U-Prox IVA HUB: як ізолювати IP-камери від інтернету та заблокувати віддалені атаки

Залишати IP-камерам та відеореєстраторам прямий вихід у глобальну мережу заради зручного перегляду зі смартфона — типова архітектурна помилка під час запуску системи відеоспостереження. У жовтні 2026 року CERT-UA повідомила про компрометацію IP-камер і відеореєстраторів одного з популярних виробників.

Серед наслідків такого втручання — доступ сторонніх до відеопотоку, зміна конфігурації та створення сторонніх облікових записів. Нові уразливості в прошивках з'являються постійно, а випуск та встановлення оновлень не завжди встигають за діями зловмисників, через що власник об'єкта часто навіть не підозрює про сторонній доступ до свого відео. Оновлення потрібні, але покладатися лише на них під час проєктування захисту не варто.

Корінь проблеми полягає не в конкретному бренді обладнання, а в самому факті прямого доступу камер до інтернету. Вирішити це завдання без заміни вже змонтованих пристроїв дозволяє адаптер хмарного відеоспостереження U-PROX IVA HUB. Пристрій виступає захищеним шлюзом: камери повністю ізолюються всередині локальної мережі, а зовнішній зв'язок та передачу зашифрованого потоку бере на себе адаптер. Розберемо, як побудована ця архітектура, які схеми ізоляції обрати під час монтажу та що врахувати в розрахунках мережі.

Чому оновлення прошивок не рятують за відкритого доступу в мережу

Коли IP-камера або реєстратор мають прямий вихід в інтернет, вони стають видимими для автоматизованих мережевих сканерів. Атаки відбуваються дистанційно — як через уже відомі помилки конфігурації, так і через нові уразливості в програмному забезпеченні камер, доки виробник готує патч або інсталятор планує виїзд на об'єкт для оновлення.

Крім того, підключені до глобальної мережі пристрої можуть передавати телеметрію та дані у хмару виробника без відома власника. Окремий канал доступу створюють P2P/хмарні сервіси: камера сама підключається до інфраструктури виробника, і в такому разі пристрій може бути доступним навіть без прокидання портів на маршрутизаторі.

Принцип захисту, який реалізує система U-PROX IVA, базується на фізичному та логічному відсіканні периферії від зовнішнього світу: без інтернету — без зломів, із шифруванням — без чужих очей. Камера, якій заблоковано вихід за межі локальної мережі об'єкта, не може бути скомпрометована ззовні навіть через ті уразливості прошивки, яких ще ніхто не виявив.

При цьому замовник зберігає звичний дистанційний доступ до живого відео та архіву через мобільний застосунок U-PROX IVA для iOS та Android, оскільки вся комунікація із зовнішнім світом відбувається виключно через U-PROX IVA HUB. Ізоляція зменшує поверхню атаки, проте не усуває ризиків усередині локальної мережі: прошивки камер і HUB потрібно оновлювати, а облікові записи — перевіряти.

Два сценарії мережевої ізоляції камер на об'єкті

Залежно від масштабу об'єкта, наявного мережевого обладнання та вимог замовника до інформаційної безпеки, інженер може реалізувати один із двох рівнів ізоляції відеокамер. В обох випадках самі камери спілкуються лише з U-PROX IVA HUB у межах локальної інфраструктури.

Варіант 1. Базовий рівень: блокування за MAC-адресами на маршрутизаторі

Ця схема підходить для невеликих об'єктів — приватних будинків, невеликих офісів чи магазинів, де всі пристрої підключені до одного наявного роутера, а бюджет не передбачає закупівлі керованого мережевого обладнання.

