直接の答え
実用的であれば、専用の VLAN または同等のセグメントにカメラを配置します。 承認された管理、RTSP/ONVIF、DNS、時間および更新フローのみを許可し、承認された各ビューア パスからテストします。
なぜこれが起こるのか
フラット ネットワークでは、脆弱なカメラや設定が間違っているカメラが無関係なデバイスに到達する可能性があります。 セグメンテーションが厳しすぎると、検出、時間、更新、またはメディアが破損し、混乱を招く部分的な障害が発生する可能性もあります。
カメラ サービスをプライベートに保ち、資格情報の公開を最小限に抑え、すべての信頼境界を文書化します。
管理されたテスト
広範囲のアドレス範囲とポートを開くのではなく、データ フロー図からルール セットを構築します。
一度に 1 つの変数を変更します。 カメラのモデル、ファームウェア、エンドポイント、アカウントを記録しておきます。 次に、ネットワーク到達可能性、プロトコル応答、メディアトランスポート、およびデコードを個別のレイヤーとしてテストします。
専用の表示専用アカウントと信頼できるローカル診断ツールを使用します。 出力を共有する前に、資格情報、プライベート アドレス、識別データを編集します。
診断シーケンス
| チェック | アクション | 進歩の証拠 |
|---|---|---|
| 在庫 | カメラ、レコーダー、ビューアー、管理ホストをリストします。 | すべてのエンドポイントには所有者と目的があります。 |
| フロー | ドキュメントの検出、サービス、メディア、DNS、NTP、および更新。 | 各ルールは必要な機能にマップされます。 |
| デフォルトの拒否 | 無関係な東西および送信トラフィックをブロックします。 | カメラは任意のシステムに到達できません。 |
| 検証 | ルール変更後の表示、更新、および回復をテストします。 | セキュリティ制御により、必要な操作が保持されます。 |
保管すべき証拠
ルールと機能のマトリックスと、拒否された予期しないトラフィックのパケット証拠を保持します。 デバイスやファームウェアが変更された場合は見直してください。
境界と安全上の注意
セグメンテーションにより影響範囲は縮小されますが、一意の認証情報、サポートされているファームウェア、安全なリモート アクセスが置き換えられるわけではありません。
リモート表示の場合は、RTSP またはカメラ管理ポートをパブリック インターネットに直接公開するのではなく、管理された VPN を使用します。
SmartRTSP
SmartRTSP は、Apple デバイス、Windows、Android 用のカメラに焦点を当てた RTSP および ONVIF ビューアです。 直接表示、発見、マルチカメラのチェックに適しています。 継続的な記録、証拠のエクスポート、または企業の集中管理が必要な場合は、専用の NVR または VMS を用意してください。
よくある質問
VLAN は ONVIF の検出を停止しますか?
スコープ付きリレーが設計されていない限り、ローカル マルチキャスト検出が停止することがよくあります。 ユニキャスト サービスとメディアは引き続き許可されます。
カメラはインターネット全体にアクセスする必要がありますか?
いいえ。承認された展開に実際に必要なベンダー サービスまたは更新パスのみを許可します。
視聴者は別の VLAN で生活できますか?
はい、必要なサービスに対して明示的なルートと最小権限のファイアウォール ルールを使用します。
一次参考文献
関連する SmartRTSP ガイド
関連ガイドを開く制御されたネットワーク上にカメラを配置し、ドキュメント ビューア、レコーダー、DNS、時刻を指定し、パスを明示的に更新します。