Hardening Guide 설치안내서
문서정보 이안내서는장치를강화하고배치팀에자료를제공하여로컬네트워크정책, 구성, 사양을다루려는목적으로제작되었습니다. 이문서에명시된모든설정은제품의웹페이지에적용되어있습니다. 웹페이지에액세스하려면제품별사용설명서를참조하십시오. 책임 본문서는최대한주의를기울여작성되었습니다. 잘못되거나누락된정보가있는경우 Axis 지사로알려주시기바랍니다. Axis Communications AB는기술적또는인쇄상의오류에대해책임을지지않으며사전통지없이제품및설명서를변경할수있습니다. Axis Communications AB는특정목적에대한상업성및적합성의암시적보증을포함하여이에국한하지않고본문서에포함된자료에대해그어떠한종류의보증도하지않습니다. Axis Communications AB는이자료의공급, 실행또는사용과관련하여발생하는부수적또는결과적손상에대해그어떤책임도지지않습니다. 이제품은의도한목적에적합한용도로만사용할수있습니다. 지적재산권 Axis AB는본설명서에명시되어있는제품에구현된기술에관한지적재산권을보유합니다. 특히이러한지적재산권에는 www.axis.com/patent.htm에나열된하나이상의특허와미국과기타국가에서획득한하나이상의특허나출원중인특허가포함될수있습니다. 지원 기술적도움이필요한경우해당 Axis 리셀러에게문의하십시오. 고객질문에즉시대답해드릴수없는경우리셀러가신속하게응 답해드릴수있도록고객질문을적절한채널로전달합니다. 인터 넷에연결되어있는경우다음을수행할수있습니다. 사용설명서와소프트웨어업데이트다운로드 FAQ 데이터베이스에서관련문제에대한해결책검색제품 별, 카테고리별, 문구별로검색 개인지원영역에로그인하여 Axis 지원팀의직원에게문 제보고 Axis 지원팀의직원과채팅 Axis 지원웹사이트 (www.axis.com/techsup/) 방문 기술적도움이필요한경우 AVHS 라이센스계약에따라해당채 널에문의하시면신속한응답을받을수있습니다. 기술적도움이필요한경우 ADP 헬프데스크에문의하시면신속 한응답을받을수있습니다. 자세히알아보기 엑시스교육센터 (www.axis.com/academy/) 에서유용한교육, 온라 인회의, 튜토리얼및안내서를이용하십시오. 본제품에는라이센스를부여받은 3rd-party 소프트웨어가포함되어있습니다. 자세한내용은본제품의사용자인터페이스에있는메뉴항목 About ( 정보 ) 을참조하십시오. 본제품에는 Apple Public Source License 2.0 조건에따른소스코드저작권 Apple Computer, Inc. 가포함되어있습니다 (www.opensource.apple.com/apsl 참조 ). 소스코드는 https://developer.apple.com/bonjour/ 에서이용할수있습니다. 상표승인 AXIS COMMUNICATIONS와 AXIS는관련법규에따른 Axis AB의등록상표또는상표애플리케이션입니다. 기타모든회사명과제품들은해당회사의상표이거나등록상표입니다. Apple, Boa, Apache, Bonjour, Ethernet, Internet Explorer, Linux, Microsoft, Mozilla, Real, SMPTE, QuickTime, UNIX, Windows, Windows Vista, WWW는각소유회사의등록상표입니다. Java 및 Java 기반의모든상표와로고는 Oracle 및 / 또는자회사의상표또는등록상표입니다. UPnP TM 은 UPnP TM Implementers Corporation의인증마크입니다. 연락처 Axis Communications AB Emdalavägen 14 223 69 Lund Sweden 전화 : +46 46 272 18 00 팩스 : +46 46 13 61 30 www.axis.com
Hardening Guide 목차 서론................................................ 4 네트워크환경의보안카메라............................... 4 보정제어............................................... 4 보호레벨정보........................................ 5 기본보호............................................ 7 표준보호............................................ 8 펌웨어확인............................................. 8 펌웨어업그레이드........................................ 