Kamery, czujniki i inne urządzenia IoT w biurze mają zwykle słabsze zabezpieczenia niż komputery firmowe — podłączenie ich do tej samej sieci co stacje robocze zwiększa ryzyko dla całej infrastruktury.

Na czym polega ta usługa

Konfiguracja obejmuje wydzielenie osobnej sieci dla urządzeń IoT, odseparowanej od sieci ze stacjami roboczymi i danymi firmowymi, oraz przetestowanie poprawnego działania urządzeń w nowej konfiguracji.

Dla kogo ma sens

Usługa jest przydatna dla biur korzystających z kamer monitoringu, czujników lub innych urządzeń IoT podłączonych obecnie do tej samej sieci co komputery firmowe.

Ile to trwa

Konfiguracja odseparowanej sieci dla urządzeń IoT mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Dlaczego urządzenia IoT stanowią zagrożenie w sieci firmowej

Urządzenia z segmentu IoT (Internet of Things, czyli Internet Rzeczy) to sprzęt taki jak kamery przemysłowe, czujniki alarmowe, inteligentne gniazdka czy termostaty. W odróżnieniu od komputerów stacjonarnych i serwerów, urządzenia te są projektowane z naciskiem na niski koszt produkcji oraz prostotę obsługi, co często odbywa się kosztem mechanizmów bezpieczeństwa.

Większość urządzeń IoT działa w oparciu o uproszczone oprogramowanie układowe (firmware, czyli wbudowany system operacyjny sterujący podzespołami), które rzadko otrzymuje aktualizacje bezpieczeństwa od producenta. Wiele z nich posiada fabrycznie otwarte porty komunikacyjne (punkty wejścia dla transmisji sieciowej) lub używa nieszyfrowanych protokołów wymiany danych. W sytuacji, gdy takie urządzenie zostanie podłączone do tej samej sieci co komputery biurowe, staje się ono łatwym celem ataku.

Przejęcie kontroli nad niezabezpieczoną kamerą lub czujnikiem pozwala osobie nieuprawnionej na wykonanie ataku typu pivot (wykorzystanie przejętego urządzenia jako pomostu do dalszej penetracji sieci). Z poziomu takiego urządzenia można przeprowadzić nasłuchiwanie nieszyfrowanego ruchu sieciowego (sniffing), skanowanie aktywnych hostów (identyfikację innych komputerów i serwerów w firmie) oraz próby sforsowania haseł do zasobów dyskowych NAS (sieciowych pamięci masowych do przechowywania plików firmowych).

Architektura bezpiecznej sieci dla urządzeń biurowych i kamer

Prawidłowe zabezpieczenie infrastruktury biurowej wymaga zastosowania logicznej segmentacji sieci. Najbardziej efektywnym rozwiązaniem jest wdrożenie technologii VLAN (Virtual Local Area Network, czyli wirtualnej sieci lokalnej pozwalającej na podział jednego fizycznego przełącznika na niezależne podsieci logiczne).

W ramach konfiguracji tworzone są odrębne strefy sieciowe:

Strefa danych firmowych (sieć LAN dla stacji roboczych, laptopów pracowniczych i serwerów bazodanowych).
Strefa monitoringu wideo (wydzielona podsieć dla kamer IP oraz rejestratora NVR, czyli urządzenia zapisującego obraz z kamer na dyskach twardych).
Strefa automatyki budynkowej i czujników (podsieć dla czujników ruchu, temperatury, sterowników oświetlenia i inteligentnych zamków).
Strefa urządzeń peryferyjnych (podsieć dla drukarek sieciowych i urządzeń wielofunkcyjnych).
Strefa gościnna (izolowana podsieć Wi-Fi przeznaczona dla klientów i gości odwiedzających biuro).

Dla każdej z tych stref definiowana jest osobna pula adresacji IP (unikalnych numerów identyfikacyjnych przydzielanych urządzeniom w sieci) za pośrednictwem serwera DHCP (protokołu automatycznego konfigurowania parametrów sieciowych). Dzięki temu ruch generowany przez kamery czy czujniki nie miesza się z ruchem generowanym przez pracowników przesyłających dokumenty finansowe lub bazy klientów.

