Što se dogodilo?
Tvrtka Certified Security Operations Center GmbH (CSOC) zajedno s Axis Communications uvela je takozvane Audit Logove za mrežne kamere u sigurnosnom području. Cilj je omogućiti praćenje procesa unutar same kamere – područje koje je do sada za profesionalne sustave nadzora uglavnom ostajalo nevidljivo. Dok se mrežni promet i log podaci infrastrukture već dugo centralno nadziru, kod samih kamera nedostajale su informacije o tome tko se prijavio ili jesu li promijenjeni parametri.
Detalji
CSOC upravlja Security Operations Centerom (SOC) i 0danonoćno nadzire IT i OT infrastrukturu srednje velikih poduzeća – od malih tvrtki do organizacija relevantnih za KRITIS (kritičnu infrastrukturu). Korišteni pristup Managed Detection and Response (MDR) kombinira automatizirano otkrivanje s ljudskom stručnošću. Osnovno je načelo: bez podataka nema analize, što je veća transparentnost, to je bolja zaštita.
Joerg Lammerich, direktor tvrtke CSOC, konkretno opisuje dosadašnji nedostatak: „Mogli smo vidjeti mrežni promet kamere, ali ne i što se događa unutar kamere. Tko se prijavio? Jesu li promijenjeni parametri? Te su nam relevantne informacije nedostajale.“ Kao primjer navodi se slučaj kada netko promijeni brzinu osvježavanja slike (frame rate) kamere – snimka time dobiva „slijepe točke“ i postaje manjkava. Kod forenzičke pretrage tada bi nedostajale važne informacije, primjerice tko je s kojim ovlaštenjem ušao u sigurnosno područje.
Posebno ovlašteni korisnici poput administratora, osoblja za održavanje ili vanjskih pružatelja usluga predstavljaju, prema Axisu, povećani rizik jer raspolažu dubokim tehničkim znanjem i širokim pravima pristupa. Bilo da je riječ o zloj namjeri ili pogreškama u konfiguraciji – bez Audit Logova takve promjene često ostaju neprimijećene.
Audit Logovi su nepromjenjivi, kronološki zapisi svih sigurnosno relevantnih aktivnosti na uređaju, osigurani šifriranim prijenosom i potpisom. Lokalni korisnici ih ne mogu deaktivirati. Dokumentira se, među ostalim:
- Promjene konfiguracija i parametara
- Pristupi video podacima uživo ili iz arhive
- Promjene korisnika i uloga
- Sustavski događaji i intervencije u softver
Prema podacima proizvođača, Axis kamere pružaju detaljne Audit Logove na tri načina: tok događaja prema VMS sustavima za nadzor u stvarnom vremenu, VAPIX Audit Log API za ciljane administrativne upite putem HTTP/HTTPS-a te udaljeni syslog putem TLS-a za šifriranu integraciju u SIEM i monitoring platforme. Prema navodima tvrtke, ti se podaci besprijekorno uklapaju u postojeću SOC infrastrukturu CSOC-a – šifrirano, u skladu s revizijskim zahtjevima i forenzički analizirano.
Kontekst
Sustavi video nadzora i kontrole pristupa odavno više nisu izolirani sustavi, već dijelovi velikog umreženog IT sustava – a time i potencijalni vektor napada. Tehnologija iza Audit Logova pritom nije nova, već je u klasičnom IT-u odavno standard. Novost je njezina primjena u području video nadzora.
Upravo kod internih počinitelja ili neizravnih napada, primjerice putem kompromitiranih pristupnih podataka, Audit Logovi su prema Axisu ključni dokaz manipulacija na razini uređaja. Oni čine temelj za otkrivanje prijetnji duž cijelog lanca dokaza – od kamere preko prijenosa podataka do pohrane i prikaza. Time potencijalno nevidljiva manipulacija postaje transparentan proces, koji ovisno o stupnju promjene može pokrenuti i proaktivnu obavijest.
Praktični savjeti
Iz opisanih slučajeva primjene mogu se izvesti sljedeće smjernice za operatore sustava video nadzora:
- Kod odlaska zaposlenika pristupni podaci trebali bi se dosljedno deaktivirati, a njihova eventualna daljnja upotreba nadzirati putem Audit Logova – sustav pritom može automatski pokrenuti uzbunu.
- Promjene sigurnosno relevantnih parametara kamere poput kontrasta ili brzine osvježavanja slike (FPS) trebale bi se u stvarnom vremenu prijavljivati nadzornom centru kako bi se pravovremeno prepoznale slijepe točke u snimanju.
- Integracija Audit Logova kamera u postojeće SIEM i monitoring platforme putem udaljenog sysloga preko TLS-a omogućuje centraliziranu, šifriranu analizu zajedno s drugim mrežnim podacima.
- U kombinaciji sa „Software Sealing“ svaka se promjena može jasno pripisati korisniku, vremenu i uređaju – to podržava i forenzičke analize koje mogu sezati unatrag godinama.
Izgledi za budućnost
Zahvaljujući Audit Logovima, kamere kod CSOC-a postaju dokumentirani, nadzirani i forenzički iskoristivi elementi ukupne arhitekture. Iz čisto reaktivnog nadzora – kod kojeg su se incidenti prepoznavali tek naknadno – tako nastaje proaktivan pristup, kod kojeg nepoznati firmware, sumnjive veze ili neovlaštene promjene konfiguracije postaju odmah vidljive.
Ovaj pristup dobiva na relevantnosti i zbog regulatornih okvira: prema Axisu, Audit Logovi podržavaju zahtjeve iz KRITIS-a, NIS-2 i ISO 27001. Za operatore sigurnosno kritične infrastrukture, sljedivost na razini uređaja time u budućnosti vjerojatno neće biti samo tehnička pogodnost, već sve više i pitanje usklađenosti (compliance).