8 공장출하시기본설정으로리셋............................ 9 루트패스워드설정....................................... 9 사용자권한설정......................................... 10 기본네트워크설정구성................................... 11 시간및날짜설정........................................ 12 오디오비활성화.......................................... 13 전사적보호.......................................... 15 암호화활성화........................................... 15 백업관리계정생성...................................... 17 영상클라이언트계정생성................................. 18 AVHS 비활성화........................................... 19 검색서비스비활성화..................................... 20 고급네트워크설정구성................................... 22 SOCKS 비활성화.......................................... 24 QoS 비활성화............................................ 25 비디오를항상멀티캐스트비활성화.......................... 26 SSH 비활성화............................................ 27 IP 주소필터설정........................................ 28 관리형전사적보호.................................... 30 IEEE 802.1x 네트워크액세스................................ 30 SNMP 모니터링구성...................................... 31 원격시스템로그......................................... 32 3
Hardening Guide 서론 최종사용자조직뿐아니라전체제조사공급망에도네트워크, 네트워크장치, 네트워크에서지원되는서비스를안전하게보호할책임이있습니다. 안전한환경은사용자, 프로세스, 기술에달려있습니다. 이보안강화안내서에는 Axis 비디오솔루션배치에관여하는모든사람을위한기술적조언이제공되어있습니다. 베이스라인구성및진화하는위협상황을처리하는강화전략을설정합니다. SANS 상위 20개 CSC(Critical Security Control) - 버전 5는다른많은보안조직과마찬가지로 Axis 베이스라인에도사용됩니다.(www.sans.org/critical-security-controls 참조 ) 네트워크환경의보안카메라 네트워크카메라에대한가장명백한위협은물리적사보타주, 파손행위, 탬퍼링입니다. 해당위협으로부터제품을보호하려면파손방지모델또는케이스를선택하고권장방식대로마운트하며케이블을보호하는것이중요합니다. IT/ 네트워크관점에서카메라는업무용랩톱, 데스크톱, 모바일기기와비슷한네트워크엔드포인트입니다. 업무용랩톱과달리네트워크카메라는사용자가잠재적으로유해한웹사이트를방문하고, 악성이메일첨부파일을열거나신뢰할수없는애플리케이션을설치하는데따르는일반적인위협에노출되지않습니다. 하지만, 카메라는위험을노출할수있는인터페이스가있는네트워크장치입니다. 이안내서는이러한위험의노출영역을줄이는데초점을맞춥니다. 보정제어 보정제어는시스템이다른방법으로는해결할수없는제어를해결하는솔루션 ( 추가서비스, 사용자정의, 배치규칙또는조정 ) 입니다. 예를들면, 네트워크카메라에서원격 syslog 또는 SNMP를지원하지않으면이러한제어기능을지원하는스위치를통해카메라를연결할수있습니다. 방화벽, 암호화한접근방법, 스위치의제한구성 ( 예 : ACL(Access Control Lists)) 은일반적으로사용되는보정제어의다른예입니다. 이러한보정제어는 Axis에서카메라및영상감시솔루션강화용으로사용하는업계의제어세트 (SANS 준수목록 ) 의일부입니다. 4
