文 | 安全防范技术与风险评估公安部重点实验室 黄淑华 广宽

20世纪80年代，模拟摄像机开始应用在街面以及重要场所，在安全防控领域发挥重要作用；90年代，计算机技术发展推动了数字摄像机的发展。进入21世纪，物联网、大数据、移动网络和云计算技术的发展，使视频安防系统呈现网络化、智能化趋势，随之而来的，是网络安全的风险和隐患。本文探讨视频安防系统联网带来的安全隐患，从技术、管理和法规层面提出对策和建议。

一、家庭视频网络的安全隐患

随着人们安防意识的提升，家用数字摄像机联网方案得到普及和广泛应用，市场涌现大量网络摄像机产品。然而，一些品牌的家用网络摄像机由工业安防摄像机演变而来，厂商出于易用性和成本因素削减安全投入；一些新兴厂商更是在设计之初就未考虑完备的安全机制，导致家用网络摄像机存在很多安全隐患：允许使用默认密码以及弱密码登录；缺乏有效的身份认证机制；传输未加密，或者通信加密措施简单易破解等。

家用数字摄像机一般通过无线路由器与家庭中的电脑、手机以及其他物联网设备组成家庭网络。网络摄像机的安全性低，一旦遭到入侵或攻击，则存在视频信息外泄的风险，此外，网络摄像机还可能成为黑客的跳板，攻击家庭网络的其他联网设备或利用这些设备进行挖矿和成为僵尸机进行分布式拒绝服务（DDoS）攻击等非法获利行为。

二、行业视频网络的安全隐患

视频安防技术广泛应用于能源、交通、金融、司法以及教育、卫生领域，尤其是“智慧城市”“平安城市”“天网工程”等视频安防系统的建设，逐渐形成了覆盖城市和乡镇的立体化安防网络，在维护社会公共安全中发挥重要作用。尽管与家用网络摄像机相比，这些视频安防系统的功能、性能以及安全性都有很大的提升。但是，行业视频网络也因为联网设备种类多且覆盖范围广、网络结构复杂且多网互联、用户数量多且用户权限多样等特征，安全风险不容忽视。

1.摄像机安全隐患

行业视频网络的摄像机点位多、数量大，并大多分散安装在室外，常见的安全隐患包括：一是资产底数不清，导致运营管理部门很难及时发现和监管非法接入/替换到视频网络的摄像机。二是设备管理不规范。网络摄像机经常因为弱口令或随意开放端口等问题被攻击者利用。三是设备存在漏洞利用风险，由于行业视频网络与互联网隔离，前端设备修补漏洞不及时，易受网络攻击和感染僵尸、木马、蠕虫等恶意破坏性程序。

2. 网络边界安全隐患

行业视频网络，在设计上与互联网及其他网络物理隔离，需要通过边界安全设施在不同网络之间进行信息交换与共享。在实际工作中，视频网络的主机通过多网卡、无线接入访问点（AP）或接入4G手机等形式绕过网络边界，与外部网络联通的情况屡见不鲜，严重破坏视频网络的物理隔离性，极易造成信息泄露、病毒木马的传播甚至成为外部攻击入口。

3. 系统应用区域的安全隐患

系统应用区域存在的安全隐患是因为视频网络缺乏等级保护机制。一方面，视频网络缺乏安全域的概念，导致重点区域的计算机信息系统没有得到有效的安全防护。另一方面，当前视频网络仅仅能够通过审计数据识别、检测非视频传输的异常协议通信，但是，无法确保视频传输通信完全符合信息安全的保密性、完整性、可用性、可控性和不可否认性。

4. 管理层面的安全隐患

视频网络没有一个完整的态势感知与预警响应处置体系，在发生安全事件时，难以有效协同主管单位、应用单位、网络运营商、设备提供商和集成商，处置和弱化安全事件带来的影响。另一方面，用户的网络安全意识不强，内网监管措施仍然比较简陋。因为采用弱口令，USB存储设备滥用、非法外联等情况存在，对内网络造成严重的安全隐患。

