基于掃描分析的視頻監控網絡安全現狀及對策研究

袁得崳，黃淑華，高 見，陳世聰

(1.中國人民公安大學警務信息工程與網絡安全學院，北京 100038；2.安全防范與風險評估公安部重點實驗室，北京 102623)

1 研究背景

隨著“互聯網+”的提出以及物聯網的快速發展，互聯網技術的應用正在快速地從生活領域過渡到生產領域，隨之而來的是更多聯網的生產系統和基礎設施面臨巨大的網絡安全威脅。目前，很多領域的基礎設施和生產系統的網絡安全體系建設還不完善，大量已知的安全漏洞由于各種原因長期得不到有效修復，系統嚴重缺乏升級、更新等運維管理，因此，基礎設施和生產系統的網絡安全隱患要比計算機等終端設備更為嚴重，很多聯網的基礎設施系統從某種意義上成為了暴露在互聯網上的“活靶子”。預計在未來幾年中，針對能源、交通、制造、金融、通信等領域基礎設施的蓄意網絡攻擊將持續加劇，安全生產事故隨時都有可能大規模爆發。

在這其中，視頻監控網絡作為應用最為廣泛的物聯網技術，在社會治安、環境保護、交通出行等領域得到了大量應用，特別是在“平安城市”“天網工程”“雪亮工程”中建設的安防體系，在打擊犯罪、維護公共安全等方面發揮了重要的作用［1-3］。截止到2019年，全球范圍的網絡視頻監控系統設備已達到1 154 萬臺，其中中國擁有的網絡視頻監控設備網際互連協議（IP）的數量為260 萬臺，占全球總量的20%以上，位居世界第一［4］。目前視頻監控網絡已廣泛應用于政府、企業以及個人家庭中。然而，盡管近年來視頻監控系統的功能、性能以及安全性都有很大的提升，但仍面臨著嚴峻的網絡安全挑戰，尤其是各種廉價攝像頭的大量出現，使其安全問題更加無法保障［5-6］。此外，在互聯互通及管理方便性的需求下，不僅有大量的視頻監控設備暴露在互聯網中，大量的企業、酒店、網吧、居住小區等公共場所，甚至是政企單位建設的視頻監控網絡也暴露于互聯網中，而由于這些設備的部分管理人員安全意識相對淡薄，對設備的安全性問題關注不足，從而給黑客及不良用心的人員提供了大量可乘之機，不法分子甚至從互聯可以直接控制有關設備的運行［7-9］。

目前，視頻監控網絡安全形勢不容樂觀，重要網絡和信息系統存在安全隱患，一旦發生重大網絡安全事件，將會導致嚴重的后果。例如，2016年一場大規模分布式拒絕服務攻擊（distributed denial of service attack，DDoS）席卷了半個美國，包括亞馬遜、Twitter、GitHub、Spotify、PayPal、Verizon 和Comcast 等網站平臺都受到攻擊，其中來自Mirai 物聯網的網絡攝像頭被認為是重要的攻擊源［10］；2017年中國大量家庭攝像頭遭入侵，攻擊者通過遠程控制可以隨時隨地查看內容、分享視頻等［11］；2018年Tenable 公司披露了一項涉及監控設備的“零日漏洞”，利用該漏洞，攻擊者可通過遠程方式在視頻監控系統軟件上執行代碼［12］。為了應對視頻監控網絡面臨的嚴峻網絡安全挑戰，掌握安全態勢、提出整改建議，自2018年起，中國公安部組織開展了全國視頻監控網絡安全現場檢查工作，本研究基于2019年對某兩個地市的檢查（以下簡稱“案例檢查”）結果，分析國內視頻監控網絡的安全現狀，并從理論上提出對策建議。

2 視頻監控網絡安全現狀

目前，視頻監控網絡已經得到了大范圍的普及，無論是家庭場景還是行業的視頻專網，隨處可見視頻監控設備，因視頻監控網絡涉及諸多隱私信息，其安全性就顯得尤為重要，但由于視頻監控產品生產和使用缺乏安全標準和安全規范，滋生了諸多安全隱患。

