Сервер працює стабільно, камери транслюють картинку, залізо не викликає жодних нарікань. Навіщо щось чіпати? Проблема в тому, що саме в таких системах роками живуть уразливості, про які власники навіть не підозрюють. Обладнання просто робить свою звичну роботу, поки зловмисники вже шукають лазівки для доступу.
У жовтні 2026 року компанія GreyNoise зафіксувала різкий сплеск атак на обладнання Hikvision в Україні. Нападники використовували стару вразливість, якій уже виповнилося кілька років – її знайшли ще у 2021-му. Цей випадок чітко демонструє, що надійний захист серверів та мережі не зводиться до простих паролів чи базового налаштування під час запуску.
Чому старі вразливості досі небезпечні
Аналітики GreyNoise зафіксували підозрілу активність у період з 21 вересня до 1 жовтня 2026 року. Пік атак припав на 23 вересня і тривав дев’ять днів поспіль. Практично всі спроби пробити захист йшли лише з чотирьох IP-адрес.
Три з них (195.238.124.178, 195.238.124.181 та 195.238.124.188) належали вихідним вузлам сервісу PureVPN у Литві. Четверта адреса світилася в українській мережі, але дослідники її не стали оприлюднювати, оскільки зв’язок цього джерела з рештою залишався під питанням. Після 1 жовтня жодної активності з цих адрес більше не фіксували, що підтверджують дані станом на 7 жовтня.
Хакери атакували пристрої через баг у вебсервері Hikvision, відокремлений під індексом CVE-2021-36260. Через криву перевірку вхідних даних спеціально складений запит змушує пристрій виконати сторонню команду. При цьому знати пароль адміна або проходити будь-яку авторизацію взагалі не потрібно.
Американський інститут NIST оцінив цю вразливість у 9,8 бала з 10 за шкалою CVSS 3.1, що означає критичний рівень небезпеки. Агентство CISA внесло її до каталогу відомих експлуатованих вразливостей ще 10 січня 2022 року і вимагало від виробників термінових оновлень.
Під час осінніх атак зловмисники використовували готовий шаблон Nuclei від ProjectDiscovery для віддаленого виконання команд. Усередині запитів, які перехопила GreyNoise, були лише тестові команди без спроб закинути шкідливий софт. Тобто йшлося про звичайну масову розвідку, а не про реальний злам кожної камери.
Подібні історії стосуються не лише відеоспостереження. Точно такі ж проблеми регулярно спливають у маршрутизаторах, мережевих сховищах, системах віддаленого доступу та серверному софті, якщо забивати на вчасні оновлення.
Як зловмисники знаходять незахищені сервери та пристрої
Для пошуку жертви не потрібно знати назву компанії чи точну адресу офісу. Більшість процесів давно автоматизована. Спеціальні сканери прочісують діапазони IP-адрес, перевіряють відкриті порти та дивляться, які служби відгукуються на запити.
Сам по собі відкритий порт проблеми не створює. Вебсервер зобов’язаний приймати з’єднання від користувачів. Небезпечно стає тоді, коли з інтернету доступні суто службові інструменти для адміністрування: SSH, RDP, панелі керування чи інтерфейси заліза.
Якщо на такій точці висить стара версія програми, зловмисник просто запускає готовий експлойт. Складний пароль тут не допоможе, бо вразливість дозволяє пробити захист в обхід форми входу. Саме тому безпека починається з ревізії: що саме з ваших сервісів дивиться назовні і чи справді їм потрібен публічний доступ.
Як обмежити доступ до серверів через інтернет
Перше, що треба зробити – перевірити правила мережевого доступу. Якщо служба потрібна виключно адміністратору, її не можна залишати відкритою для всього світу.
Для цього використовують фаєрвол, який фільтрує трафік за правилами. Доступ до SSH або RDP можна обмежити лише списком довірених IP-адрес, з яких працюють фахівці.
Інший робочий варіант – налаштування VPN. Адміністратор спочатку заходить у захищену приватну мережу і тільки після цього отримує доступ до внутрішніх ресурсів. Це зручно, якщо команда працює віддалено.
Для серверів, які крутять сайти чи клієнтські додатки, важливо розділяти публічний бік та адміністрування. Сайт доступний усім, а от панель керування, бази даних і службові порти мають бути надійно заховані.
Не варто забувати й про IPv6. Якщо у сервера є і IPv4, і IPv6, то правила доступу треба налаштовувати для обох протоколів, інакше через IPv6 до системи все одно можна буде дістатися.
Чому мережеве обладнання варто ізолювати від основних серверів
У невеликих компаніях камери, робочі комп’ютери, сховища та сервери часто висять в одній локальній мережі. Це зручно при монтажі, але створює величезні ризики.
Якщо зламають хоча б один слабкий пристрій, зловмисник зможе використати його як плацдарм для пошуку інших систем. Сам по собі злам камери не дорівнює зламу сервера, але відсутність внутрішніх бар’єрів робить подальше проникнення тривіальним завданням.
Для цього використовують сегментацію мережі. Камери можна кинути в окремий VLAN, доступ до серверів дозволити лише необхідним пристроям, а між сегментами налаштувати фільтрацію трафіку. Сам по собі VLAN без фаєрвола не захищає.
Навіть у невеликому офісі виділення камер, гостьового Wi-Fi та серверів у різні сегменти суттєво знижує ймовірність біди.
Як оновлення та моніторинг допомагають запобігати атакам
Оновлення часто відкладають за принципом “працює – не чіпай”, особливо на живих серверах, де зупинка коштує грошей. Але ігнорування патчів обходиться дорожче. Як тільки з’являється інформація про баг, хакери за лічені години пишуть автоматичні сканери для пошуку жертв.
Для серверів та обладнання потрібен нормальний графік оновлень. Перед накатуванням патчів завжди роблять резервну копію конфігурації, перевіряють сумісність і планують роботи на час найменшого навантаження. Для критичних систем важливо мати можливість швидко відкотитися назад у разі збою.
Моніторинг теж обов’язковий. Дивні спроби підключень, зграї помилок авторизації, незрозумілі зміни конфігурації чи нові з’єднання — це прямі сигнали тривоги. Аналіз логів дає змогу помітити проблему ще до того, як вона перетвориться на реальний інцидент.
Якщо залізо настільки старе, що виробник вже не випускає оновлень безпеки, а замінити його поки нереально – ізолюйте його від мережі настільки жорстко, наскільки це взагалі можливо.
Що врахувати під час розміщення серверів у дата-центрі
Розміщення заліза в дата-центрі вирішує питання з живленням та охолодженням, але не рятує від кривих рук під час налаштування. Сервер залишиться вразливим, якщо на ньому не оновлюється ОС, а порти адміністрування стирчать назовні.
З іншого боку, оренда стійки чи виділеного сервера в дата-центрі дає чудову базу для побудови нормальної архітектури: з ізольованими сегментами, контрольованим доступом та жорсткою фільтрацією трафіку. У Server.UA можна розмістити власне обладнання або взяти в оренду готові сервери.
Історія з камерурями Hikvision показує, що старі вразливості не зникають самі по собі. Чекати на черговий інцидент точно не варто. Найпростіша перевірка починається з одного питання: які наші пристрої зараз доступні з інтернету і чи справді їм усім потрібен цей прямий доступ?