三、视频网络建设中的关键问题

视频网络在建设和应用快速发展的同时，其安全建设却相对滞后，不论家庭使用的视频网络还是行业视频网络，在规划、建设过程中，普遍存在“重应用，轻安全”的情况，涉及国家安全、社会稳定等安全问题，不容忽视。

1. 法律制度不健全

我国视频安防系统规划、安装、管理、使用和监督等环节，急需完善法律法规，更好地明确各方的权利义务关系，并促进视频安防技术发挥其维护社会安全、公众权利的积极作用。立法首先需要明确安装安防摄像机的条件与程序，其次，应明确法律视频安防系统拥有者的管理责任与义务，既要确保视频网络和信息安全，不得随意泄露视频信息，不得买卖、非法查看、复制、获取、传播、使用视频安防系统获取的信息。

2. 安全标准和规范缺乏

视频安防系统缺乏产品安全标准，导致家用网络摄像机安全性能低，且部分厂商缺乏安全服务意识。针对行业视频网络安全防护的系列标准和技术规范，还未制订发布。在各地视频网络安全防护体系建设中，或盲目进行安全建设投入，导致安全防护效果无法达到预期，造成资源浪费；或缺乏整体安全规划，安全建设上投入不足，导致视频网络存在较大的安全风险。作为涉及国家公共安全、社会秩序的重要信息系统和基础设施，视频安防系统重要性不言而喻。但是，视频安防系统没有安全等级划分相关的规范要求，更没有针对该类系统的专业化和系统性的信息安全评测，建设单位难以平衡安全性、易用性、成本等因素，最终导致视频网络安全策略与安全机制难以落实。

3. 视频网络安全防护能力低

在视频网络中，摄像机多数通过运营商购置、安装和更换，管理部门只有运营商上报的数据，缺乏有效机制进行核实。视频网络的电脑接入也缺乏有效控制和注册管理。视频网络设计与互联网及其他网络物理隔离，但是，通过多网卡、网络出口、网络代理、无线接入访问点、网络地址翻译等形式绕过安全设施监管，与外部网络的联通情况，屡见不鲜，严重破坏视频网络的物理隔离性，极易造成信息的泄露与病毒木马的传播，甚至成为外部攻击的入口。

4. 用户安全意识薄弱

目前，视频网络管理人员、操作人员、业务人员，对视频网络面临的安全风险还存在认识不足、安全责任不清、保护对象不明、缺乏安全技能培训、安全运营维护能力缺失等问题，导致视频网络安全保障体系建设存在诸多困难。

5. 监测预警和应急响应机制不完善

视频网络主管单位和运营单位对复杂网络环境下安全威胁和攻击行为的全面感知和预警能力有待提高，一方面，视频网络缺少网络安全监测技术平台，无法第一时间检测到网络中存在的漏洞和新出现的攻击，无法快速研判评估安全态势；另一方面，缺乏畅通、便捷的预警信息传递渠道，无法针对用户群体在受控范围内，及时、精准地发布安全公告预警。

四、对策与建议

在当前复杂的政治形势和新技术背景下，针对视频网络的安全事件频发，需要不断完善视频安防法律法规、构建视频网络安全保障体系、强化安全监督管理、建立视频网络安全监测预警和应急响应机制。

1．需要尽快出台视频安防相关的法律法规

为更好明确安防摄像机使用的各方权利义务关系，需要尽快出台完善有效的、专门的视频安防的法律法规，以实现视频安防发挥其维护社会安全和公众权利的正能量，在充分发挥视频安防系统预防打击违法犯罪作用的同时，也有利于监管机关对其进行有效管理。

2. 研究制定视频网络与信息安全标准体系

研究制定公共安全视频网络与信息安全标准完整体系，涵盖且适用于视频安防网络的信息安全、网络安全、边界安全、摄像机安全、视频云安全等内容的视频安全防护完整体系。对视频安防系统的安全等级进行划分，建立、规范不同安全等级下的视频网络安全策略与安全机制。

