如何对视频专网进行有效的安全防护

摄像头作为医疗、制造业、能源、公共事业等单位重要的监控手段，在单位安防、管理等各方面发挥了重大的作用。但视频监控系统的风险也逐步暴露出来，针对摄像头的攻击事件比例逐年呈上升趋势，攻击者利用入侵视频专网获取设备控制权限，进而形成僵尸网络，被用于发起大流量DDOS攻击，或用于隐私信息窃取等。2016年，美国发生大规模断网事件，据悉，共有超过百万台摄像头被入侵是导致此次瘫痪的媒介，这些摄像头化身肉鸡参与了此次DDOS攻击。

视频专网管控现状及存在的问题

目前大部分摄像头的安装位置比较分散，且摄像头接入层没有进行任何管理和控制，存在着以下风险：

一、接入时容易被恶意攻击者利用

当前摄像头在接入网络的时候，没有好的设备身份认证和管理手段，存在被恶意攻击者仿冒接入网络后盗取视频数据、发起攻击等风险。

二、摄像头访问权限过大，一旦被非法用户控制安全隐患大

摄像头接视频专网，仅需要与视频服务器通讯，如果摄像头的网络权限和访问范围设置不当，一旦被攻击者控制，将带来巨大的网络安全隐患。

三、摄像头缺乏统一管理，维护工作量大

如何快速掌握本单位的资产，实现摄像头自动发现、智能分类、集中管理，同时通过MAC管理的方式也大大增加了管理员的维护工作量，提高工作效率也是各单位迫切需要解决的问题。

视频专网安全防护方案

一条完整的视频专网由前端摄像头、视频服务器、显示终端三部分组成，任何一个环节出现问题，都可能引发信息泄漏。由于前端摄像头处于网络边界，分布广泛、分散，容易受到攻击，一旦出现事故无法及时定位、处理，所以前端摄像头的防护自然成为了重中之重，视频专网防护方案应具备以下几个特点和功能：

• 接入设备快速发现，降低维护量

自动发现全网设备，智能区分摄像头与其他终端，方便管理人员进行分类管理。

在设备第一次入网时，采用设备指纹技术，给每一个设备生成唯一标识，为设备的准入提供验证依据。

支持设备主动发现功能，发现过程不需在原有设备中安装任何程序，主动发现过程不对网络造成影响。

通过不同维度收集摄像头的IP、MAC、设备类型、接入位置等信息，便于掌握资产情况。

• 设备指纹技术，防止摄像头仿冒

与传统的终端设备准入不同，摄像头等非智能设备无法进行基于802.1X的准入认证，所以方案采用设备指纹作为准入认证的唯一身份。通过设定准入白名单的方式将需要认证的设备加入其中，系统即可实时验证设备的身份是否合法。这样可以有效防止非法用户伪造合法摄像头的MAC、IP接入视频专网的问题。 

• 先进的网络准入管理

采用全新一代准入控制技术，实现对视频专网终端的入网管理，阻止非法终端的随意接入。此种技术不依赖任何交换机等网络设备，不会改变用户网络拓扑架构，可满足各种复杂网络、混合型部署网络和纵级大型网络的准入管理要求。

• 精准定位，自助管理

对网络内的冒用伪造终端、入侵终端进行自动识别，第一时间发送报警消息，并在网络拓扑图上进行精确定位，与此同时向管辖区的管理员发送报警消息。

• 告警审计，多维度溯源追踪。

采用多维度溯源追踪引擎，对网络异常接入、设备伪冒替换等重要的安全事件进行实时探测，包括事件的时间、设备信息、事件类型、事件内容等，并提供多种方式的实时告警，使管理人员可以及时发现并处理。

关于内控王视频安全接入控制系统

内控王视频安全接入控制系统，可对整个视频专网前端摄像头设备、其他智能设备，自动识别，自动发现网络边界接入设备，只有通过认证的设备才允许接入视频专网，保证合法设备在网络中交互传输。与此同时对视频专网中的设备进行实时监管，发现网络中的违规事件，第一时间阻断入网并向管理员发送报警通知，采用物理定位、网络拓扑图标点的方式展示违规位置，从而解决网络非法私接、设备仿冒替换、网络运行信息掌握不全、违规处理迟缓等问题。