Защита от подбора паролей на HiWatch по сети. - Неофициальный форум технической поддержки Hikvision

Дата: Понедельник, 04.12.2017, 10:07 | Сообщение # 1

Группа: Проверенные

Сообщений: 10

Репутация: 0

Статус: Offline

Всем доброго времени суток. Подскажите/помогите справиться с ситуацией. Имеем 2 регистратора HiWatch, оба поставили примерно 1.5-2 месяца назад. Недавно настроили отправку по Email информации по неправильному логину... и тут началось, в день по 50 и более писем. (до этого логи не просматривали и внимание не обращали на это) При просмотре лога на регистраторах видно, что происходит подбор пароля к логину admin, потом пытаются другие логины (illegal usernam). Порты, с самого начала, все были изменены на другие. Видно что работает бот, IP адреса меняются каждый день Россия, Италия, Африка и т.д., но долбят оба регистратора с одних IP. Подбор иногда происходит с разницей в 1-2 сек. Вопросик, как обезопасить себя от данной напасти ? Чем они так могут перебирать пароли, явно не по web пытаются ? Пример логов с обоих объектов:
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------
3 2017-11-12 21:51:18 Предупреждения Неверный Логин admin 213.159.198.14
4 2017-11-12 21:51:32 Предупреждения Неверный Логин admin 213.159.198.14
5 2017-11-13 10:52:56 Предупреждения Неверный Логин admin 77.222.114.35
6 2017-11-13 10:52:57 Предупреждения Неверный Логин admin 77.222.114.35
7 2017-11-13 10:52:58 Предупреждения Неверный Логин admin 77.222.114.35
-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
3 2017-11-12 21:54:18 Предупреждения Неверный Логин admin 213.159.198.14
4 2017-11-12 21:54:33 Предупреждения Неверный Логин admin 213.159.198.14
5 2017-11-13 10:09:57 Предупреждения Неверный Логин admin 77.222.114.35
6 2017-11-13 10:09:58 Предупреждения Неверный Логин admin 77.222.114.35
7 2017-11-13 10:09:59 Предупреждения Неверный Логин admin 77.222.114.35
8 2017-11-13 10:10:00 Предупреждения Неверный Логин admin 77.222.114.35
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------

Всё бы ничего, но будем ставить ещё несколько регистраторов и думаю, что там повториться тоже самое. Имея опыт восстановления после взломов регистраторов у компании RVI, хотелось бы как-то обезопасить системы и не допустить даже намёка на возможность подборов паролей.

Выполним работы быстро, качественно, не дорого. Выбирайте два любых критерия.

Дата: Понедельник, 04.12.2017, 13:50 | Сообщение # 2

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Стоит озвучить задачу, согласно которой извне авторизованные лица должны попадать на данные устройства.
Либо фильтр IP на роутерах, а лучше загнать в VPN и на этом все закончится wink

Мотивация, направление, посыл ;)
"Вспоминание" паролей Dahua SmartPSS, Hikvision iVMS4200, генерация временного для Uniview. Исследования IT.
www.iTuneDVR.ru

Дата: Понедельник, 04.12.2017, 21:18 | Сообщение # 3

Группа: Проверенные

Сообщений: 1089

Репутация: 85

Статус: Offline

Цитата Alexcenter (

)

Вопросик, как обезопасить себя от данной напасти ?

А разве нету после 5-6 попыток блокировки учетной записи? Вроде давно есть такая функция. На нет сводит весь брутфорс.
Еще вроде и фильтр есть на ip. А так да, как выше написали можно настроить.

Дата: Понедельник, 04.12.2017, 22:04 | Сообщение # 4

Группа: Проверенные

Сообщений: 10

Репутация: 0

Статус: Offline

Эх.. если бы было всё так просто. Директора работают и смотрят по удаленке и не только из нашего города, но он может оказаться и в Тайланде и в Париже и в Голландии... так что блокировка по IP не желательна, меня же потом замучают, хотя это лучше чем ничего. На точках где стоят регистраторы ставятся простые роутеры от провайдера, это всё территориально разбросано по всему городу, на покупку дорогих роутеров вряд ли пойдут. Блокировка учетки происходит только при WEB доступе, при таком подборе пароля блокировки не происходит. Я даже не могу понять как и через какие порты они пытаются подключиться, что блокировки не происходит.

