Video Sistemlerinde Siber Güvenlik: Kamera Bir Uç Nokta mıdır?

Kamera ve video analitiği altyapısında siber güvenlik: varsayılan şifreler, ağ segmentasyonu, firmware yönetimi ve sıfır güven yaklaşımı.

Yazar: CX Teknoloji Uzman Ekibi

Evet, kamera bir uç noktadır ve dizüstü bilgisayar kadar ciddiye alınmalıdır. IP kamera kendi işletim sistemi, web arayüzü ve ağ servisleri olan bir bilgisayardır; ele geçirildiğinde görüntü sızdırabilir, ağda başka cihazlara atlama noktası olabilir. Video altyapısında güvenlik; varsayılan şifrelerin değiştirilmesi, gereksiz servislerin kapatılması, düzenli firmware yönetimi, ağ segmentasyonu ve sıfır güven ilkesiyle kurulur.

Kameralar çoğu kurumda envanterin en ihmal edilmiş uç noktalarıdır: varsayılan şifreyle çalışan, yıllardır firmware güncellemesi almamış, üretim ağıyla aynı segmentte duran cihazlar. Saldırganlar için ideal giriş kapısı. Sorunun kaynağı çoğu zaman teknik değil, sahiplik eksikliğidir: kameraları güvenlik birimi satın alır, ağı bilgi işlem yönetir, kurulumu dış firma yapar ve cihaz kimsenin yama listesinde yer almaz.

Temel önlemler

Varsayılan kimlik bilgilerinin değiştirilmesi, kullanılmayan servislerin (UPnP, telnet) kapatılması, firmware güncelleme takvimi ve kamera ağının üretim ağından VLAN ile ayrılması. Bu dört adım riskin büyük kısmını kapatır.

Uygulamada bu adımları bir envanterle başlatıyoruz: her kameranın markası, modeli, firmware sürümü, IP adresi, bağlı olduğu anahtar portu ve yönetici hesabı tek bir tabloda tutulur. Envanteri olmayan cihaz güncellenemez. Kamera başına benzersiz ve güçlü bir yönetici parolası belirlenir, ortak “admin” hesapları kaldırılır. Kameranın buluta bağlanan P2P özelliği ve uzaktan erişim servisleri, gerçekten kullanılmıyorsa kapatılır; bunlar ağ sınırını fark ettirmeden delen en yaygın kapılardır.

Parola yönetimi ayrı bir disiplin ister. Kamera parolaları bir tabloda düz metin olarak değil, erişimi sınırlı bir parola kasasında tutulur; kurulumu yapan dış firmanın personeli değiştiğinde ya da sözleşme bittiğinde parolalar yenilenir. Kameranın web arayüzüne yalnızca yönetim ağından erişilebilmesi, şifresiz HTTP yerine HTTPS kullanılması ve başarısız giriş denemelerinin kaydedilmesi, küçük ama etkili ayarlardır. Kullanılmayan kamera portları anahtar üzerinde kapatılır; boş bir porta takılan yabancı cihaz böylece ağa ulaşamaz.

Ağ segmentasyonu nasıl kurulur?

Kameralar kendi VLAN'ında durur ve bu VLAN'dan yalnızca kayıt sunucusuna, VMS'e ve analitik sunucuya giden trafiğe izin verilir. Kamera kamerayla, kamera ofis bilgisayarlarıyla ya da PLC ağıyla konuşmaz. Güvenlik duvarı kuralları “kamera ağından her yere izin” yerine “yalnızca şu sunucuya, yalnızca şu protokolle” biçiminde yazılır. Kameraların internete doğrudan çıkışı kapatılır; saat senkronizasyonu gibi ihtiyaçlar iç sunucudan karşılanır. Mevcut kayıt altyapısıyla bağlantının nasıl kurulduğunu ONVIF ve VMS entegrasyonu yazısında anlattık.

Sıfır güven mimarisi

Analitik sunucu ile kamera arasındaki trafik kimlik doğrulamalı olmalı; sunucudan dışarıya çıkan bağlantılar beyaz listeyle sınırlanmalı. İlke basittir: hiçbir cihaz, ağ içinde olduğu için güvenilir sayılmaz.

Sıfır güven, bir ürün değil bir çalışma biçimidir. Her bağlantı kimliğiyle doğrulanır, her kullanıcı yalnız işi için gereken yetkiyi alır ve her erişim kaydedilir. Kamera akışı RTSP ile alınıyorsa, kamera destekliyorsa şifreli aktarım tercih edilir; desteklemiyorsa akış yalnızca izole segment içinde kalır. Analitik sunucuya yönetim erişimi ortak parolayla değil, kişiye özel hesap ve çok faktörlü doğrulamayla yapılır. Tedarikçinin uzaktan destek erişimi kalıcı açık tutulmaz; talep üzerine, süreli ve kayıtlı açılır.

Sıfır güvenin kamera tarafındaki somut karşılığı, “bu cihaz gerçekten o kamera mı” sorusudur. Anahtar portuna hangi cihazın bağlı olduğu kayıt altındadır; kameranın yerine takılan bir dizüstü bilgisayar, envanterdeki cihazla eşleşmediği için ağa alınmaz. Kamera ağındaki olağandışı trafik de izlenir: normalde yalnızca video akışı gönderen bir kameranın farklı adreslere bağlantı kurmaya çalışması, erken bir ele geçirme belirtisidir. Analitik sunucu da bu açıdan bir sensör gibi çalışabilir; akışı kesilen, görüntüsü kararan ya da açısı değişen kamerayı fark edip bildirir.