3．采用技术措施提升视频网络安全防护能力

采用技术措施构建视频网络安全防护能力，确保摄像机安全、边界安全、内网安全、用户安全。

摄像机安全：有效识别前端接入摄像机的相关信息并对前端摄像机进行认证。高效识别网络终端设备的类型、品牌、操作系统、运行状态等信息，自动形成资产信息库。通过定期扫描，与资产库比对，及时发现地址变更、设备地址冒用、视频设备非法接入、非法替换等资产异常问题，从而实现对设备在线、故障、非法接入/替换进行监管。

边界安全：在视频网络与互联网、其他专网之间建立安全边界，有效隔离跨网的恶意代码传播和攻击。

内网安全：灵活的定义访问控制策略，高效识别非法访问流量并实现有效管控。支持对主流视频协议的精准识别和深度分析。通过部署安全管理措施，实线对全网态势的感知、预测、预警和通报。

用户安全：建立用户身份鉴别和访问控制机制，并对用户行为进行审计。

4．完善视频网络管理相关各项制度

一是建立产品准入制度。加强对安防行业的监管，提高视频安防产品的市场准入门槛，可采取自愿认证工作方式，即可采用型式试验、初始工厂检查、获证后跟踪检查相结合的基本认证模式。通过型式试验对样品的视频安防功能以及安全防护能力进行检测，以保证视频安防类产品的功能性和安全性。通过初始工厂检查确保生产企业质量保证能力、产品一致性、产品与标准的符合性。产品获得认证后，由认证机构对获证产品及其生产企业实施有效的跟踪检查，以验证生产企业的质量保证能力持续符合认证要求、确保获证产品持续符合标准要求并保持与型式试验样品的一致性。

二是建设安全性评估制度。针对已建成的视频安防系统，应在投入使用前通过指定检测机构的安全性评估。检测机构应依据相应的国家标准和行业标准对视频安防系统的信息安全、网络安全、边界安全、摄像机安全、视频云安全等内容进行多维度的视频安全防护能力评估，并出具相应的评估报告。视频安防系统须获得合格的评估报告后，方能正式投入使用。

三是建设网络安全事件应急机制。贯彻2017年中央网信办关于印发《国家网络安全事件应急预案》精神，建立行业视频安防网络应急管理措施，层层落实责任，有效预防、及时控制和最大限度地消除网络安全事件的危害和影响，确保视频网络的正常运行。

四是加强安全教育与培训。加强视频网络相关管理人员、业务人员的安全意识教育，提升安全责任观念；加强业务人员安全技能培训，提高安全运维能力；定期组织应急事件处置演练，防患于未然。

5. 建立监测预警通报会商研判机制

建立网络安全事件会商研判机制，汇聚政府部门、行业主管部门、视频网络运营单位、网络安全研究机构及厂商网络安全信息，建设综合分析、信息比对、预案管理和应急演练等系统。针对重大漏洞、网络安全事件等，能够快速、准确定位，并通报相关单位，提供应急处置中心功能，实现与视频网络应急处置现场实时连接，快速研判处置。

建立信息集中汇聚平台，建设灵活快速的数据接入方式，及时汇总视频网络设施基础信息及威胁信息，摸清视频网络的建设情况和运维情况，汇总相关的攻击、漏洞、风险等威胁信息，从而为信息保护和应急处置等工作提供依据和数据支撑。

通过平台建立视频网络威胁信息常态化管理机制，实现快速向运营单位点对点提示网络安全漏洞、攻击等威胁信息，应用单位及时反馈通报处置的情况，及时控制影响范围，降低所造成的损害；应用单位报送视频网络运行状况、事件状况和工作进展情况，不断地更新和完善视频网络设施清单，保障网络安全管理工作正常开展。

（本文刊登于《中国信息安全》杂志2019年第4期）

声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。