كاميرات المراقبة تتحول إلى بوابة اختراق: كيف يستغل المهاجمون كاميرات IP للوصول إلى الشبكات المؤسسية؟

في كثير من المؤسسات، تُعامل كاميرات المراقبة على أنها أجهزة تشغيلية بسيطة: يتم تركيبها، ربطها بالشبكة، ثم تُترك تعمل لسنوات دون أن تحظى بالمستوى نفسه من المتابعة الأمنية المطبق على الخوادم وأجهزة المستخدمين.

لكن هذه النظرة أصبحت خطرة.

فكاميرا IP المتصلة بالإنترنت ليست مجرد جهاز يلتقط الفيديو، بل هي نظام شبكي دائم الاتصال، يعمل باستمرار، ويحتوي على برمجيات وخدمات إدارة ومنافذ اتصال يمكن أن تتحول إلى نقطة دخول فعلية للمهاجم.

هذا ما حذّر منه Centre for Cybersecurity Belgium (CCB)، الذي أشار إلى أن جهات تهديد تستهدف كاميرات IP بشكل نشط، ليس فقط للتجسس أو تنفيذ هجمات حجب الخدمة، بل لاستخدامها كنقطة ارتكاز للوصول إلى شبكات الشركات والأجهزة الداخلية.

#من جهاز مراقبة إلى نقطة ارتكاز داخل الشبكة

تكمن الخطورة الأساسية في أن الكاميرا قد تكون متصلة مباشرة بشبكة المؤسسة، وفي بعض البيئات تكون على القطاع الشبكي نفسه الذي توجد عليه أنظمة أخرى أكثر حساسية.

عند اختراق الكاميرا، قد يحصل المهاجم على موطئ قدم يمكن استخدامه للوصول إلى أجزاء أخرى من الشبكة.

بحسب تحذير CCB، يمكن استخدام كاميرا IP المخترقة كنقطة ارتكاز Pivot Point لاختراق شبكة مؤسسية. ويعود ذلك إلى أن عدداً كبيراً من هذه الأجهزة يأتي بخصائص أمنية محدودة، أو يعمل ببرمجيات قديمة، أو يستمر في الخدمة بعد انتهاء الدعم الأمني من الشركة المصنعة.

المشكلة هنا لا تتعلق بالكاميرا وحدها، بل بما يمكن أن تتيحه بعد اختراقها.

يمكن تصور السيناريو بالشكل التالي:

Internet
   |
   v
IP Camera
   |
   v
Compromised Device
   |
   v
Internal Network
   |
   +--> Internal Devices
   |
   +--> Network Services
   |
   +--> Sensitive Systems

إذا كانت الكاميرا متاحة من الإنترنت، وتعمل بإعدادات غير آمنة أو إصدار قديم يحتوي على ثغرات معروفة، فقد تصبح إحدى أسهل النقاط التي يبدأ منها المهاجم.

#CameraSwarm: أكثر من 14 ألف كاميرا مخترقة

التهديد ليس افتراضياً.

فقد كشفت شركة Hunt.io عن عملية أطلقت عليها اسم CameraSwarm، قالت إنها شملت أكثر من 14,000 كاميرا من نوع Dahua في أوكرانيا وروسيا.

وفق التقرير، تم اختراق هذه الكاميرات واستخدامها في سرقة البيانات، ما يعكس حجم المشكلة عندما تنتشر أجهزة متصلة بالشبكة على نطاق واسع دون إدارة أمنية مستمرة.

وتوضح هذه الحالة كيف يمكن أن تتحول بنية مراقبة مصممة أساساً لرفع مستوى الأمان المادي إلى جزء من البنية الهجومية التي يستخدمها المهاجم.

#لماذا تستهدف الجهات المهاجمة كاميرات IP؟

تمتلك كاميرات IP مجموعة خصائص تجعلها هدفاً جذاباً.

أولاً، تعمل هذه الأجهزة عادة على مدار الساعة، ما يجعلها متاحة للمهاجم لفترات طويلة دون الحاجة إلى انتظار تشغيل جهاز أو تسجيل دخول مستخدم.

ثانياً، كثير من الكاميرات يكون متصلاً مباشرة بالإنترنت أو يسمح بالإدارة عن بعد.

ثالثاً، قد تبقى الكاميرا في الخدمة لسنوات بعد توقف الشركة المصنعة عن إصدار تحديثات أمنية لها.

كما أن بعض البيئات لا تعامل الكاميرات باعتبارها أصولاً تقنية تحتاج إلى إدارة دورة حياة، بل باعتبارها جزءاً من منظومة الأمن المادي فقط.

وهنا تنشأ فجوة بين الأمن السيبراني والأمن المادي.

