29. fejezet – A rendszer elleni támadások és a védekezés

29.1 Miért támadható egy vagyonvédelmi rendszer?

Kezdjük egy kijózanító mondattal, amit a szakirodalom is kimond: teljes körű, százszázalékos védelem nem valósítható meg. Marad egy maradék kockázat, ami a tulajdonos vagy a menedzsment tudatos kockázatvállalása azzal, hogy egyes veszélyforrásokra nem, vagy csak részben reagál védelmi megoldással. Ez nem kifogás — ez a kiindulópont. A szakember dolga nem a tökéletes rendszer, hanem az, hogy tudja, hol vannak a rendszere határai, és hogy ezeket ne véletlenül, hanem tudatosan hagyja ott.

A rendszer nem fal, hanem jelzés

A leggyakoribb félreértés — az ügyfélnél is, a kezdő szerelőnél is —, hogy a riasztó „megvéd". Nem véd meg. A szakirodalom világosan fogalmaz: az elektronikai jelzőrendszer „csak" jelzi a behatolás tényét, illetve annak szándékát, a mechanikai védelemmel szemben nem ad valós védelmet, hiszen nem tudja feltartóztatni a behatolót. A mechanikai védelem viszont csak késleltet — leküzdéséhez „csak" megfelelő szerszám és idő kell.

Egy támadó tehát nem a falat akarja legyőzni, hanem az időt. Minden támadási mód, amit ebben a fejezetben látni fogsz, ugyanarra megy ki: a jelzés maradjon el, vagy késsen annyit, hogy addigra a támadó végezzen és eltűnjön. Ha ezt egyszer megérted, minden konkrét trükk logikus lesz.

A fokozat a támadóról szól, nem az eszközről

A 9. fejezetben megtanultad, hogy a szabvány négy biztonsági fokozatot (Grade 1–4) definiál, és a fokozatot a feltételezett behatoló képessége szerint határozza meg — nem az eszköz „minőségével", hanem a támadóval. Most válik igazán használhatóvá:

Ezért kér a szabvány Grade 3-tól többet az érzékelőtől is: ott már a lencse letakarása is szabotázsjelzést kell adjon, és az érzékelő elfordítási kísérletét meg kell akadályozni vagy jelezni. A szabvány maga is elismeri tehát: ezek a támadási módok léteznek, és a magasabb fokozat épp ellenük szól.

A négy támadási felület

1. Fizikai felület. Az eszközhöz kézzel hozzá lehet férni: letakarható, elforgatható, leszerelhető, a doboza felnyitható, a kábele elvágható.
2. Rádiós felület. Ami a levegőben megy, azt bárki hallja és zavarhatja. Nemcsak a rádiós érzékelő, hanem az átjelzés is ide tartozik.
3. Informatikai felület. A mai rendszer hálózaton is látszik: van IP-címe, kezelőfelülete, jelszava, és fut rajta firmware, amiben hiba lehet.
4. Emberi felület. A rendszert emberek kezelik, ismerik, dokumentálják — és néha ők maguk jelentik a kockázatot.

Miért a telepítőn múlik?

Mert a szakirodalom szerint rajta múlik. A tervező és a telepítő elsődleges felelőssége, hogy a rendszerek nagyfokú biztonsággal üzemeljenek — nem kerülhető meg azzal, hogy „a felhasználó majd beállítja". Ugyanez a forrás kimondja azt is, hogy a nem megfelelő tervezés, a telepítéskor elkövetett hibás beállítások és a védelmi szempontok figyelmen kívül hagyása rontja a megrendelő biztonságát — és hozzáteszi, hogy a mai eszközöket „nem csak az átlagos felhasználók, de még a rendszerek tervezésében, telepítésében jártas szakemberek sem mindig látnak át teljeskörűen".

Ez rólad is szól. Nem sértésként: a szakma tempójában senki nem tud mindent. De van egy minimumkészlet, amit minden átadáson végig kell futtatni, akkor is, ha az adott eszközt először látod — és a 29.8 pont pontosan ez a minimumkészlet.

29.2 Érzékelők kijátszása: letakarás, elforgatás, mágneses manipuláció

Az érzékelő a rendszer szeme. Ha a szem becsukódik, a központ nyugalmat lát — és a nyugalom a támadó számára a legjobb üzemállapot.

Fontos elhatárolás: a szabotázsvédelem technikai alapjait (tamperkapcsoló, NC/NO hurok, EOL és DEOL lezárás, a négy felismert hurokállapot) a 14. fejezet tárgyalja. Itt nem ismételjük meg — itt azt nézzük, hogy ezek a technikák mi ellen dolgoznak, és mit kell hozzájuk beállítani.

A nulladik lépés: a fizikai elhelyezés

Mielőtt bármilyen elektronikai védelemről beszélnénk, van egy sokkal olcsóbb ellenszer: ne lehessen odaérni. A szakirodalom ezt teszi az első helyre:

Az érzékelő és jelző eszközöket a technológiai leírásokban foglalt telepítési magasságok és irányok figyelembevételével lehetőleg úgy kell elhelyezni, hogy segédeszköz nélkül, szabadkézzel ne legyenek elérhetők (megfelelő magasság, süllyesztett szerelés), vagy a megerősített kialakítás biztosítsa az eszköz rongálás elleni védelmét.

Ehhez jön három további, ugyaninnen igazolt elv: nagy biztonságú alkalmazásban a védett téren belüli, ha szükséges rejtett elhelyezés; kameráknál a látószögek átlapolása vagy eszközredundancia; hang- és fényjelzőknél különböző falsíkokra szerelés — ne lehessen egy létráról, egy helyről mindet leverni. A kábelezésre ugyanez vonatkozik: védőcsőben, kábeltálcán vagy műanyag csatornában kell szerelni, és ha a jelvonal a saját területen kívül fut, fém védőcsőben.

A magasság tehát nem esztétikai kérdés. Egy szemmagasságban lévő PIR-t egy kartonlappal két másodperc alatt vaknak lehet hagyni; egy 2,5 méteren lévőhöz már létra kell — és a létracipelés zajos, feltűnő és időigényes. Emlékezz a 29.1 pontra: minden az időről szól.

Letakarás és lefestés

Ez a legegyszerűbb támadás, és pontosan ezért a leggyakoribb. A szakirodalom szó szerint nevesíti: „A passzív infravörös mozgásérzékelők hatástalanításának egyik módja, ha a lencséjüket letakarják, vagy lefestik."

Miért működik? Mert a PIR a látóterében bekövetkező hőmérséklet-változást érzékeli (15. fejezet). Ha a lencse elé bármi kerül, ami nem engedi át az infravörös sugárzást, az érzékelő ugyanúgy „ép" marad: a hurok zárt, a tamperkapcsoló nyugalomban, a központ nem lát semmit. Nem hibajelzés keletkezik, hanem csend — és ez a legrosszabb, ami a rendszerrel történhet. Ugyanez a támadás a kameránál is működik (29.4), és megjelenik a felhasználói oldalon is: a 26. fejezetben látott „az ügyfél letakarja a zavaró érzékelőt" viselkedés műszakilag pontosan ugyanaz — csak nem rossz szándékkal.

Mit tesz ellene a telepítő. Kitakarás elleni védelemmel (anti-masking) rendelkező érzékelőt választ ott, ahol a kockázat indokolja — a szakirodalom ezt nevezi meg megoldásként, és Grade 3-tól a szabvány követelménye is. Bekapcsolja és beállítja a funkciót: nem mindig aktív gyárilag, és az érzékenysége állítható; a bekapcsolatlan anti-masking pontosan annyit ér, mint a nem létező. Az átadási próbán kipróbálja — a szakirodalom átadási tesztlistája külön nevesíti a „kitakarásvédett érzékelők kitakarás tesztje" pontot, nagyszámú érzékelőnél elegendő bizonyos százalék véletlenszerű tesztelése. A visszajelző LED-et üzemi módban letiltja, mert a világító LED megmutatja, hol vannak az érzékelési zónák (15. fejezet). És nem hagy „hozzáférési polcot" az érzékelő alatt: szekrénytetőre, párkányra, korlátra felmászva a magasság semmit nem ér.