Алгоритм налаштування для інсталятора зводиться до чотирьох кроків:

1. Підключити IP-камери та U-PROX IVA HUB до локальної мережі маршрутизатора і закріпити за ними IP-адреси, щоб правила доступу залишалися чинними після перезавантаження.
2. У налаштуваннях безпеки або міжмережевого екрана на роутері заблокувати доступ до інтернету для MAC-адрес усіх встановлених камер. Якщо роутер використовує MAC-адреси лише для вибору пристроїв, переконатися, що це саме блокування інтернет-доступу, а не звичайний Wi-Fi MAC-фільтр (у побутових роутерах ця функція часто називається «батьківський контроль» або «контроль доступу»). Правила мають враховувати IPv4 та IPv6.
3. Залишити дозвіл на вихід у глобальну мережу лише для MAC-адреси адаптера U-PROX IVA HUB (вона вказана безпосередньо на корпусі пристрою).
4. Прибрати непотрібні прокидання портів, перевірити UPnP і вимкнути P2P/Cloud Access на камерах. Після налаштування перевірити, чи HUB отримує відеопотоки, а камери не встановлюють зовнішніх з'єднань.

У результаті камери продовжують передавати відеопотоки на адаптер усередині локального сегмента, але повністю втрачають здатність ініціювати з'єднання із зовнішніми серверами чи відповідати на запити з інтернету.

Обмеження схемиВона закриває вихід у WAN, але залишає камери в спільному LAN з іншими пристроями об'єкта — від загроз усередині локальної мережі захищає лише Варіант 2.

Варіант 2. Розширений рівень: виділення камер в окрему підмережу

Для комерційних, промислових та розподілених об'єктів із підвищеними вимогами до кібербезпеки застосовується повна сегментація трафіку.

У цій топології всі IP-камери виносяться в окрему ізольовану підмережу без шлюзу за замовчуванням у глобальну мережу. Алгоритм налаштування для інсталятора зводиться до чотирьох кроків:

1. Розмістити камери та U-PROX IVA HUB в одному відео-VLAN або фізично відокремленому мережевому сегменті (на практиці — окремий VLAN на керованому PoE-комутаторі, який одночасно живить камери і розділяє сегменти).
2. На маршрутизаторі заборонити камерам вихід у WAN, а адаптеру дозволити лише потрібні з'єднання з хмарним сервісом. Окрема IP-підмережа або відсутність шлюзу в налаштуваннях камер таких правил не замінюють.
3. Закрити доступ з офісної та гостьової мереж до відеосегмента правилами міжмережевого екрана; винятки для обслуговування надати лише визначеним адміністративним вузлам. Пристрої всередині одного VLAN можуть спілкуватися між собою — якщо потрібно обмежити і цей доступ, налаштувати його на комутаторі.
4. Перед здаванням об'єкта перевірити, що з гостьового Wi-Fi та неавторизованих робочих місць камери недоступні, зокрема через IPv6.

Доступ до цього сегмента має виключно U-PROX IVA HUB, який збирає локальні потоки через інтерфейс Gigabit Ethernet, обробляє їх і передає далі на захищений сервер. Навіть якщо зловмисник отримає доступ до корпоративної чи гостьової Wi-Fi мережі офісу, сегмент відеоспостереження залишиться для нього недосяжним.

Маршрут і шифрування відеопотоку: від об'єктива до смартфона

Ізоляція камер вирішує проблему несанкціонованого входу на об'єкт, а друга складова безпеки U-PROX IVA — захист самого відеоконтенту під час передачі та зберігання в хмарі. На відміну від стандартних схем, де потік шифрується лише на транспортному рівні або залишається відкритим для адміністраторів хмарного майданчика, тут реалізовано наскрізний захист:

• Шифрування на об'єкті: U-PROX IVA HUB забирає відеопотоки з камер і шифрує їх безпосередньо на об'єкті, ще до того, як пакети даних покинуть межі локальної мережі. Захист ділянки «камера — HUB» залежить від протоколу й налаштувань самої камери: шифрування на адаптері не робить вхідний потік від камери автоматично зашифрованим — саме тому ізоляція сегмента і шифрування працюють у парі.
• Зберігання на захищених європейських серверах: зашифровані записи передаються на захищений сервер U-PROX, розташований у дата-центрах ЄС, де формується хмарний архів. Уже завантажена копія залишається поза об'єктом у разі пошкодження або крадіжки локального обладнання.
• Розшифрування лише на пристрої клієнта: ключі для перегляду працюють на боці авторизованого користувача в мобільному застосунку U-PROX IVA, тому переглянути відео неможливо навіть безпосередньо на хмарному сервері.

