Uzdevums, kas aizņem trīsdesmit sekundes. Neatverot nevienu programmu, mēģini nosaukt visas ierīces savā birojā, kurām ir tīkla savienojums, bet nav ekrāna.
Vairums cilvēku sāk ar maršrutētāju. Tad atceras WiFi punktus. Tad kameras. Tad printeri. Tad, ja padomā ilgāk — durvju kodu paneli, videoreģistratoru skapī, NAS, apsardzes signalizācijas moduli, viedo termostatu, projektoru sanāksmju telpā.
Tagad grūtākais jautājums. Kad tu pēdējo reizi atjaunināji kaut vienu no tām? Un vēl grūtāk: vai tu zini, ar ko tās sazinās?
Šis raksts ir par to, ka lietas bez ekrāna arī ir datori — tikai tādi, kuriem neviens nekad neuzdod jautājumus.
Slovākijas gadījums: kamera, kas klausās īsziņas
Šā gada augustā Slovākijas nacionālā drošības iestāde (NBÚ) publicēja brīdinājumu par ātruma kontroles kamerām NERO R-ONE, kas bija iegādātas ceļu satiksmes uzraudzības modernizācijai. Pārbaudē tika konstatētas neatbilstības starp dokumentēto un faktisko ierīču konfigurāciju, neskaidrības par aparatūras un programmatūras izcelsmi, vāji drošības mehānismi un iepriekš konfigurēta attālinātās piekļuves funkcionalitāte.
Interesantākā daļa nav ievainojamība parastajā nozīmē. Iekārtās tika atrasts nedokumentēts modulis, kas piesaistīts konkrētiem, ierīcē iekodētiem Krievijas tālruņa numuriem. Saņemot īsziņu no kāda no šiem numuriem, moduli iespējams izmantot, lai iegūtu attālinātu piekļuvi iekārtai. Tāpat kamerās konstatēts atspējots secure boot mehānisms, kas palielina risku, ka startēšanas procesā var tikt izpildīta nepārbaudīta vai ļaunprātīgi modificēta programmatūra. NBÚ secināja, ka ierīces būtībā ir pārzīmolota Krievijā ražotas kameras versija.
Godīguma labad par mērogu: publiskajā telpā izskanējušais skaitlis 279 attiecas uz plānoto iepirkuma apjomu, un Slovākijas Iekšlietu ministrija norādīja, ka šis iepirkums tika apturēts, bet faktiski iegādātas un izmēģinājuma režīmā lietotas tikai atsevišķas iekārtas. Tehniskā analīze veikta uz viena aizdota parauga. Pati drošības problēma no tā nekļūst mazāka — bet skaitlis “gandrīz 300 uzstādītu kameru” nav apstiprināts, un mēs to neatkārtosim.
Būtiskais paliek: šeit nebija nekāda uzlaušanas. Funkcionalitāte bija iebūvēta jau rūpnīcā. Nekāds ielāps to nebūtu novērsis, jo tā nebija kļūda.
Kāpēc tas nav tikai Slovākijas stāsts
Vieglākais veids, kā šo notikumu nolikt malā, ir pateikt: “Nu labi, bet man taču nav valsts ātruma kontroles kameru.”
Tāpēc tajā pašā CERT.LV augusta pārskatā ir vērts izlasīt vēl vienu rindiņu. Ubiquiti izlaida drošības atjauninājumus UniFi produktiem, novēršot vairākas ievainojamības, tostarp trīs kritiskas ar CVSS vērtējumu 10.0 — augstāko iespējamo skalā. Divas no tām nepareizas ievades datu validācijas dēļ var ļaut uzbrucējam izpildīt patvaļīgas komandas uz iekārtas, viena — apiet autentifikāciju uz iekārtām ar UniFi OS. Viena no skartajām lietotnēm ir UniFi Protect, proti, videonovērošanas sistēma.
UniFi nav eksotika. Tas ir viens no izplatītākajiem tīkla un videonovērošanas risinājumiem Latvijas birojos, veikalos, kafejnīcās un noliktavās. Ļoti iespējams, ka tāda kastīte ir arī pie tavas sienas.
