智能小区安防监控系统信息安全风险与管理策略研究★

席攀锋

（甘肃建筑职业技术学院，甘肃 兰州 730050）

引言

近年来，随着科学技术的不断进步和市场经济的不断发展，城市规划中现代化、智能化社区的建设成为一种趋势，在未来，传统、离散的住宅将被智能小区所取代。作为智能化居民小区来说，一方面需要在场所和空间上满足居民使用需求，另一方面还要为居民提供安全可靠的居住环境，因而对于物业管理和安防管理提出了更高的要求。经安全测评发现，国内市场中的安防监控系统均存在不同程度的安全隐患，如数据传输未加密、用户信息泄露等，这些安全缺陷可以让黑客轻易控制安防监控系统，并获取信息，因而针对该问题进行分析有一定的现实意义。

1 智能小区安防监控系统信息安全现状

现阶段视频监控系统安全现状大概可以体现在两个方面：

1）安全问题的普遍存在，如安全漏洞多、涉及设备多、厂商对这些问题重视程度不足、系统设备安全性先天不足等；

2）用户自身缺乏安全意识，如普遍存在弱口令、统一密码，安全漏洞几乎不修复，安全防护体系不健全等。

目前，智能小区安防监控系统的信息安全问题主要在于安全漏洞和设计缺陷，如中断设备漏洞、协议漏洞、视频管理系统漏洞、管理漏洞和恶意后门等等。这些问题可能会产生的危害包括视频内容被篡改、视频监控服务被中断、隐秘信息泄露、成为“跳板”导致其他设备被攻击等。

2 智能小区安防监控系统遭受的信息攻击和信息风险

2.1 智能小区安防监控系统信息攻击方式

当前安防监控系统攻击方式大致可以分为两个类型：一是获取访问权限，如SQL 注入、缓冲区溢出以及弱密钥攻击等；二是直接对主机进行控制，来获取相关信息，或进行其他恶意网络攻击行为，如发动DdoS攻击或植入相关应用程序，用于比特币挖矿等等。

2.2 智能小区安防监控系统信息风险

2.2.1 物理层

物理层包括视频监控摄像头及其他网络设备。由于物理层设备所处环境多样，情况较为复杂，实现有效的监管较为困难，因而具有较多的不确定性。常见的雷电、台风、水灾、设备老化、供电异常等等，都会对视频监控系统的运行造成极大影响。同时环境污染、人为盗窃或破坏等行为也是视频监控设备可能出现的问题。

2.2.2 网络层

网络层主要是指摄像头连接的视频监控网络，其主要面临的是传统互联网安全风险如DdoS、非法访问等。这些安全威胁会导致网络变慢或者瘫痪，影响视频监控系统的正常运作，也可能会导致视频监控内容被篡改、丢失或被非法复制。

2.2.3 系统层

系统层主要是指视频监控整体控制系统和维护系统。智能小区视频监控系统和数据库都无法避免的存在漏洞，而攻击者就是借助于这些后门和漏洞来进行攻击，植入病毒或盗取信息内容。

2.2.4 应用层

应用层主要是指各类视频监控系统所应用的软件。应用层安全威胁主要是来自于人为因素。如用户可能在未经授权的情况下进入某系统，或蓄意进行攻击、恶意操作，来破坏系统的应用功能。除此之外，病毒也有了越来越强的智能化水平，现在也已经成为了应用层面临的主要威胁。

2.2.5 管理层

管理层主要是指密钥管理、人员管理和制度管理等方面。这方面可能存在的隐患包括有弱口令泄露、密钥丢失、安全管理人员工作疏漏导致的事故、安全管理制度缺失导致安全事件等等。

3 信息安全测评系统的建立

近年来视频安全监控系统出现的网络安全事件频发，整体上来看安全形势不容乐观，视频监控系统的各个通信层级都存在一定的安全风险，漏洞较多、范围较广、造成的社会影响恶劣。基于此，针对视频监控系统的网络信息安全评测显得尤为关键。所搭建的安全测评体系具备对安全监控体系进行测评的功能，及时筛查系统漏洞，并且对平台安全性的优化进行有针对性的指导。

3.1 系统架构

本信息安全测评系统主要分为两个部分，分别是设备扫描网和设备搜索与分析服务网络，通过互联网设备空间相连接。互联网设备空间连接各个硬件设备，如负责监控的家用摄像头和监控摄像机，以及负责数据存储的PC 设备、业务服务器、扫描服务器，同时还有用于网络支持的路由器等设备，首先需要进行存货设备扫描和标语抓取，之后即可采用nmap 的OS识别和nse 脚本探测功能，完成漏洞扫描。

而在设备搜索和分析服务网络当中，以数据存储设备为主，如搜索设备原始数据服务器、索引服务器、组件分析服务器，均分别配置磁盘阵列，具备原始数据收集和整理功能，并且可以实现硬件设备的品牌、协议以及关联分析。而在Web 应用服务器则没有配置磁盘阵列，通过搜索监控用户终端即可访问上述服务器（见图1）。

图1 网设备检测平台架构示意图

3.2 信息安全测评平台建设

3.2.1 检测平台的作用和技术要求

1）从作用层面上来看，所搭建的在线设备检测平台，其包括的内容有：一是实现监控系统、工业控制系统以及托管服务器的发现；二是形成相对完善详备的指纹库，从而实现软件和硬件的识别；三是能够具备区域、网络以及安全评估的功能；最后则是积极开发漏洞扫描、弱密钥分析和无线设备发现工具。

