Güvenlik Kamerası Hacklenir mi? IP Kamera ve Kayıt Cihazı Siber Güvenliği Rehberi

Güvenlik kamerası hacklenir mi? Risk nasıl oluşur?

IP kameralar ve NVR gibi kayıt cihazları birer küçük bilgisayardır; ağa bağlı olduğu için yazılım açığı, zayıf şifre ve yanlış ağ ayarı üzerinden ele geçirilebilir. Kameranın kendisi sorunlu olmak zorunda değildir: saldırıların çoğu cihazın fabrika şifresiyle bırakılması, güncellenmemesi veya internete doğrudan açılması gibi kurulum hatalarından yararlanır.

Bunun bilinen örneği 2016'daki Mirai botnet'idir; internete açık IoT cihazlarını, aralarında kameralar da vardı, yaygın varsayılan kullanıcı adı ve şifre denemeleriyle ele geçirmiştir. Ele geçirilen kamera yalnızca görüntü izlenmesine değil, aynı ağdaki diğer cihazlara sıçrama noktası olarak kullanılmasına da yol açabilir.

Bu nedenle siber güvenlik, kamera seçiminden bağımsız bir son adım değil, kurulumun parçasıdır. Aşağıdaki başlıklar riskin geldiği sırayla ele alınmıştır: şifre, güncelleme, uzaktan erişim yöntemi, ağ ayrımı ve yetki yönetimi.

Varsayılan şifre ve güçlü şifre nasıl olmalı?

İlk kurulumda cihazın varsayılan kullanıcı adı ve şifresi mutlaka değiştirilmelidir, çünkü bu bilgiler üretici belgelerinde ve internette herkesin erişebildiği listelerde bulunur. Birçok güncel cihaz ilk açılışta şifre belirlemeyi zorunlu tutar (aktivasyon); bu doğru bir tasarımdır ve atlanmamalıdır.

Şifre uzunluğu için kamu kurumlarının rehberleri uzun şifre yönünde birleşir: ABD siber güvenlik kurumu CISA en az 16 karakter önerir ve her hesap için ayrı şifre kullanılmasını ister. Rastgele karakterler yerine 4–7 ilgisiz kelimeden oluşan bir parola cümlesi de aynı işi görür ve hatırlaması daha kolaydır.

Kamera ve kayıt cihazı için ayrı bir şifre belirlemek, ortak şifreyi kablosuz ağ ya da e-posta şifresiyle paylaşmamak gerekir. Şifreyi kurulumcunun not defterinde değil, müşteriye teslim edilen yazılı kayıtta ve mümkünse şifre yöneticisinde tutmak daha güvenlidir.

• Varsayılan hesap: admin gibi bilinen kullanıcı adı yerine mümkünse özgün bir yönetici adı kullanın.
• Uzunluk: en az 12 karakter, tercihen CISA'nın önerdiği gibi 16 ve üzeri.
• Benzersizlik: her NVR, kamera grubu ve bulut hesabı için farklı şifre.
• Kurulumcu şifresi: kurulum bitince teknisyenin kullandığı geçici şifreyi iptal edin.
• Çok adımlı doğrulama: üretici bulut uygulaması destekliyorsa etkinleştirin.

Kamera firmware güncellemesi neden gereklidir?

Firmware güncellemesi, cihaz yazılımındaki bilinen güvenlik açıklarını kapatır; güncellenmeyen bir kamera, açığı yayımlanmış bir cihaz demektir. Üreticiler güvenlik açıklarını resmi sitelerindeki güvenlik bültenlerinde duyurur ve düzeltmeleri firmware sürümleriyle dağıtır.

Güncellemeyi yalnızca üreticinin resmi sitesinden ya da yetkili destek kanalından indirin. CISA'nın ağ cihazları rehberi de güncellemelerin doğrulanmış kaynaklardan alınmasını, üreticinin verdiği özet (hash) değerleriyle karşılaştırılmasını ve yamaların canlı sisteme geçmeden önce test edilmesini önerir. Yapılandırma yedeğini güncellemeden önce almak, sorun çıkarsa geri dönmeyi kolaylaştırır.