2.1 安全問題影響范圍廣

目前視頻監控設備的底層軟硬件同質化比較嚴重，一旦出現問題，影響范圍將很廣；同時，為了實現數據傳送，視頻監控設備廠商將出口帶寬設置過大，不可避免地帶來DDoS 攻擊隱患。此外，由于未考慮加密授權問題，容易發生信息泄露以及網絡攻擊，而另一方面視頻監控網絡中存在大量的弱口令以及默認口令，攻擊者很容易通過字典攻擊等方式獲得視頻監控設備的管理權限，從而容易發生信息泄露以及網路攻擊。總之，視頻監控設備的大量普及導致了視頻監控網絡安全問題的影響范圍廣、危害程度大，從公民隱私的泄露到大規模的DDoS攻擊，容易發生嚴重的網絡安全事件。

2.2 管理體系不健全

由于治安管理、打擊犯罪以及安防業務的固有需求，視頻監控設備通常部署在室外某個位置，海量的視頻監控設備導致很難對視頻監控網絡進行一對一的監管，造成在資產的管理與控制方面存在空缺；此外，由于視頻監控設備眾多，其安全性往往被使用者所忽視。在行業視頻監控網絡中，攝像頭通過IP 網絡連接到視頻專網中，一旦被替換或者攻破，黑客可以進入到內部網絡中實現遠程控制并進行惡意操作，無疑將帶來超乎想象的危害［13-14］。

2.3 技術防護有難度

視頻監控設備不同于計算機等終端，大多基于嵌入式系統，體積小、存儲能力有限，設備本身無法承載防火墻、殺毒軟件等安全防護系統；此外，由于無法做到完全強制的安全更新機制，用戶即使知道安全漏洞的存在，但對于穩定性與可用性的追求也導致其缺乏補丁更新的動力，視頻監控設備補丁更新、漏洞修復的滯后性為黑客的滲透控制提供了便利，極易造成網絡安全事件。

3 視頻監控網絡資產識別技術分析與部署

本研究針對視頻監控網絡中資產快速識別的需求，結合不同產品在實際網絡中的測試結果進行分析對比。目前針對資產快速識別的技術實現主要包括兩種方式：基于網絡主動掃描的資產識別監控技術；基于網關監聽分析的資產識別技術。

3.1 基于網絡主動掃描的資產識別技術

基于網絡主動掃描的資產識別技術是一種以主動發送探測包進行網絡掃描，根據被掃描對象的返回數據，通過提取相關特征進行設備識別的技術。由于每種設備接入網絡后都有一定的網絡特征表現，并且每種設備的網絡特征有所差別，因此可以利用這些特征差別進行網絡層面的設備類型識別。該技術在網絡端口掃描技術、操作系統指紋識別技術等基礎上，經過大量的設備特征分析，累積形成設備類別的特征指紋庫，以此進行設備快速識別。如圖1 所示，一臺掃描服務器分配一個內網IP 地址，并將其接入至網絡即可。

圖1 基于主動掃描的視頻監控網絡資產識別技術應用拓撲結構

服務器通過掃描服務向網絡中的各種設備發送多種探測數據包，被掃描設備接收到數據包后，或返回或丟棄，掃描服務將根據每種設備返回的數據包種類、內容、特征值等各種組合信息確定設備的類別。該技術可以區分的設備類別可分為：服務器類、終端設備、視頻設備、網絡設備、安全設備、網絡打印機設備、移動設備、無線設備等等，其中每種設備或可再進行細分類別（例如操作系統類型、應用級分類等）。該技術的關鍵是如何保證在網絡資源占用可控的前提下提升掃描效率和資產識別的準確度，做到既快又準，而且對網絡的負面影響基本可以忽略。其主要優缺點如表1 所示。

表1 基于主動掃描的視頻監控網絡資產識別技術優缺點比較

3.2 基于網關監聽分析的資產識別技術

基于網關監聽分析的資產識別技術主要通過網絡鏡像抓包、協議分析等方式實現，設備在網絡通信過程中會攜帶自身一系列特征數據，通過對數據的分析和判斷可以確定設備的類別。該方式同樣需要建立針對設備的特征識別方法，與主動掃描方式的差別在于，該方式基于數據信息的特征庫，主動掃描方式基于網絡信息的特征庫。如圖2 所示，需要在核心交換機進行端口鏡像（級聯口鏡像至某一端口），用于監聽該交換機下所有設備的通信數據包，然后針對通信數據進行數據分析，從中獲取需要的信息與特征庫進行匹配，從而區分設備的類別。其主要優缺點如表2 所示。