Hardening Guide 보호레벨정보 이안내서에서는시스템크기와요구사항에따라다른보호레벨을사용합니다. 각레벨에 서는이전레벨의권장사항이준수된것으로가정합니다. 보호레벨권장항목절차 0 기본보호 데모목적및테스트시나리오용으로만권장합니다. 1 표준보호 최소권장보호레벨입니 다. 이레벨은일반적으로 운영자가관리자를겸하는 작은사업체또는사무실 설치에적합합니다. N/A 펌웨어확인펌웨어업그레이드공장출하시기본설정으로리셋 루트패스워드설정 사용자권한설정 기본네트워크설정구성 시간및날짜설정 오디오비활성화 2 전사적보호전담시스템관리자가있 는기업을위한권장설정 입니다. 암호화활성화 백업관리계정생성 영상클라이언트계정생성 AVHS 비활성화 검색서비스비활성화 고급네트워크설정구성 SOCKS 비활성화 QoS 비활성화 5
Hardening Guide 비디오를항상멀티캐스 트비활성화 SSH 비활성화 IP 주소필터설정 3 관리형전사적보호 IT/IS 부서가있는대규모네트워크인프라에적합합니다. 카메라가전사적네트워크인프라에통합되어야하는환경에권장됩니다. IEEE 802.1x 네트워크액세스 SNMP 모니터링구성원격시스템로그 6
Hardening Guide 기본보호 카메라에는기본설정및기본패스워드가사전정의되어있습니다. 네트워크환경의문제와 위험분석결과에맞춰설정을조정하십시오. 7
Hardening Guide 표준보호 표준보호레벨은최소권장보호레벨입니다. 이레벨은일반적으로운영자가관리자를겸하 는작은사업체또는사무실설치에적합합니다. 펌웨어확인 펌웨어는네트워크장치의기능을활성화하고제어하는소프트웨어입니다. 항상최신펌웨어를사용하여가능한모든보안업데이트및버그수정을받으십시오. Setup > Basic Setup 페이지또는 Setup > About에서현재펌웨어버전을확인합니다. 펌웨어업그레이드 SANS #1: 인증및미인증장치목록. SANS #2: 인증및미인증소프트웨어목록. 정보 펌웨어를업그레이드하기전에사용자설명서의지침을읽어보십시오. 1. www.axis.com/techsup/firmware.php 에서무료로제공되는최신펌웨어파일을컴퓨 터에다운로드합니다. 2. 펌웨어를업그레이드합니다. 8
Hardening Guide 공장출하시기본설정으로리셋 공장출하시기본설정으로리셋하여제품이알려진상태에있는지확인하십시오. 지침은 사용자설명서를참조하십시오. 루트패스워드설정 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. SANS #12: 관리권한사용을제어. 패스워드는가장중요한네트워크카메라보호수단입니다. 강력한패스워드를사용하고보호를유지하십시오. 다수의카메라설치일경우카메라에동일하거나고유한패스워드를사용할수있습니다. 같은패스워드를사용하면관리하기에간단하지만한카메라의보안이손상되면위험이증가합니다. 9
Hardening Guide 중요 초기패스워드설정시패스워드는암호화되지않은텍스트로네트워크를통해전송됩니다. 네트워크스니핑위험이있으면패스워드를리셋하기전에암호화된안전한 HTTPS 연결을먼저설정하십시오. Axis의카메라에는제품이다양한설치유형으로사용될수있으므로패스워드정책이적용되지않습니다. 가급적패스워드생성기를사용하여생성된 8자이상의패스워드를사용하십시오. 표준 HTTP 연결을통해패스워드를설정하려면대화상자에직접입력하십시오. 사용자권한설정 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. 10
Hardening Guide 1. System Options > Security > Users로이동합니다. 2. 클라이언트가일반텍스트패스워드로로그인하는것을방지하려면 Allow password type이 Encrypted only로설정되었는지확인합니다. 3. Enable anonymous viewer login과 Enable anonymous PTZ control login이비 활성화되었는지확인합니다. 4. Save를클릭합니다. 기본네트워크설정구성 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. 1. System Options > Network로이동하여기본네트워크설정의확장된목록을확인합니다. 2. Enable IPv4를선택합니다. 3. Use the following IP address를선택하고 IP 주소, 서브넷마스크, 기본라우터를지정합니다. 4. 네트워크에서 IPv6를사용하면 Enable IPv6를선택합니다. 그렇지않으면비활성화상태로유지하여의도하지않은액세스를방지하십시오. 11