Kurulumdan sonra güncelleme unutulmaya yatkın bir iştir. Yılda en az bir kez ya da üretici bir güvenlik bülteni yayımladığında NVR, kameralar ve varsa bulut hesabı için sürüm kontrolü yapılması iyi bir düzendir. Üretici desteğini bitirmiş çok eski cihazlar güncellenemeyeceği için ayrı bir ağ segmentinde tutulmalı ve internete kapatılmalıdır.

• Adım 1: NVR ve kameraların model ve mevcut firmware sürümünü kayda alın.
• Adım 2: üreticinin resmi sitesinde güvenlik bültenlerini ve yeni sürümleri kontrol edin.
• Adım 3: yapılandırmayı yedekleyin, güncellemeyi önce tek bir cihazda deneyin.
• Adım 4: doğrulanmış dosyayı yükleyin, cihazı yeniden başlatıp kayıt ve görüntüyü kontrol edin.
• Adım 5: tarihi ve sürümü kayda işleyin; bir sonraki kontrol tarihini belirleyin.

Port yönlendirme güvenli mi?

Port yönlendirme (port forwarding), kamera veya NVR'ın yönetim ve görüntü portlarını doğrudan internete açar; bu nedenle uzaktan izleme için en riskli yöntemdir. Cihaz internetten erişilebilir hale geldiğinde otomatik tarayıcılar onu kısa sürede bulur ve şifre denemeleri ile bilinen açık denemeleri başlar.

Yönlendirilen portlar genellikle web arayüzü (HTTP 80, HTTPS 443) ve görüntü akışı protokolü RTSP'nin varsayılan portu 554 gibi bilinen numaralardır; saldırganlar bu portları özellikle tarar. Portu değiştirmek riski tamamen ortadan kaldırmaz, yalnızca rastgele taramalarda görünürlüğü biraz azaltır.

Modemdeki UPnP özelliği de dikkat ister: bazı cihazlar kullanıcı fark etmeden kendi portlarını otomatik açabilir. Kurulum sonrasında modemin port yönlendirme ve UPnP tablosuna bakmak, açık bir kapı olup olmadığını anlamanın pratik yoludur. CISA da yönetim erişimini kısıtlayan, şifreli ve doğrulamalı yöntemleri tercih etmeyi, gereksiz servisleri kapatmayı önerir.

• Mümkünse kullanmayın: port yönlendirme yerine VPN ya da üretici bulut/P2P hizmeti tercih edin.
• Zorunluysa: yalnız gerekli portu açın, şifreli (HTTPS) erişimi kullanın, yönetim arayüzünü açmayın.
• UPnP: kamera ve NVR için modemde kapatın.
• Denetim: modemin yönlendirme tablosunu kurulumdan sonra ve belirli aralıklarla kontrol edin.

Uzaktan izleme: P2P, bulut ve VPN karşılaştırması

Telefondan izlemek için port yönlendirmeye alternatif üç yaygın yol vardır: üretici P2P/bulut hizmeti, VPN ve ağ geçidi (gateway) üzerinden kontrollü erişim. Hiçbiri sıfır risk getirmez; hangisinin seçileceği güvenlik beklentisine ve işletme düzenine bağlıdır. Mobil izleme adımları için kamerayı telefondan izleme rehberine bakabilirsiniz.

P2P/bulut yönteminde cihaz dışarıdan gelen bağlantıyı beklemez; üreticinin sunucusuna kendisi bağlanır ve uygulama bu sunucu üzerinden eşleşir. Modemde port açmak gerekmez, kurulum kolaydır. Karşılığında erişim güvenliği üreticinin hesap sistemine bağlıdır; bu yüzden hesap şifresi güçlü olmalı, çok adımlı doğrulama açılmalı ve görüntünün üreticinin sunucularından geçip geçmediği anlaşılmalıdır.