Elforgatás és leszerelés

A második trükk: ne takarjuk le, hanem fordítsuk el. Az érzékelő működik, a hurok ép, a tamper zárva — csak épp a szemközti sarkot nézi, nem az ajtót. Rádiós eszköznél ez még könnyebb:

A vezetékezés hiánya miatt a fedélbontással történő szabotálásra sincsen szüksége a támadónak, elegendő, ha az eszközt pozíciójából eltávolítják, elforgatják, így esetükben a felfogatási felületről való eltávolításra irányuló cselekményeket is jelezni és felügyelni szükséges.

Mit tesz ellene a telepítő: használ és beköt leszerelés-érzékelést (hátfali tampert) — de ellenőrzi, hogy a kapcsoló a valós falon tényleg zár-e, mert egyenetlen felületen, tiplihézagban egyszerűen nem nyomódik be. Grade 3-tól a szabvány többet kér: az elfordítási kísérletet meg kell akadályozni vagy jelezni, ami a gyakorlatban stabil, nem egy csavaros rögzítést és megfelelő eszközválasztást jelent. A stabil rögzítésnek mellékhaszna is van: a laza rögzítés a hamis riasztás egyik klasszikus oka (15. és 27. fejezet). Végül az átadási próbán a rádiós érzékelő eltávolítását is kipróbálja — ez is szerepel a szakirodalom átadási listáján.

Mágneses manipuláció a nyitásérzékelőn

A reed-relés (nyelvérintkezős) nyitásérzékelőnél az állandó mágnes zárva tartja az érintkezőt, a nyílászáró nyitásakor a mágnes eltávolodik, az érintkező nyit, és a központ jelzést kap (15. fejezet). A támadás logikája ebből következik:

A felületi nyitásérzékelésre leggyakrabban alkalmazott, ún. Reed-relés érzékelő egyik szabotálási módja, hogy a jelfogók érintkezőinek pozícióját külső mágnessel befolyásolják.

Ha az érintkező akkor is zárva marad, amikor a mágnes már nincs a helyén, a nyílászáró kinyitása nem generál jelzést. A rendszer szempontjából az ajtó végig csukva volt.

Mit tesz ellene a telepítő. Manipuláció ellen ellenálló kivitelt választ ott, ahol indokolt: a szakirodalom szerint léteznek olyan reed-érzékelők, amelyek több, egymáshoz képest elforgatott jelfogót és az ellendarabban ezek helyzetének megfelelően polarizált mágneseket tartalmaznak, „így külső mágnessel történő szabotálásuk gyakorlatilag lehetetlen". Süllyesztett szerelést alkalmaz, ahol a nyílászáró engedi — a süllyesztett érzékelő gyakorlatilag láthatatlan, és amit nem látsz, azt nem tudod célzottan befolyásolni (15. fejezet). Számol a takarással és az árnyékolással: egy másik szakmai forrás szerint a szándékos külső zavarás ellen a jelfogó megfelelő oldalai takarással, mágneses árnyékolással védhetők. Végül kombinál: kritikus nyílászárónál a nyitásérzékelő mellé kerül a belső oldalt figyelő függönylencsés vagy térvédő érzékelő is — két különböző elven működő eszközt már nem ugyanaz a trükk játszik ki.

A vonali szabotázs és a dobozolás

A negyedik és ötödik támadási mód már nem az érzékelőt, hanem az utat és a házat támadja: a kábel elvágását, rövidre zárását, illetve a doboz felnyitását és a kapcsok belülről történő áthidalását. Erre a szakirodalom nagyon konkrét telepítési előírást ad:

A behatolásjelző és beléptető rendszer központi részegységeit, bővítőmoduljait, tápegységeit javasolt szabotázskapcsolóval ellátott fémdobozba (a műanyag dobozok nem biztosítanak kellő szintű védelmet, használatukat kerülni kell) elhelyezni. A behatolásjelző rendszer jelvonalait tampervédett módon, vonalvéglezáró ellenállások alkalmazásával (érzékelőbe épített vagy utólag szerelt) szükséges telepíteni.

Ez két mondatban a fejezet fél tartalma. A műanyag doboz kérdése különösen fontos: olcsó, könnyű, szép — és egy erősebb mozdulattal megnyílik. A fémdoboz nemcsak a szabotázs ellen jobb, hanem a szabotázskapcsoló is stabilabban működik benne. A vonalvéglezáró ellenállás helye pedig az utolsó érzékelő sorkapcsa, nem a központ — ha a központba kerül, a szabotázsvédelem értelmét veszti (14.6).

29.3 Rádiós rendszerek zavarása és a vevő telítése

A rádiós rendszer kényelmes: nincs kábelhúzás, nincs falbontás, gyors a telepítés. Cserébe van egy tulajdonsága, amit nem lehet kikerülni: a jel a levegőben megy, és a levegő mindenkié.

A szakirodalom három dolgot nevesít, amit a rádiós rendszer a kábeleshez képest elveszít: nem kell hozzá fedélbontás (elég az eszközt eltávolítani vagy elforgatni, lásd 29.2); gyengébb a jelzésátviteli út biztonsága; és gyakori támadási mód a rádiófrekvenciás zavarás. Ehhez jön egy negyedik, amiről ritkán beszélnek: a telepkimerülés. Az nem támadás, de ugyanaz az eredménye — és a lemerülő elem ráadásul a hamis riasztások forrása is (27. fejezet).

Egy független biztonságkutatói jelentés ezt konkrétan is dokumentálta: a vizsgálat szerint a szabvány egy 60 másodperces intervallumon belül 30 másodpercnyi zavarást megenged, mégis sok vizsgált riasztó egyáltalán nem érzékelte a zavarást. Ugyanez a jelentés két további megállapítást tett: visszajátszásos (replay) támadás ellen „az EN 50131-5-3 szabványban Grade 2 szinten nincs rendelkezés", és a kulcstartó (távadó) hatástalanító jele felvehető és később visszajátszható volt; titkosítási gyengeségek miatt pedig egy internetre kötött átjelzőnél a kulcs a nyílt szövegben sugárzott sorozatszámból származott, egy másiknál minden eszköz ugyanazt a kulcsot használta, ráadásul távoli firmware-frissítés lehetősége nélkül. Ezeket a jegyzet gyártó és típus megnevezése nélkül közli, és nem részletezi az eljárást — a tanulság nem a módszer, hanem az, hogy a rádiós út alapból bizalmatlanságot igényel.

A vevő telítése és az antenna

Van egy másik, klasszikusabb támadási irány is, ami nem az érzékelő, hanem a vevő ellen megy:

Vezeték nélküli rendszerek tervezésénél nagy figyelmet kell fordítani a szabotázsvédelemre is. Legegyszerűbben az antennák támadhatók, ezért azokat lehetőleg a behatolásjelző rendszer által védett helyre kell telepíteni. Ha ez nem lehetséges, a rádiós eszköznek figyelnie kell az antenna kimeneti impedanciájának állapotát. […] Kézenfekvő támadási módszer a vevők telítésbe vitelével megakadályozni a kisugárzott jelentések fogadását. […] Ha a vevő el van látva idegen sugárzást észlelő védelemmel, a zavarást rögtön kijelzi. Ettől kezdve az élőerős védelem feladata megtalálni a valószínűleg közel települt zavaróadót.

Ez két dolgot mond ki. Egyrészt hogy a zavarás felismerhető — ha van rá funkció, és be van kapcsolva. Másrészt hogy a zavarásjelzés önmagában nem old meg semmit: valakinek reagálnia kell rá. Ez visszavezet a rétegzett védelemhez (29.7): a technika jelez, az ember cselekszik.

