很多公司裝了監視器，第一件事就是用 App 連手機看。方便是真的，但出廠預設密碼沒改、走 P2P 雲端、連接埠直接開在網際網路上的案例也不少。鏡頭看得到辦公室，別人也看得到。
常見的風險
- 出廠預設帳號密碼沒改，掃描器幾分鐘就能找到。
- P2P 或雲端帳號沿用弱密碼，或多人共用同一組帳密。
- HTTP、RTSP 連接埠直接對外開放，等於把畫面放在公開網路上。
- 設備韌體多年沒更新，已知漏洞一直存在。
不改預設密碼的代價
網路上流傳的公開監視器畫面，起因大多是把 IP 攝影機或 NVR 的連接埠開到外網，密碼又沒改。設備被掃到之後，攻擊者可以用預設帳密登入，看畫面、改設定，甚至當成跳板。這類設備的運算能力不強，很難察覺自己被入侵。
比較安全的遠端做法
能不對外開放就不要開。要看畫面，優先透過 VPN 連回公司再看，並搭配多因子驗證；或者使用有加密的雲端服務，改掉預設密碼、開啟兩步驗證。設備非得對外時，至少改掉預設埠、限制來源 IP、只開必要的埠，並關閉 UPnP。
帳號與權限
一人一組帳號，不要全部人共用 admin。離職人員的帳號要停用。安裝和設定權限留給管理者，一般同仁只看即時與回放畫面。共用帳號出事時，查不出是誰操作的。
韌體與紀錄
韌體更新會修掉已知漏洞，更新前先確認新版沒有災情。NVR 至少保留登入紀錄和操作紀錄，異常登入或設定被改時才有線索。密碼定期更換，別用公司名加數字這種組合。
找人代管也可以
沒有 IT 人力的公司，可以把監視系統的遠端存取設定和帳號管理交給廠商處理，公司端不去開連接埠。畫面只有自己人看得到，出狀況也有人先處理。
裝機前先想清楚
攝影機要接哪個網段、是不是跟辦公網路切開、遠端要看的人有幾個，這些在裝機前決定比事後補救容易。把監視設備放在獨立 VLAN，只開放必要的流量進出，就算其中一台設備出問題，也不會直接影響到辦公網路。設備如果已經停產、原廠不再釋出韌體，就該排進汰換清單，不要一直撐。
尚筠科技協助企業檢查監視系統的遠端設定、更換預設密碼與規劃 VPN 存取。電話 02-2397-2716。