Ciberseguridad de videovigilancia: endurecimiento de cámaras, VLAN y requisitos de cumplimiento

TL;DR

• Tres capas, falta una y se filtra: 1) cuentas y contraseñas; 2) segmentación de red (VLAN dedicada + ACL); 3) control de salida (UPnP apagado, lista blanca de fuentes, acceso remoto por VPN o zero-trust).
• Las credenciales por defecto son un problema de cadena de suministro: la mayoría de fabricantes envían admin/admin, admin/123456, root/pass. Las unidades OEM cambian el portada pero dejan la firmware igual.
• El servicio se poda restando: dejar solo HTTPS de administración y el RTSP/TCP necesario; Telnet (23), FTP (21), comunidad SNMP, UPnP y mapeo automático casi siempre deben estar off.
• La segmentación no es papeleo, es contención: una cámara comprometida no debe llegar a contabilidad o ERP. Denegar por defecto toda salida de cámara hacia la red corporativa.
• El ciclo de firmware va en el contrato: las cámaras viven 5-8 años, pero las plataformas de silicio envejecen y los parches se detienen. Exige plazo de soporte escrito y SLA de corrección.
• La recepción comprueba tres cosas: escaneo de puertos (solo lista blanca), política de contraseñas (longitud, complejidad, bloqueo) y ruta remota (sin RTSP claro hacia internet).

1. Por qué las cámaras son el primer blanco: perfil del activo y superficie de ataque

La mayoría de incidentes reales se reducen a tres rutas: la cuenta por defecto entra directamente; UPnP o un mapeo manual dejan la página de administración en internet; y una red plana donde la cámara comparte dominio con los PC de oficina.Una cámara es un activo incómodo: mucho tiempo de actividad (5-8 años sin reiniciar), repartida por plantas y fábricas, CPU débil que no puede llevar protección moderna y valor percibido bajo. Esas cuatro cosas juntas la convierten en el punto más fácil de la red. 

• Credencial por defecto: el atacante barre el rango IP con un diccionario público, entra, apaga la cámara o cambia la cuenta en la nube.
• Exposición pública de administración: UPnP en el router abre 80/443/8443/8000 y una contraseña débil cierra el trabajo.
• Movimiento lateral: cámara, NVR, control de accesos y PC de oficina en la misma subred y el mismo switch, así que la cámara tomada es un puente al interior.

2. Credenciales: por donde entra el noventa por ciento

Debajo está el mínimo que cualquier obra debería poder demostrar: longitud mínima, bloqueo real, ningún admin compartido y una sesión que caduca.La parte incómoda de las estadísticas no es el crackeo, sino una contraseña que sigue pegada bajo el aparato. A diferencia de los servidores, la cámara no se une al dominio ni se administra en bloque, y conserva las credenciales con las que salió de fábrica hasta que alguien las cambia a mano. 

• Fase en banco (antes de cablear): cambiar todas las contraseñas por defecto mientras el equipo aún está aislado, sin red; en ese momento el riesgo es cero.
• Fase de registro: tras cambiarlas solo se anota «nº de activo → IP → nombre de cuenta → marca de fuerza» (fuerte / medio / débil). El registro nunca debe guardar texto claro; en la entrega se entrega existencia de cuentas y prueba de complejidad, no contraseñas.
• Fase de verificación: en la recepción se muestrea 5% y se intenta entrar con la combinación de fábrica; todas las intentonas deben fallar.

3. Segmentación: encerrar las cámaras en una red dedicada

Una división en cuatro zonas separa el nivel de vídeo del nivel de personas y datos. La regla central es una frase: la cámara es un dispositivo al que se conecta, no un dispositivo al que se le permite salir y conectar.El punto de la segmentación no es un informe bonito, sino limitar un fallo a un solo dispositivo. Si cámaras, NVR, control de accesos y PC de oficina pueden verse, has construido una única red plana. 

• «Subimos VLAN, luego estamos seguros» — no. Sin VLAN privada o aislamiento de puertos, dentro del mismo VLAN los equipos se alcanzan en L2, y sin ACL en L3 el VLAN es solo una división de dominio de broadcast.
• «Las cámaras no necesitan internet» — casi siempre cierto, pero NTP, envío de syslog y actualización de firmware necesitan salida; si los cortas, los logs no tendrán marcas fiables para la investigación.
• «Es cómodo que desde un PC de oficina se abra el directo» — es el ant patrón más común. Los puestos de oficina son la máquina más propensa a phishing del edificio; permitirles llegar a las cámaras abre la superficie de ataque.

4. Control de salida: la forma correcta de abrir el visionado remoto

Cuatro esquemas cubren la necesidad con perfiles de riesgo muy distintos. Elija según quién mantiene la instalación, no según lo que venda el fabricante.La petición «quiero ver las grabaciones desde fuera» es legítima; lo no legítimo es la implementación habitual: añadir un mapeo de puertos al router. 