Ugyanez a forrás az átvitt adatok védelméről is ír: az adatokat ellenőrző, hibajavító kódokkal kell ellátni, a vételi pontokon ellenőrizni kell a jelsorozat helyességét, és egyirányú átvitelnél a jelentéseket „legalább háromszor megismétlik. Ha a vett jelentésekből legalább kettő egyforma, az adás elfogadható." Szép, egyszerű elv: a rendszer nem hisz az első hallott üzenetnek. Neked ez azért fontos, mert megérteted belőle, miért nem azonnali egy rádiós rendszer reakciója.

A távfelügyeleti átvitel felügyeletének részleteit — ellenőrző jelzés, polling, átvitelosztályok — a 17. fejezet tárgyalja. Itt csak a lényeg: ha a rendszer nem jelentkezik be rendszeresen, akkor a megbénított rendszer és a nyugalomban lévő rendszer megkülönböztethetetlen.

Redundancia: két út, két fizikai közeg

A rádiós támadások elleni legerősebb rendszerszintű válasz nem a rádión belül van, hanem azon kívül:

Jó gyakorlat lehet, ha a biztonságtechnikai rendszereink felügyeletére, rádiós vagy vezetékes kialakítástól függetlenül (Ethernet vagy biztonságtechnikai kábel is szabotálható) redundáns távoli jelzésátviteli megoldásokat alkalmazunk. A több, lehetőleg különböző fizikai közeget (rádiós és vezetékes) használó kommunikációs csatorna nagyobb biztonsággal képes értesíteni a felügyeletet a riasztás vagy hibajelzésekről.

Figyeld meg a zárójeles megjegyzést: a vezeték sem sérthetetlen. Nem arról van szó, hogy a rádió rossz, a kábel meg jó, hanem arról, hogy két, egymástól független út kell, mert ugyanaz a beavatkozás nem szokta mindkettőt egyszerre megbénítani. A részleteket a 17.3 pont adja meg.

29.4 Kamerák elleni támadások: fókuszvesztés, megvilágítás, takarás

A kamera különleges helyzetben van: nem riaszt, hanem bizonyít. Egy megvakított érzékelő következménye az, hogy nincs jelzés; egy megvakított kamera következménye az, hogy nincs bizonyíték — és ez utóbbi gyakran hónapokkal később derül ki, amikor már késő.

A szakirodalom három támadási módot nevesít:

A passzív infra mozgásérzékelőknél már ismertetett, kitakarásos szabotálási mód a kameraperifériák esetén is megvalósítható, kiegészítve azzal, hogy a kamerákat pozíciójukból elforgatva, vagy az objektívet szándékosan elállítva, ezáltal fókuszvesztést okozva is lehetséges az eszköz támadása. A korszerű eszközök biztosítanak a leírt manipulációk esetére megfelelő detektációs és riasztási megoldásokat.

1. Takarás és lefestés

A kamera lencséje elé kerülő bármi ugyanazt éri el, mint a PIR letakarása: a kép megszűnik informatív lenni, de a rendszer nem feltétlenül tekinti hibának. Egy fekete kép még mindig kép: van jel, van rögzítés, van tárhelyfogyás.

Mit tesz ellene a telepítő. Bekapcsolja a szabotázsdetektálást (video tampering) — a szakirodalom átadási tesztlistája külön kimondja, hogy „a szabotázs ellenőrzési funkció terjedjen ki az elforgatásra (pozícióváltoztatásra), a letakarásra és a fókuszvesztés érzékelésének tesztelésére". Átlapolja a látószögeket vagy eszközredundanciát alkalmaz: egy letakart kamera esetén így marad kép arról, ki takarta le. Mérlegeli a magasságot és a hozzáférhetőséget (29.2). És elkülöníti a szennyeződéstől: a por, a pókháló, az elnőtt növényzet ugyanolyan „takarás", csak lassan alakul ki — a szakirodalom szerint a portól való védelem nemcsak a karbantartást egyszerűsíti, hanem védi az objektíveket is, amelyek tartósan poros környezetben (parkolóház, mélygarázs, üzemcsarnok, raktár, autómosó) könnyen tönkremehetnek (28. fejezet).

2. Elforgatás

A kamerát nem kell letakarni, elég elfordítani: nézzen a falra, az égre, a szomszéd telkére. A rögzítő ugyanúgy rögzít, a kép ugyanúgy éles — csak nem azt mutatja, amit kellene.

Mit tesz ellene a telepítő. Bekapcsolja és kipróbálja a pozícióváltozás-érzékelést. Erős, több ponton rögzített konzolt használ, és a beállítás után minden állítócsavart meghúz — a lassan magától lelógó kamera egyébként a leggyakoribb „szabotázs", amit nem ember követett el. Rögzíti a referenciaképet az átadási dokumentációba: ha fél év múlva vitatott, hogy „mindig is így nézett", a referenciakép eldönti. És tudatosan tervezi a látószögbe eső DORI-elvárást (észlelés – felismerés – azonosítás, 19.6): egy pár fokos elfordulás egy azonosításra tervezett képnél már használhatatlan felvételt eredményez.

3. Fókuszvesztés

A harmadik mód a legalattomosabb: az objektív szándékos elállítása. A kép megvan, a mozgás látszik, a rögzítés fut — csak épp semmit nem lehet leolvasni róla. Rendszám nem, arc nem, felirat nem. A rendszer üzemel, a bizonyíték értéktelen.

Mit tesz ellene a telepítő. Fókuszvesztés-érzékelést kapcsol be, ahol az eszköz tudja — és az átadási próbán teszteli. Rögzíti az objektív állítógyűrűit a beállítás után; ez egyben a hőtágulás és a rezgés miatti lassú elmászás ellen is véd. Motorzoomos kameránál a beállított állapotot a rendszerben menti, hogy visszaállítható legyen (19.7). Az éles kép ellenőrzését pedig beteszi a karbantartási listába (28. fejezet).

4. Megvilágítás és elvakítás

A negyedik támadási irány nem ér hozzá a kamerához: fényt irányít bele. A vizsgált forrás kifejezetten megállapítja, hogy az éjszakai hirtelen fényváltozás (zseblámpa, jármű fényszórója) elvakítja a kamerát. Ugyanez a jelenség természetes formában is előfordul: erős ellenfényben az alak feketén, sziluettként jelenik meg — ez a 19.4 pontban tárgyalt BLC/HLC/WDR-probléma. Amit a jegyzet forrásból állítani tud, az ennyi: erős, hirtelen fényforrás rontja vagy használhatatlanná teszi a képet. Ennyi is elég a védekezéshez.

Mit tesz ellene a telepítő. Nem irányítja a kamerát fényforrásra, napkelte/napnyugta irányába vagy tükröződő felületre (19.9). Bekapcsolja és beállítja a megfelelő képjavító funkciót — ellenfényben BLC vagy WDR, pontszerű erős fényforrásnál HLC (19.4); ez nem „szépítés", hanem ez dönti el, hogy a kép bizonyítékként használható-e. Kritikus ponton kettős lefedést tervez: egy kamera a mozgás irányába, egy szembe. Elkerüli az IR-visszaverődés csapdáit is: a forrás szerint az inframegvilágítós kamerák egyik legnagyobb ellensége a zöld fű és a növényzet, mert erősen visszaveri az infrasugárzást. Végül éjszaka is átveszi a rendszert — egy nappal beállított kamerarendszert csak sötétben lehet megítélni (24. fejezet).