Hardening Guide 5. Enable ARP/Ping setting of IP address 를선택취소합니다. 6. 매개변수를저장하고할당된 IP 주소의관리인터페이스에다시연결합니다. 시간및날짜설정 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. 보안관점에서는날짜와시간이정확한것이중요합니다. ( 예 : 시스템로그에올바른정보로타임스탬프가지정됨 ) 카메라시계를 NTP(Network Time Protocol) 서버와동기화하는것이좋습니다. 시스템에 NTP 서버가없으면공개 NTP 서버를사용하십시오 (pool.ntp.org 등온라인에서사용가능 ). NTP와동기화하지않으면날짜와시간을수동으로설정해야합니다. 대부분의카메라에는배터리백업실시간클록이있으므로전원을꺼도시간이유지됩니다. 1. System Options > Date & Time으로이동합니다. 2. Time mode를 Synchronize with NTP server로설정합니다. 3. Save를클릭합니다. 4. NTP server 링크를클릭합니다. 5. NTP 서버를설정하고 Save를클릭합니다. 6. Time zone을설정합니다. 12
Hardening Guide 7. Automatically adjust for daylight saving time changes 를선택합니다. 오디오비활성화 SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. 네트워크카메라에일상작업에서사용되지않는오디오지원이있으면, 오디오지원을비활성화하여클라이언트가오디오스트림을요청하는것을방지해야합니다. 1. System Options > Security > Audio Support로이동합니다. 2. Enable audio support를선택취소합니다. 13
Hardening Guide 14
Hardening Guide 전사적보호 전사적보호레벨에서는네트워크카메라의가능한공격영역을줄여위험을최소화합니다. 정보 이섹션에서설명하는설정중일부는출하시사전설정되어있습니다. 아래지침 에따라설정이올바른지확인하십시오. 암호화활성화 SANS #17: 데이터보호. HTTPS를사용하여카메라에액세스함으로써클라이언트와카메라간트래픽을암호화하십시오. 모든카메라관리작업은 HTTPS를통괴해야합니다. RTP/RTSP를통해스트리밍되는비디오는아직암호화되지않은상태입니다. 민감한데이터가비디오스트림에포함된경우 HTTPS를통해 RTP/RTSP를통과하도록하십시오. 이는비디오클라이언트 /VMS 기능으로제어되며해당기능에좌우됩니다. 인증서생성 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. 자체서명인증서는암호화를제공하기에적합하지만, 웹브라우저에서는인증서를확인할수없다는경고가표시됩니다. 클라이언트에서올바른카메라에액세스하고있다는것을인증하려면 CA 서명인증서가필요합니다. 1. System Options > Security > Certificates로이동합니다. 2. 자체서명인증서를생성합니다. 지침은사용자설명서를참조하십시오. 15
Hardening Guide HTTPS 활성화 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. 관리권한이있는사용자가클라이언트와카메라간트래픽을암호화해야합니다. 이를위해서는클라이언트에서 HTTPS가지원되어야합니다. 1. System Options > Security > HTTPS로이동합니다. 2. HTTPS를활성화하려면드롭다운목록에서생성된인증서를선택합니다. 3. 관리자가 HTTPS를사용해야합니다. 추가사용자계정에뷰어및운영자레벨권한을추가하는경우연결정책을적절히설정하십시오. 4. Save를클릭합니다. 16
Hardening Guide 백업관리계정생성 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. SANS #12: 관리권한사용을제어. 기본관리자계정과다른패스워드를사용하는백업관리자계정을생성하는것이좋습니다. 1. System Options > Users로이동합니다. 2. 백업관리자계정을추가합니다. 패스워드요구사항은루트패스워드설정 을참조하십시오. 3. Save를클릭합니다. 17
Hardening Guide 영상클라이언트계정생성 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. SANS #12: 관리권한사용을제어. 클라이언트또는 VMS( 영상관리시스템 ) 에서는보통제한된관리자권한이있는운영자 그룹이사용됩니다. 비디오시스템과클라이언트에서는관리자계정을사용하지않아야 합니다. 대부분의경우운영자그룹이면충분합니다. 하지만, VMS에서는관리자권한 이필요한서비스가사용될수도있습니다. 1. System Options > Users로이동합니다. 2. 적절한사용자그룹이있는새계정을추가하고비디오시스템및클라이언트에부 합하는강력한패스워드를설정하십시오. 패스워드요구사항은다음을참조하 십시오 : 루트패스워드설정 18