Выполним работы быстро, качественно, не дорого. Выбирайте два любых критерия.

Дата: Вторник, 05.12.2017, 00:14 | Сообщение # 5

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Цитата avalist (

)

А разве нету после 5-6 попыток блокировки учетной записи? Вроде давно есть такая функция. На нет сводит весь брутфорс.Еще вроде и фильтр есть на ip. А так да, как выше написали можно настроить.

Да конечно, но судя по предоставленному списку с временными метками это залетные, однако, могут быть как всегда нюансы, если их решили на той стороне. Но конечно. брут комплексных паролей от 8 символом дело не простое!!!

Цитата

Цитата Alexcenter
Эх.. если бы было всё так просто. Директора работают и смотрят по удаленке и не только из нашего города, но он может оказаться и в Тайланде и в Париже и в Голландии... так что блокировка по IP не желательна, меня же потом замучают, хотя это лучше чем ничего. На точках где стоят регистраторы ставятся простые роутеры от провайдера, это всё территориально разбросано по всему городу, на покупку дорогих роутеров вряд ли пойдут. Блокировка учетки происходит только при WEB доступе, при таком подборе пароля блокировки не происходит. Я даже не могу понять как и через какие порты они пытаются подключиться, что блокировки не происходит.

Старые песни о главном! wink

Сообщение отредактировал iTuneDVR - Вторник, 05.12.2017, 12:53

Дата: Вторник, 05.12.2017, 09:32 | Сообщение # 6

Группа: Проверенные

Сообщений: 10

Репутация: 0

Статус: Offline

Я понимаю, что это залётные. Но не хотелось бы в самый неподходящий момент узнать, что регистратор взломали, да может ничего криминального не сделают, но нервы потреплют. Самое интересное, что все порты нестандартные, как они их нашли. Я понимаю что есть сканеры портов и т.д. Но это нужно тогда каждый ip сканировать на предмет всех портов. достаточно кропотливо. В общем если есть дыра в прошивке, её нужно закрыть, а то будет как у RVI и их подобных регистраторов.

Добавлено (05.12.2017, 09:32)
---------------------------------------------
Ха... сейчас заблокировал учетку через web и попытался ещё 10 раз зайти. В итоге, в логи, всё равно пишутся все попытки зайти под этим логином, даже если учетка заблокирована.

Выполним работы быстро, качественно, не дорого. Выбирайте два любых критерия.

Дата: Вторник, 05.12.2017, 12:54 | Сообщение # 7

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Найти твой открытый, пусть даже и нестандартный порт не составляет никакого труда, поэтому меняй ты его, не меняй - суть не меняется от этого.
Раньше брут был возможет и софт, который используется давал возможность многопоточно подключаться и перебирать, дело было лишь во времени.
Сейчас процедура усложнилась.

Попытка доступа будет, но в ответ идёт, что аккаунт заблокирован на время от 30 минут с обратным отсчетом.

Если брутят, значит что-то хотят.

Про просмотр из тайлада с пляжу, лучше сразу руководство поставить на место!

Дата: Среда, 06.12.2017, 15:27 | Сообщение # 8

Группа: Проверенные

Сообщений: 10

Репутация: 0

Статус: Offline

Вопросик к гуру? это что означает?
--------------------------------------------------
11 2017-12-06 17:03:09 Предупреждения Неверный Логин illegal usernam 77.234.45.169
12 2017-12-06 17:03:10 Предупреждения Неверный Логин illegal usernam 77.234.45.169
13 2017-12-06 17:03:11 Предупреждения Неверный Логин illegal usernam 77.234.45.169
14 2017-12-06 17:03:17 Предупреждения Неверный Логин admin 77.234.45.169
А потом
1 2017-12-06 17:03:12 Операция удалённый вход admin 100.100.84.3
2 2017-12-06 17:03:17 Операция удалённый выход admin 100.100.84.3
---------------------------------------------------
Это что получается взломали? Почему такой странный IP адрес?