5. Amit a kamerán túl kell védeni: a rögzítő és a kábel

A kamera elleni támadásnak van egy „hátsó ajtaja" is: nem a kamerát, hanem a rögzítőt vagy az összeköttetést támadják. A kábel elvágása vagy a hálózati összeköttetés megszakítása a kamerajel elvesztésével jár — ezért kell a jelvesztést hibajelzésként kezelni, és ezért nevesíti a szakirodalom átadási listája a „kamerajel vesztés szimulálásával" végzett tesztet. A rögzítő elvitele a felvételekkel együtt tünteti el a bizonyítékot: a rögzítő a védett téren belülre, lehetőleg érzékelővel figyelt, zárt helyre való, és ezért van értelme a távoli mentésnek. A rögzítő informatikai védelme pedig a 29.5 pont témája — a hivatkozott kutatás kiemeli, hogy olcsó rögzítőkön hitelesítés nélküli hozzáférést és távoli parancsvégrehajtást találtak, ami hálózati továbbugrást is lehetővé tett: a rögzítő nemcsak áldozat, hanem belépési pont is lehet.

29.5 Informatikai támadási felület: gyári jelszó, titkosítatlan protokoll, nyitott port

Egy modern vagyonvédelmi rendszer nem elszigetelt doboz: hálózaton van, kezelőfelülete van, mobilalkalmazásból elérik, és firmware fut rajta. A szakirodalom pontosan megfogalmazza a paradoxont:

[…] maguk a biztonságtechnikai rendszerek jelentenek a hálózat számos más eszközére, az eszközökön kezelt, tárolt információkra nézve kockázatot. Ez a kockázat abból adódik, hogy a végpontok egy jelentős része funkciójukból adódóan a hálózatok perifériáján található (kamerák, behatolásjelző rendszerek érzékelői stb.), így megfelelő védelem hiányában viszonylag könnyen hozzáférhetők (és rajtuk keresztül a hálózat többi eleme is).

Olvasd el még egyszer: a te eszközöd az, ami az udvaron, a kerítésen, a homlokzaton lóg. Fizikai hozzáférés + hálózati csatlakozás — ez a támadó szempontjából ideális kombináció. Ezért nem elegendő azt mondani, hogy „az informatika nem az én dolgom".

1. A gyári (alapértelmezett) jelszó

Ez a leggyakoribb és a legolcsóbban javítható hiba. A szakirodalom telepítői ellenőrzőlistája egyértelmű: ellenőrizni kell, hogy „az alapértelmezett (default), illetve a telepítői felhasználók visszavonásra, inaktiválásra kerültek-e", és hogy „a telepítők az összes alkalmazás és rendszerelem tekintetében megváltoztatták-e a gyártói default jelszavakat".

A hangsúly az „összes alkalmazás és rendszerelem" fordulaton van. Nem elég a központ jelszavát átírni: ott van a rögzítő, minden egyes kamera, a switch, a beléptető vezérlő és a menedzsmentszoftver is. A gyártói alapértékek nyilvánosan hozzáférhető adatok — ezért a jegyzet egyet sem közöl belőlük, és ezért kell mindet lecserélni.

Amit a szakirodalom a jelszóról kimond: legalább 12 karakter, kis- és nagybetűvel, számmal, speciális karakterrel; egyedi azonosító minden felhasználónak; kerülendő a közös azonosító és ugyanazon azonosító használata több eszközön; az üzembe helyezés során minden esetben vonjuk vissza a gyári, default azonosítókat; legalább az adminisztrátori jogosultságúaknál többtényezős hitelesítés; a menedzsmentfelületeken pedig legyen csillapítás a brute force alapú támadások ellen, és engedélyezni kell a lockout funkciókat.

Hogy ez nem elmélet, azt a hivatkozott kutatás is alátámasztja: egy vizsgált rendszer titkosítás nélkül vitte át a belépési kódot a kezelő és a központ között, és rádión keresztül végig lehetett próbálni az összes kódot — kikerülve a fizikai kezelőn beállított letiltást. Vagyis a lockout csak akkor véd, ha a támadó tényleg a kezelőn keresztül próbálkozik.

A szakirodalom szerint az átadás előtt engedélyezetten túli belépési próbálkozások végrehajtásával kell ellenőrizni, hogy a csillapítás és a lockout működik-e. Ez nem támadás — ez a saját munkád ellenőrzése, a tulajdonos tudtával, a saját rendszereden.

2. Titkosítatlan protokoll és a felesleges szolgáltatás

Ott, ahol a biztonsági követelmények előírják, a titkosítatlan hálózati adatfolyam (pl. HTTP, Telnet, FTP, RTSP), illetve a nem biztonságos és/vagy szükségtelen protokollok korlátozása, továbbá a szükségtelen szolgáltatások tiltásának ellenőrzése az egyik legfontosabb feladat.

Két dolog van ebben a mondatban: a jelszó, a kép és a vezérlőparancs ne nyílt szövegben utazzon; és ami nem kell, azt kapcsold ki. Minden bekapcsolt szolgáltatás egy ajtó, amit valakinek őriznie kell.

3. Nyitott portok — és az átadás előtti ellenőrzés

A szakirodalom konkrét, átadás előtti ellenőrzési feladatsort ad: „az eszközök nyitott portjainak, a mögöttük futó szolgáltatások külső ellenőrzése. Ennek egyik legegyszerűbb módja valamely hálózati szkenner applikáció használata." Az itt felsorolt lépések mind a saját munkád visszaellenőrzésére valók, nem támadásra:

4. Önaláírt tanúsítvány és a megszemélyesítés

[érdemes] a kapcsolatot a felhasználó további engedélyéhez kötni abban az esetben, ha a kiszolgáló […] önaláírt tanúsítványt használ, amelynek engedélyezését lehetőleg belső alkalmazások során is kerülni kell […] azonban indikálhat megszemélyesítéses, ún. man in the middle alapú támadásokat is, amelynek egy kevésbé képzett és/vagy figyelmes felhasználó egyszerűbben áldozatul eshet.

A gyakorlati tanulság kettős. Egyrészt: ne szoktasd rá a felhasználót a figyelmeztetések elkattintására. Ha az átadáson te mutatod meg neki, hogy „ezt csak nyomd meg, hogy folytatás", akkor megtanítottad, hogy a biztonsági figyelmeztetés zavaró akadály. Másrészt: ahol lehet, rendes tanúsítványt vagy a gyártó által támogatott biztonságos elérési módot használj.

5. Kártékony kód, fizikai adatbeviteli csatorna, frissíthetőség

A kártékony kódok esetében fontos, hogy azok manuálisan se tudjanak a rendszerekre kerülni, ezért javasolt korlátozni az egyes fizikai adatbeviteli csatornákat (pl. USB portok), ami által az egyes adatszivárgások is hatékonyabban megelőzhetők.

Ez a mondat két irányban véd: befelé (ne lehessen kártékony kódot bevinni) és kifelé (ne lehessen adatot kivinni). Egy videómegfigyelő rendszer felügyeleti gépénél az USB-port egyszerre a felvétel exportálásának eszköze és a kockázat forrása — ezért kell szabályozni, kinek, mikor, mihez van joga, és ezt naplózni is (29.6).

A hivatkozott kutatás egyik legkeményebb megállapítása pedig az volt, hogy találtak olyan eszközt, amelynél távoli firmware-frissítés lehetősége sem volt — a felfedezett gyengeséget az eszköz élettartama alatt nem lehetett javítani. Ebből beszerzési szempont következik: frissíthető eszközt válassz, és tisztázd, meddig ad a gyártó frissítést. A frissítés menetét és kockázatait a 28.5 pont tárgyalja; hogy egyáltalán lehet-e frissíteni, az már a tervezés kérdése (13. fejezet).

6. Ami nem ide tartozik

A hálózati alapok (IP-cím, alhálózat, port), a portátirányítás kockázata, a VPN, a felhős elérés és a kamerahálózat szeparálása a 20.6–20.8 pontokban van részletesen. Itt csak annyi a lényeg: a szeparáció nem luxus, hanem az informatikai támadási felület csökkentésének legfontosabb eszköze. Ha a kamerák és a rögzítő nem ugyanabban a hálózati szegmensben vannak, mint az irodai gépek, akkor egy megfertőzött irodai gép nem jut el automatikusan a rögzítőig — és fordítva.