Hardening Guide AVHS 비활성화 SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. 카메라가호스팅비디오서비스에연결되어있지않으면 AVHS 를비활성화하십시오. 1. System Options > Network 로이동합니다. 2. Enable AVHS 를선택취소합니다. 3. Save 를클릭합니다. 19
Hardening Guide 검색서비스비활성화 SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. 검색프로토콜은네트워크에서카메라를더쉽게찾을수있게하는지원서비스입니다. 카메라배치후검색프로토콜을비활성화하여네트워크에있는카메라의존재가공개되 지않도록막아야합니다. UPnP TM 비활성화 1. System Options > Network > UPnP로이동합니다. 2. Enable UPnP를선택취소합니다. 유지보수에필요시일시적으로활성화할수 있습니다. 3. Save를클릭합니다. 20
Hardening Guide Bonjour 비활성화 1. System Options > Network > Bonjour로이동합니다. 2. Enable Bonjour를선택취소합니다. 유지보수에필요시일시적으로활성화할 수있습니다. 3. Save를클릭합니다. 21
Hardening Guide 링크 - 로컬주소비활성화 1. System Options > Network > Advanced로이동합니다. 2. Auto-Configure Link-Local Address를선택취소합니다. 3. Save를클릭합니다. 고급네트워크설정구성 SANS #1: 인증및미인증장치목록. SANS #3: 하드웨어와소프트웨어의구성을안전하게보호. 22
Hardening Guide SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. 1. System Options > Network > Advanced로이동합니다. 2. DNS( 도메인이름서비스 ) 를구성합니다. 가능하면기본및보조 DNS를모 두사용하십시오. 3. 수동으로 FQDN( 정규화된도메인이름 ) 을설정하려면 Use the host name을선 택합니다. 4. Use the following DNS server address를선택하고다음과같이지정합니다. - Axis 제품에서사용하는호스트이름을검색할도메인 ( 들 ) 을입력합니다. 여러도메인을세미콜론 (;) 으로구분할수있습니다. 호스트이름은항상정 규화된도메인이름의첫번째부분입니다. 예를들면, mycompany.com 이도메인이름인정규화된도메인이름 myserver.mycompany.com 에서는 myserver가호스트이름입니다. - 기본및보조 DNS 서버의 IP 주소를입력합니다. 보조 DNS 서버는옵션 이며기본 DNS 서버를사용할수없는경우에사용합니다. 5. 기본값을유지합니다. HTTP port 80 및 HTTPS port: 443. 6. Enable FTP server를선택취소합니다. 7. H.264 비디오스트림을계속사용하려면 Enable RTSP를선택합니다. 기본포 트 554를유지합니다. 8. Save를클릭하고할당된 IP 주소의관리인터페이스에다시연결합니다. 23
Hardening Guide SOCKS 비활성화 SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. SOCKS 가네트워크에서사용되고있지않으면카메라에서도비활성화합니다. 1. System Options > Network > SOCKS 로이동합니다. 2. Enable SOCKS 를선택취소합니다. 3. Save 를클릭합니다. 24
Hardening Guide QoS 비활성화 SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. QoS(Quality of Service) 가사용되고있지않으면 QoS 를비활성화해야합니다. 1. System Options > Network > QoS 로이동합니다. 2. QoS 를비활성화하려면 QoS DSCP Settings 필드에값 0 을입력합니다. 3. Save 를클릭합니다. 25
Hardening Guide 비디오를항상멀티캐스트비활성화 SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. 기본적으로카메라에서비디오멀티캐스팅을방지하려면비디오멀티캐스트스트리밍을비활성화합니다. 요청시카메라에서비디오를멀티캐스트할수있습니다. 1. System Options > Network > RTP로이동합니다. 2. Always Multicast Video를선택취소합니다. 3. Save를클릭합니다. 26