1. Solo redirigir los puertos realmente necesarios y limitar la administración por origen (lista blanca de IP o dirección de salida fija).
2. Forzar HTTPS con TLS 1.2 o superior; nunca exponer el puerto de administración en texto claro.
3. Contraseñas fuertes, cuentas que no sean por defecto, bloqueo tras fallos: el paquete completo de la sección 2.
4. Nunca publicar RTSP sin cifrar (554) en internet: el RTSP en claro es una fuente de vídeo pública para quien conozca la dirección.

5. Firmware, parches y ciclo de vida

Una cámara no se recupera como un servidor al reiniciar. Está años en campo, así que el firmware es una disciplina de ventanas de riesgo, no de «cuando haya tiempo».

1. Críticas (ejecución remota de comandos / flujo sin autenticar): actualizar y verificar en 7 días.
2. Vulnerabilidades normales: en 30 días.
3. Sitios sin internet: pedir al fabricante paquetes offline con SHA256 y distribuirlos por un servidor local; no abra la cámara a la red solo para parchear.
4. Guardar siempre una copia de retroceso antes de actualizar, hacerlo en horario no comercial y dejar un técnico 30 minutos en obra.

Dos preguntas que hay que hacer antes de comprar, no después de la avería:

• ¿Hasta qué año se mantiene el firmware de este modelo / plataforma? Muchas plataformas industriales se quedan obsoletas mientras el equipo sigue vendiéndose otros tres o cinco años sin un solo cambio de firmware.
• ¿Cuánto tarda en publicar la corrección de una vulnerabilidad conocida y por qué canal nos avisa? Quiere un compromiso por escrito y una ventana de aviso, no un «lo actualizaremos» de palabra.

un registro de firmware por modelo: versión, fecha, CVE conocido, estado del parche y responsable. Sin eso no podrías responder ni a un auditor ni a quien investigue el incidente.Lo que hace que todo esto sea demostrable: 

6. Cumplimiento y dónde queda la responsabilidad

Abajo está el cuadro de los habituales para videovigilancia.El mismo hardware se juzga por marcos distintos según el mercado, pero por debajo todos piden lo mismo: poder demostrar control de acceso, autenticación y retención de logs. 

7. Cláusulas del contrato y cómo aceptar el trabajo

Escribir los requisitos de seguridad en el pliego técnico sale mucho más barato que reparar después. Cinco campos deben aparecer en el contrato o en el pliego.

1. Cuentas y contraseñas: todas las cuentas de fábrica deben eliminarse o cambiarse fuertemente; la entrega incluye prueba de complejidad, no un registro con texto claro.
2. Servicios y puertos: Telnet / FTP / UPnP / difusión SSID / comunidad SNMP activos de fábrica deben desactivarse antes de la entrega y la lista de lo desactivado forma parte del expediente.
3. Firmware y vulnerabilidades: plazo de soporte de firmware por escrito (>= 5 años recomendados), plazo de corrección de críticas (<= 15 días hábiles) y cómo se entregan los parches offline.
4. Logs y auditoría: SYSLOG al recolector indicado, retención >= 6 meses, reloj NTP con desviación <= 60 s respecto a UTC.
5. Físico y trazabilidad: placa de número de serie por equipo, alarma de apertura a la plataforma, etiquetas manipulables escaneables en el inventario.

La recepción consta de tres comprobaciones, y eso basta:

• Escaneo de puertos: desde el segmento de operación y desde una posición «externa», escanea cámaras y NVR; solo deben responder los puertos de la lista blanca y la administración no debe ser alcanzable desde fuera.
• Prueba de fuerza bruta: intentar la combinación de fábrica en equipos muestreados; todas deben fallar, y las contraseñas débiles (longitud < 8, solo dígitos, relativas al modelo) deben rechazarse.
• Auditoría de la ruta remota: verificar si el visionado remoto pasa por TLS o VPN, y capturar una vez la interfaz pública con tcpdump / Wireshark para confirmar que el flujo no se puede descifrar.

topología de red con VLAN y ACL, lista de puertos y servicios con estado por modelo, registro de cuentas (nombres y marcas de fuerza, sin texto claro), registro de firmware con CVE y estado del parche, y un breve informe de seguridad con resultados del escaneo, conclusión de la prueba de contraseñas y evidencia de la captura en la interfaz pública.Entregables — si falta uno se considera trabajo incompleto: 

8. Preguntas frecuentes (FAQ)

Q: Me olvidé la contraseña de la cámara y el fabricante no colabora, ¿qué hago?

