömürü için kullanıcı adı ve şifre gerekip gerekmediği.
• Cihazın internetten doğrudan erişilebilir olup olmadığı.
• Kamuya açık sömürü kodunun ya da aktif saldırı bilgisinin bulunup bulunmadığı.
• Cihazın koruduğu alanın ve görüntülerin hassasiyeti.

Üreticiler güvenlik bildirimlerini nasıl yayımlar?

Büyük kamera ve alarm üreticileri, güvenlik açıklarını kendi sitelerindeki güvenlik veya PSIRT (Product Security Incident Response Team) sayfalarında duyurur. Örneğin Dahua'nın PSIRT sayfası süreci alma, doğrulama, düzeltme, yayımlama ve iyileştirme adımlarıyla tanımlar; bildirimleri Güvenlik Danışmanlığı (Security Advisory) ve Güvenlik Bildirimi (Security Notice) olarak ayırır. Danışmanlık açığın açıklamasını ve çözümünü içerir; bildirim ise açıklar ile olaylar dahil daha geniş güvenlik konularına yanıt verir.

Aynı sayfa, açıkların CVSS v3 ile temel ve zamansal puanlandığını, kullanıcının çevresel puanı kendisinin hesaplayabileceğini belirtir. Güvenlik araştırmacılarına bildirimin alındığı iki iş günü içinde teyit, yedi iş günü içinde ise bir sonuç verilmesi hedeflenir. Diğer üreticilerin sayfaları da benzer yapıdadır: etkilenen model listesi, düzeltilmiş firmware sürümü ve varsa geçici önlemler.

Kurulumcu için pratik çözüm, sahada en çok kullandığı markaların güvenlik sayfalarını düzenli takip etmek ve CVE numarasıyla arama yapmaktır. Markaların genel listesi için markalar sayfasına bakılabilir; güvenlik bildirimleri ise her zaman üreticinin kendi sitesinden okunmalıdır.

Firmware güncelleme adım adım nasıl yapılır?

Güvenli bir firmware güncellemesi; model ve donanım sürümünün doğrulanması, yedek alınması, doğru dosyanın üreticiden indirilmesi, kontrollü yükleme ve sonrasında test adımlarından oluşur. Tek bir hızlı tıklama yerine bu sırayı izlemek, en sık görülen sorun olan yanlış dosya ve yarım kalan yüklemeyi önler. Hem kamera hem NVR için temel akış aynıdır:

• Envanter çıkarın: cihazın tam model kodunu, seri numarasını, mevcut firmware sürümünü ve donanım revizyonunu not edin.
• Bildirimi okuyun: üreticinin güvenlik bildiriminde etkilenen modelleri ve düzeltilmiş sürüm numarasını kontrol edin; sürüm notlarında yükleme şartı (ara sürüm gerekliliği gibi) olup olmadığına bakın.
• Yapılandırmayı yedekleyin: kullanıcılar, ağ ayarları, kayıt takvimi ve alarm kurallarını dışa aktarın; gerekiyorsa kritik kayıtları ayrıca saklayın.
• Dosyayı resmî kaynaktan indirin: yalnızca üreticinin kendi sitesi veya kurulumcu portalından alın; üçüncü taraf paylaşım sitelerindeki dosyaları kullanmayın. Üretici sağlıyorsa dosya doğrulama değerini (sağlama toplamı) karşılaştırın.
• Zamanı ve gücü planlayın: müşterinin en az kayıt kaybedeceği saati seçin; cihazı kesintisiz güç kaynağına (UPS) bağlayın, yükleme sırasında elektrik ve ağ kesintisi olmamalıdır.
• Önce tek cihazda deneyin: çok sayıda kameralı projede önce bir kamerayı, sonra bir NVR'ı güncelleyin; yeni sürüm sorunsuzsa kalan cihazlara geçin.
• Yükleme bitene kadar bekleyin: cihazı kapatmayın, tarayıcıyı kapatmayın, yeniden başlatma tamamlanana kadar müdahale etmeyin.
• Sonucu test edin: canlı görüntü, kayıt, geriye dönük oynatma, hareket algılama, mobil uygulama bağlantısı ve saat ayarını kontrol edin; sürüm numarasını kayda geçirin.

Firmware güncellemenin riskleri ve önlemleri

Güncelleme riski sıfır değildir; en büyük riskler yanlış dosya, yarım kalan yükleme ve sürüm sonrası uyumsuzluktur. Yanlış model için hazırlanmış bir dosya cihazı açılmaz hâle getirebilir. Elektrik kesilmesi yükleme sırasında bölümleri bozabilir. Bazı güncellemeler arayüz, protokol veya ONVIF uyumluluğunu değiştirebildiği için kayıt cihazı ile kamera arasındaki bağlantı sonrasında yeniden kurulmak zorunda kalabilir.

Birçok cihazda eski sürüme dönmek (downgrade) üretici tarafından engellenmiştir; bu nedenle "sorun çıkarsa geri döneriz" varsayımına güvenilmemelidir. Önlem olarak yedek alın, ilk denemeyi tek cihazda yapın ve kritik tesislerde yedek cihaz bulundurun.