圖2 基于網關監聽分析的視頻監控網絡資產識別技術部署示意

表2 基于網關監聽分析的視頻監控網絡資產識別技術優缺點比較

3.3 漏洞掃描技術部署

在案例檢查工作部署中，對于視頻監控網絡系統應用區的電腦、服務器等進行漏洞掃描是另外一項重點工作，基于前期構建的視頻監控網絡專用漏洞庫部署漏洞掃描技術，分析視頻監控網絡中存在的潛在漏洞，并對當前的潛在漏洞進行驗證。通過對系統應用區的目標主機、服務器的注冊表、系統日志、系統配置以及數據庫等關鍵信息進行掃描，與視頻監控網絡漏洞特征進行特征匹配，分析系統應用區存在的漏洞情況。如圖3 所示。

圖3 視頻監控網絡漏洞掃描部署示意

3.4 檢查方案部署

由于基于網關監聽的資產識別技術需要調整交換機設置以及部署較多的監控設備，實施部署存在很大困難，因此在對實際網絡進行檢查的過程中，本研究采用了基于主動掃描的資產識別技術。為了實現大規模網絡（一個B 地址段甚至多個B 地址段）的快速掃描，需要在發包速度、帶寬占用、資源占用、掃描周期等幾個因素尋求平衡點，在網絡資源占用可控范圍內提升掃描效率。案例檢查的部署情況如表3 所示，著重從以下4 個方面展開分析：

（1）設備類別智能識別。通過被掃描設備的反饋信息提取其關鍵特征，形成設備指紋，以此進行設備類別的快速識別和分類。在實際測試中，針對視頻監控網絡的設備可以實現對視頻設備、終端設備、服務器設備、網絡設備、安全類設備、網絡打印機設備等類型進行智能識別和分類統計。

（2）設備類別變更監控識別。在設備類別智能識別技術的基礎上，對設備類別的變更情況實施智能判斷和告警的技術，當某類設備被非法替換時，可及時發現設備類別變更并進行報警。

（3）非授權設備接入監控。針對未經授權私接的網絡地址轉換（NAT）設備、無線路由設備進行快速檢測識別。在實際的測試中，發現視頻專網中是否存在經NAT 接入的無線訪問接入點（無線AP）設備，PC 終端是否存在私接隨身Wi-Fi 的情況。

（4）系統應用區的漏洞掃描。針對視頻監控網絡系統應用區中的主機以及服務器，檢測目標系統中存在的潛在漏洞，并對這些潛在漏洞進行驗證。

表3 案例檢查掃描設備部署情況

4 視頻監控網絡安全檢查結果分析

目前，視頻監控網絡點位眾多，且多部署在無人監管的地帶，由于其關系著公眾的生命、財產安全和隱私，其安全風險不容小覷。研究案例檢查結果，總結目前視頻監控網絡所面臨的主要安全問題主要有4 個方面。

4.1 前端設備隱患

視頻監控網絡的前端攝像機點位多，且大多部署在無人監管的室外地區，目前2 個案例地市乃至全國普遍存在以下安全隱患：

（1）設備底數不清，管理不規范。由于成本的問題，有些地區采用了以租代建的方式，視頻監控設備由運營商進行建設與管理，被檢查單位掌握的數據與掃描結果存在差異；此外，對于視頻監控網絡中的電腦等終端設備也缺乏注冊管理。管理部門對視頻監控網絡的攝像頭、電腦存在底數不清、難于監管的問題，很難及時發現非法接入/替換到視頻監控網絡的設備。

（2）設備接入安全風險。由于視頻監控網絡承載著治安監控、打擊犯罪等業務需求，攝像頭等前端設備部署分布極為廣泛，大部分地區處于無人看守狀態，目前有些地區未部署非法替換告警設施，存在非法替換與入侵的安全隱患；此外，視頻攝像頭的弱口令和默認口令問題嚴重，存在著被攻擊者利用的安全風險。

4.2 系統應用區威脅

部分網絡缺乏防火墻、入侵檢測、網絡審計、防病毒等安全防護設備及系統，視頻監控網絡系統應用區中的計算機、服務器存在發生非授權人員入侵與非法控制的風險；此外，由于缺乏有效的審計管理機制，大量涉及隱私的敏感數據容易發生泄露。系統應用區域的平臺應用以及操作系統本身存在著大量的安全漏洞，如果漏洞修補不及時，雖然被檢查的視頻監控網絡與互聯網隔離，仍然存在著網絡攻擊和感染僵尸、木馬、蠕蟲等病毒被惡意破壞性程序的風險。