Zasady filtrowania ruchu na zaporze sieciowej

Samo wydzielenie sieci VLAN nie zapewnia pełnego bezpieczeństwa, jeśli pomiędzy podsieciami zachodzi swobodny routing (przekazywanie pakietów danych między różnymi sieciami). Kluczowym elementem wdrożenia jest skonfigurowanie reguł na zaporze sieciowej (firewall, czyli oprogramowaniu lub urządzeniu filtrującym ruch sieciowy według określonych kryteriów).

W bezpiecznej konfiguracji stosuje się zasadę domyślnego odrzucania ruchu (ang. default deny), co oznacza, że wszelka komunikacja jest blokowana, dopóki nie zostanie jawnie dozwolona. Reguły bezpieczeństwa obejmują:

Całkowitą blokadę inicjowania połączeń z segmentu IoT do segmentu komputerów biurowych i serwerów.
Zezwolenie na ruch w jedną stronę ze stacji roboczej administratora lub dedykowanego rejestratora do kamer (w celu pobrania strumienia wideo lub zmiany parametrów pracy kamery).
Ograniczenie dostępu urządzeń IoT do publicznego Internetu — blokada portów wychodzących uniemożliwia urządzeniom wysyłanie nieautoryzowanych danych na zewnętrzne serwery P2P (połączenia bezpośrednie wykorzystywane przez tanie kamery do transmisji obrazu przez chmurę producenta).
Zezwolenie wyłącznie na niezbędne usługi pomocnicze, takie jak synchronizacja czasu za pomocą protokołu NTP (Network Time Protocol, zapewniający prawidłowe znaczniki czasu na nagraniach z monitoringu) czy translacja nazw domenowych przez lokalny serwer DNS.

Warianty infrastruktury IoT w środowisku biurowym

W zależności od profilu działalności firmy oraz wyposażenia lokalu, konfiguracja sieci musi uwzględniać różne grupy urządzeń:

Pierwszym wariantem są systemy telewizji przemysłowej CCTV oparte na kamerach IP. Wymagają one wysokiej przepustowości sieci (szerokości pasma transmisyjnego) oraz stałego zasilania PoE (Power over Ethernet, standardu przesyłania energii elektrycznej bezpośrednio przez kabel sieciowy UTP). W tym wariancie ruch ze strumieni wideo RTSP (Real Time Streaming Protocol, protokołu transmisji multimediów w czasie rzeczywistym) jest kierowany wyłącznie do rejestratora NVR, a użytkownicy biurowi uzyskują dostęp do podglądu za pośrednictwem uwierzytelnionego panelu rejestratora, a nie bezpośrednio z pojedynczych kamer.

Drugim wariantem są systemy kontroli dostępu (SKD) i rejestracji czasu pracy (RCP). Urządzenia te, w tym czytniki kart zbliżeniowych RFID oraz kontrolery drzwiowe, komunikują się z centralnym serwerem zarządzającym uprawnieniami. Wymagają one podsieci o najwyższym priorytecie stabilności i minimalnych opóźnieniach (latency), z wykluczeniem możliwości manipulacji pakietami ze strony innych urządzeń w sieci.

Trzecim wariantem są czujniki środowiskowe oraz elementy automatyki biurowej działające bezprzewodowo w paśmie 2.4 GHz. Ze względu na ograniczenia sprzętowe urządzenia te często nie obsługują zaawansowanych protokołów uwierzytelniania korporacyjnego. Wymagają one utworzenia dedykowanego identyfikatora sieci bezprzewodowej SSID (nazwy sieci Wi-Fi) z włączoną funkcją izolacji klientów (AP Isolation, mechanizmu uniemożliwiającego bezpośrednią komunikację pomiędzy dwoma urządzeniami bezprzewodowymi w tej samej sieci).

Błędy popełniane przy samodzielnej konfiguracji sieci IoT

Próby samodzielnego podłączania kamer i czujników w biurze bez odpowiedniego przygotowania sieciowego często prowadzą do powstawania luk bezpieczeństwa lub niestabilności całej infrastruktury:

