Thiết bị AV cũng phải vá bảo mật: Vì sao firmware không thể bị bỏ quên?

Camera, encoder, decoder, KVM hay bộ điều khiển AV ngày nay không còn là những thiết bị hoạt động độc lập. Nhiều thiết bị được nối Ethernet. Chúng có giao diện web, API, tài khoản quản trị và khả năng điều khiển từ xa. Điều đó giúp hệ thống AV linh hoạt hơn. Tuy nhiên, nó cũng đưa AV vào cùng bài toán bảo mật mà đội IT đã phải xử lý nhiều năm. Một ví dụ mới xuất hiện trong tháng 9/2026. Ngày 15/9, AJA thông báo bản cập nhật HELO Plus v2.1.7 cải thiện khả năng bảo vệ thông tin chẩn đoán và xử lý một vấn đề bảo mật liên quan đến REST API. Hãng đồng thời khuyến nghị người dùng nâng cấp firmware. Đây không phải câu chuyện riêng của một encoder. Nó cho thấy một vấn đề rộng hơn: thiết bị AV kết nối mạng cũng cần được quản lý bản vá như các endpoint IT khác.

Khi thiết bị AV trở thành một network endpoint

HELO Plus là thiết bị streaming và recording chuyên dụng. Thiết bị có thể được cấu hình từ xa bằng trình duyệt thông qua Ethernet. Cách vận hành này hiện rất phổ biến trong ProAV. Một hệ thống doanh nghiệp có thể gồm camera IP, AV encoder, decoder, DSP, control processor và KVM-over-IP. Nhiều thiết bị trong số đó có địa chỉ IP riêng. Chúng cũng có dịch vụ quản trị riêng. AVIXA lưu ý rằng sự hội tụ giữa AV và IT mang lại nhiều lợi ích. Ví dụ gồm quản lý tập trung, giám sát từ xa và tích hợp với các nền tảng cộng tác. Tuy nhiên, chính kết nối mạng cũng khiến thiết bị AV trở thành một phần của bề mặt tấn công. Firmware cũ, mật khẩu yếu và mạng không được phân đoạn là những vấn đề đáng lưu ý. Nói đơn giản, một encoder không còn chỉ “nhận HDMI rồi phát stream”. Nếu có Web UI và API, nó cũng là một thiết bị mạng cần được bảo vệ.

Firmware update không chỉ để thêm tính năng

Người dùng thường liên tưởng cập nhật firmware với tính năng mới hoặc sửa lỗi hoạt động. Trong thực tế, firmware còn có thể sửa lỗ hổng bảo mật. AJA từng công bố riêng một advisory liên quan đến hai lỗ hổng trong thư viện SRT. Với HELO Plus, hãng cho biết firmware v2.1.6 đã tích hợp thư viện SRT được sửa và khuyến nghị những thiết bị dùng phiên bản trước đó nâng cấp. Điều quan trọng là không đánh đồng hai bản cập nhật. Vấn đề REST API được AJA đề cập với v2.1.7 khác với các vấn đề SRT đã được xử lý trong v2.1.6. Nhưng cả hai cùng minh họa một điều: firmware là một phần của vòng đời bảo mật thiết bị.

Vì sao REST API cũng cần được quan tâm?

REST API cho phép phần mềm khác giao tiếp với thiết bị. Trong hệ thống AV, API có thể phục vụ automation, monitoring hoặc tích hợp với hệ thống điều khiển. Đây là khả năng rất hữu ích. Nhưng một giao diện quản trị hoặc API được cấu hình không phù hợp cũng có thể tạo thêm bề mặt tấn công. Đó là lý do thiết bị AV không nên được đưa thẳng ra Internet chỉ vì nó có giao diện web. CISA khuyến nghị giảm khả năng tiếp xúc của thiết bị mạng với Internet. Tổ chức này cũng nhấn mạnh việc duy trì firmware mới, theo dõi thông báo của nhà sản xuất và phân tách lưu lượng quản trị khi có thể. CISA

Một Control Room nên quản lý thiết bị AV như thế nào?

Hãy hình dung một trung tâm điều hành có hàng chục thiết bị. Hệ thống có thể gồm video wall processor, KVM, encoder, decoder, camera và control processor. Nếu từng thiết bị sử dụng firmware khác nhau mà không có danh sách quản lý, kỹ thuật viên rất khó biết thiết bị nào cần cập nhật. Bước đầu tiên vì vậy không phải là “update tất cả”. Bước đầu tiên là inventory. Doanh nghiệp nên biết model, địa chỉ IP, phiên bản firmware và vai trò của từng thiết bị. Sau đó mới đối chiếu với security advisory của nhà sản xuất. Mạng AV cũng nên được phân đoạn phù hợp. Tùy quy mô hệ thống, doanh nghiệp có thể sử dụng VLAN, ACL hoặc firewall để giới hạn luồng truy cập. Các giao diện quản trị chỉ nên được mở cho những máy hoặc tài khoản thực sự cần sử dụng.

Có nên cập nhật firmware ngay khi có phiên bản mới?

Không phải lúc nào cũng nên bấm Update ngay trên một hệ thống đang vận hành 24/7. Firmware mới có thể ảnh hưởng đến driver, API hoặc khả năng tương thích giữa các thiết bị. CISA khuyến nghị đưa patch management vào quy trình change management. Các bản vá nên được kiểm thử và xác nhận trước khi triển khai rộng nếu môi trường vận hành yêu cầu độ ổn định cao.

Với Control Room, cách tiếp cận hợp lý thường là:

Kiểm tra advisory → xác định mức ảnh hưởng → sao lưu cấu hình → thử nghiệm → chuẩn bị phương án rollback → cập nhật production.

Điểm cần tránh là hai thái cực: không bao giờ cập nhật, hoặc cập nhật ngay mọi phiên bản mà không đánh giá rủi ro.

Bảo mật AV đang dần trở thành công việc chung của AV và IT

AV-over-IP, KVM-over-IP và Networked AV đang làm ranh giới giữa hai bộ phận ngày càng mờ. Kỹ sư AV cần hiểu thêm về VLAN, tài khoản, API và firmware. Ngược lại, đội IT cũng cần hiểu yêu cầu uptime và tính đặc thù của hệ thống AV. Với các dự án Control Room hoặc AV-over-IP, yếu tố bảo mật vì vậy nên được xem xét ngay từ giai đoạn thiết kế. Một hệ thống AV tốt không chỉ cần hình ảnh ổn định. Nó còn cần kiến trúc mạng và quy trình vận hành phù hợp trong suốt vòng đời dự án.Doanh nghiệp đang xây dựng hệ thống Control Room, AV-over-IP hoặc hạ tầng AV kết nối mạng có thể trao đổi với HCOM để đánh giá kiến trúc thiết bị và phương án triển khai phù hợp với nhu cầu thực tế.

Nguồn tham khảo

AJA Product News về HELO Plus v2.1.7. AJA Video Systems

AJA HELO Plus Product/Software page. AJA Video Systems

AJA Security Advisory về HELO Plus v2.1.6 và SRT. AJA Video Systems