Выполним работы быстро, качественно, не дорого. Выбирайте два любых критерия.

Дата: Среда, 06.12.2017, 19:25 | Сообщение # 9

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

А потом...
Если пароли сложные были, а боссы в разных уголках мира, то возможно это авторизованный вход, хоть IP так просто не бьется.
Стоит изменить пароли и завести все-таки разных пользователей для разных входов.

Всё-таки лучше сузить круг адресов и навести порядок, если все-таки приоритет в безопасности!
VPN можно и на телефонах включить и ...

Дата: Среда, 06.12.2017, 19:52 | Сообщение # 10

Группа: Проверенные

Сообщений: 1089

Репутация: 85

Статус: Offline

Цитата Alexcenter (

)

100.100.84.3

Цитата Alexcenter (

)

Это что получается взломали? Почему такой странный IP адрес?

обычный "серый" IP используемый местными провайдерами, насчет взломали не обязательно, скорее всего ваш босс и заходил посмотреть

Цитата iTuneDVR (

)

Стоит изменить пароли и завести все-таки разных пользователей для разных входов.

В точку!!! И всем гостевой доступ, на аdmin пароль поменять и доступ никому не давать,

Дата: Среда, 06.12.2017, 21:18 | Сообщение # 11

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Цитата avalist (

)

В точку!!! И всем гостевой доступ, на аdmin пароль поменять и доступ никому не давать,

Именно!!!

Дата: Четверг, 07.12.2017, 08:58 | Сообщение # 12

Группа: Проверенные

Сообщений: 10

Репутация: 0

Статус: Offline

Фишка в том, что все и так заходят по гостевому и логин у них другой. Директора в этот период были в городе. Замечены непонятные входы под admin, IP адреса либо из класса А 10.10.х.х или из той же подсети 192.168.1.х, но я смотрел запись архива, никто не садился за ноутбук в данное время. Других ПК или андроид устройств нет в сети. Ладно... сменим ещё раз пароль админа. И будем резать по ip. Посмотрим что получится.

Выполним работы быстро, качественно, не дорого. Выбирайте два любых критерия.

Дата: Четверг, 07.12.2017, 12:36 | Сообщение # 13

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Массу консперологических версий можно выдвинуть по этому поводу, но факт входа есть, а значит стоит поменять пароль и никому не сказать и контролировать себя самого тоже wink

igroup

Дата: Воскресенье, 10.12.2017, 14:16 | Сообщение # 14

Группа: Проверенные

Сообщений: 13

Репутация: 0

Статус: Offline

Я тоже наблюдал такую картину (много попыток подконнектиться...), но после смены стандартного порта 8000 на какой-нибудь другой всё прекратилось.
Хакеры сканят IP-шники и проверяют только известные им порты. А проверять каждый это гораздо геморнее и дольше.

Можно даже не менять порт на самом регистраторе, а при пробросе портов на роутере указать внешний порт другой.
Но лучше всё же поменять и на всех устройствах тоже, т.к. кроме атак извне, могут быть и вирусы в локальной сети.

Конечно этот способ не 100%-ный, но довольно эффективный и ничего не стоит его применить.

Дата: Воскресенье, 10.12.2017, 16:00 | Сообщение # 15

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Цитата igroup (

)

... но после смены стандартного порта 8000 на какой-нибудь другой всё прекратилось.Хакеры сканят IP-шники и проверяют только известные им порты. А проверять каждый это гораздо геморнее и дольше.

Никакого гемора тут нет и не очень-то и дольше, если задался такой целью, а спешка нужна в других местах.... wink

Цитата igroup (

)

Можно даже не менять порт на самом регистраторе, а при пробросе портов на роутере указать внешний порт другой.Но лучше всё же поменять и на всех устройствах тоже, т.к. кроме атак извне, могут быть и вирусы в локальной сети.

С новыми роутерами, конечно можно не менять порты на регистраторе, но вот бывают экземпляры старых, где только сквозное и никак...