2）从技术要求方面来看，其至少覆盖监控行业75%的产品，识别精度应高于85%；在建设的视频监控系统漏洞库方面，要求收集近5 年95%的高危漏洞，涉及品牌至少20 个，覆盖各类主流产品，包括监控硬件设备和软件系统。

3.2.2 安全测试工具的选择

安全测试工具的选择方面，可以采用Peach 工具和Codenomicon DEFENSICSTM这两类软件进行测试，而渗透测试工具则包括有Nexpose 和Metaspoilt，分别负责长矛漏扫和长矛深度安全。

3.2.3 漏洞智能挖掘的技术介绍

通过软件来输入二进制代码，首先完成控制依赖、数据依赖和控制流分析等一系列流程，之后再分析漏洞敏感区域，最终即可得出漏洞风险较高的代码段，为后续人工分析提供条件。图2 为具体的漏洞挖掘工作流程。

图2 漏洞挖掘流程框图

但是值得注意的是，上述流程中的设备发现、漏洞扫描、漏洞挖掘、漏洞验证和安全检测之间都有一定的关联性，环环相扣，并非孤立存在，具体关系见图3。

图3 设备扫描、识别和漏洞检测的过程图

3.3 信息安全测评能力建设

在数据中心机房动力环境监测系统当中，设置有数量较多的多元异构性传感器节点。安全评测的功能在于对这些设备进行检测，确定这些设备是否存在伪造报文、窃听行为等情况，与此同时，也需要对系统的网络传输功能进行检测，确定不会在传输大量数据包时出现阻塞，引发拒绝服务问题。

楼宇视频监控安全评测主要功能在于对监控系统进行检测，确定其是否存在安全隐患，以及当前监控摄像头所应用的固件版本是否存在严重漏洞。经由安全评测，用户即可及时查看视频监控系统中有哪些薄弱环节容易被黑客入侵，并有针对性地加固薄弱环节。

不法分子可以利用视频监控系统中的漏洞，以未授权访问的方式进行攻击，实现盗取信息、篡改和破坏系统的目的。通过安全测评来检测出视频监控系统中的安全漏洞，即可给出相应的修复对策。同时还能检测出可能出现的非授权访问途径，确保监控信息的安全性，确保大量视频流数据、抓拍图像记录等信息不被篡改和盗取。智能小区事故监管和处理是确保小区和楼宇内安全的重要保障，一旦监控系统受到攻击，则必然会导致监控能力和安防能力的丧失，所以要确保监控设备和系统安全，避免受到黑客的攻击。所以要对监控系统设备和系统存在的安全漏洞进行检测，保证系统信息传送的完整性和可认证性，尤其要重视系统访问控制策略的设计缺陷，从而为系统做出安全评估，给出相关优化建议。举例来说，可以通过端口扫描的形式进行测评，结合设备存活扫描的情况来掌握当前网络当中存活设备总数，之后利用nmap 指令“-sV”，来扫描每个设备的常用端口，并对设备开放的端口信息进行查验，为下一步设备型号的识别提供可靠参考。

4 安全智能小区安防监控系统信息防护措施

4.1 技术措施

1）在视频监控网络设备、安全防护设备和存储服务器的选型上，要确保设备具有足够的安全性。在设备选择的过程中，需要尽量选用国产视频监控系统，从而实现设备自主可控，杜绝安全隐患。在传输视频数据的过程中，也需要应用可靠的传输方式，如区块链技术、数字身份认证技术、数据加密技术等等，形成一套完善的视频传输存储保护措施，为数据安全提供保障，保证数据资料的真实性和完整性。

2）需要对智能小区监控区域进行合理规划。智能小区监控涉及到的设备和监控网点数量较多，同时在厂区网络设计和监控设备安装过程中也需要尽量进行优化，保证监控范围的同时，缩小数据传输范围，缩短数据传输距离，提高数据传输速度。在完成系统部署之后要及时进行系统升级，并设置具有较高安全性的密钥，混编数字、大小写字母以及特殊符号，避免使用容易被破解的信息作为密码以提高安全性。

4.2 管理措施

除此之外，还应当完善管理制度，从管理层面为安防监控系统信息安全提供安全保障，相关措施如下：

1）定期对管理人员和操作人员进行运行维护培训，开展安全宣传；

2）定期改换系统用户名和密码等信息，要求密码覆盖大写字母、小写字母、数字和特殊符号以提高密码强度，并确保密码字符串不具备实际含义；

3）定期开展漏洞扫描，一旦发现系统安全漏洞，则要及时更新安全补丁，也可委托专业安全服务部门进行远程服务；

4）定期委托第三方检测而机构来对整个安全监控系统进行全方位测评，如果条件允许，则可建立并完善网络信息安全事件应急组织部门，并建立应急管理方案，并提高基础设施建设水平，实现异地灾备，这样就可以在突发事件下，保证有条不紊。

5 结语

近年来我国物联网技术得到了突飞猛进的发展，不仅是在智能小区安防系统当中，在智慧城市其他领域也起着非常重要的作用。但由于物联网技术的不成熟导致网络信息安全问题成为饱受人们重视的话题，尤其是视频监控安全问题频发。文章对于存在的问题进行了分析，提出了一些可行的智能小区安防系统信息安全管理对策，视频监控领域安全问题尚且任重道远，在未来仍然需要安全服务提供者、设备系统厂商以及用户和技术人员共同努力。