VPN yönteminde telefon önce şifreli bir tünelle yerel ağa bağlanır, sonra kamerayı yerel adresiyle izler. Kameralar internete hiç açılmaz; bu yüzden kontrollü işletmelerde tercih edilen yöntemdir. Karşılığında VPN sunucusunun (çoğu zaman modem ya da güvenlik duvarı) kurulması ve güncel tutulması gerekir.

• P2P/bulut: hızlı kurulum, port açmaya gerek yok; hesap güvenliği ve verinin yolu üreticiye bağlı.
• VPN: kameralar internete açılmaz, tek giriş noktası şifreli tünel; kurulum ve bakım bilgisi ister.
• Port yönlendirme: en basit ama en riskli; yalnızca başka seçenek yoksa ve ek koruma ile.
• Ortak kural: hangi yöntem olursa olsun varsayılan şifre kalmamalı, firmware güncel olmalı.

Ağ ayrımı: kameraları VLAN ile ayırmak

Kameraları ofis veya ev bilgisayarlarından ayrı bir ağ segmentine koymak, bir cihaz ele geçirilse bile saldırının yayılmasını sınırlar. Bu ayrım için VLAN (IEEE 802.1Q standardı) kullanılır; yönetilebilir bir anahtar (switch) ve VLAN destekli bir güvenlik duvarı ya da router gerektirir. CISA da ağların rol ve işleve göre bölünmesini, kritik cihazların ayrı segmentlerde izole edilmesini önerir.

Pratikte kamera VLAN'ı yalnızca NVR ve izleme istasyonuyla konuşur, internete ve ofis ağına doğrudan çıkış kuralları kapalı tutulur. Zaman senkronizasyonu (NTP) ve bildirim gibi zorunlu çıkışlar tek tek tanımlanır. Kayıt cihazının iki ağ kartı varsa biri kamera ağına, diğeri yönetim ağına bağlanarak doğal bir ayrım sağlanır.

PoE anahtarı olan NVR modellerinde kameralar cihazın kendi iç ağına bağlanır ve dış ağdan görünmez; bu yapı ayrı VLAN kurmanın sade bir alternatifi olabilir. PoE standartları ve çalışma mantığı için PoE kamera kurulumu rehberine göz atabilirsiniz. NVR ve DVR farkı için ise NVR mi DVR mı yazısı ayrıntı verir.

• Kamera VLAN'ı: kameralar, NVR ve izleme istasyonu aynı segmentte; misafir ve ofis cihazları dışarıda.
• Kural seti: varsayılan olarak her şeyi engelle, gerekli trafiği tek tek izin ver.
• Kablosuz: kameraları misafir Wi-Fi ağına bağlamayın.
• İnternet çıkışı: yalnızca bulut hizmeti ya da güncelleme için gerektiğinde ve belirli adreslere açın.

Kullanıcı yetkileri ve gereksiz servislerin kapatılması

Her kullanıcıya yalnızca işini yapmaya yetecek yetki verilmelidir; izleme yapacak bir çalışan yönetici hesabına ihtiyaç duymaz. NVR'larda genellikle yönetici, operatör ve yalnızca izleme gibi roller bulunur; kayıt silme, ayar değiştirme ve dışa aktarma yetkisi ayrıca sınırlanabilir.

Ortak hesap kullanmak olay sonrası kimin ne yaptığını anlamayı zorlaştırır. Her kişiye ayrı hesap açmak, ayrılan personelin hesabını hemen kapatmak ve oturum kayıtlarını (log) belirli aralıklarla incelemek gerekir.