Hardening Guide SSH 비활성화 SANS #11: 네트워크포트, 프로토콜, 서비스제한및제어. Axis 의카메라에서는 SSH(Secure Shell) 가지원되며기본적으로비활성화되어있습니다. 다음 작업을수행하여비활성화되었는지확인하십시오. 1. System Options > Advanced > Plain Config 로이동합니다. 2. 드롭다운메뉴에서 Network 를선택하고 Select group 을클릭합니다. 27
Hardening Guide 3. SSH Enabled 를선택취소하여 Network SSH 가비활성화되었는지확인합니다. 4. 필요하면 Save 를클릭합니다. IP 주소필터설정 SANS #13: 경계방어. SANS #15: 알아야할필요성을기준으로액세스를제어. 비디오클라이언트에서는 VMS를통해서만실시간및녹화영상에액세스하는것이좋으며, 어떠한영상에도카메라를통한직접액세스를허용해서는안됩니다. 인증된클라이언트에대한 IP 필터링을활성화하면카메라에서다른모든클라이언트의네트워크트래픽에응답하는것이방지됩니다. 인증된모든클라이언트 (VMS 서버및관리클라이언트 ) 를모두반드시화이트리스트에추가하십시오. 1. System Options > Security > IP Address Filter로이동합니다. 2. Enable IP address filtering을선택하고허용된 IP 주소를추가합니다. 자세한지침은사용자설명서를참조하십시오. 28
Hardening Guide 29
Hardening Guide 관리형전사적보호 관리형전사적네트워크는일반적으로카메라에연계해야하는추가관리도구와서비 스가있는시스템입니다. IEEE 802.1x 네트워크액세스 SANS #1: 인증및미인증장치목록. SANS #13: 경계방어. 카메라가 IEEE 802.1x 로보호되는네트워크에수용되려면적절한인증서와설정이필요합니다. 1. System Options > Security > Certificates 로이동합니다. 2. 네트워크용 CA 인증서를설치합니다. 3. 클라이언트인증서를설치합니다. 30
Hardening Guide 4. System Options > Security > IEEE 802.1x로이동합니다. 5. CA certificate와 Client Certificate를선택합니다. 6. 설정을구성합니다. 7. Enable IEEE 802.1x를선택합니다. 8. Save를클릭합니다. SNMP 모니터링구성 SANS #14: 감사로그의유지보수, 모니터링, 분석. Axis 의카메라에서는다음 SNMP 프로토콜이지원됩니다. SNMP v1: 기존사유에대해서만지원되며사용해서는안됩니다. SNMP v2c: 보호되는네트워크영역에사용할수있습니다. SNMP v3: 모니터링목적에권장합니다. 카메라에서는 MIB-II와 Axis Video MIB가지원됩니다. Axis Video MIB 다운로드 : www.axis.com/global/en/support/downloads/axis-video-mib SNMP에대한자세한내용은사용설명서를참조하십시오. 1. System Options > Network > SNMP 로이동합니다. 31
Hardening Guide 2. 필요하면인증서를설치하고 SNMP v3 를위해 HTTPS 를활성화합니다. 암호 화활성화페이지 15 도참조하십시오. 원격시스템로그 SANS #4: 지속적인취약성평가및수정. SANS #14: 감사로그의유지보수, 모니터링, 분석. SANS #16: 계정모니터링및제어. SANS #18: 사건대응및관리. 1. System Options > Advanced > Scripting > Open Script Editor로이동합니다. 2. 펌웨어 5.80 이상이설치된카메라에서는 /etc/rsyslog.d/40-remote_log.conf를선택합니다. 펌웨어 5.70 이하가설치된카메라에서는 /etc/rsyslog.conf를선택합니다. 32
Hardening Guide 3. 원격 syslog 서버의자격증명을추가하고 ( 예 : (*.* @10.2.0.2)) Save file 을클릭합니다. 4. 다시연결하여변경사항을활성화합니다. 33
설치안내서 버전 M1.2 Hardening Guide 날짜 : 10월 2015 Axis Communications AB, 2015 부품번호 1655823