A: Pruebe tres pasos en orden: primero mire la placa o la pegatina bajo el aparato, la mayoría de modelos llevan las credenciales de fábrica (admin/admin, admin/123456, root/admin) — y si siguen ahí, es que la cuadrilla nunca las cambió. Después use la búsqueda de dispositivos del cliente del fabricante o el botón físico de reset (mantener 7-15 s): el reset devuelve el estado de fábrica, así que inmediatamente ponga una contraseña fuerte y desactive los servicios innecesarios en lugar de conservar la de fábrica. La solución limpia es quitar la cuenta de fábrica mientras el equipo aún está fuera de red.

Q: ¿Se pueden publicar RTSP 554 y ONVIF en internet?

A: No se recomienda. El RTSP sin cifrar no protege nada: quien conecte podrá tirar del flujo, es decir una fuente de vídeo pública. El WS-Discovery de ONVIF difunde activamente el inventario. Lo correcto es mantener el plano de control (login, autenticación, configuración) y el plano de suscripción (RTSP/ONVIF) dentro de la VPN o túnel, y exponer hacia internet un único gateway que exija identidad, limite origen y funcione por TLS. Si una plataforma en la nube o un cliente de terceros debe conectar directo, como mínimo aplique lista blanca de IP, cifrado del canal y autenticación fuerte, y acepte que esa ruta será escaneada sin descanso.

Q: ¿Una cámara totalmente desconectada de internet es la opción más segura?

A: En teoría sí, pero en la práctica aparecen problemas peores: sin sincronía horaria las grabaciones no se pueden ordenar para investigar; sin parcheo remoto la vulnerabilidad es permanente; sin diagnóstico remoto solo queda ir al campo; y los logs no pueden salir. El equilibrio razonable es «sin salida a internet, pero con salida a la red de administración»: permitir solo tres destinos —NVR, NTP y recolector syslog— y deny al resto. Seguridad casi como en offline y operabilidad como en una red conectada.

Q: ¿Para VLAN hace falta un switch L3 o sirve uno normal?

A: El tagging 802.1Q lo hace cualquier switch L2 gestionable, así que el reparto de redes se puede hacer ahí. Pero el control de acceso entre VLAN en L2 no funciona: para ACL necesitas L3 (enrutado o switch L3). Es decir, si solo quieres «los segmentos no se ven», basta L2 gestionable más L3; para reglas como «la cámara solo la alcanza este NVR» hace falta L3. Un switch doméstico no gestionable no etiqueta, así que la única segmentación posible es física: switch aparte y subred aparte.

Q: ¿Qué puntos de GB/T 22239 (nivel 2) / GB/T 22239 pegan realmente al CCTV?

A: En la práctica cuatro: frontera segura de zona —¿hay control de acceso entre el segmento de cámaras y la oficina?; entorno seguro de cómputo —autenticación (complejidad, manejo de fallos, timeout), prevención de intrusión (servicios innecesarios apagados) y auditoría segura (logs cubiertos y retención >= 6 meses); red de comunicación segura —confidencialidad, es decir si el flujo va cifrado; y gestión de seguridad / construcción —evidencia de pruebas de intrusión periódicas y evaluación anual. Los sistemas de vídeo suelen entrar en nivel dos o tres según tamaño.

Q: ¿Una cámara se contagió de ransomware, qué hago?

A: No pague deprisa. Lo primero corte la salida de ese segmento (desenchufar el cable es lo más rápido) para frenar la propagación. Después saque grabaciones antiguas sin cifrar del NVR o de un almacén independiente —eso decide si el rescate vale algo. Busque el punto de entrada más temprano: revise syslog y los logs de acceso del NVR para ver qué equipo, desde qué IP y a qué hora un login salió bien. Luego reconstruya con paquetes de firmware offline, no baje parches de internet. Y al final revise todo lo demás en ese VLAN con el mismo firmware, que es la vía de replicación habitual. En prevención, el egress-deny y el VLAN dedicado de la sección 3 son lo que para que el ransomware no llegue a contabilidad y ERP.

Q: Para red de varias tiendas, ¿VPN o nube P2P?

A: Depende del personal de TI. Planta única con IT que puede levantar túnel: VPN sitio a sitio —seguro, gobernable, sin depender de la nube del fabricante, pero cada enlace necesita mantenimiento. Decenas de tiendas donde nadie gestiona TI: la nube P2P o el relay del fabricante es más realista, atraviesa bien el NAT y la app del móvil funciona; el coste es dejar parte del plano de control en la nube del fabricante, así que evalúe su cumplimiento y su SLA. El camino intermedio es «plano de control en la nube, plano de datos por P2P», pero los prerequisites no cambian: cuentas fuertes, servicios podados, VLAN separadas. La nube resuelve la conectividad, no la higiene del dispositivo.