29.6 A belső elkövető és a dokumentáció mint kockázat

Az eddigi három rész a kívülről érkező támadóról szólt. Ez a rész arról, aki már bent van.

A belső elkövető azért nehezebb eset, mert nem kell megkerülnie a rendszert: joga van hozzá. Ismeri a kódot, tudja, melyik kamera hova néz, tudja, mikor élesítenek, és sokszor tudja azt is, hol vannak a vakfoltok. A szabotázsvédelem, az anti-masking és a hurokfelügyelet ellene semmit nem ér. A védekezés ezért nem műszaki, hanem jogosultsági és naplózási kérdés:

lényeges, hogy a rendszerek implementációjáért, üzemeltetéséért felelős szakemberek tisztában legyenek a legalapvetőbb hozzáférési keretekkel, a legszükségesebb ismeret és a legszükségesebb feladatvégrehajtás („need to know" és „need to do") elveivel […] A megfelelő hozzáférések beállítása mellett ugyanilyen fontos még a különböző jogosultságok biztonságos igénylési rendjének kialakítása, azok rendszeres felülvizsgálata, szükség esetén visszavonása.

A szerepköri elv a gyakorlatban

A szakirodalom három szemléletes példát ad arra, hogyan néz ki ez egy vagyonvédelmi rendszerben: „egy kizárólag élőképes megfigyelést bonyolító diszpécsernek nincs szüksége a rögzített felvételekhez történő hozzáférésre, esetleg azok exportjára"; „egy vendég (ideiglenes) belépőkártyát kiadó recepciós vagyonőr számára nincs szükség a szervezeti mozgási adatok monitorozására"; „egy adott fizikai területhez hozzáférési jogosultsággal nem rendelkező felhasználónak nem indokolt a behatolásjelző rendszer érintett területi partíciójának kezelése".

Ez az utolsó pont a szerelő számára konkrét feladat: ha a rendszerben particionálás van (14.3), akkor a felhasználói kódokat partícióhoz kell rendelni, nem mindenkit mindenhez engedni. Ez öt perc munka az átadás előtt, és a belső elkövető ellen a leghatékonyabb egyetlen lépés. Az átadási ellenőrzőlista ezt is nevesíti: „vizsgáljuk meg, hogy az egyes felhasználók a szerepkörüknek megfelelő jogosultsági szinteken kezelik-e a rendszert".

A közös kód és a naplózás

Ha egy műhelyben mindenki ugyanazt a négyjegyű kódot használja, akkor a rendszer naplója használhatatlan: nem tudod megmondani, ki hatástalanított. Ezért mondja ki a szakirodalom, hogy minden felhasználónak egyedi azonosítója legyen, és hogy a rendszerekben tiltani kell a közös használatú vagy nem nevesített felhasználókat, továbbá érvényesíteni kell a jelszókomplexitási és jelszólejárati követelményeket. A szerelő itt gyakran ellenállásba ütközik: „minek nekem hat kód, elég egy". A válasz, amit el kell mondani (26. fejezet): egy kóddal nincs elszámoltathatóság.

A napló tehát nem csak hibakeresésre való (27.3), hanem biztonsági eszköz is. Két dolgot kell tenni vele az átadáskor: meg kell mutatni a megrendelő felelősének, hogyan lehet kiolvasni (egy napló, amit senki nem tud kiolvasni, nem létezik), és meg kell mondani, hogy nézni kell. Ha a rendszert egy incidens után hatósági vagy peres eljárásban akarják felhasználni, a szakirodalom szerint alapvető, hogy „nyomon követhető legyen, ki, milyen formában, mértékben fért hozzá a bizonyítékként használható felvételekhez, rendszerlogokhoz […] (chain of custody)" — egyes alkalmazásoknál a kamerarendszer digitális vízjellel vagy manipulációt kizáró formátummal segíti ezt (20.5).

A dokumentáció mint kockázat

És most jön a fejezet kellemetlen része, amely rólad szól. A rendszerdokumentáció a legjobb támadási segédlet, ami létezik. Aki megkapja, tudja, hol vannak az érzékelők, milyen a nyomvonal, hol nincs lefedettség, milyen a partíciókiosztás, milyen IP-címeken mi fut. A szakirodalom ugyanis a megvalósulási dokumentációtól megköveteli, hogy tartalmazza a biztonsági és védelmi intézkedések leírását, továbbá olyan infrastruktúratervet, amely tartalmazza a MAC- és IP-címeket, portszámokat, kommunikációs protokollokat, kapcsolati irányokat, VLAN-azonosítókat, és amelyben megjelenik minden pont, ahol a rendszerbe információ be- vagy kikerül. Ez a karbantarthatóság és a biztonság fenntartása miatt kell — és pontosan ezért bizalmas.

A dokumentáció kezelését, a titkosított tárolást és a kódok külön borítékban való átadását a 25.4 és a 26. fejezet tárgyalja. Fordítva is igaz: a szakirodalom szerint „a rosszul dokumentált, nem megfelelő módon menedzselt és ellenőrzött biztonságtechnikai rendszerek már rövid távon üzemeltetési és biztonsági problémákat" jelentenek — vagyis a dokumentáció hiánya nem adminisztratív hiba, hanem sérülékenység: nem tudod ellenőrizni, mi hol van, nem veszed észre, ha valaki átírt valamit, és nem tudsz visszaállni az eredeti állapotra.

Betekintés és kényszerítés

Két utolsó, nagyon gyakorlati pont. A kódtasztatúra betekinthetősége: a szakirodalom átadási ellenőrzőlistája külön nevesíti annak megállapítását, hogy „az eszközök elhelyezése lehetővé teszi-e az illetéktelen betekintést (kódtasztatúrák, megfigyelő állomások, beléptető rendszerek kezelőfelületei)". Ne lássa kívülről az ablakon át senki, mit üt be a felhasználó, és ne nézzen a diszpécsermonitor a váróterem felé. Ez telepítéskor eldöntendő kérdés — utólag falbontás.

A kényszerítési (duress) kód: az a kód, amelyet a felhasználó akkor üt be, ha kényszerítik — a rendszer látszólag hatástalanít, de csendben jelzést küld. Az átadási próbán a szakirodalom szerint tesztelni kell az „éles pánikriasztás szimulálását pánikkapcsoló vagy duress kód működtetésével". Ez a funkció az emberi kényszerítés elleni eszköz, és csak akkor működik, ha a felhasználó tudja, hogy van, és be van tanítva rá.

29.7 Védekezés: telepítési fogások, jelszóházirend, hálózati szeparáció, naplózás

Eddig felületenként néztük a védekezést. Most rendszerezzük — mert a valóságban nem „PIR-védelem" és „hálózatvédelem" van, hanem rétegek.

1. Fizikai réteg. A legolcsóbb és a legtartósabb védelem, a 29.2 pontban tételesen felsorolva. Ide tartozik a központ helye is: érzékelőkkel védett térben, az épületszerkezet feltételezett támadási iránnyal ellentétes oldalán, kritikusabb esetben nyitás- és üvegtörésvédelemmel ellátott, külön partícióba szervezett rackszekrényben, saját kóddal. És ide tartozik egy gyakran alulértékelt szempont: az eszközök feleljenek meg a működési környezet tulajdonságainak — hőmérséklet, időjárás, elektromágneses környezet, azaz IP-védettség, túlfeszültség-védelem, elektromágneses kompatibilitás, árnyékolás. Egy tönkrement eszköz ugyanúgy nem véd, mint egy szabotált — csak lassabban derül ki.