#الخطر لا يتوقف عند مشاهدة الفيديو

عند الحديث عن اختراق كاميرات المراقبة، يتبادر إلى الذهن غالباً أن المهاجم يريد مشاهدة البث المباشر أو الحصول على التسجيلات.

لكن نطاق الاستخدام الهجومي أوسع من ذلك.

تم استخدام كاميرات مخترقة في أنشطة شملت هجمات DDoS، والتجسس على بنى تحتية حساسة، واستخدام التسجيلات كدليل على اختراق أنظمة أو مواقع.

وفي بيئة مؤسسية، قد تكون القيمة الأعلى للمهاجم هي وجود جهاز موثوق داخل الشبكة يمكن استخدامه كمرحلة أولى قبل محاولة الوصول إلى أنظمة أخرى.

لهذا السبب، لا ينبغي تقييم خطر الكاميرا بناءً على حساسية الفيديو الذي تلتقطه فقط، بل بناءً على موقعها داخل بنية الشبكة وما يمكنها الوصول إليه.

#مشكلة الحوكمة تبدأ من جرد الأصول

من منظور GRC، يكشف هذا النوع من التهديدات عن مشكلة تتجاوز الجانب التقني.

إذا لم تكن المؤسسة تعرف عدد كاميرات IP الموجودة لديها، ومواقعها، وإصداراتها، والشركة المصنعة لكل جهاز، وحالة الدعم الفني له، فمن الصعب إدارة المخاطر المرتبطة بها.

تبدأ الحوكمة الفعلية من اعتبار هذه الكاميرات أصولاً تقنية خاضعة لدورة حياة واضحة.

يجب أن تكون المؤسسة قادرة على الإجابة عن أسئلة مثل:

What IP cameras are deployed?
Who owns them?
Which VLAN are they connected to?
Are they internet-exposed?
What firmware version is installed?
Is the device still supported?
When was it last patched?
Is remote administration enabled?

غياب هذه المعلومات يجعل من الصعب معرفة ما إذا كانت الكاميرات مجرد أجهزة تشغيلية، أم نقاط ضعف دائمة داخل الشبكة.

#نهاية الدعم ليست مسألة تشغيلية فقط

أحد أبرز التحذيرات الصادرة عن CCB هو ضرورة استبدال الأجهزة التي وصلت إلى حالة End-of-Life.

عندما يتوقف المصنع عن توفير تحديثات أمنية، تصبح قدرة المؤسسة على معالجة الثغرات الجديدة محدودة أو معدومة.

في هذه الحالة، يصبح استمرار الجهاز في الخدمة قرار مخاطر، وليس قراراً تشغيلياً فقط.

من منظور الحوكمة، ينبغي أن تكون حالة الدعم الأمني جزءاً من تقييم الأصل.

#كلمات المرور الافتراضية تظل نقطة ضعف أساسية

يوصي CCB بتغيير كلمات المرور الافتراضية فوراً.

هذه الخطوة تبدو بديهية، لكنها تظل من أكثر عناصر الإعداد الأولي التي يمكن إهمالها في أجهزة الشبكات وإنترنت الأشياء.

الكاميرا التي ما زالت تعمل ببيانات اعتماد افتراضية أو ضعيفة قد تمنح المهاجم وصولاً لا يحتاج إلى استغلال ثغرة معقدة.

وينبغي أن تتعامل المؤسسة مع حسابات الإدارة في الكاميرات كما تتعامل مع بقية الحسابات الإدارية الحساسة، بما في ذلك استخدام بيانات اعتماد قوية وعدم إعادة استخدام كلمات المرور.

#تعطيل الخدمات غير الضرورية

من التوصيات المهمة أيضاً تعطيل خدمات الوصول أو الإدارة التي لا تحتاج إليها المؤسسة، مثل:

FTP
UPnP
Remote Administration

كل خدمة مفعلة تمثل جزءاً إضافياً من سطح الهجوم.

إذا كانت المؤسسة لا تحتاج إلى خدمة معينة، فإن استمرارها في العمل يخلق تعرضاً أمنياً دون قيمة تشغيلية مقابلة.

هذا المبدأ مهم بشكل خاص في أجهزة IoT التي غالباً ما تحتوي على خدمات إدارة أو اكتشاف شبكي يتم تفعيلها افتراضياً.

#عزل الكاميرات داخل VLAN مستقلة

يوصي CCB أيضاً بوضع الكاميرات على شبكة منفصلة أو VLAN مخصصة، مثل شبكة ضيوف منفصلة عن الشبكة الرئيسية.

الفكرة ليست منع اختراق الكاميرا بشكل مطلق، بل تقليل ما يمكن للمهاجم الوصول إليه إذا نجح في اختراقها.