Firmware ve yama yönetimi

Kamera üreticileri güvenlik açıklarını firmware güncellemeleriyle kapatır, ancak bu güncellemeler kendiliğinden kurulmaz. Pratik bir takvim; üretici bültenlerinin düzenli takibi, güncellemenin önce birkaç test kamerasında denenmesi ve ardından planlı bakım penceresinde yaygınlaştırılmasıdır. Güncelleme sonrası akışın, çözünürlüğün ve analitik kurallarının bozulmadığı kontrol edilir. Artık güncelleme almayan eski modeller ayrı bir listede izlenir ve değişim planına alınır; bu cihazlar değişene kadar daha sıkı izole edilir.

Analitik katmanının sorumluluğu

Kurulumlarımızda analitik sunucu kapalı ağda çalışır, dışa açık tek kanal şifreli olay bildirimidir. Erişim rol bazlıdır, her izleme loglanır ve sistem güncellemeleri imzalı paketlerle dağıtılır. Güvenlik sistemi, güvenlik açığı olmamalıdır.

Varsayılan kurulumda ham görüntü tesis içindeki edge sunucuda işlenir, buluta ham video gönderilmez (istenirse işleme bulutta da yapılabilir) ve yüz tanıma kullanılmaz. Bu tercih yalnız veri koruma açısından değil, saldırı yüzeyi açısından da önemlidir: dışarıya sürekli video akışı yoksa, ele geçirilebilecek bir bulut akışı da yoktur. Olay klipleri tanımlı saklama süresi sonunda otomatik silinir; saklanmayan veri sızdırılamaz. Kişisel veri boyutunu KVKK ve görüntü işleme yazısında ayrıca ele aldık; 6698 sayılı Kanun veri güvenliği için teknik ve idari tedbir bekler, hangi tedbirin yeterli olduğu ise her tesiste hukuk birimiyle birlikte değerlendirilmelidir.

Olay bildirimleri ve kanıt klipleri de korunması gereken veridir. Bir olay klibi, bir anlaşmazlıkta ya da kaza incelemesinde delil olarak kullanılabilir; bu yüzden klibin değiştirilmediğini gösteren bütünlük kontrolü ve kimin ne zaman izlediğini gösteren erişim kaydı önemlidir. Bildirimler tesis dışına şifreli kanaldan gider ve yalnız olay tipini, zamanı, bölgeyi ve gerekiyorsa kısa klibi taşır; sürekli canlı yayın dışarı açılmaz.

Denetimde nelere bakıyoruz?

Bir tesiste video altyapısını gözden geçirirken kısa bir kontrol listesi kullanıyoruz: varsayılan parolayla açılan cihaz var mı, kamera ağından internete çıkış var mı, kamera ağı ofis ya da üretim ağıyla aynı segmentte mi, firmware sürümleri ne kadar eski, kayıt sunucusuna kimler hangi hesapla bağlanıyor, erişim kayıtları tutuluyor mu. Bu sorulara verilen cevaplar, projeye başlamadan önce bilgi işlem ekibiyle birlikte yazılı bir ağ planına dönüştürülür. Analitik projesi böylece mevcut güvenlik seviyesini düşürmez, çoğu zaman yükseltir.

Sık sorulan sorular

Video analitiği kurmak tesis ağında yeni bir güvenlik riski yaratır mı?

Doğru kurgulanırsa yaratmaz. Analitik sunucu kamera VLAN'ına yalnızca akışı okumak için bağlanır, internete açık bir portu olmaz ve dışarıya yalnızca şifreli olay bildirimi gider. Varsayılan kurulumda ham görüntü tesis içindeki edge sunucuda kalır. Kurulumdan önce bilgi işlem ekibiyle hangi portun, hangi sunucuya, hangi protokolle açılacağı yazılı olarak belirlenir.

Eski kameralarımız artık firmware güncellemesi almıyor; değiştirmemiz şart mı?

Hemen şart değil ama plana alınmalı. Güncelleme almayan cihazlar ayrı bir segmentte, internete çıkışı tamamen kapalı ve yalnızca kayıt/analitik sunucusuyla konuşacak biçimde izole edilir. Bu, riski belirgin biçimde azaltır. Uzun vadede bu kameralar değişim listesine alınır; keşifte hangilerinin öncelikli olduğunu raporluyoruz.

Tedarikçi olarak sisteme uzaktan erişiminiz oluyor mu?

Varsayılan olarak kalıcı uzaktan erişim yoktur. Destek gerektiğinde erişim tesisin onayıyla, süreli ve kayıtlı olarak açılır, iş bitince kapatılır. Yazılım güncellemeleri imzalı paketlerle dağıtılır. Uzaktan erişim hiç istenmiyorsa bakım yerinde yapılabilir; bu tercih sözleşme aşamasında netleştirilir. Tüm erişimler kayıt altında tutulur.

Kamera ağının güvenliği KVKK açısından da önemli mi?

Evet. Kamera görüntüsü kişisel veri sayılabilir ve 6698 sayılı Kanun veri sorumlusundan veri güvenliği için uygun teknik ve idari tedbirleri bekler. Ağ segmentasyonu, erişim kaydı ve kısa saklama süresi bu tedbirlerin parçasıdır. Hangi tedbirin yeterli olduğu tesisin kendi değerlendirmesine bağlıdır; bu bilgi hukuki danışmanlık yerine geçmez.