Divi dažādi stāsti, viena doma: ierīce, kurai nav ekrāna, joprojām ir dators. Ar operētājsistēmu, ar programmatūru, ar tīkla savienojumu un ar spēju izpildīt komandas.
Trīs neērti jautājumi par ierīcēm tavā tīklā
Kas to atjaunina?
Klēpjdators pats prasa restartu. Telefons pats parāda paziņojumu. Kamera pie griestiem neprasa neko — tā tikai deg ar zaļu gaismiņu. Rezultātā tipiskā birojā tīkla iekārtu programmaparatūra ir tieši tik veca, cik veca ir iekārta.
Kur tā zvana?
Vairums šādu ierīču ir savienotas ar ražotāja mākoni, lai tu varētu tās apskatīt no telefona. Tas ir ērti un pats par sevi nav slikti. Bet tas nozīmē, ka ierīce tava ugunsmūra iekšpusē regulāri veido izejošu savienojumu uz internetu. Un ugunsmūri parasti ļoti rūpīgi uzrauga ienākošos savienojumus, bet daudz paviršāk — izejošos.
Kas to ražoja?
Slovākijas gadījums ir tieši par šo. Zīmols uz korpusa un faktiskā izcelsme var nebūt viens un tas pats. Mazam uzņēmumam nav iespēju veikt aparatūras auditu, un tas nav reālistisks ieteikums. Bet ir reālistisks cits: pieņemt, ka par katru ierīci tīklā tu zini mazāk, nekā tev šķiet, un projektēt savu drošību atbilstoši.
Kur šeit iederas rezerves kopijas
Būsim precīzi: neviena rezerves kopija nepasargās tavu videonovērošanas kameru no tā, ka tajā ir nedokumentēts modulis. Šis nav stāsts par to, ka rezerves kopija atrisina visu.
Bet loģiskais tilts ir īss un tas ir nopietns.
Kompromitēta tīkla iekārta reti ir pati par sevi mērķis. Tā ir ieejas punkts. Uzbrucējs, kas ir ieguvis kontroli pār maršrutētāju, kameru vai videoreģistratoru, atrodas nevis ārpusē, mēģinot ielauzties, bet iekšpusē — tajā pašā tīklā, kur atrodas darbinieku datori, grāmatvedības serveris un — gandrīz vienmēr — arī tas NAS, uz kura naktīs kopējas rezerves kopijas.
Tieši tāpēc lokāla rezerves kopija, kas ir pastāvīgi pieejama no ikdienas tīkla, ir daudz trauslāka, nekā izskatās. Par to detalizēti rakstījām sadaļā par uzbrukumiem lokālajām rezerves kopijām: mūsdienu izspiedējvīrusi pirmām kārtām meklē tieši kopijas, jo bez tām izspiešana nedarbojas.
Un ir vēl viens slānis, kas šajā stāstā ir tiešs. Ja tavā birojā ir videonovērošana, tad kameru ieraksti paši ir dati — bieži vien vienīgais pierādījums zādzības, negadījuma vai strīda gadījumā. Tie parasti glabājas vienā vietā: uz reģistratora, kas stāv tajā pašā telpā, ko tas filmē, un ir savienots ar to pašu tīklu, kurā atrodas potenciāli ievainojamā kamera. Tā ir viena kopija vienā vietā — precīzi tas, ko 3-2-1 princips aizliedz.
Ko izdarīt šonedēļ
Neviens no šiem soļiem neprasa drošības speciālista kvalifikāciju.
- Uzraksti sarakstu. Burtiski uz papīra: katra ierīce tīklā, kurai nav ekrāna. Modelis, kur atrodas, kas to uzstādīja. Vairumam uzņēmumu šāda saraksta vienkārši nav, un tieši tāpēc neviens nezina, ko atjaunināt.