4.3 邊界安全威脅

目前，視頻監控網絡通常通過邊界隔離來實現不同網絡間的信息共享與交換，因此，網絡邊界處的安全防護顯得尤為重要。然而，在現場檢查中發現，視頻監控網絡的主機存在著通過多網卡、網絡代理、路由、NAT 邊界、無線AP 等，或接入4G 手機等形式繞過網絡邊界的情況，嚴重破壞了視頻監控網絡的物理隔離性，存在著網絡內部數據泄漏和非授權用戶訪問、控制的安全隱患。

4.4 安全管理威脅

目前各地監控網絡安全的管理制度仍然不夠完善，且普遍缺乏監控網絡安全應急響應預案及相應的工作機制，一旦出現網絡安全問題，缺乏相應機制來處置和弱化安全事件帶來的影響；此外，用戶的安全意識普遍有待加強，在工作組織管理、政策法規宣貫培訓、安全管理及運維管理制度建設等方面還有一定的不足。

5 結論與建議

如今，視頻監控系統已廣泛應用于社會治安、交通出行、環境保護、城市管理等多個領域，是國家公共安全技術防范系統重要組成部分，已經成為國家重要的關鍵信息基礎設施。目前中國的視頻監控網絡安全建設仍處于起步階段，仍然存在資產底數不清、管理不規范、大量使用弱口令及安全漏洞和網絡邊界不清等問題，還需要社會各界的不斷努力，逐步提升視頻監控網絡的安全管理和風險防范能力。

基于以上研究結論，提出以下對策建議：

（1）制定法規與標準。隨著中國網絡安全法的實施，國內各行各業的網絡安全防護能力得到了顯著提升，然而視頻監控等安防領域的安全建設仍處于起步階段，缺乏專門的法律法規。目前國內的視頻監控行業應用標準體系如圖4 所示，其中，國家標準《公共安全視頻監控聯網信息安全技術要求》對設備身份認證、用戶身份認證、管理平臺認證等方面都提出了更高的要求，并基于公鑰基礎設施（PKI）密碼體系確保通信加密，保證設備及用戶認證數據保密、防篡改、防重放，并通過雙因子鑒定避免出現認證繞過、暴力破解等問題。但是，仍然需要進一步研究制定涵蓋網絡前端、系統邊界、系統應用區、云存儲等內容的視頻監控網絡安全的完整標準體系。此外，標準遵從往往并不能避免廠商自留后門的問題［15］，而此類后門帶來的0day 漏洞及面向此類0day 漏洞的攻擊，如果未對端口或協議予以限制就暴露于公網，即使經過了防火墻，也是難以單純靠防火墻等為安全設備提供全面保護。

（2）提升防護能力。隨著視頻網絡的安全問題受到越來越多的關注，國內安全設備廠商和視頻產品廠商越來越重視視頻監控網絡的安全生產、檢測和管理問題，這對視頻監控網絡安全水平提升創造了良好條件，建設單位和用戶應充分利用有利條件，逐步提升自我安全檢測和安全防護的能力，從而全面提升視頻網絡的安全防護能力。一是對系統進行安全加固，及時更新系統補丁、升級系統版本；二是重點加強安全外殼協議（SSH）的升級更新；三是采用安全檢查工具進行周期性掃描，定期對設備資產的安全狀態進行評估，及時發現漏洞風險，驗證安全加固效果。

（3）完善管理制度。中國的視頻監控網絡安全建設仍處于起步階段，存在資產管理較為混亂和管理力度不足等問題，在建設視頻監控網絡的同時應按照國家相關法規及標準要求，加強網絡邊界的防護與管理，提升設備資產安全性，利用先進的技術手段及時檢查和掌握網絡整體安全態勢；建立健全常態化安全檢查機制，嚴禁安裝無關應用軟件和私接無關設備，對發現的安全問題及時整改，尤其是弱口令、高危漏洞等問題逐一核查，降低漏洞被利用的風險。一是定期更換密碼，并確保密碼強度符合相關規定要求，最大限度消除弱口令隱患問題；二是定期維護前端攝像機、網絡設備、視頻監控設備、操作系統、重要應用系統、數據庫和終端等，構筑安全基礎防線。