Rehber · Siber Güvenlik
Kamera ve Alarm Sistemlerinde Ağ Güvenliği: IP Kamera, NVR, VLAN ve Uzaktan Erişim
IP kamera ve alarm sistemlerinde varsayılan parola, VLAN, NVR güvenliği ve uzaktan erişim riskleri için rehber.
Yayın · Güncelleme · İyi Bilişim
Kısa cevap
Kamera ve alarm sistemlerinde ağ güvenliği için varsayılan parolalar ilk gün değiştirilmeli, firmware güncel tutulmalı, kameralar ve NVR ofis ağından ayrı bir VLAN'a alınmalı, modemde port yönlendirme ve UPnP kapatılmalı, uzaktan izleme VPN veya üreticinin güvenli bulut servisi üzerinden yapılmalıdır. Kayıt süresi, erişim yetkileri ve KVKK aydınlatma yükümlülüğü de kurulumun parçasıdır.
IP kamera, NVR ve alarm sistemlerini güvenlik için kuran ama bu cihazların ağa ve internete açılan yeni bir risk kapısı olabileceğini fark eden işletmeler için hazırlanmıştır.
- OKGüncellenmeyen ve varsayılan parolalı IP kameralar, otomatik taramalarla dakikalar içinde bulunabilir.
- OKKamera ağı ile ofis ağı ayrılmazsa ele geçirilen bir kamera diğer bilgisayarlara erişim kapısı olabilir.
- OKPort yönlendirme ile internete açılan NVR, en sık görülen kamera güvenlik açığıdır.
- OKDoğru zaman senkronizasyonu ve kayıt saklama planı, görüntünün delil değerini korur.
Güvenlik kamerası fiziksel güvenliği artırmak için kurulur; ancak kötü yapılandırılmış bir IP kamera, işletmenin ağına internetten girilen en kolay kapı haline gelebilir. Bu rehber, kamera ve alarm sistemlerinin hem fiziksel hem de siber güvenliği birlikte sağlayacak şekilde nasıl kurulması gerektiğini anlatır.
01Varsayılan parola ve firmware: ilk günün işi
IP kamera, NVR ve alarm panellerinin birçoğu fabrika çıkışı aynı kullanıcı adı ve parolayla gelir; bu bilgiler internette kolayca bulunur. Kurulumun ilk adımı her cihazda benzersiz ve güçlü bir yönetici parolası tanımlamak, kullanılmayan kullanıcıları ve servisleri (Telnet, eski web arayüzleri) kapatmaktır. Üreticiler güvenlik açıklarını firmware güncellemeleriyle kapatır; cihazların güncel sürümde olduğu kurulumda ve sonrasında üç ayda bir kontrol edilmelidir. Desteği bitmiş modeller değiştirme planına alınmalıdır.
02Kameraları ayrı bir ağa (VLAN) alın
Kameralar, NVR ve alarm panelleri ofis bilgisayarlarıyla aynı ağda olmamalıdır. Ayrı bir kamera VLAN'ı oluşturulur; bu VLAN'dan ofis ağına ve internete erişim firewall kurallarıyla kapatılır, yalnızca gerekli bağlantılara (ör. NVR'ın zaman sunucusu veya üreticinin güncelleme sunucusu) izin verilir. İzleme bilgisayarları ve yetkili kullanıcılar ise NVR'a kontrollü kurallarla erişir. Böylece bir kamera ele geçirilse bile saldırgan muhasebe bilgisayarına veya dosya sunucusuna ulaşamaz.
03Port yönlendirme ve UPnP'yi kapatın
Uzaktan izleme için modemde NVR'a port yönlendirmek kolay ama en riskli yöntemdir; NVR'ın web arayüzü tüm internete açılır ve otomatik saldırılara maruz kalır. Modem ve firewall'da UPnP özelliği de kapatılmalıdır, çünkü cihazlar bu özellikle kendi kendilerine port açabilir. Kurulum sonrası dış IP adresinden açık port taraması yapılarak beklenmeyen bir erişim noktası kalmadığı doğrulanmalıdır.
04Uzaktan izlemenin güvenli yolu
Yöneticilerin cep telefonundan kamera izlemesi için iki güvenli yöntem vardır. Birincisi şirket VPN'idir: kullanıcı önce MFA'lı VPN ile bağlanır, ardından NVR'a iç ağdan erişir. İkincisi üreticinin bulut/P2P servisidir; bu servis kullanılacaksa hesap güçlü parola ve iki adımlı doğrulamayla korunmalı, NVR'ın buluta yalnızca giden bağlantı kurduğundan emin olunmalıdır. Uzaktan izleme yetkisi kişi bazında verilmeli, ayrılan personelin erişimi aynı gün kapatılmalıdır.