Степень эффективности - до поры до времени smile

Это как ели в дороге у тебя полетел ремень ГРМ, то ты обладая мужественностью можешь снять с рядом сидящей женщины её колготки и решить проблему. Эффективность - попытаться проехать дальше чем то место, где ты остановился, но все равно это не панацея. При этом жаловаться не на что, ведь другого под рукой нет, а в данном случае лучше кардинально решать вопрос wink

Oleglevsha

Дата: Воскресенье, 10.12.2017, 23:27 | Сообщение # 16

Группа: Проверенные

Сообщений: 295

Репутация: 37

Статус: Offline

Цитата iTuneDVR (

)

Это как ели в дороге у тебя полетел ремень ГРМ, то ты обладая мужественностью можешь снять с рядом сидящей женщины её колготки

надеть презерватив...

Сервисное обслуживание видео камер и регистраторов в г.Волгограде

Дата: Воскресенье, 10.12.2017, 23:49 | Сообщение # 17

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Цитата Oleglevsha (

)

надеть презерватив...

Ты прям без прелюдий к делу wink

Добавлено (10.12.2017, 23:49)
---------------------------------------------
Я же издалека как аналогия к ситуации про эффективность и целесообразность при чёткой понимании ситуации, беЗ спешки wink

Сообщение отредактировал iTuneDVR - Воскресенье, 10.12.2017, 23:45

Дата: Среда, 13.12.2017, 12:42 | Сообщение # 18

Группа: Проверенные

Сообщений: 10

Репутация: 0

Статус: Offline

Цитата igroup (

)

Я тоже наблюдал такую картину (много попыток подконнектиться...), но после смены стандартного порта 8000 на какой-нибудь другой всё прекратилось.

Решил я последовать вашему совету и поменять этот порт на что-то другое. А так как не было желания дозваниваться до провайдера и просить прокинуть порт, решил это сделать силами UPnP, благо он был включен на роутере и в NAT регистратора красуется статус "действительный"(способ проброса "в ручную"). Поменял я значит порт на 8001, захожу в NAT и вижу "конфликт портов" ??? Проверяю порт на открытость, ноль. Менял таким образом раз 10 всякие разные из доступного диапазона от 2000 и выше... всё одинаково "конфликт портов", даже перезагружал регистратор. Ставлю обратно 8000 и вижу "действительный". Думаю ладно.... достаю бубен и начинаю танцевать. Выставляю проброс портов в "Авто" и вижу, что порт внешний 43ххх , внутренний 8001 и статус "действительный". Переключаю с "Авто" на "ручное" и выставляю внешний 8001 и внутр. 8001, проверяю.... РАБОТАЕТ ))) Сменил таким образом ещё на нескольких регистраторах порты, всё как и данном случае.. "ручное" в "авто" , с "авто" в "ручное" прописываем что нужно и всё работает... иначе получаем "конфликт портов". )))

Выполним работы быстро, качественно, не дорого. Выбирайте два любых критерия.

Alexandr

Дата: Четверг, 14.12.2017, 11:55 | Сообщение # 19

Группа: Администраторы

Сообщений: 5345

Репутация: 113

Статус: Offline

VPN, вариантов не богато.
не заходить по http, настроить https
порты поменять более радикально, ближе к 65ххх, дольше времени уходит на проверку. и поменять не только 8000, все.
UPnP не использовать, тем более что в данном примере ещё и "криво" работает.
посмотреть сам роутер на предмет защиты от внешних сканов, во многих уже есть встроенные механизмы от сканирования.
можно создать "замануху" поставив внутри сети комп с iVMS PCNVR и раздать регистраторы через него. в сетях тоже подобное используется для защиты т.н. "горшочки с мёдом" )

S@rge

Дата: Воскресенье, 21.01.2018, 12:29 | Сообщение # 20

Группа: Проверенные

Сообщений: 25

Репутация: 0

Статус: Offline

По-моему хиквиженовцам стоит посмотреть на коллег из дахуа и добавить возможность блокировать кулхацкеров не только на максимум час, а до перезагрузки. А для настройки можно будет создать другой аккаунт с полными правами (раз уж производители регистраторов почему-то не дают возможности переименовать admin-а).