Pozostawienie aktywnej funkcji UPnP (Universal Plug and Play, mechanizmu automatycznego przekierowywania portów na routerze). Wiele kamer z włączoną funkcją UPnP samodzielnie otwiera porty na publicznym adresie IP routera, co sprawia, że obraz z kamer lub ich panele logowania stają się widoczne dla każdego użytkownika w globalnej sieci Internet.
Stosowanie domyślnych danych logowania. Kamery i czujniki są często instalowane z fabrycznymi nazwami użytkownika i hasłami, co umożliwia ich natychmiastowe przejęcie przez automatyczne skanery sieciowe botnetów (sieci zainfekowanych urządzeń wykorzystywanych do cyberataków).
Podłączanie urządzeń IoT do wspólnej sieci Wi-Fi dla pracowników bez izolacji pasma. W sytuacji, gdy jedno z urządzeń zostanie skompromitowane, może ono posłużyć do podsłuchiwania pakietów przesyłanych drogą radiową przez laptopy służbowe.
Używanie prostych przełączników niezarządzalnych (ang. unmanaged switches, czyli podstawowych rozdzielaczy sygnału sieciowego). Przełączniki tego typu przepuszczają wszystkie pakiety we wspólnej domenie rozgłoszeniowej, co uniemożliwia logiczny podział na sieci VLAN i powoduje obciążenie sieci zbędnym ruchem typu broadcast (pakietami wysyłanymi do wszystkich urządzeń jednocześnie).
Całkowite odcięcie Internetu urządzeniom bez zapewnienia lokalnych usług referencyjnych. Błąd ten powoduje, że kamery tracą synchronizację czasu (co unieważnia materiał dowodowy w razie incydentu) lub zawieszają się z powodu ciągłych prób odpytania niedostępnego serwera producenta.

Kiedy problemem nie jest konfiguracja sieci

Podczas diagnostyki problemów z działaniem kamer lub czujników w biurze należy odróżnić błędy konfiguracji logicznej od usterek fizycznych i ograniczeń sprzętowych:

W przypadku zrywania połączenia z kamerami przewodowymi przyczyną bywa często przekroczenie budżetu mocy zasilacza PoE w przełączniku sieciowym. Jeśli suma mocy pobieranej przez podłączone kamery (szczególnie po włączeniu doświetlaczy podczerwieni IR w nocy) przewyższa wydajność zasilacza przełącznika, urządzenia będą się cyklicznie restartować niezależnie od poprawności ustawień podsieci.

Innym częstym źródłem problemów jest uszkodzenie lub niska jakość okablowania strukturalnego (skrętki komputerowej UTP/FTP). Zaciśnięcie wtyków RJ45 niezgodnie ze standardem T568B lub zastosowanie kabli miedziowanych CCA (Copper-Clad Aluminium, czyli kabli aluminiowych powlekanych cienką warstwą miedzi) prowadzi do spadków napięcia zasilania PoE oraz wysokiej stopy błędów transmisji (packet loss), co objawia się klatkowaniem lub znikaniem obrazu z kamer.

W przypadku urządzeń bezprzewodowych problemem bywa nasycenie pasma 2.4 GHz przez sąsiadujące sieci bezprzewodowe w gęstej zabudowie biurowej. Tłumienie sygnału przez ściany żelbetowe i zakłócenia elektromagnetyczne uniemożliwiają stabilną pracę czujników, co wymaga dołożenia dodatkowych punktów dostępowych (Access Pointów) zamiast modyfikacji samych reguł sieciowych.

Etapy prawidłowego wdrożenia segmentacji sieci IoT

Wdrożenie bezpiecznej konfiguracji sieciowej dla urządzeń biurowych przebiega według usystematyzowanego planu:

Pierwszym krokiem jest inwentaryzacja wszystkich urządzeń działających w biurze. Identyfikowane są adresy MAC (unikalne adresy fizyczne kart sieciowych), numery seryjne oraz wersje oprogramowania kamer, rejestratorów, kontrolerów i czujników, a także sporządzana jest mapa połączeń fizycznych.

Drugim krokiem jest weryfikacja i przygotowanie urządzeń sieciowych. Sprawdzana jest obsługa standardu IEEE 802.1Q (standardu tagowania ramek sieci wirtualnych) na routerze brzegowym i przełącznikach. W razie potrzeby instalowane są aktualizacje oprogramowania układowego urządzeń sieciowych.

Trzecim krokiem jest konfiguracja logiczna: utworzenie podsieci VLAN, skonfigurowanie pul adresów IP w serwerze DHCP, przypisanie portów na przełącznikach (konfiguracja portów dostępowych Access dla pojedynczych urządzeń oraz portów magistralnych Trunk przesyłających ruch z wielu sieci) oraz utworzenie odrębnych sieci Wi-Fi.

