從中央網絡安全和信息化領導小組辦公室（中央網信辦）獲悉，中國首屆國家網絡安全宣傳周于24日正式啟動。
首屆國家網絡安全宣傳周是我國第一次舉辦全國范圍的網絡安全主題宣傳活動，不僅國家有關職能部門共同參與主辦，各省、自治區、直轄市也將同期舉辦相關主題活動，在全國掀起網絡安全宣傳的高潮。
宣傳周以“共建網絡安全，共享網絡文明”為主題，將圍繞金融、電信、電子政務、電子商務等重點領域和行業網絡安全問題，針對社會公眾關注的熱點問題，舉辦網絡安全體驗展等系列主題宣傳活動，營造網絡安全人人有責、人人參與的良好氛圍。
為此，筆者將帶領大家來探討一下安防領域的網絡安全。本文將從安防領域的子系統——“視頻監控系統”入手。
早在今年3月份，中央電視臺就報道了家庭監控器存在較高安全隱患的問題，黑客利用漏洞攻破網絡監視系統，竊取用戶隱私。不僅家庭網絡監視系統，公共場所、銀行、辦公室、監獄等的網絡監控系統同樣存在隱私泄露的風險。伴隨技術的發展，網絡監控逐漸取代模擬監控越來越多應用到各個領域。
筆者在網絡安全領域權威的漏洞信息庫WooYun烏云網、綠盟科技以及國家信息安全漏洞共享平臺了解到，有關安防系統的“監控攝像頭”的漏洞信息就達180條之多，而這僅僅是安防系統中存在被入侵或者泄露漏洞的冰山一角。在這些漏洞信息庫里可以看到，不乏海康、海爾、漢邦高科等主流廠商的漏洞信息。
在這些漏洞中，有弱口令、繞過認證、明文傳輸、注入漏洞、跨站攻擊、拒絕服務攻擊、linux平臺自身缺陷等。
為證實這些描述，筆者將從弱口令和系統平臺兩個方面做一個淺析。
1、弱口令
目前，大多數的廠商設置的后臺默認密碼都是admin、888888等，用戶或者監控管理方為了便捷管理，不修改默認密碼，也有修改成簡單密碼方便記憶的。一旦監控后臺管理系統接入如網絡，黑客便可以通過默認密碼以非授權方式進入后臺查看監控畫面，甚至下載，刪除監控記錄。而這些對于整個安防系統和個人隱私都是一種潛在的威脅。
如下筆者以漢邦高科的的默認密碼做測試（注：此處僅作測試，隱私部門已做模糊處理）
從搜索引擎中可以搜索到，漢邦高科的管理后臺多大69000個。隨機挑選20個后臺測試，直接用默認口令登陸成功的可達70%以上。
同樣，在烏云網中的描述，?？低暠O控后臺99%存在弱口令（WooYun-2013-25026）。
2、平臺漏洞
早期，視頻監控系統中所有的監控都會接入到一個終端機里面。以前的古老錄像機是不帶網絡接口的，只能本地查看?，F在的錄像機都帶網絡接口，里面運行的是一個mini的linux系統。同時對應的管理平臺通常都會使用struts2等框架。在網絡安全界，Linux系統、struts2都爆出了眾所周知的漏洞。
在安防界，除了一流廠商能自主研發系統平臺外，大多數企業都在這些平臺上進行微創新或直接抄襲。這就導致了一個問題：當主流平臺方案出來產生了漏洞，業界的監控系統就基本成全是漏洞了。所以，在多數情況下，這些監控設備一旦接入網絡，就給黑客入侵提供了機會。
在首屆網絡安全宣傳周來臨之際，筆者給出幾點防范方案。
廠商方面：及時介入以修復漏洞、控制風險。安防廠商應定期升級產品固件、修復漏洞等，為用戶提供高效、專業的服務，為監控數據安全護航。
監控管理方：培養操作人員的安全管理意識，設定復雜密碼策略，盡量避免接入互聯網。一定要開啟遠程訪問時，建議更改訪問的網址，防止黑客在獲取相同品牌監控設備的技術要點之后，可以攻破使用該設備的所有用戶，減少風險存在的可能。
網絡化已經成為安防行業發展的趨勢，如何解決網絡監控隱患問題，安防廠商作為源頭必將要加強相關技術研發和管理，切實將用戶利益放在首位。監控系統管理方也應該樹立安全意識，力保監控系統，乃至整個安防系統的穩定運行。
而針對網絡監控的技術人才缺乏，企業單打獨斗，管理理念等問題，需要行業各個環節共同努力。無論政府部門，協會，還是安防企業，作為行業的細胞，都應該為推動網絡監控的發展共同努力。
京公網安備 11010502049343號