Апаратна база та розрахунок навантаження для проєкту

Адаптер працює на вбудованому спеціалізованому програмному забезпеченні, розробленому та допрацьованому українськими фахівцями. Пристрій виконаний у компактному чорному корпусі розміром 49,5 × 49,5 × 29 мм і вагою 86,5 г, що дозволяє легко розмістити його в будь-якому слаботочному щиті або монтажній коробці поруч із комутатором.

Під час проєктування системи та складання кошторису інсталятору варто врахувати ключові технічні параметри пристрою:

• Пропускна здатність до 100 Мбіт/с: це сумарний бітрейт усіх підключених до одного адаптера IP-камер. Плануючи кількість камер на один U-PROX IVA HUB, необхідно скласти бітрейти їхніх робочих потоків, щоб не перевищити поріг у 100 Мбіт/с. Фізичний порт — Gigabit Ethernet, але в розрахунок беріть саме 100 Мбіт/с. Орієнтир: 8 камер 1080p по 4 Мбіт/с — 32 Мбіт/с із запасом; 8 камер 4K по 12–16 Мбіт/с — 96–128 Мбіт/с, уже на межі. Оскільки архів формується в хмарі, канал інтернету на об'єкті (upload) має витримувати сумарний бітрейт потоків, що передаються на сервер.
• Мультибрендова сумісність: до 8 IP-камер на один адаптер; система підтримує більшість популярних IP-камер провідних виробників (актуальний перелік сумісного обладнання та протоколів публікується на сайті сервісу). Для модернізації вже змонтованої системи не потрібно демонтувати наявні камери.
• Вимоги до живлення: пристрій живиться через роз'єм USB-C (5 В / 2 А), а в заводський комплект постачання вже входить блок живлення з кабелем на 5 В / 3 А та патч-корд Ethernet.
• Умови експлуатації та індикація: адаптер розрахований на роботу за температур від 0 °C до +60 °C та вологості до 75 % (кліматичний клас II згідно з EN 50131-1). На корпусі передбачені індикатори стану системи (червоний SYS LED) та підключення (зелений LED1), слот micro-SD, кнопки RESET і RCRY, а також QR-код для швидкої реєстрації приладу в застосунку. Гарантійний термін експлуатації пристрою (крім блока живлення) становить 10 років із дати продажу.

Важливий нюансДля живлення дозволяється використовувати лише адаптери з напругою 5 В та струмом не менше ніж 2 А — невідповідні блоки живлення можуть призвести до некоректної роботи або пошкодження плати.

Для інсталятора впровадження U-PROX IVA HUB означає швидке закриття питання кібербезпеки на нових і старих об'єктах без тривалого переналаштування камер та регулярних сервісних виїздів для оновлення прошивок. Для замовника — це захист від поточних і майбутніх мережевих атак, невидимість камер для інтернет-сканерів, відсутність прихованої передачі даних на сторонні сервери виробників та впевненість у тому, що відео з об'єкта доступне виключно йому.

Замовлення та комплектація в B2B-кабінеті VIATEC

Додавайте хмарні адаптери U-PROX IVA HUB до проєктних специфікацій і формуйте кошторис в особистому B2B-кабінеті VIATEC:

• перевірка актуальних залишків на складі в режимі реального часу;
• персональні партнерські ціни для точного розрахунку маржинальності проєкту;
• доповнення замовлення сумісними IP-камерами, PoE-комутаторами, маршрутизаторами та монтажними боксами;
• миттєве резервування обладнання під проєкт в один клік.

З питань перевірки сумісності наявного парку камер на об'єкті замовника та розрахунку сумарного бітрейту потоків звертайтеся до вашого персонального менеджера або фахівців технічної підтримки VIATEC.