Cosa è successo?
Certified Security Operations Center GmbH (CSOC), insieme ad Axis Communications, ha introdotto i cosiddetti Audit Log per le telecamere di rete nel settore della sicurezza. L'obiettivo è rendere tracciabili i processi all'interno della telecamera stessa – un ambito che finora era rimasto in gran parte invisibile per i sistemi di videosorveglianza professionali. Mentre il traffico di rete e i dati di log dell'infrastruttura erano già monitorati centralmente da tempo, mancavano informazioni sulle telecamere stesse riguardo a chi avesse effettuato l'accesso o se i parametri fossero stati modificati.
I dettagli
CSOC gestisce un Security Operations Center (SOC) e monitora 24 ore su 24 le infrastrutture IT e OT di aziende di medie dimensioni – dalle piccole imprese alle organizzazioni rilevanti per le infrastrutture critiche (KRITIS). L'approccio Managed Detection and Response (MDR) utilizzato combina il rilevamento automatizzato con competenze umane specializzate. Il principio di base è: senza dati non c'è analisi, e maggiore è la trasparenza, migliore è la protezione.
Joerg Lammerich, amministratore delegato di CSOC, descrive concretamente la lacuna esistente finora: "Potevamo vedere il traffico di rete della telecamera, ma non cosa accadeva all'interno della telecamera. Chi ha effettuato l'accesso? Sono stati modificati dei parametri? Queste informazioni rilevanti ci mancavano." Come esempio viene citato il caso in cui qualcuno modifica la frequenza dei fotogrammi di una telecamera – la registrazione presenta così delle "zone cieche" e diventa inadeguata. In una ricerca forense mancherebbero quindi informazioni importanti, ad esempio chi è entrato in un'area di sicurezza e con quale autorizzazione.
Secondo Axis, gli utenti con privilegi elevati, come amministratori, personale addetto alla manutenzione o fornitori esterni, rappresentano un rischio particolarmente elevato, poiché dispongono di conoscenze tecniche approfondite e di ampi diritti di accesso. Che si tratti di cattive intenzioni o di errori di configurazione, senza Audit Log tali modifiche spesso passerebbero inosservate.
Gli Audit Log sono registrazioni cronologiche e immutabili di tutte le attività rilevanti per la sicurezza su un dispositivo, protette da trasmissione crittografata e firma digitale. Non possono essere disattivati dagli utenti locali. Tra gli elementi documentati figurano:
- Modifiche alle configurazioni e ai parametri
- Accessi ai dati video live o archiviati
- Modifiche di utenti e ruoli
- Eventi di sistema e interventi software
Secondo il produttore, le telecamere Axis forniscono Audit Log dettagliati attraverso tre canali: un flusso di eventi verso i sistemi VMS per il monitoraggio in tempo reale, l'API VAPIX Audit Log per interrogazioni amministrative mirate tramite HTTP/HTTPS, nonché il Syslog remoto tramite TLS per l'integrazione crittografata in piattaforme SIEM e di monitoraggio. Secondo l'azienda, questi dati confluiscono senza soluzione di continuità nell'infrastruttura SOC esistente di CSOC – in modo crittografato, a prova di revisione e analizzabile a fini forensi.
Contestualizzazione
I sistemi di videosicurezza e il controllo accessi non sono più da tempo sistemi isolati, bensì parti di un ampio sistema IT interconnesso – e quindi un potenziale vettore di attacco. La tecnologia alla base degli Audit Log non è nuova, essendo ormai uno standard consolidato nell'IT tradizionale. Ciò che è nuovo è la sua applicazione nel campo della videosicurezza.
Secondo Axis, proprio in caso di insider o attacchi indiretti, ad esempio tramite credenziali di accesso compromesse, gli Audit Log rappresentano la prova decisiva per le manipolazioni a livello di dispositivo. Essi costituiscono la base per il rilevamento delle minacce lungo l'intera catena di prova – dalla telecamera alla trasmissione dei dati, fino all'archiviazione e alla visualizzazione. Così, una manipolazione potenzialmente invisibile diventa un processo tracciabile che, a seconda del grado di modifica, può anche attivare una segnalazione proattiva.
Consigli pratici
Dai casi d'uso descritti si possono trarre i seguenti spunti per gli operatori di sistemi di videosicurezza:
- Quando un dipendente lascia l'azienda, le credenziali di accesso dovrebbero essere sistematicamente disattivate e un eventuale ulteriore utilizzo monitorato tramite gli Audit Log – il sistema può in questo caso generare automaticamente un allarme.
- Le modifiche ai parametri della telecamera rilevanti per la sicurezza, come il contrasto o la frequenza dei fotogrammi (FPS), dovrebbero essere segnalate in tempo reale tramite la centrale operativa, al fine di individuare tempestivamente le zone cieche nella registrazione.
- L'integrazione degli Audit Log delle telecamere nelle piattaforme SIEM e di monitoraggio esistenti tramite Syslog remoto via TLS consente un'analisi centralizzata e crittografata insieme ad altri dati di rete.
- In combinazione con il "Software Sealing", ogni modifica può essere attribuita in modo univoco a un utente, a un momento preciso e a un dispositivo – ciò supporta anche le analisi forensi, che possono risalire indietro di anni.
Prospettive future
Grazie agli Audit Log, presso CSOC le telecamere diventano elementi documentati, monitorabili e utilizzabili a fini forensi dell'intera architettura. Da un monitoraggio puramente reattivo – in cui gli incidenti venivano rilevati solo a posteriori – nasce così un approccio proattivo, in cui firmware sconosciuti, connessioni sospette o modifiche di configurazione non autorizzate diventano immediatamente visibili.
Questo approccio acquisisce rilevanza anche grazie al quadro normativo: secondo Axis, gli Audit Log supportano i requisiti derivanti da KRITIS, NIS-2 e ISO 27001. Per gli operatori di infrastrutture critiche, la tracciabilità a livello di dispositivo diventerà quindi probabilmente in futuro non solo una caratteristica tecnica di comfort, ma sempre più anche un tema di conformità normativa.