Kullanılmayan servisler de saldırı yüzeyini genişletir. Telnet ve şifresiz FTP gibi korumasız yönetim protokolleri kapatılmalı, mümkün olan yerde HTTPS kullanılmalıdır. ONVIF gibi birlikte çalışabilirlik standardı kullanılan sistemlerde (ONVIF, farklı üreticilerin IP tabanlı güvenlik ürünlerinin birbiriyle konuşması için standart arayüzler tanımlar) ONVIF kullanıcısı ayrı oluşturulmalı, kullanılmıyorsa devre dışı bırakılmalıdır. NIST'in IoT cihazları için yayımladığı NIST IR 8259A çerçevesi de cihaz yapılandırması, arayüzlere mantıksal erişim ve yazılım güncellemesi gibi temel yetenekleri sayar; satın alınacak cihazda bunların varlığını sormak yerinde olur.

• Rol ayrımı: yönetici, operatör ve yalnızca izleyici hesapları ayrı olsun.
• Kişiye özel hesap: ortak şifre ve ortak hesap kullanmayın.
• Kapatılacaklar: kullanılmayan Telnet, FTP, SNMP ve ONVIF/RTSP erişimleri.
• Kayıt tutma: oturum ve yetki değişikliği loglarını düzenli inceleyin.
• Personel ayrılığı: hesabı aynı gün kapatın, ortak şifreleri yenileyin.

KVKK ve kamera güvenliği: veri güvenliği yükümlülüğü

Kamera görüntüleri kişiyi tanımlanabilir kıldığı için kişisel veridir; bu görüntüleri işleyen kişi ya da kurum, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi kapsamında veri sorumlusu olarak güvenliği sağlamakla yükümlüdür. Kanun, veri sorumlusunun hukuka aykırı işlemeyi ve erişimi önlemek ve verinin muhafazasını sağlamak için uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almasını ister.

Madde 12 üç noktayı daha içerir: veriler başka bir kişi adına işleniyorsa veri sorumlusu o kişiyle birlikte sorumludur, veri sorumlusu kurumunda gerekli denetimleri yapmak ya da yaptırmak zorundadır ve kişisel veriler hukuka aykırı yollarla başkalarınca ele geçirilirse en kısa sürede ilgilisine ve Kurula bildirilmelidir. Kurul, 24.01.2019 tarihli ve 2019/10 sayılı kararında bu sürenin veri sorumlusunca ihlalin öğrenilmesinden itibaren en geç 72 saat olarak uygulanacağını duyurmuştur.

Kamera sistemleri için bu, şifre politikası, güncelleme düzeni, uzaktan erişim yönteminin güvenliği, yetkilendirme ve kayıt dışa aktarma kontrolü gibi tedbirlerin yazılı olarak belirlenmesi ve uygulanması demektir. Aydınlatma, saklama süresi ve görüntü izleme alanları gibi hukuki konular için işyerinde güvenlik kamerası ve KVKK yazısına bakabilirsiniz. Kurul ayrıca teknik ve idari tedbirlere ilişkin bir Kişisel Veri Güvenliği Rehberi yayımlamıştır; bu yazı hukuki danışmanlık yerine geçmez.

Güvenli kurulumcu nasıl seçilir? Bayifi'de firma bulmak

Siber güvenlik çoğu zaman kurulum günü verilen kararlarla belirlendiği için kurulumcuya şifre değişimi, firmware sürümü, uzaktan erişim yöntemi ve ağ ayrımını sormak yerinde olur. Teslimde varsayılan şifrelerin kalmadığını, modemde gereksiz port açılmadığını ve yönetici bilgilerinin size yazılı olarak verildiğini kontrol edin.

Bayifi'de il il firma dizininden kurulumcuların profil, hizmet ve marka bilgilerine bakabilirsiniz; bayi listesi ve bayi haritası aramayı kolaylaştırır. Toptan ürün ve stok bilgisi arayanlar Pazar sayfasını, firmasını dizine eklemek isteyen kurulumcu ve toptancılar kayıt sayfasını kullanabilir.