DVRやNVRと言われる防犯カメラ録画機やIPカメラは
インターネットに接続して遠隔監視ができるものが多数販売されております。
弊社でも
顔認識ができるDVR（IPカメラとアナログカメラ両対応なので正しくはNVR)、
IPカメラ（PTZタイプや固定型タイプ）
を販売しており、これらはインターネットに接続して遠隔監視が可能です。
↓顔検出機能付DVR
↓IPカメラ
さて、これらで気を付けなければいけないのが、セキュリティです。
下記のNHKスペシャルでも放送されていましたが、家庭用防犯カメラ録画機(DVR)が乗っ取られて、
サイバー攻撃に加担していたという事が実際に起きています。
2017年にIoT機器を大量に乗っ取った「MIRAI」事件が有名ですね。
NHKスペシャル
あなたの家電が狙われている
～インターネットの新たな脅威～
2017年11月26日(日)
午後9時00分～9時49分
http://www6.nhk.or.jp/special/detail/index.html?aid=20171126
まず、必ずルーターを設置⇒設定するようにしましょう。
DVRやIPカメラをダイレクトにモデムに繋ぎインターネット上にさらすことをしてはいけません。
もしくはルーターのDMZ設定で事実上インターネットに直接さらすような事は避けましょう。
インターネット経由での遠隔監視の設定手順
1. インターネットから防犯カメラにアクセスできるようにルーターにポート開放設定（ポートフォワーディング）を行う
※家庭用ブロードバンドルーターを使用する事を前提にしています。企業向けルーターにはセキュリティ上好ましくないためポートフォワード機能が無い場合があります。
2. 開放するポート（例：7000番ポート）を開ける
※必要のないポートを開けないようにしましょう。必要のないポートは全て閉じられているか確認しましょう。
3. 開放した7000番ポート⇒LAN内の防犯カメラIPアドレス及び映像用ポート宛のポートフォワーディング設定
をルーターに行う
WAN側：ポート番号7000 ⇒ LAN側：192.168.0.123（IPアドレス）：9000（ポート番号）
というような感じです。
これは、例えばDDNSサービス企業からドメイン名を取得していたと仮定して、
そのアドレスがipcamera.no-ip.comとすると、ブラウザアクセスする際には下記になります。
http://ipcamera.no-ip.com:7000
:7000というように書いてルーターのWAN側ポート番号を指定します。
そうするとルーターは、
ポート番号7000 ⇒ LAN側：192.168.0.123（IPアドレス）：9000（ポート番号）
へと転送します。
5. スマホアプリ用のポートフォワーディング設定を行う（必要がある場合のみ）
DVRによってはスマホアプリで遠隔監視する場合に、別のポートにアクセスする必要がある場合があります。
例えばスマホアプリ向けに
DVR(もしくはIPカメラ）：192.168.0.123（IPアドレス）：5000（ポート番号）
にアクセスする必要がある場合、ルーターに下記ポートフォワーディング設定を追加します。
ポート番号5000 ⇒ LAN側：192.168.0.123（IPアドレス）：5000（ポート番号）
※さきほどのポート番号7000と同じでWAN側の開放ポート番号は何でもいいです。
ルーターは全てのポートを閉じている状態が最も安全です。
ですので、今回のようにポートを開放するという事はセキュリティに穴を空ける事になります。
なので、明けたポート経由で防犯カメラが乗っ取られてしまった場合、
同じLANに接続するサーバーやコンピューターにアクセスし、データを外部に流すことも可能になります。
また、MIRAIのように踏み台として使われ、勝手に外部サーバーに大量のアクセスを行うことも可能になります。
このようなリスクをどのように防ぐか？
安上がりな家庭用ブロードバンドルーターでも対応できるのか？
簡単な対応方法に下記３点を例に挙げておきます
①ルーターの２重（２個）化
モデム
↓
第１ネットワーク（ルーター１：192.168.1.0）⇒防犯カメラ（192.168.1.1）
↓
第２ネットワーク（ルーター２：WAN側192.168.1.2、LAN側192.168.2.0）⇒その他パソコン達（192.168.2.1）
というような二つのネットワーク構成にすれば、防犯カメラから第２ネットワークにはアクセスできないので、
第２ネットワークのパソコン達にももちろんアクセスできません。
これで、防犯カメラが乗っ取られても、LAN内のサーバーやPCへ被害が出ることは防げます。
ですが、ネットワーク内部から外部へのアクセス（アウトバウンド）を禁止しているわけではないため、MIRAIのように踏み台として使われる事を防ぐ事はできません。
企業でネットアクセス可能なDVRやIPカメラを利用する場合で、
家庭用ブロードバンドルーターを使用する場合には、上記のような２重ルーター設定にする事をお勧めします。
ただし、二重にすることで内部ネットワーク速度が遅くなるので、その点はご注意ください。
②指定したIPアドレス以外からのアクセスは拒否する「アクセス制限をかける」
これは、文字通り登録したIPアドレスからのアクセスはDVR側が全て拒否する、もしくはルーターが拒否するというもの。
しかし、これを行うには固定IPアドレスを取得する必要があります。
１ヶ月１０００円程度の利用料で取得できますので、企業利用であれば
監視カメラ以外の用途でも固定IPアドレスを取得することがあるかと思うので
利用しやすいかもしれませんね。
ちなみに弊社で販売している顔認識機能付DVRには
IPアドレスによるアクセス制限をする機能がついているので、
簡単にIPアドレスアクセス制限の実現が可能です！
※メインメニュー⇒ネットワーク⇒NetApply⇒IP設定⇒アクセスを許可するIPアドレスを登録（複数可能）
IPカメラ等を使う場合にはルーターの設定をしっかり行うようにしましょう。
プラグ&プレイ(UPnP)でのワンタッチ接続などは極力使わないようにし、DDNS等を使うようにしましょう。
※UPnPは自動でポート開放することになります。
③マルチセッションでネットワークを分ける
NTT東(西)のフレッツのサービスにある、
「1回線で2セッションの接続先を設定できるマルチセッション」
を利用する。これは１回線で２セッション、つまり２つのプロバイダに同時にPPPoE接続が可能です。
なので、防犯カメラ用のセッション、通常利用するパソコン用のセッションと分ける事が可能です。
ただ、この場合は２つのプロバイダ料金を払わなければなりません。
このようネットワークカメラは便利な反面、必ずセキュリティの問題が付いて回ります。
これは、どこの製品であってもインターネットに接続する以上しょうがない問題になります。
これを理解して、安全にネットワークカメラの運用をしていきましょう。
