Câmeras e controle de acesso na rede da empresa: como proteger a infraestrutura

Câmeras IP, gravadores NVR/DVR, catracas, leitores biométricos e controladoras de acesso são dispositivos de rede como qualquer outro — só que com senha padrão de fábrica, firmware que raramente é atualizado e um fabricante que assume que ninguém vai atacá-los. Por isso a resposta direta é: esses equipamentos não devem ficar na mesma rede dos computadores corporativos. Eles precisam de uma faixa própria, regras claras de quem fala com quem, credenciais trocadas e acesso remoto por caminho controlado, nunca por porta aberta na internet.

O motivo é simples. Um computador comprometido pode ser isolado, reinstalado e monitorado. Uma câmera comprometida costuma passar meses sem que ninguém perceba, porque continua mostrando a imagem normalmente enquanto serve de ponto de apoio para alcançar servidores, sistemas financeiros e pastas compartilhadas. Segurança física e segurança digital deixaram de ser assuntos separados no momento em que a portaria passou a depender de rede.

Por que esses equipamentos exigem tratamento diferente

Três características tornam o parque de CFTV e controle de acesso mais frágil que o parque de computadores:

• Ciclo de atualização longo. Um gravador instalado há seis anos normalmente roda o mesmo firmware da instalação. Não existe atualização automática como no Windows.
• Credenciais previsíveis. Muitos equipamentos saem de fábrica com usuário e senha de conhecimento público e permitem que o instalador mantenha esse padrão.
• Interface pensada para conveniência. O assistente do fabricante costuma sugerir abrir acesso externo com poucos cliques, sem explicar o que isso significa para o resto da rede.

Some a isso o fato de que a instalação quase sempre é feita por um integrador de segurança eletrônica, e a manutenção da rede por outro fornecedor. O equipamento entra na infraestrutura sem passar por nenhuma revisão de TI.

Segmentação: a decisão que organiza todo o resto

Segmentar significa colocar os dispositivos de segurança em uma rede lógica própria — uma VLAN — e definir explicitamente o que pode sair dela. Na prática, o desenho mais comum em escritórios e clínicas separa quatro grupos:

1. Rede administrativa: computadores, servidores e sistemas de gestão.
2. VLAN de CFTV: câmeras IP e gravador.
3. VLAN de controle de acesso: catracas, leitores biométricos, fechaduras e controladora.
4. Rede de visitantes: isolada de tudo o que é interno.

CFTV e controle de acesso podem dividir a mesma VLAN em instalações pequenas, desde que fiquem fora da rede administrativa. O ganho aparece na regra de tráfego: as câmeras só precisam falar com o gravador, e o gravador só precisa ser acessado por estações autorizadas. Nada além disso. Se uma câmera for comprometida, o alcance do invasor termina na própria faixa.

Esse raciocínio é o mesmo que sustenta a separação entre rede de visitantes e rede corporativa — muda apenas o grupo de dispositivos que está sendo isolado.

Credenciais, firmware e as correções que ninguém faz

Antes de qualquer discussão sofisticada, três providências resolvem a maior parte dos incidentes reais:

• Trocar a senha padrão de todos os equipamentos, incluindo o gravador, cada câmera individualmente e a controladora de acesso. Câmera que mantém o usuário de fábrica é encontrada por varredura automática, não por um ataque direcionado à empresa.
• Criar contas separadas por pessoa, em vez de uma conta de administrador compartilhada pela equipe. Quem só precisa ver a imagem ao vivo não precisa poder apagar gravação, alterar configuração ou cadastrar novo usuário.
• Verificar firmware na instalação e em revisões periódicas. Não existe atualização automática confiável nesse tipo de equipamento; a checagem precisa ser uma tarefa da manutenção, com registro de versão por dispositivo.

Quando o sistema de controle de acesso cadastra biometria ou documento de funcionários e visitantes, essas permissões também são dado pessoal — e o controle de quem acessa o console entra no mesmo raciocínio de proteção de dados que vale para os demais sistemas da empresa.

Acesso remoto: o ponto onde a maioria dos erros acontece

A pergunta "como vejo as câmeras de fora?" costuma ser respondida da pior maneira possível: liberando uma porta no roteador e apontando um serviço de DDNS gratuito para o endereço da empresa. Isso publica o gravador na internet aberta. Ele passa a receber tentativas de login automatizadas todos os dias, e basta uma senha fraca ou uma falha conhecida de firmware para o acesso ser obtido.

Os caminhos aceitáveis são dois:

• VPN até a rede da empresa. O usuário entra na rede por túnel autenticado e só então alcança o gravador. Nada fica exposto diretamente.
• Aplicativo oficial do fabricante com nuvem própria e verificação em duas etapas. Aqui a conexão é iniciada de dentro para fora, sem porta aberta. Só vale quando o fabricante oferece autenticação de dois fatores de verdade.

Entre os dois, a VPN dá mais controle e não depende da nuvem de um terceiro; o aplicativo é mais simples para quem precisa apenas assistir. O que não é aceitável é o modelo de porta liberada com DDNS, independentemente da senha usada.