Дата: Воскресенье, 21.01.2018, 13:34 | Сообщение # 21

Группа: Проверенные

Сообщений: 3922

Репутация: 141

Статус: Offline

Видимо они придерживаются какой-то своей логики и ...

Дата: Воскресенье, 21.01.2018, 13:41 | Сообщение # 22

Группа: Проверенные

Сообщений: 917

Репутация: 23

Статус: Offline

Цитата S@rge (

)

По-моему хиквиженовцам стоит посмотреть на коллег из дахуа и добавить возможность блокировать кулхацкеров не только на максимум час, а до перезагрузки.

Жуть какая! Зачем?

Цитата S@rge (

)

А для настройки можно будет создать другой аккаунт с полными правами (раз уж производители регистраторов почему-то не дают возможности переименовать admin-а).

Вот именно. Главный косяк хиковцев в плане безопасности - это невозможность переименовать админа. Неужели так трудно переписать это? Переименование админа просто убьет все попытки перебора.

S@rge

Дата: Воскресенье, 21.01.2018, 15:25 | Сообщение # 23

Группа: Проверенные

Сообщений: 25

Репутация: 0

Статус: Offline

Цитата Bart (

)

Жуть какая! Зачем?

Сурово, но эффективно - до ребута под админом не войдет никто! smile

Цитата Bart (

)

Вот именно. Главный косяк хиковцев в плане безопасности - это невозможность переименовать админа.

Так не только к хику вопрос. Покажите вендора который позволяет это в своих регистраторах. Я таких не встречал.

Сообщение отредактировал S@rge - Воскресенье, 21.01.2018, 15:26

msnru

Дата: Пятница, 01.02.2019, 13:39 | Сообщение # 24

Группа: Проверенные

Сообщений: 34

Репутация: 3

Статус: Offline

Интересно, автор темы смог добиться желательного результата только сменой портов на нестандартные или это утопия и решается проблема через настройку VPN cервера?

Дата: Суббота, 02.02.2019, 16:51 | Сообщение # 25

Группа: Проверенные

Сообщений: 917

Репутация: 23

Статус: Offline

Цитата msnru (

)

решается проблема через настройку VPN cервера?

Если б VPN был решением на 100% sad

А что делать с юзерами, которые в мобильных сетях на смартфоне смотрят? Тоже их в впн каждый раз загонять?

Дата: Суббота, 02.02.2019, 19:09 | Сообщение # 26

Группа: Проверенные

Сообщений: 1089

Репутация: 85

Статус: Offline

Цитата Bart (

)

Тоже их в впн каждый раз загонять?

У меня при запуске клиента IVMS-4500, VPN на телефоне сам подключается. Решение хоть и не ахти, но вполне рабочее.
Другое дело, что вместо сканирования портов и попытки подбора пароля, долбят теперь VPN (теже я.... только в профиль), пришлось настраивать правило на Mikrotik, если 1 попытка не удалась в черный список на 30 мин. За день в логе минимум 10 попыток.

Дата: Воскресенье, 03.02.2019, 00:43 | Сообщение # 27

Группа: Проверенные

Сообщений: 917

Репутация: 23

Статус: Offline

Цитата avalist (

)

пришлось настраивать правило на Mikrotik, если 1 попытка не удалась в черный список на 30 мин. За день в логе минимум 10 попыток.

Тоже вариант...
У меня пока почти везде прокатывает сменить порт на какой-то высокий. Да и старые объекты некоторые на 8000 висят наружу. Как это не удивительно. И никаких фризов аккаунта не замечено. Надолго ли...
Хику бы сделать логин админа поменять на отличный от admin. Ну ерунда же, вроде. И пусть бы себе бомбили несуществующие имена... Дичь, сколько лет прошло, а воз и ныне там

Дата: Воскресенье, 03.02.2019, 16:33 | Сообщение # 28

Группа: Проверенные

Сообщений: 1089

Репутация: 85

Статус: Offline

Цитата Bart (

)

Хику бы сделать логин админа поменять на отличный от admin.