بدلاً من هذا النموذج:

IP Camera
   |
Corporate LAN
   |
Servers
Endpoints
Internal Services

يفضل وجود فصل شبكي يقلل نطاق الوصول:

IP Cameras
    |
Camera VLAN
    |
Firewall / Access Control
    |
Corporate Network

بهذا الشكل، لا يصبح اختراق جهاز مراقبة مساوياً تلقائياً للدخول إلى الشبكة الداخلية.

من منظور إدارة المخاطر، هذا مثال واضح على تقليل Blast Radius الناتج عن اختراق أصل منخفض الثقة.

#المصادقة متعددة العوامل ليست خياراً ثانوياً

أوصى CCB باستخدام MFA عندما تكون مدعومة.

وجود MFA على بوابة الإدارة أو الخدمات المرتبطة بالكاميرا يمكن أن يضيف طبقة دفاع إضافية في حال تسرب بيانات الاعتماد.

لكن فعاليتها تعتمد بالطبع على دعم الجهاز أو منصة الإدارة لهذه الخاصية.

ولهذا فإن قدرات الحماية المضمنة في الجهاز نفسه يجب أن تدخل ضمن معايير شراء الكاميرات مستقبلاً، بدلاً من تقييمها بناءً على جودة الصورة والسعر فقط.

#التحديث لا يعني أن الاختراق السابق انتهى

من أهم النقاط في تحذير CCB أن تثبيت أحدث إصدار من البرمجيات لا يعالج بالضرورة اختراقاً حدث بالفعل.

التحديث قد يغلق الثغرة التي استخدمت للدخول، لكنه لا يثبت أن المهاجم لم يسبق أن نجح في الوصول إلى الجهاز قبل تطبيق التحديث.

هذه نقطة مهمة في الاستجابة للحوادث.

إذا كانت كاميرا معرضة للإنترنت وكانت تعمل لفترة طويلة بإصدار يحتوي على ثغرة معروفة، فإن السؤال لا يجب أن يكون فقط:

Is the device patched now?

بل أيضاً:

Was the device compromised before patching?

وهنا يظهر الفرق بين إدارة الثغرات والاستجابة للاختراق.

التحديث يعالج حالة فنية حالية، لكنه لا يلغي بالضرورة الأثر التاريخي لأي استغلال سابق.

#المراقبة والكشف جزء من الحل

دعا CCB المؤسسات إلى رفع قدراتها في المراقبة والكشف عن الأنشطة المشبوهة المرتبطة بهذه الأجهزة.

هذا يعني أن كاميرات IP لا ينبغي أن تكون خارج نطاق المراقبة الأمنية.

ينبغي النظر إلى حركة المرور الصادرة والواردة منها، ومحاولات الاتصال غير المعتادة، والأنشطة الإدارية، وأي سلوك لا يتوافق مع الاستخدام الطبيعي للجهاز.

ومن منظور العمليات الأمنية، كلما كانت الكاميرات معزولة ومحددة داخل نطاق شبكي واضح، أصبح من الأسهل مراقبة سلوكها واكتشاف أي انحراف.

#ماذا يعني ذلك لفرق الأمن وGRC؟

خطر كاميرات IP يقع في منطقة مشتركة بين عدة فرق داخل المؤسسة.

فريق الشبكات مسؤول عن التقسيم الشبكي والتحكم بالوصول.

فريق الأمن السيبراني مسؤول عن الرصد، إدارة الثغرات والاستجابة للحوادث.

فرق المشتريات والأصول مسؤولة عن دورة حياة الجهاز وحالة الدعم.

أما فرق GRC فدورها التأكد من أن هذه المسؤوليات ليست منفصلة عن بعضها، وأن المؤسسة لديها ضوابط واضحة تغطي الأصل منذ لحظة شرائه وحتى إخراجه من الخدمة.

يمكن تلخيص الضوابط الرئيسية التي أشار إليها تحذير CCB بالشكل التالي:

#الخلاصة

لم تعد كاميرات المراقبة مجرد أجهزة أمن مادي.

كل كاميرا IP متصلة بالشبكة هي أصل تقني يجب إدخاله ضمن نموذج التهديد وإدارة الأصول والتحديثات والتقسيم الشبكي والمراقبة الأمنية.

الهجمات الأخيرة، ومنها عملية CameraSwarm، توضح أن استهداف هذه الأجهزة يحدث فعلياً وعلى نطاق واسع.

والخطر الحقيقي يبدأ عندما تكون الكاميرا متصلة بالإنترنت، تعمل بإصدار قديم، أو تستخدم إعدادات افتراضية، ثم تكون في الوقت نفسه متصلة مباشرة بشبكة تحتوي على أنظمة أكثر حساسية.

في مثل هذه الحالة، قد تتحول الكاميرا من وسيلة لحماية المنشأة إلى نقطة الدخول التي يستخدمها المهاجم لاختراقها.