O firewall corporativo é o que torna essas regras verificáveis: ele define o que a VLAN de câmeras pode alcançar, bloqueia saída desnecessária para a internet e registra as tentativas de acesso. Sem registro, um comprometimento só é descoberto quando já produziu efeito.

Câmeras em casa integradas ao ambiente da empresa: qual é o risco?

É comum o gestor querer ver, do escritório, as câmeras de casa — ou o contrário. O problema não é o desejo, é o atalho: liberar porta no roteador da empresa para alcançar o gravador residencial (ou vice-versa) cria um caminho permanente entre uma rede doméstica, sem gestão, e a rede onde estão o sistema fiscal, os arquivos e o e-mail corporativo.

O que costuma dar errado nesse cenário:

• porta liberada no roteador de um dos lados, expondo o equipamento a varredura;
• DDNS gratuito sem qualquer proteção adicional apontando para o endereço;
• senha padrão mantida no gravador residencial, que raramente recebe manutenção;
• câmera doméstica na mesma faixa de rede dos sistemas corporativos.

As alternativas corretas são a VPN site a site entre os dois pontos, que mantém tudo fechado para a internet, ou o aplicativo do fabricante com verificação em duas etapas em cada ambiente separadamente. Em qualquer dos casos, os equipamentos residenciais devem permanecer em segmento próprio, sem rota até os sistemas da empresa.

Infraestrutura física: PoE, switch e o que costuma ser subdimensionado

Câmeras IP normalmente são alimentadas pelo próprio cabo de rede, via PoE. Isso concentra em um switch a responsabilidade pela imagem inteira, e alguns pontos precisam ser verificados no projeto:

• Orçamento de energia do switch, não apenas o número de portas: o total consumido pelas câmeras precisa caber na capacidade do equipamento, com folga para expansão.
• Padrão de PoE exigido por cada modelo, especialmente em câmeras com motor de movimento ou aquecimento, que consomem mais que as fixas.
• Uplink até o gravador, que carrega a soma dos fluxos de vídeo e não pode ser o gargalo.
• Cabeamento adequado e identificado, porque falha intermitente de imagem frequentemente é problema de cabo, não de câmera. Esse é o mesmo cuidado tratado em cabeamento de rede desorganizado e no cabeamento estruturado.
• Energia protegida para switch e gravador, já que sem nobreak a gravação simplesmente para junto com a queda de luz.

A capacidade de armazenamento do gravador define por quantos dias a imagem fica disponível, e depende do número de câmeras, da resolução e da taxa de gravação escolhidas. Vale definir esse período de retenção antes da compra, e não descobrir depois de um incidente que a gravação relevante já foi sobrescrita.

Perguntas frequentes

Câmeras IP devem ficar na mesma rede dos computadores?

Não. O recomendado é colocá-las em uma VLAN própria, com regras que permitam apenas a comunicação necessária com o gravador e com as estações autorizadas. Assim, um equipamento comprometido não alcança servidores nem arquivos da empresa.

O que é uma VLAN para CFTV?

É uma rede lógica separada, criada no switch, que agrupa câmeras e gravador isolando-os do restante do tráfego. Fisicamente pode usar a mesma estrutura de cabos e switches, mas os dispositivos ficam em segmentos diferentes, com o tráfego entre eles controlado.

É seguro liberar portas do roteador para acessar as câmeras de fora?

Não é. Liberar porta publica o gravador na internet aberta, onde ele passa a receber tentativas automatizadas de login. Mesmo com senha forte, uma falha conhecida de firmware é suficiente para o acesso ser obtido.

VPN é melhor que o acesso direto pela internet?

Sim. Na VPN o usuário entra primeiro na rede, de forma autenticada, e só então alcança o gravador — nada fica exposto. O aplicativo oficial do fabricante com verificação em duas etapas é a alternativa aceitável quando a VPN não é viável.

É mesmo necessário trocar a senha padrão de DVR e câmeras?

É. As credenciais de fábrica são públicas e testadas por varreduras automáticas. A troca deve incluir o gravador e cada câmera separadamente, porque muitos equipamentos mantêm login próprio mesmo depois de a senha do gravador ser alterada.

Câmeras e gravadores precisam de atualização de firmware?

Precisam, e essa é uma das falhas mais comuns: o equipamento não avisa nem se atualiza sozinho. A verificação de versão deve entrar na rotina de manutenção, com registro do que está instalado em cada dispositivo.

Um gravador NVR pode representar risco para a rede?

Pode. É o dispositivo com mais acessos, mais serviços ativos e geralmente o único publicado para uso remoto. Comprometido, dá visibilidade da rede interna — por isso precisa ficar segmentado e sem exposição direta à internet.

Como integrar controle de acesso sem expor os sistemas internos?

Mantendo catracas, leitores e controladora em segmento próprio, com o console de administração acessível apenas por estações autorizadas e contas individuais por operador. O sistema de acesso não precisa enxergar servidores nem estações comuns.

Se a empresa vai instalar ou revisar câmeras e controle de acesso, vale envolver quem cuida da rede antes da instalação — é o momento em que segmentação, credenciais e acesso remoto custam pouco para acertar. A Resolve faz esse trabalho junto com o suporte de TI para empresas da Barra da Tijuca e região.