Güncelleme yapılmaması da bir risktir. Güvenlik açığı yamalanmazsa, CISA'nın Bilinen Sömürülen Açıklar (KEV) kataloğunda yer alan açıklarda olduğu gibi gerçek saldırılarda kullanılan bir zafiyet cihazda yıllarca kalabilir. CISA, kuruluşlara KEV kataloğunu zafiyet yönetimi önceliklendirmesinde girdi olarak kullanmalarını, üretici düzeltmelerini uygulamalarını, cihazın internete açıklığını değerlendirmelerini ve düzeltme yoksa ürünü kullanmayı bırakmalarını önerir.

Desteği biten cihazlarda ne yapılır?

Üretici desteği sona ermiş (end-of-life, EoL) bir kamera ya da NVR yeni güvenlik yaması almaz; bu yüzden bilinen açıklar kalıcı hâle gelir. Cihaz görüntü almaya devam ettiği için sorun çoğunlukla fark edilmez, ama ağdaki en zayıf halka olabilir. Destek durumu üreticinin ürün sayfasından ya da satış sonrası hizmet kanalından sorulmalıdır; tahmine dayanılmamalıdır.

Değiştirme hemen mümkün değilse risk azaltıcı adımlar uygulanır:

• Cihazı internetten tamamen kaldırın: port yönlendirme ve UPnP kapalı olmalı, uzaktan erişim yalnızca VPN veya güvenli bulut hizmeti üzerinden sağlanmalıdır.
• Kamera ve kayıt cihazlarını ayrı bir VLAN'a alın; ofis veya ev bilgisayarlarından güvenlik duvarı kuralıyla ayırın.
• Kullanılmayan servisleri (Telnet, SSH, FTP, eski protokoller) kapatın; varsayılan şifreyi mutlaka değiştirin.
• Cihaz envanterine "destek bitti" etiketi ekleyin ve bütçe planında değiştirme tarihi belirleyin.
• Değiştirme sırasında yeni cihazın güvenlik güncelleme politikasını ve destek süresini yazılı olarak isteyin.

Kurulumcu bakım sözleşmesine güncellemeyi nasıl dahil eder?

Güvenlik güncellemesi, bakım sözleşmesinde adı konmuş bir hizmet kalemi olmalıdır; aksi hâlde müşteri de kurulumcu da bunun kimin işi olduğunu varsayımla bırakır. Sözleşmede kapsamı, periyodu ve yükümlülüğü yazmak, hem hizmet kalitesini hem de olası bir ihtilafta tarafların konumunu netleştirir. Bakım sözleşmesinin genel yapısı için bakım sözleşmesi nasıl hazırlanır rehberine bakabilirsiniz.

Sözleşmeye eklenebilecek kalemler şunlardır:

• Kurulumda cihaz envanteri: model, seri numarası, firmware sürümü ve teslim tarihi.
• Güncelleme periyodu: örneğin yıllık veya altı aylık kontrol ve kritik açıkta öncelikli müdahale.
• Bildirim yükümlülüğü: kritik güvenlik açığı duyurulduğunda müşteriye yazılı bilgi verilmesi.
• Yedek ve geri dönüş planı: yapılandırma yedeği, bakım penceresi ve onay şartı.
• Destek bitişi uyarısı: üretici desteği biten cihazın müşteriye bildirilmesi ve değiştirme önerisi.
• Erişim güvenliği: şifre politikası, yönetici hesabı ayrımı ve uzaktan erişim yöntemi.
• Sorumluluk sınırı: müşterinin onaylamadığı güncelleme ve ağı dışarıya açma kararlarının sonuçları.

KVKK ve siber olay bildirimi boyutu

Kamera görüntüleri kişisel veri içerdiğinden, güvenlik açığı nedeniyle görüntülerin başkalarının eline geçmesi KVKK açısından veri ihlali olabilir. 6698 sayılı Kanun'un 12. maddesi veri sorumlusunun uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını, aynı maddenin 5. fıkrası ise verilerin hukuka aykırı yollarla başkalarınca elde edilmesi hâlinde ihlalin Kurul'a bildirilmesini düzenler. Kurul, bu bildirimi gecikmeksizin ve en geç 72 saat içinde yapılacak şekilde yorumlamıştır.

Güncel tutulmayan cihazlar bu tedbirlerin eksik olduğunu gösteren bir delil sayılabilir. Görüntü saklama konusu için kamera kayıtları kaç gün saklanmalı rehberi tamamlayıcıdır.

Türkiye'de siber güvenlik bildirimleri ve CVE başvuruları, Siber Güvenlik Başkanlığı çatısı altında USOM hizmetleriyle ilişkilidir; USOM sayfasına göre bu içerikler siberguvenlik.gov.tr adresinde yayımlanmaya devam edecektir. Cihazda şüpheli bir etkinlik fark edilirse üreticiye ve ilgili kuruma bildirim yapılması gerekir.

Bayifi'nin bu konudaki yeri

Bayifi, güvenlik sistemleri kurulumcuları ile toptancıları buluşturan bir B2B pazar yeri ve il il firma dizinidir. Cihazlarınızın bakım ve güncelleme işini üstlenecek bir firma arıyorsanız bayi listesinde il ve hizmete göre arama yapabilir, bayi haritasından yakınınızdaki firmaları görebilirsiniz. Yeni cihaz veya yedek ürün gerekiyorsa toptancıların stoklu ürünleri pazar sayfasında listelenir; firmanızı eklemek için kaydol sayfası kullanılır.