Czwartym krokiem jest wdrożenie reguł zapory ogniowej oraz list kontroli dostępu ACL (Access Control Lists, zestawów reguł zezwalających lub blokujących przepływ pakietów na podstawie portów i adresów). Konfigurowane są bezpieczne trasy dostępu do podglądu z kamer dla uprawnionych pracowników.

Ostatnim etapem są testy weryfikacyjne. Obejmują one próbę skanowania portów z wydzielonego segmentu IoT w kierunku zasobów firmowych, sprawdzenie stabilności strumieni wideo pod pełnym obciążeniem oraz weryfikację poprawności zapisu nagrań na rejestratorze NVR.

Dodatkowe pytania o konfigurację sieci dla urządzeń IoT

Czy po odizolowaniu kamer w osobnej sieci pracownicy będą mogli oglądać obraz z monitoringu na swoich komputerach?

Tak. Prawidłowa konfiguracja zapory sieciowej pozwala na nawiązanie połączenia z autoryzowanej stacji roboczej do rejestratora NVR lub dedykowanego serwera wideo. Odpowiednie reguły zezwalają na pobieranie strumienia wideo przez uprawnione programy klienckie, jednocześnie uniemożliwiając kamerom inicjowanie jakiegokolwiek ruchu w stronę komputerów pracowników.

Czy wydzielenie osobnej sieci IoT spowalnia działanie Internetu w biurze?

Nie, segmentacja sieci zazwyczaj poprawia jej ogólną wydajność. Kamery przemysłowe generują ciągły ruch sieciowy o dużym natężeniu. Umieszczenie ich w wydzielonej sieci VLAN eliminuje zjawisko rozsyłania zbędnych pakietów rozgłoszeniowych do komputerów biurowych, co odciąża karty sieciowe stacji roboczych i optymalizuje przepustowość łączy.

Czy każde biuro potrzebuje wymiany całego sprzętu sieciowego, aby wdrożyć VLAN?

Nie zawsze. Wiele routerów biurowych oraz punktów dostępowych posiada wbudowaną obsługę wielu podsieci i sieci wirtualnych. Podczas wstępnej diagnozy weryfikowane są możliwości techniczne istniejących urządzeń. Wymiana przełączników lub routera jest zalecana tylko wtedy, gdy obecny sprzęt nie obsługuje funkcji zarządzania ruchem i izolacji portów.

Co zrobić w sytuacji, gdy czujnik lub kamera wymaga dostępu do chmury producenta do wysyłania powiadomień na telefon?

W takim przypadku na zaporze ogniowej tworzy się precyzyjne reguły wychodzące. Zezwala się urządzeniu wyłącznie na komunikację z określonymi portami i serwerami producenta wymaganymi do przesyłania powiadomień typu push (krótkich komunikatów wysyłanych na telefon), z jednoczesnym zablokowaniem dostępu do pozostałych usług w sieci lokalnej i w Internecie.

Jak zabezpieczane są hasła dostępu do urządzeń podczas rekonfiguracji?

W trakcie prac konfiguracyjnych wszystkie fabryczne lub proste hasła dostępowe do kamer, rejestratorów i paneli sieciowych są zmieniane na unikalne, złożone ciągi znaków. Dokumentacja z nowymi danymi uwierzytelniającymi jest przekazywana osobie odpowiedzialnej za administrację biura.

Organizacja prac sieciowych w siedzibie firmy

Prace związane z audytem, projektowaniem i wdrożeniem bezpiecznej konfiguracji sieciowej dla urządzeń IoT są realizowane bezpośrednio w lokalu biurowym klienta. Dojazd odbywa się na terenie całej Warszawy oraz gmin w pasie podwarszawskim do 40 kilometrów, obejmując powiaty: grodziski, legionowski, otwocki, piaseczyński, pruszkowski, warszawski zachodni oraz wołomiński. Sprzęt pomiarowy i diagnostyczny pozwala na przeprowadzenie konfiguracji i testów na działającej infrastrukturze, a harmonogram prac jest ustalany tak, aby nie zakłócać bieżącej działalności biura.

22 378 48 09

Konfiguracja sieci dla urządzeń IoT — kamer i czujników w biurze