И тех.поддержка повесится biggrin

я помню как сменили политику паролей с 12345

Дата: Понедельник, 04.02.2019, 11:15 | Сообщение # 29

Группа: Проверенные

Сообщений: 917

Репутация: 23

Статус: Offline

Цитата avalist (

)

И тех.поддержка повесится

Ну почему? Нужно еще (уже давно) сделать кнопку сброса на регистраторе. Если дорого ее вывести на задницу куда-то, то хоть пусть на плате установить.
Или, если уж они так боятся незаконного сброса, пусть сброс через ТП переименовывает админа в admin с каким-то новым паролем.

Дата: Понедельник, 04.02.2019, 22:28 | Сообщение # 30

Группа: Проверенные

Сообщений: 1089

Репутация: 85

Статус: Offline

Цитата Bart (

)

Нужно еще (уже давно) сделать кнопку сброса на регистраторе.

Всю концепцию защиты от несанкционированного доступа убрать, физический доступ мало кто ограничивает (взял под мышку и ушел), это не камера до которой еще добраться нужно. Пусть лучше кнопки не будет, специалист уберет пароль на раз два тем или иным способом, а не спецу нефиг там делать, пусть через тех. поддержку сброс делают и дело даже в не незаконном сбросе. Так повелось очень давно, практически у всех вендоров. У некоторых даже диски нельзя было самому отформатировать после замены (Dedicated Micros) файловая создавалась через терминал с 3-мя уровнями пользователей и с генеренным паролем инженера (2 уровень) 1 только логи смотреть и служебную инфу для ТП. 3 закрытый и получить доступ к нему вне завода не возможно было. Так что у Hik еще по божески, хотя подвижки к полному закрытию идут как мне кажется и может настать момент что и в терминал хрен попадешь скоро.

Дата: Понедельник, 04.02.2019, 23:12 | Сообщение # 31

Группа: Проверенные

Сообщений: 917

Репутация: 23

Статус: Offline

Все эти ухищрения с защитами "если вдруг кто-то украл твой регистратор" имхо - полная фигня. На 90% видеонаблюдение хика покрывает бытовой и коммерческий сектор. Никакой секретной инфы в регах как правило нет. Ну и только дурак будет хранить секретную инфу на регистраторе, который валяется на шкафу и его можно унести.
Отсюда вывод. Если украли регистратор, то ничего там ценного нет. А если и есть - все равно за деньги сломают. Не хочешь что крали - закрывай регистратор в защищенном месте.
Ну и дальше. Если уж ты завладел регистратором, то жми кнопку сброса и все. И не будет лишней мороки техподдержке.

Лучше б хик заморачивался с удаленным взломом. Вот где хватает простора деятельности для хакеров! Взять хотя бы эту несчастную "проблему" с переименованием админа.

Дата: Вторник, 05.02.2019, 00:12 | Сообщение # 32

Группа: Проверенные

Сообщений: 1089

Репутация: 85

Статус: Offline

Bart,
Логика в ваших словах безусловно есть, но им там виднее и мы с вами вряд ли способны повлиять на ситуацию.

msnru

Дата: Среда, 06.02.2019, 14:08 | Сообщение # 33

Группа: Проверенные

Сообщений: 34

Репутация: 3

Статус: Offline

У меня неделю назад возникла аналогичная проблема. Пробросил стандартные порты регистратора на роутере, настроил уведомления на почту и понеслось. Буквально через 20 минут пошли уведомления о неправильно введенном пароле. В течение 3-х часов сыпались эти уведомления. Наблюдая за происходящим с периодичностью каждые 10-15 минут менял пароль регистратора, но и это не помогло. Прилетело сообщение о просмотре с камеры. Было видно, что подбор шел до 2-х часов ночи и с 10-ти утра. То. есть, человек отработал, лег спать и как проснулся снова за свое. Удивительно то, что регистратор не блокируется после 6 попыток ввода неверного пароля в отличие от камеры. Пока перепрошил регистратор т.к., после взлома заметил явное торможение видео, камеру отключил от Wi-Fi и пустил по проводу, на wi-fi сеть установил режим работы (только рабочее время), прописал замороченные пароли. Завтра буду пробовать менять стандартные порты. Стандартный порт RTSP нужно ли менять?

Сообщение отредактировал msnru - Среда, 06.02.2019, 14:14