Dans un petit système de sécurité typique, vous pouvez avoir une douzaine ou plus de caméras IP connectées aux enregistreurs vidéo réseaux (NVR). Les configurations de meilleures pratiques placent généralement les caméras IP sur un sous-réseau, ce qui vous permet de désactiver l'accès à internet et d'empêcher les flux de caméras IP à bande passante intensive d'interférer avec le trafic. Cependant, pour accéder au NVR depuis l'extérieur de votre réseau, vous devrez l'exposer à Internet. Cela met potentiellement vos actifs en danger, car les pirates peuvent plus facilement utiliser Internet pour pénétrer votre système.
L'anatomie d'un Hack
Tout appareil IP accessible à distance par Internet est potentiellement à risque. Souvent, l'appareil est disponible à partir d'un réseau qui a une adresse IP fixe et un port. Si c'est le cas, cela est facilement détectable de n'importe où dans le monde en utilisant le balayage de port (le balayage de port est une technique standard qui est utilisée pour déterminer quels ports un système cible peut écouter). Cela peut aider les attaquants à déterminer également quels services peuvent fonctionner sur le système, parce que certains ports sont généralement associés à des services particuliers. Si le périphérique est un NVR par exemple, il est probable que le port 80 soit ouvert, de sorte que l'utilisateur légitime puisse accéder à l'interface web du NVR. Mais pour le hacker, un port 80 ouvert est un gros indice que l'appareil à un serveur web qui tourne dessus. La numérisation des ports est essentiellement une façon de "prendre des empreintes " du système d'exploitation à distance pour comprendre quels services et versions de logiciels sont exécutés sur la cible. C'est un problème parce que s'il y a des exploits connus de cette version d'un système d'exploitation ou de services particuliers.
Cependant, il existe un certain nombre de moyens pratiques pour minimiser ce risque. La plupart des NVR ont une application mobile qui peut se connecter via Peer-to-Peer (P2P). Cette configuration utilise un serveur intermédiaire pour interroger le NVR, et demander un port à ouvrir. Une fois que cela se produit, l'application mobile se connecte au NVR. Lorsque la connexion est fermée, le port est fermé. Le grand avantage de cette approche est que le port est ouvert uniquement pour la durée de la session.
A tout autre moment, un balayage de port ne révélera par grand-chose à un hacker potentiel. C'est l'équivalent d'ouvrir la porte de votre garage quand vous arrivez à la maison, puis de la ferme juste après avoir fait entrer votre voiture, et de la laisser fermer jusqu'à ce que vous ayez besoin de sortir votre voiture à nouveau.
Une autre façon de minimiser l'exposition est d'utiliser le blocage d'adresse IP. Également connu sous le nom de fonction de géolocalisation dans de nombreux pare-feu, cela vous permet de bloquer l'accès à votre système à partir d'une gamme d'adresses IP. Certains vous permettent de bloquer l'accès à partir d'adresses IP dans des pays spécifiques. Certains experts en sécurité croient qu'il s'agit d'un instrument très grossier à déployer, alors il est de demander si le blocage des adresses IP en vaut la peine. Situons un scénario pour mieux comprendre cette question :
Un manager vérifie périodiquement les connexions, ce qui donne une vue en générale lorsque les choses ne fonctionnement pas correctement. En faisant cela, il notifie le nombre d'administrateurs qui se sont connectés sur une adresse IP spécifique en moins d'un jour. Il s'avère qu'il enregistre une adresse IP qui vient d'une ville qui regroupe des personnes susceptible d'être des "trolls" et qui sont soupçonnés d'être engagés des opérations d'influence en ligne pour le compte d'entreprises et d'intérêts politiques d'un pays particulier. Etant donné que le le site web du gestionnaire ne sert que les utilisateurs d'Amérique du Nord, ils ont choisi de bloquer tout le domaine des adresses IP dans cette zone géographique. Cette action n'empêchera par le hacker, quel qu'il soit, de tenter à nouveau d'obtenir un mot de passe par force, mais cela rend la démarche plus compliqué.
Pour beaucoup d'entreprises, il est beaucoup plus facile de sécuriser l'accès au NVR parce qu'il est probable qu'il y ai uniquement quelques personnes qui sont autorisées à y accéder. Dans ce cas, vous pouvez modifier la valeur par défaut et configurer une liste d'autorisation IP, qui bloquera toutes les tentatives d'accès, sauf si elles proviennent des adresses IP spécifiées.
Source : Dahua
