¿Qué ha ocurrido?
Certified Security Operations Center GmbH (CSOC) ha establecido, junto con Axis Communications, los llamados Audit Logs (registros de auditoría) para cámaras de red en el ámbito de la seguridad. El objetivo es hacer trazables los procesos dentro de la propia cámara, un ámbito que hasta ahora permanecía en gran medida invisible para los sistemas de videovigilancia profesionales. Mientras que el tráfico de red y los datos de registro de la infraestructura ya se supervisaban de forma centralizada desde hace tiempo, faltaba en las propias cámaras información sobre quién había iniciado sesión o si se habían modificado parámetros.
Los detalles
CSOC opera un Security Operations Center (SOC) y supervisa las 24 horas del día infraestructuras de TI y OT de empresas medianas, desde pequeños negocios hasta organizaciones relevantes para infraestructuras críticas (KRITIS). El enfoque de Managed Detection and Response (MDR) empleado combina la detección automatizada con la experiencia humana. El principio fundamental es: sin datos no hay análisis, y cuanta más transparencia, mejor es la protección.
Joerg Lammerich, director general de CSOC, describe concretamente la brecha existente hasta ahora: «Podíamos ver el tráfico de red de la cámara, pero no lo que sucedía dentro de ella. ¿Quién había iniciado sesión? ¿Se habían modificado parámetros? Nos faltaba esa información relevante». Como ejemplo se menciona el caso de que alguien modifique la frecuencia de fotogramas de una cámara: la grabación adquiere entonces «puntos ciegos» y se vuelve deficiente. En una investigación forense faltarían entonces datos importantes, como quién accedió a una zona de seguridad y con qué autorización.
Según Axis, los usuarios con privilegios, como administradores, personal de mantenimiento o proveedores externos, representan un riesgo elevado, ya que disponen de amplios conocimientos técnicos y derechos de acceso de gran alcance. Ya sea por mala intención o por errores de configuración, sin los Audit Logs estos cambios suelen pasar desapercibidos.
Los Audit Logs son registros cronológicos e inalterables de todas las actividades relevantes para la seguridad en un dispositivo, protegidos mediante transmisión cifrada y firma digital. No pueden ser desactivados por usuarios locales. Entre lo que se documenta se incluye:
- Cambios en configuraciones y parámetros
- Accesos a datos de vídeo en directo o archivados
- Cambios de usuarios y roles
- Eventos del sistema e intervenciones de software
Según el fabricante, las cámaras de Axis proporcionan Audit Logs detallados a través de tres vías: un flujo de eventos hacia los sistemas VMS para supervisión en tiempo real, la API de Audit Log de VAPIX para consultas administrativas específicas vía HTTP/HTTPS, y syslog remoto mediante TLS para la integración cifrada en plataformas SIEM y de monitorización. Según la empresa, estos datos se integran sin fisuras en la infraestructura SOC existente de CSOC: de forma cifrada, con validez probatoria y analizable forense.
Contexto
Los sistemas de videoseguridad y de control de accesos dejaron hace tiempo de ser sistemas aislados para convertirse en parte de un gran sistema de TI interconectado, y por tanto, en un vector de ataque potencial. La tecnología detrás de los Audit Logs no es nueva, sino que lleva tiempo siendo un estándar en el ámbito de la TI clásica. Lo novedoso es su aplicación en el campo de la videoseguridad.
Precisamente en el caso de infiltrados internos o ataques indirectos, por ejemplo mediante credenciales comprometidas, los Audit Logs constituyen, según Axis, la prueba determinante de manipulaciones a nivel de dispositivo. Forman la base para la detección de amenazas a lo largo de toda la cadena de evidencia, desde la cámara, pasando por la transmisión de datos, hasta el almacenamiento y la visualización. Así, una manipulación potencialmente invisible se convierte en un proceso trazable que, según el grado de modificación, puede desencadenar incluso una notificación proactiva.
Consejos prácticos
De los casos de uso descritos se pueden derivar los siguientes puntos de partida para los operadores de sistemas de videoseguridad:
- Al producirse la baja de empleados, las credenciales de acceso deben desactivarse de forma sistemática, y cualquier uso posterior de las mismas debe supervisarse mediante Audit Logs; el sistema puede emitir una alarma automática en estos casos.
- Los cambios en parámetros de la cámara relevantes para la seguridad, como el contraste o la frecuencia de fotogramas (FPS), deben notificarse en tiempo real a través del centro de control para detectar a tiempo posibles puntos ciegos en la grabación.
- La integración de los Audit Logs de las cámaras en las plataformas SIEM y de monitorización existentes mediante syslog remoto por TLS permite un análisis centralizado y cifrado junto con otros datos de red.
- En combinación con el «sellado de software» (Software Sealing), cada cambio puede atribuirse de forma inequívoca a un usuario, un momento y un dispositivo concretos, lo que también facilita análisis forenses que pueden remontarse varios años atrás.
Perspectivas
Gracias a los Audit Logs, las cámaras se convierten en CSOC en elementos documentados, supervisables y utilizables forense de la arquitectura general. De una supervisión puramente reactiva, en la que los incidentes solo se detectaban a posteriori, surge así un enfoque proactivo, en el que el firmware desconocido, las conexiones sospechosas o los cambios de configuración no autorizados se vuelven visibles de inmediato.
Este enfoque también cobra relevancia por el marco regulatorio: según Axis, los Audit Logs respaldan los requisitos derivados de KRITIS, NIS-2 e ISO 27001. Para los operadores de infraestructuras críticas, la trazabilidad a nivel de dispositivo dejará de ser, previsiblemente, una mera característica técnica de comodidad para convertirse cada vez más también en un tema de cumplimiento normativo.