- Nomaini rūpnīcas paroles. Vēl joprojām pārsteidzoši daudz kameru un reģistratoru strādā ar to pašu paroli, ar kādu iznāca no kastes.
- Pārbaudi programmaparatūras versijas vismaz maršrutētājam, WiFi punktiem un videonovērošanas sistēmai. UniFi gadījumā tas ir dažu minūšu darbs vadības panelī.
- Nošķir tīklus. Kamerām, printeriem un viedierīcēm nav nekāda iemesla atrasties tajā pašā tīklā, kur grāmatvedības dators un rezerves kopiju glabātuve. Atsevišķs VLAN vai vismaz atsevišķs viesu tīkls ir viena no lētākajām drošības uzlabojuma iespējām, kāda vispār pastāv.
- Izved vienu kopiju ārā. Vissvarīgākajiem datiem — tostarp, ja tas ir būtiski, arhīva videoierakstiem — jābūt kopijai, kas nav sasniedzama no šī tīkla.
Ievēro, ka pirmie četri soļi samazina varbūtību, bet piektais maina sekas. Tas ir vienīgais, kas turpina strādāt arī tad, ja izrādās, ka problēma bija iebūvēta jau rūpnīcā un neviens ielāps to nekad nenovērsa — gluži tāpat kā eParakstītāja atjaunināšanas mehānisma gadījumā, kur risks slēpās tieši uzticamības kanālā.
Vēlies, lai tavi svarīgākie dati atrastos ārpus tā tīkla, kurā stāv ierīces, par kurām tu zini vismazāk? Sazinies ar mums — palīdzēsim izveidot nošķirtu un pārbaudītu rezerves kopiju risinājumu privātā mākoņserverī.
Biežāk uzdotie jautājumi
Vai maza uzņēmuma kameras un maršrutētājs tiešām var kādu interesēt?
Pārsvarā uzbrukumi šādām ierīcēm nav mērķēti. Automatizēti skeneri nepārtraukti meklē internetā pieejamas iekārtas ar zināmām ievainojamībām vai rūpnīcas parolēm, un atrastās pievieno botu tīkliem vai izmanto kā ieejas punktu. Uzņēmuma izmērs šajā procesā nav kritērijs.
Kāpēc kameru vai maršrutētāju vispār vajag atjaunināt?
Tāpēc, ka tajos darbojas programmatūra, kurā tiek atrastas kļūdas — tostarp kritiskas. UniFi produktos 2026. gada augustā tika novērstas trīs ievainojamības ar augstāko iespējamo CVSS vērtējumu 10.0, no kurām divas potenciāli ļauj izpildīt patvaļīgas komandas uz pašas iekārtas.
Ko nozīmē atdalīt tīklus un vai tas ir dārgi?
Tas nozīmē, ka viedierīces, kameras un printeri strādā savā atsevišķā segmentā, no kura nevar brīvi sasniegt darba datorus un datu glabātuvi. Lielākajā daļā mūsdienu biznesa klases maršrutētāju šī funkcionalitāte jau ir iekļauta un neprasa papildu iekārtas — tikai konfigurāciju.
Vai videonovērošanas ierakstiem vajag rezerves kopiju?
Ja tie kādreiz varētu būt vajadzīgi kā pierādījums, tad jā. Ieraksti, kas glabājas tikai uz reģistratora tajā pašā telpā, ir pakļauti tieši tiem pašiem riskiem, ko tie filmē — zādzībai, ugunsgrēkam, plūdiem —, kā arī ļaunprātīgai dzēšanai, ja kāds ieguvis piekļuvi tīklam.
Kā uzzināt, no kurienes ierīce ir nākusi?
Pilnīgu izcelsmes pārbaudi uzņēmums patstāvīgi veikt nevar. Praktiskais minimums ir iegādāties tīkla un novērošanas iekārtas no atpazīstamiem ražotājiem un pilnvarotiem izplatītājiem, sekot līdzi CERT.LV brīdinājumiem par konkrētiem produktiem un neuzstādīt ierīces, kurām ražotājs vairs nenodrošina drošības atjauninājumus.
