Co się wydarzyło?
Certified Security Operations Center GmbH (CSOC) wspólnie z Axis Communications wprowadziła tak zwane dzienniki audytu (Audit Logs) dla kamer sieciowych w obszarze bezpieczeństwa. Celem jest umożliwienie prześledzenia procesów zachodzących wewnątrz samej kamery – obszaru, który dotychczas pozostawał w dużej mierze niewidoczny dla profesjonalnych systemów monitoringu. Podczas gdy ruch sieciowy oraz dane logów infrastruktury były od dawna monitorowane centralnie, w przypadku samych kamer brakowało informacji o tym, kto się zalogował lub czy zmieniono parametry.
Szczegóły
CSOC prowadzi centrum operacji bezpieczeństwa (Security Operations Center, SOC) i całodobowo monitoruje infrastrukturę IT i OT przedsiębiorstw z sektora MŚP – od małych firm po organizacje istotne dla infrastruktury krytycznej (KRITIS). Stosowane podejście Managed Detection and Response (MDR) łączy automatyczne wykrywanie z wiedzą ekspercką. Podstawowa zasada brzmi: bez danych nie ma analizy, a im większa przejrzystość, tym lepsza ochrona.
Joerg Lammerich, dyrektor zarządzający CSOC, konkretnie opisuje dotychczasową lukę: „Widzieliśmy ruch sieciowy kamery, ale nie to, co dzieje się w samej kamerze. Kto się zalogował? Czy zmieniono parametry? Tych istotnych informacji nam brakowało.” Jako przykład podaje się sytuację, w której ktoś zmienia częstotliwość odświeżania obrazu kamery – nagranie zyskuje przez to „martwe punkty” i staje się niekompletne. Przy analizie kryminalistycznej brakowałoby wówczas istotnych informacji, na przykład kto i z jakim uprawnieniem wszedł do strefy bezpieczeństwa.
Według Axis szczególne ryzyko stanowią uprzywilejowani użytkownicy, tacy jak administratorzy, personel serwisowy czy zewnętrzni usługodawcy, ponieważ dysponują oni głęboką wiedzą techniczną i szerokimi uprawnieniami dostępu. Niezależnie od tego, czy chodzi o złą wolę, czy o błąd konfiguracji – bez dzienników audytu takie zmiany często pozostawały niezauważone.
Dzienniki audytu to niezmienne, chronologiczne zapisy wszystkich istotnych dla bezpieczeństwa działań na urządzeniu, zabezpieczone poprzez szyfrowaną transmisję i podpis. Nie da się ich dezaktywować przez lokalnych użytkowników. Dokumentowane są między innymi:
- Zmiany w konfiguracjach i parametrach
- Dostęp do danych wideo na żywo lub archiwalnych
- Zmiany użytkowników i ról
- Zdarzenia systemowe i ingerencje w oprogramowanie
Według producenta kamery Axis udostępniają szczegółowe dzienniki audytu na trzy sposoby: strumień zdarzeń do systemów VMS umożliwiający monitoring w czasie rzeczywistym, VAPIX Audit Log API do ukierunkowanych zapytań administracyjnych przez HTTP/HTTPS oraz zdalny syslog przez TLS do szyfrowanej integracji z platformami SIEM i monitoringowymi. Według firmy dane te płynnie wpisują się w istniejącą infrastrukturę SOC CSOC – zaszyfrowane, zgodne z wymogami rewizyjnymi i możliwe do analizy kryminalistycznej.
Kontekst
Systemy bezpieczeństwa wizyjnego i kontroli dostępu od dawna nie są już systemami izolowanymi, lecz elementami dużego, połączonego sieciowo systemu IT – a tym samym potencjalnym wektorem ataku. Technologia stojąca za dziennikami audytu nie jest przy tym nowa, lecz od dawna jest standardem w klasycznym IT. Nowe jest jej zastosowanie w obszarze bezpieczeństwa wizyjnego.
Szczególnie w przypadku osób działających od wewnątrz lub ataków pośrednich, na przykład poprzez przejęte dane dostępowe, dzienniki audytu stanowią według Axis kluczowy dowód manipulacji na poziomie urządzenia. Tworzą one podstawę do wykrywania zagrożeń na całej ścieżce dowodowej – od kamery przez transmisję danych aż po przechowywanie i wyświetlanie. Dzięki temu potencjalnie niewidoczna manipulacja staje się procesem możliwym do prześledzenia, który w zależności od stopnia zmiany może również wywołać proaktywne powiadomienie.
Wskazówki praktyczne
Z opisanych przypadków zastosowania można wyprowadzić następujące punkty odniesienia dla operatorów systemów bezpieczeństwa wizyjnego:
- Przy odejściu pracowników należy konsekwentnie dezaktywować dane dostępowe, a ewentualne dalsze ich wykorzystanie monitorować za pomocą dzienników audytu – system może w tym przypadku automatycznie wywołać alarm.
- Zmiany istotnych dla bezpieczeństwa parametrów kamery, takich jak kontrast czy częstotliwość odświeżania obrazu (FPS), powinny być zgłaszane w czasie rzeczywistym do centrum nadzoru, aby wcześnie wykrywać martwe punkty w nagraniu.
- Integracja dzienników audytu kamer z istniejącymi platformami SIEM i monitoringowymi poprzez zdalny syslog przez TLS umożliwia centralną, zaszyfrowaną analizę wspólnie z innymi danymi sieciowymi.
- W połączeniu z „uszczelnieniem oprogramowania” (Software Sealing) każdą zmianę można jednoznacznie przypisać do użytkownika, momentu w czasie i urządzenia – wspiera to również analizy kryminalistyczne, które mogą sięgać wiele lat wstecz.
Perspektywy
Dzięki dziennikom audytu kamery w CSOC stają się udokumentowanymi, nadzorowanymi i możliwymi do wykorzystania w analizie kryminalistycznej elementami całej architektury. Z czysto reaktywnego monitoringu – w którym incydenty były rozpoznawane dopiero po fakcie – powstaje w ten sposób podejście proaktywne, w którym nieznane oprogramowanie układowe, podejrzane połączenia lub nieautoryzowane zmiany konfiguracji stają się natychmiast widoczne.
Znaczenia temu podejściu nadają również ramy regulacyjne: według Axis dzienniki audytu wspierają wymogi wynikające z KRITIS, NIS-2 i ISO 27001. Dla operatorów infrastruktury krytycznej dla bezpieczeństwa możliwość prześledzenia działań na poziomie urządzenia może więc w przyszłości stać się nie tylko technicznym udogodnieniem, lecz w coraz większym stopniu także kwestią zgodności z przepisami (compliance).