2. Tápellátás. A szakirodalom szerint a központi részegységek alapvetően rendelkeznek saját akkumulátoros megoldással, amelynek áthidalási kapacitását a működésfolytonossági követelmények szerint kell megválasztani, de „jó gyakorlat lehet, ha legalább 12–24 óra, nyugalmi állapotú folyamatos működést biztosítunk" a hálózati tápforrás kiesése esetén. Figyelj a megfogalmazásra: ez jó gyakorlat, nem szabványi vagy jogszabályi minimum; a fokozatonkénti áthidalási időkről a 22. fejezet ír, és ott is szerepel, hogy a források ebben nem egységesek. A támadási oldal egyszerű: ha a támadó lekapcsolja a hálózati tápot, és az akkumulátor gyenge, a rendszer néhány óra múlva magától kiesik. Ezért kell a hálózatkiesést és az akkumulátorhibát átvinni a távfelügyeletre, a központot külön, saját védelemmel ellátott áramkörre kötni (16.2), és az akkumulátort a karbantartási tervben cserélni (28. fejezet).

3. Jelszóházirend és jogosultságkezelés. A 29.5 és 29.6 pont tartalma, ellenőrizhető formában a 29.8 „A" blokkjában. Egy elem, ami már a megrendelő oldalára esik: az üzemeltetési szabályzatnak a szakirodalom szerint tartalmaznia kell a kódcserék, jelszócserék szabályait és gyakoriságát, a belépési jogok kiadásának, visszavonásának és módosításának rendjét, valamint a rendszerdokumentációk kezelését. Ez nem a te dokumentumod — de fel kell hívnod rá a figyelmet (25.3).

4. Hálózati szeparáció. Részletesen a 20. fejezetben (20.6 hálózati alapok, 20.7 portátirányítás és VPN, 20.8 a kamerahálózat szeparálása). Azért tartozik ide, mert a végpontok a hálózat perifériáján vannak és fizikailag hozzáférhetők; mert a hivatkozott kutatás dokumentálta, hogy egy gyenge rögzítőn keresztül hálózati továbbugrás történhet; és mert a szakirodalom átadás előtti listáján kifejezetten szerepel a más VLAN-ból történő csatlakozási próba és a nem használt switch-portok letiltásának ellenőrzése. A szeparáció tehát nem „az informatikus dolga": a te átadási próbád egyik pontja.

5. Átjelzés és redundancia. Két út, két fizikai közeg, életjellel felügyelve (29.3, részletesen 17. fejezet). Az átjelzés a rendszer legvékonyabb pontja, mert egyetlen ponton fut össze minden — a támadó szempontjából ez a leghatékonyabb célpont, ezért kell duplázni.

6. Naplózás, változáskezelés, mentés. Az eseménynapló rendszeres ellenőrzésével a jogosulatlan hozzáférések észlelhetők; az átadáskor mutasd meg a kiolvasás módját. A változáskezelésre a szakirodalom világos: „A rendszerekkel összefüggő minden változást (így a biztonságot érintőket is), változáskezelési eljárás alá szükséges vonni, és azokat a rendszerdokumentáción minden esetben át kell vezetni" — ugyanez javítás után is (27. és 28. fejezet). A programozás mentése egy hazai szakmai forrás szerint úgy történik, hogy nagyobb rendszereknél a programozást számítógépről végezzük, és a konfigurálás befejeztével a programot elmentjük; biztonsági szempontból ez azt jelenti, hogy egy szabotázs vagy rosszindulatú átprogramozás után vissza tudsz állni ismert jó állapotra — de a mentést ugyanolyan bizalmasan kell kezelni, mint a dokumentációt (25.4).

7. Emberi reagálás és incidenskezelés. A technika jelez; ha senki nem cselekszik, a jelzés semmit nem ér. A szakirodalom szerint a jelzésekre előre elkészített forgatókönyvek, ún. incidenskezelési tervek szerint kell reagálni, amelyekben szabályozni kell az egyes eseménytípusokra történő intézkedés módját, felelősségét és feladatait; az akcióterveket az érintettekkel igazoltan meg kell ismertetni és dokumentáltan tesztelni. Ez a megrendelő feladata — a tiéd az, hogy ne adj át rendszert incidenskezelési forgatókönyv nélkül: mi történik riasztáskor, szabotázsjelzésnél, hálózatkiesésnél, kit hívnak, és mit nem szabad tenni (26. fejezet).

8. Külső ellenőrzés. A szakirodalom szerint nagy biztonságú alkalmazásokban érdemes a kialakított megoldásokat erre szakosodott vállalkozással auditáltatni — a hálózati és IT-biztonságot értékelő sérülékenységi és behatolástesztekkel (penetrációs teszt), kiegészítve a fizikai hozzáférés elleni védelem tesztelésével (pl. próbabehatolás). Ez nem a szerelő feladata, és nem is szabad annak beállítani — de tudni kell róla, és tanácsként fel lehet ajánlani.

29.8 Amit a szerelő az átadáskor mindenképpen állítson be

Ez a fejezet legpraktikusabb kimenete: egy kipipálható átadáskori biztonsági ellenőrzőlista. A lista a szakirodalom átadás-átvételi tesztlistáiból és telepítési ajánlásaiból van összeállítva, és szakmai jó gyakorlat — nem jogszabályi kötelezettség. Az átadás-átvétel általános menetét, próbáit és jegyzőkönyvét a 24. fejezet tárgyalja; ez a lista annak biztonsági melléklete.

A) Hozzáférés és jelszó

A - HOZZAFERES ES JELSZO                                    [ ] kesz

A1  Minden eszkozon es alkalmazason a gyari jelszo megvaltoztatva
    (kozpont, rogzito, MINDEN kamera, switch, belepteto vezerlo,
    menedzsmentszoftver)
A2  Gyari (default) es felesleges telepitoi felhasznalok
    visszavonva vagy inaktivalva
A3  Minden felhasznalonak egyedi, nevesitett azonosito;
    kozos hasznalatu fiok nincs
A4  Jelszokomplexitas ervenyesitve (legalabb 12 karakter,
    kis- es nagybetu, szam, specialis karakter)
A5  Ugyanaz a jelszo nem ismetlodik mas eszkozon, alkalmazasban
A6  Adminisztratori jogosultsagnal tobbtenyezos hitelesites,
    ha az eszkoz tudja
A7  Brute force elleni csillapitas es lockout bekapcsolva
    ES engedelyezetten tuli belepesi probaval kiprobalva
A8  Felhasznaloi jogosultsagok a szerepkorhoz szabva
    (particio, elokep, rogzites, export kulon)
A9  Duress (kenyszeritesi) kod beallitva es a felhasznaloval
    begyakorolva

B) Szabotázsvédelem

B - SZABOTAZSVEDELEM                                        [ ] kesz

B1  Minden erzekelo-, bovito-, tap- es kozpontdoboz nyitasa
    jelzest ad  (tetelesen kiprobalva)
B2  Vonali szabotazs tesztelve: szakadas ES rovidzar
B3  Kitakarasvedett erzekeloknel kitakarasi teszt elvegezve
    (nagy darabszamnal veletlenszeru minta)
B4  Radios erzekelo eltavolitasanak probaja megtortent
B5  Kamera: elforgatas, letakaras ES fokuszvesztes
    erzekelese kiprobalva
B6  Belepteto: tapok, vezerlo- es halozati csatolodobozok
    nyitasprobaja; kenyszeritett nyitas jelzese autentikacio
    nelkuli athaladassal tesztelve
B7  Ateresztesi pont nyitva tartasat jelzo helyi hangjelzo
    kiprobalva
B8  A szabotazsvedelem ELESITETT es HATASTALANITOTT
    allapotban is mukodik
B9  Visszajelzo LED-ek uzemi modban letiltva

