O que aconteceu?
A Certified Security Operations Center GmbH (CSOC), em conjunto com a Axis Communications, implementou os chamados Audit Logs para câmaras de rede na área de segurança. O objetivo é tornar rastreáveis os processos dentro da própria câmara – uma área que, até agora, permanecia praticamente invisível para os sistemas profissionais de videovigilância. Enquanto o tráfego de rede e os dados de registo da infraestrutura já eram monitorizados centralmente há muito tempo, faltavam nas próprias câmaras informações sobre quem tinha iniciado sessão ou se os parâmetros tinham sido alterados.
Os detalhes
A CSOC opera um Security Operations Center (SOC) e monitoriza 24 horas por dia infraestruturas de TI e OT de empresas de média dimensão – desde pequenas empresas até organizações relevantes para infraestruturas críticas (KRITIS). A abordagem de Managed Detection and Response (MDR) utilizada combina deteção automatizada com conhecimento humano especializado. O princípio fundamental é: sem dados não há análise, e quanto maior a transparência, melhor a proteção.
Joerg Lammerich, diretor-geral da CSOC, descreve concretamente a lacuna existente até agora: "Conseguíamos ver o tráfego de rede da câmara, mas não o que acontecia dentro dela. Quem fez login? Os parâmetros foram alterados? Faltavam-nos essas informações relevantes." Como exemplo, é referido o caso de alguém alterar a taxa de atualização de imagem de uma câmara – a gravação passa então a ter "pontos cegos" e torna-se deficiente. Numa investigação forense, faltariam então informações importantes, como, por exemplo, quem entrou numa área de segurança e com que autorização.
Segundo a Axis, utilizadores com privilégios especiais, como administradores, equipas de manutenção ou prestadores de serviços externos, representam um risco acrescido, pois possuem conhecimentos técnicos profundos e amplos direitos de acesso. Quer por má-fé, quer por erros de configuração, sem Audit Logs essas alterações muitas vezes passariam despercebidas.
Os Audit Logs são registos cronológicos e inalteráveis de todas as atividades relevantes para a segurança num dispositivo, protegidos por transmissão encriptada e assinatura digital. Não podem ser desativados por utilizadores locais. Entre os elementos documentados estão:
- Alterações em configurações e parâmetros
- Acessos a dados de vídeo em direto ou em arquivo
- Alterações de utilizadores e funções
- Eventos do sistema e intervenções de software
Segundo o fabricante, as câmaras Axis disponibilizam Audit Logs detalhados através de três vias: um fluxo de eventos para sistemas VMS destinado à monitorização em tempo real, a API de Audit Log da VAPIX para consultas administrativas específicas via HTTP/HTTPS, e syslog remoto via TLS para integração encriptada em plataformas SIEM e de monitorização. De acordo com a empresa, esses dados integram-se de forma contínua na infraestrutura SOC já existente da CSOC – de forma encriptada, à prova de auditoria e passível de análise forense.
Contextualização
Os sistemas de videovigilância e de controlo de acessos deixaram há muito de ser sistemas isolados, passando a fazer parte de um grande sistema de TI interligado – e, com isso, tornaram-se um potencial vetor de ataque. A tecnologia por trás dos Audit Logs não é nova, sendo há muito um padrão na TI tradicional. Novidade é a sua aplicação na área da videovigilância.
Especialmente no caso de ameaças internas ou ataques indiretos, como através de credenciais de acesso comprometidas, os Audit Logs constituem, segundo a Axis, a prova decisiva de manipulações ao nível do dispositivo. Formam a base para a deteção de ameaças ao longo de toda a cadeia de evidências – desde a câmara, passando pela transmissão de dados, até ao armazenamento e visualização. Assim, uma manipulação potencialmente invisível transforma-se num processo rastreável, que, dependendo do grau de alteração, pode também desencadear uma notificação proativa.
Dicas práticas
A partir dos casos de aplicação descritos, podem ser identificados os seguintes pontos de ação para operadores de sistemas de videovigilância:
- Quando um colaborador deixa a empresa, as credenciais de acesso devem ser consistentemente desativadas e qualquer utilização posterior monitorizada através dos Audit Logs – o sistema pode, neste caso, emitir um alerta automático.
- Alterações a parâmetros de câmara relevantes para a segurança, como o contraste ou a taxa de atualização de imagem (FPS), devem ser comunicadas em tempo real à central de monitorização, para detetar precocemente pontos cegos na gravação.
- A integração dos Audit Logs das câmaras em plataformas SIEM e de monitorização já existentes, através de syslog remoto via TLS, permite uma análise centralizada e encriptada em conjunto com outros dados de rede.
- Em combinação com o "Software Sealing", cada alteração pode ser atribuída de forma inequívoca a um utilizador, um momento e um dispositivo específicos – o que também apoia análises forenses que podem remontar a vários anos.
Perspetivas
Através dos Audit Logs, as câmaras passam, na CSOC, a ser elementos documentados, monitorizáveis e utilizáveis forensicamente dentro da arquitetura global. De uma monitorização puramente reativa – em que os incidentes só eram detetados a posteriori – surge, assim, uma abordagem proativa, na qual firmware desconhecido, ligações suspeitas ou alterações de configuração não autorizadas se tornam imediatamente visíveis.
Esta abordagem ganha também relevância devido ao enquadramento regulatório: segundo a Axis, os Audit Logs apoiam os requisitos decorrentes do KRITIS, da NIS-2 e da ISO 27001. Para os operadores de infraestruturas críticas de segurança, a rastreabilidade ao nível do dispositivo deverá, assim, tornar-se futuramente não apenas uma funcionalidade técnica de conforto, mas cada vez mais também uma questão de conformidade regulatória.
