Protocolo integral de endurecimiento (*hardening*) para cámaras IP, grabadores NVR y switches PoE. Cumplimiento de la Directiva Europea NIS2, Esquema Nacional de Seguridad (ENS) y prevención de intrusiones físicas o lógicas en la red de seguridad.
Las cámaras IP jamás deben tener salida directa a Internet (`0.0.0.0/0`) ni visibilidad con los PCs de la oficina.
Rango `10.20.0.0/24`. Sin Gateway hacia Internet. Solo acepta tráfico desde la IP del NVR. Puerto switch con 802.1X activado.
Tarjeta LAN1 en VLAN 20 (Cámaras) y Tarjeta LAN2 en VLAN 10 (Gestión interna). Actúa como puente controlado sin enrutamiento directo.
Acceso externo exclusivamente mediante VPN WireGuard / IPsec con certificado digital y 2FA. Sin mapeo de puertos NAT en router.
Las cámaras IP y grabadores nunca deben convivir en la misma subred que terminales de usuario o redes WiFi corporativas. El switch gestionable debe aislar el tráfico con una VLAN dedicada y ACLs que solo permitan comunicación hacia la IP del NVR.
Universal Plug and Play (UPnP) permite a las cámaras abrir puertos automáticamente en el router hacia Internet sin autenticación, dejando streams RTSP y paneles web expuestos a bots como Mirai o escaneos Shodan.
Si una cámara exterior es desmontada del poste o fachada, un atacante no puede conectar un portátil al cable Ethernet y acceder a la red interna, ya que el switch bloqueará el puerto hasta que se valide el certificado X.509 de la cámara.
Deshabilitar el puerto HTTP 80 en cámaras y grabadores. Todo el tráfico web y la interfaz de gestión deben operar bajo HTTPS cifrado para evitar intercepción de credenciales en tránsito (Man-In-The-Middle).
Los flujos de vídeo `rtsp://` no deben transmitirse con autenticación Basic en texto plano. La autenticación Digest con nonce criptográfico impide que sniffers de red capturen el usuario y clave de visualización.
En infraestructuras críticas, banca o Grado 3, las conexiones P2P propietarias de fabricantes (Hik-Connect, Dahua Easy4ip, Uniview EZCloud) deben desactivarse en favor de túneles VPN dedicados (WireGuard / IPsec) con autenticación multifactor (MFA).
Un NVR con desfase horario invalida las grabaciones como prueba pericial en juicio. Se debe configurar sincronización continua contra servidores de hora del Real Instituto y Observatorio de la Armada (ROA: `hora.roa.es`) o servidores de red interna aislados.
Nunca utilizar la contraseña maestra del NVR para vincular cámaras por ONVIF. Crear un usuario de servicio `onvif_media` con permisos exclusivos de streaming para mitigar el impacto si una cámara es comprometida.
Comprueba qué servicios deben permanecer cerrados en la configuración de fábrica de los fabricantes.
| Puerto / Servicio | Estado Recomendado | Vulnerabilidad / Vector de Ataque | Alternativa Segura |
|---|---|---|---|
| HTTP (TCP 80) | DESACTIVAR | Envío de claves y cookies en texto claro | HTTPS (TCP 443 con TLS 1.3) |
| Telnet (TCP 23) | DESACTIVAR | Consola de depuración con contraseñas de fabricante | SSH v2 o deshabilitado |
| UPnP (UDP 1900) | DESACTIVAR | Apertura no autorizada de puertos hacia Internet | Sin NAT / Túnel VPN |
| RTSP sin Auth (TCP 554) | DESACTIVAR | Espionaje de vídeo en directo sin credenciales | RTSP Digest Auth / RTSPS (TCP 322) |
| SNMP v1/v2c (UDP 161) | DESACTIVAR | Community strings 'public' revelan modelo y firmware | SNMPv3 con AuthPriv (SHA-256 / AES) |