C) Átjelzés, tápellátás, hibajelzés

C - ATJELZES, TAPELLATAS, HIBAJELZES                        [ ] kesz

C1  A felugyeleti hely ES a helyszini felhasznalok ELOZETESEN
    ertesitve a teszt idopontjarol es idotartamarol
C2  Eles behatolasjelzes tesztelve: elesites + aktiv zona
    megsertese
C3  Panikriasztas szimulalva (panikkapcsolo vagy duress kod)
C4  Veszhelyzeti allapotok szimulalva (vesznyito, kezi
    jelzesado stb.)
C5  Mindket atjelzesi ut KULON-KULON kiprobalva; a ket ut
    fizikailag es szolgaltatoilag fuggetlen
C6  Eletjel / tesztjelzes periodusa beallitva es a
    felugyeleti helyen visszaigazolva
C7  Radios zavarasjelzes bekapcsolva, jelzese vezetve
    (hova megy, ki latja)
C8  Halozati feszultseg kiesesenek jelzese tesztelve
C9  Masodlagos tapellatas (akkumulator) hibajelzese tesztelve
C10 Akkumulatoros uzem valojaban kiprobalva
C11 Kamerajel-vesztes szimulalva
C12 Helyi hang- es fenyriasztas mukodese ellenorizve
C13 A teszt befejezese bejelentve a felugyeleti helynek

D) Hálózat és informatika

D - HALOZAT ES INFORMATIKA                                  [ ] kesz

D1  Nyitott portok es a mogottuk futo szolgaltatasok atnezve
D2  Szuksegtelen szolgaltatasok es protokollok letiltva
D3  Titkositatlan kezelofelulet es adatfolyam korlatozva,
    ahol a biztonsagi kovetelmeny eloirja
D4  A webes kezelofelulet biztonsagos kapcsolaton erheto el;
    onalairt tanusitvany kerulendo
D5  A rendszer kulon halozati szegmensben / VLAN-ban van;
    mas szegmensbol torteno csatlakozasi proba elvegezve
D6  IP-/MAC-alapu hozzaferesi korlatozas ellenorizve
D7  Nem hasznalt switch-portok letiltva (idegen eszkoz
    csatlakoztatasaval ellenorizve)
D8  A felugyeleti szamitogep kapcsolatai atnezve
D9  Fizikai adatbeviteli csatornak (pl. USB) korlatozasa
    megbeszelve es beallitva
D10 Firmware naprakesz; a frissithetoseg es a gyartoi
    tamogatas idotartama tisztazva
D11 Tavoli hozzaferes csak a felhasznalo tudtaval es
    engedelyevel, dokumentaltan

E) Fizikai elhelyezés

E - FIZIKAI ELHELYEZES                                      [ ] kesz

E1  Eszkozok szabadkezzel nem erhetok el (magassag,
    sullyesztes) vagy megerositett kivitel
E2  Kozpont a vedett teren belul, erzekelovel figyelt terben,
    a feltetelezett tamadasi iranyal ellentetes oldalon
E3  Kozpont, bovito, tap szabotazskapcsolos FEMDOBOZBAN
E4  Vonalveglezaro ellenallasok az utolso erzekelonel
E5  Kabelezes vedocsoben / talcan / csatornaban; sajat
    teruleten kivul fem vedocsoben
E6  Kamerak latoszoge atlapol, vagy eszkozredundancia van
E7  Hang- es fenyjelzo kulonbozo falsikokon
E8  Kodtasztatura es monitor kivulrol nem betekintheto
E9  Rack- vagy eszkozszekreny vedelme megoldva (kritikus
    esetben nyitas- es uvegtoreserzekelo, kulon particio,
    kulon kod)
E10 Az eszkozok megfelelnek a kornyezetnek (IP-vedettseg,
    tulfeszultsegvedelem, EMC, arnyekolas)

F) Dokumentáció, napló, betanítás

F - DOKUMENTACIO, NAPLO, BETANITAS                          [ ] kesz

F1  Megvalosulasi (mint epult) dokumentacio elkeszult
F2  A dokumentacio tartalmazza a biztonsagi es vedelmi
    intezkedesek leirasat
F3  Halozati azonositok (MAC, IP), portszamok, protokollok,
    kapcsolati iranyok, VLAN-azonositok rogzitve
F4  Minden be- es kimeneti pont (ahol informacio be- vagy
    kikerul) megjelenitve
F5  A programozas kimentve, biztonsagosan tarolva
F6  Kamerak referenciakepe rogzitve
F7  Esemenynaplo mukodik; a kiolvasas modja bemutatva
F8  Kodok, jelszavak KULON, elismervennyel atadva -
    nem a muszaki dokumentacioban
F9  Kezelesi utasitas atadva; a kezelok betanitasa megtortent
F10 A jelszo-/kodcsere es a jogosultsag-felulvizsgalat
    szuksegessegere a megrendelo figyelme irasban felhivva
F11 A rendszer korlatai (mit NEM ved) irasban rogzitve

A hat blokk egy táblázatban — mi miért van rajta

Összefoglalás

• A rendszer nem véd, hanem jelez. Az elektronikai jelzőrendszer „csak" a behatolás tényét vagy szándékát jelzi, a mechanikai védelem pedig csak késleltet. A komplexitás elve köti össze a kettőt: az elektronikai védelemnek olyan korán kell jeleznie, hogy a mechanikai késleltetés kitartson az élőerős védelem kiérkezéséig. Százszázalékos védelem nincs; a maradék kockázat tudatos vállalás, amelyet ki kell mondani. Minden támadási mód célja ugyanaz: időt nyerni.
• Négy támadási felület van — fizikai, rádiós, informatikai és emberi —, és a rendszer valódi szintjét mindig a leggyengébb határozza meg. A szabvány fokozatai (Grade 1–4) magáról a feltételezett támadóról szólnak; Grade 3-tól a lencse letakarása is szabotázsjelzést kell adjon, és az elfordítási kísérletet meg kell akadályozni vagy jelezni.
• Az érzékelő kijátszásának öt klasszikus módja a letakarás/lefestés, az elforgatás, a leszerelés, a mágneses manipuláció és a vonali szabotázs. Ellenszerük: szabadkézzel el nem érhető elhelyezés, bekapcsolt kitakarásvédelem, leszerelés-érzékelés, manipuláció ellen ellenálló (több elforgatott jelfogós, polarizált mágneses) nyitásérzékelő, vonalvéglezáró ellenállás az utolsó érzékelőben, és szabotázskapcsolós fémdoboz — a szakirodalom szerint a műanyag doboz nem ad kellő védelmet, használata kerülendő.
• A rádiós rendszer gyengesége, hogy a jel mindenkié. Jellemző támadási mód a zavarás (jamming), a vevő telítésbe vitele és az antenna megrongálása; a válasz a zavarásérzékelés bekapcsolása, az életjel, a védett térben lévő antenna, az antennaállapot-felügyelet, valamint két független út, két különböző fizikai közegen — mert a szakirodalom szerint Ethernet és biztonságtechnikai kábel is szabotálható. Egy független kutatás dokumentálta, hogy sok riasztó nem érzékelte a zavarást, és hogy Grade 2 szinten a visszajátszásos támadás elleni védelemre nincs szabványi rendelkezés.
• Kameránál három nevesített szabotázsmód van — takarás, elforgatás, fókuszvesztés —, ehhez jön a hirtelen erős fénnyel történő elvakítás. Mindegyikre van detektálási funkció a korszerű eszközökben, és mindegyiket tesztelni kell az átadáson. A kamera nem riaszt, hanem bizonyít.
• Az informatikai felület a leggyorsabban javítható. Gyári jelszó cseréje minden eszközön, gyári és felesleges fiókok visszavonása, egyedi azonosítók, legalább 12 karakteres jelszó, adminisztrátori többtényezős hitelesítés, brute force elleni csillapítás és lockout, a titkosítatlan protokollok és felesleges szolgáltatások korlátozása, a nyitott portok ellenőrzése és a fizikai adatbeviteli csatornák (pl. USB) korlátozása — mind a szakirodalomból igazolt telepítői feladat. Az önaláírt tanúsítvány elfogadtatása megszemélyesítéses (man in the middle) támadást is elfedhet.
• A belső elkövető ellen a jogosultságkezelés és a naplózás véd, nem a szabotázsvédelem: „need to know" és „need to do", szerepkörhöz szabott jogosultság, a közös azonosítók tiltása, rendszeres felülvizsgálat és a naplók időszakos ellenőrzése. A bizonyítékként való felhasználáshoz a hozzáférés nyomon követhetősége (chain of custody) kell. A dokumentáció maga is támadási felület: a kódok soha nem a műszaki dokumentációba kerülnek, hanem külön, elismervénnyel.
• Az átadáskori biztonsági ellenőrzőlista hat blokkból áll (hozzáférés és jelszó, szabotázsvédelem, átjelzés és tápellátás, hálózat, fizikai elhelyezés, dokumentáció és napló). Ez szakmai jó gyakorlat, nem jogszabályi kötelezettség, de kitöltve, dátumozva és aláírva az átadás-átvételi jegyzőkönyv legértékesebb melléklete. A jelzésátviteli próba előtt a felügyeleti helyet és a helyszíni felhasználókat minden esetben előzetesen értesíteni kell — és a teszt végét is be kell jelenteni. A jogszabályok és szabványkiadások változhatnak; más rendszere elleni engedély nélküli beavatkozás jogellenes.