05Kayıt süresi, depolama ve zaman senkronizasyonu
NVR disk kapasitesi; kamera sayısı, çözünürlük, kare hızı, sıkıştırma (H.265 gibi) ve hedeflenen kayıt süresine göre hesaplanmalıdır. Hareket algılamalı kayıt depolamayı verimli kullanır. Tüm kamera ve NVR'ların aynı zaman sunucusuna (NTP) bağlanması, olay incelemesinde farklı kameralardaki görüntülerin doğru eşleşmesini ve kaydın delil değerini korur. Disk arızasını fark etmek için NVR sağlık uyarıları e-posta ile bir sorumluya gönderilmelidir.
06Alarm sistemleri ve izleme merkezi bağlantısı
Alarm panelleri artık IP, GSM ve mobil uygulama üzerinden haberleşir. Panelin izleme merkezine bağlantısı birden fazla yoldan (IP + GSM) kurulmalı, haberleşme kesintisi de bir alarm olarak raporlanmalıdır. Kullanıcı kodları kişiye özel olmalı ve kurmalar-çözmeler kayıt altında tutulmalıdır. Panelin mobil uygulama erişimi kameralarla aynı güvenlik ilkelerine (güçlü parola, iki adımlı doğrulama, güncel firmware) tabidir.
07KVKK ve erişim yetkileri
Kamera kayıtları KVKK kapsamında kişisel veridir. Kamera bulunan alanlarda aydınlatma metni veya uyarı levhası kullanılmalı, kayıtların saklama süresi belirlenip bu süre sonunda otomatik silinmesi sağlanmalıdır. Canlı izleme ve kayıt dışa aktarma yetkisi yalnızca görevli kişilere verilmeli, kimin hangi kaydı izlediği veya dışa aktardığı mümkünse loglanmalıdır. Çalışma alanlarında kamera konumlandırması mahremiyet ilkesine uygun yapılmalıdır.
Uygulama kontrol listesi
- OKTüm kamera, NVR ve alarm cihazlarında varsayılan parolalar değişti mi?
- OKFirmware sürümleri güncel ve kontrol takvimi var mı?
- OKKameralar ayrı VLAN'da ve ofis ağına erişimi kapalı mı?
- OKModemde port yönlendirme ve UPnP kapalı mı?
- OKUzaktan izleme VPN veya iki adımlı doğrulamalı bulut servisiyle mi?
- OKKayıt süresi ve disk kapasitesi hesaplandı mı?
- OKTüm cihazlar aynı NTP sunucusuna bağlı mı?
- OKKVKK aydınlatması ve kayıt saklama süresi belirlendi mi?
Sık yapılan hatalar
- WARNNVR'ı port yönlendirmeyle internete açmak
- WARNKameraları ofis bilgisayarlarıyla aynı ağda çalıştırmak
- WARNKurulumcu firmanın parolasını hiç değiştirmemek
- WARNDisk dolduğunda veya arızalandığında uyarı almamak
- WARNAyrılan personelin mobil izleme erişimini kapatmamak
Sık sorulan sorular
IP kameralar gerçekten hacklenebilir mi?
Evet. Varsayılan parolalı, güncellenmemiş veya internete doğrudan açık kameralar otomatik taramalarla bulunabilir ve izinsiz izlenebilir ya da saldırılarda kullanılabilir. Doğru yapılandırma bu riski büyük ölçüde azaltır.
Kameraları cep telefonundan izlemek güvenli mi?
VPN üzerinden veya iki adımlı doğrulamayla korunan üretici bulut servisiyle izlemek güvenlidir. Port yönlendirmeyle NVR'a doğrudan bağlanmak önerilmez.
Kamera kayıtları ne kadar süre saklanmalı?
Tek bir süre yoktur; işletmenin güvenlik ihtiyacı ve KVKK'daki ölçülülük ilkesi birlikte değerlendirilir. Birçok işletme 15-30 gün arası bir süre belirler. Belirlenen süre yazılı olmalı ve sistemde otomatik uygulanmalıdır.
Mevcut analog kamera sistemimiz IP sisteme dönüştürülebilir mi?
Mevcut koaksiyel kablolama üzerinde çalışan hibrit kayıt cihazları veya dönüştürücülerle kademeli geçiş yapılabilir. Yeni hatlarda PoE destekli IP kameralar tercih edilir.