Ellenőrző kérdések

1. Fogalmazd meg saját szavaddal a komplexitás (időarányosság) elvét, és magyarázd el rajta keresztül, miért minden támadási mód végső célja az idő megnyerése.
2. Sorold fel a négy támadási felületet, és mondj mindegyikre két olyan konkrét telepítői lépést, amely csökkenti. Melyik felületen a legolcsóbb a védekezés, és miért?
3. Miért veszélyesebb egy letakart mozgásérzékelő, mint egy elvágott zónahurok? Mit „lát" a központ a két esetben, és melyik funkció zárja le a rést?
4. Hogyan játszható ki elvi szinten egy hagyományos reed-relés nyitásérzékelő, és milyen három telepítői válasz létezik erre? Miért segít a süllyesztett szerelés?
5. Mit jelent a rádiós rendszernél az életjel (heartbeat), és miért mondjuk, hogy „a csend is esemény"? Mikor nem redundáns két átjelzési út, még ha kettő is van belőle?
6. A szakirodalom három kamera elleni szabotázsmódot nevesít. Sorold fel őket, és mondd meg mindegyikre, mit kell bekapcsolni és mit kell kipróbálni az átadáson.
7. Miért mondjuk, hogy a rendszerdokumentáció maga is kockázat? Mit tartalmaz, ami a támadónak értékes, és hogyan kell ezt a gyakorlatban kezelni?
8. Egy megrendelő azt kéri, hogy „legyen egy kód, azt mindenki tudja, mert úgy egyszerűbb". Mit válaszolsz neki, és milyen két konkrét következményre hivatkozol?

Tudáspróba

1. Melyik állítás igaz a biztonsági fokozatokra (Grade 1–4)? (Egy helyes válasz.) a) A fokozat az eszköz gyártási minőségét fejezi ki. b) A fokozatot a feltételezett behatoló képessége szerint határozzák meg; Grade 3-tól a lencse letakarása is szabotázsjelzést kell adjon. c) A fokozat kizárólag a központra vonatkozik, az érzékelőkre nem. d) A fokozat a jelzésátviteli út sebességét adja meg.

2. Egészítsd ki! A szakirodalom szerint a behatolásjelző és beléptető rendszer központi részegységeit, bővítőmoduljait és tápegységeit ……… kapcsolóval ellátott ……… dobozba javasolt elhelyezni, mert a ……… dobozok nem biztosítanak kellő szintű védelmet. A jelvonalakat tampervédett módon, ……… ellenállások alkalmazásával kell telepíteni, amelyek helye a ……… érzékelő sorkapcsa.

3. Párosítsd a támadási módot a telepítői ellenlépéssel!

4. Igaz vagy hamis? Indokold! a) A CE-jelölés és a fokozatjelölés garantálja, hogy az adott telepítés biztonságos. b) A szabotázsvédelemnek élesített és hatástalanított állapotban is működnie kell. c) Ha két átjelzési út van, a rendszer minden esetben redundáns. d) A gyári jelszót elég a központon megváltoztatni, a kamerákon nem szükséges. e) Az átadáskori biztonsági ellenőrzőlistát magyar jogszabály írja elő.

5. Csoportosítsd az alábbi elemeket aszerint, hogy melyik támadási felülethez tartoznak elsősorban: (F) fizikai · (R) rádiós · (I) informatikai · (E) emberi: gyári jelszó meghagyása · a vevő telítésbe vitele · a lencse lefestése · közös, mindenki által ismert kód · nyitott, felesleges hálózati szolgáltatás · az antenna megrongálása · a kilépő munkatárs meg nem szüntetett jogosultsága · műanyag központdoboz · titkosítatlan kezelőfelület · a kamera objektívjének elállítása · a kiszivárgott nyomvonalrajz · a rádiós jel felvétele és visszajátszása

6. Sorba rendezés: állítsd helyes sorrendbe az átjelzési út átadási próbájának lépéseit! a teszt befejezésének bejelentése a felügyeleti helynek · a felügyeleti hely és a helyszíni felhasználók előzetes értesítése a teszt időpontjáról és időtartamáról · a második átjelzési út külön kipróbálása · az eredmény rögzítése a jegyzőkönyvben · az első átjelzési út külön kipróbálása · az életjel (tesztjelzés) beérkezésének visszaigazoltatása

7. Melyik hiányosság melyik ellenőrzőlista-blokkba tartozik? Írd a betűt a szám mellé! Egy hiányosság több blokkot is érinthet — mindig azt a blokkot add meg, amelynek ellenőrzőlista-tétele (29.8) közvetlenül sérül. (A) hozzáférés és jelszó · (B) szabotázsvédelem · (C) átjelzés és tápellátás · (D) hálózat · (E) fizikai elhelyezés · (F) dokumentáció és napló

a) A rögzítő ugyanabban a hálózati szegmensben van, mint az irodai gépek. …… b) A központdoboz nyitása nem ad jelzést hatástalanított állapotban. …… c) A kódtasztatúra az utcáról belátható az ablakon át. …… d) A telepítői kód rá van írva a bekötési rajzra. …… e) A hálózatkiesés jelzését soha nem próbálták ki. …… f) Három kolléga ugyanazzal a felhasználónévvel lép be a rendszerbe. ……

8. Egy kisebb ékszerüzletbe telepítettél behatolásjelző és kamerás rendszert. A helyzet a következő: a központ a raktár műanyag dobozában van, közvetlenül a hátsó bejárat mellett; a mozgásérzékelők a pult mögött 1,8 méteren; az átjelzés egyetlen mobilhálózati úton megy; a rögzítőn és a négy kamerán ugyanaz a jelszó van, amit a beszállító adott; a boltvezető és a két eladó ugyanazt a négyjegyű kódot használja; a nyomvonalrajz és a kódlista egyetlen, e-mailben elküldött PDF-ben van.

Írd le 10–12 mondatban: (a) melyik három hiányosságot javítanád azonnal, és miért éppen azokat; (b) melyik négyet az átadás előtt; (c) mit javasolnál fejlesztésként, a fontosságát a költséggel együtt megbecsülve; (d) és fogalmazz meg egy mondatot a tulajdonosnak arról a maradék kockázatról, ami a javítások után is megmarad. (Nincs egyetlen jó megoldás — a B függelék mintaválaszt ad.)