Vad har hänt?
Certified Security Operations Center GmbH (CSOC) har tillsammans med Axis Communications etablerat så kallade Audit Logs för nätverkskameror inom säkerhetsområdet. Målet är att göra processer inom själva kameran spårbara – ett område som hittills till stor del varit osynligt för professionella övervakningssystem. Medan nätverkstrafik och loggdata för infrastrukturen länge har övervakats centralt, saknades information om vem som loggat in på kamerorna eller om parametrar hade ändrats.
Detaljerna
CSOC driver ett Security Operations Center (SOC) och övervakar dygnet runt IT- och OT-infrastrukturer hos medelstora företag – från små verksamheter till KRITIS-relevanta organisationer (kritisk infrastruktur). Den använda Managed Detection and Response (MDR)-metoden kombinerar automatiserad upptäckt med mänsklig expertis. Grundprincipen är: utan data ingen analys, ju mer transparens desto bättre skydd.
Joerg Lammerich, VD för CSOC, beskriver den tidigare luckan konkret: "Vi kunde se kamerans nätverkstrafik, men inte vad som hände inuti kameran. Vem loggade in? Ändrades några parametrar? Den relevanta informationen saknade vi." Som exempel nämns att någon ändrar en kameras bildfrekvens – inspelningen får då "blinda fläckar" och blir bristfällig. Vid en forensisk utredning skulle då viktig information saknas, till exempel vem som med vilken behörighet gått in i ett säkerhetsområde.
Särskilt behöriga användare som administratörer, underhållspersonal eller externa leverantörer utgör enligt Axis en förhöjd risk, eftersom de har djup teknisk kunskap och omfattande åtkomsträttigheter. Oavsett om det sker i ont uppsåt eller genom konfigurationsfel – utan Audit Logs skulle sådana förändringar ofta förbli oupptäckta.
Audit Logs är oföränderliga, kronologiska registreringar av all säkerhetsrelevant aktivitet på en enhet, säkrade genom krypterad överföring och signatur. De kan inte inaktiveras av lokala användare. Bland det som dokumenteras finns:
- Ändringar av konfigurationer och parametrar
- Åtkomst till live- eller arkiverad videodata
- Ändringar av användare och roller
- Systemhändelser och programvaruingrepp
Enligt tillverkaren tillhandahåller Axis-kameror detaljerade Audit Logs via tre vägar: en händelseström till VMS-system för realtidsövervakning, VAPIX Audit Log API för riktade administrativa förfrågningar via HTTP/HTTPS samt fjärr-syslog via TLS för krypterad integration i SIEM- och övervakningsplattformar. Enligt företaget flödar denna data sömlöst in i CSOC:s befintliga SOC-infrastruktur – krypterad, granskningssäker och forensiskt analyserbar.
Sammanhang
Videosäkerhetssystem och tillträdeskontroll är sedan länge inte isolerade system, utan delar av ett stort sammankopplat IT-system – och därmed en potentiell attackvektor. Tekniken bakom Audit Logs är i sig inte ny, utan har länge varit standard inom klassisk IT. Nytt är dess tillämpning inom videosäkerhetsområdet.
Särskilt vid insiderhot eller indirekta angrepp, till exempel genom komprometterade inloggningsuppgifter, är Audit Logs enligt Axis det avgörande beviset för manipulation på enhetsnivå. De utgör grunden för att upptäcka hot längs hela beviskedjan – från kameran via dataöverföringen till lagring och visning. På så sätt förvandlas en potentiellt osynlig manipulation till en spårbar process, som beroende på förändringens grad även kan utlösa en proaktiv varning.
Praktiska tips
Från de beskrivna användningsfallen kan följande åtgärdspunkter härledas för operatörer av videosäkerhetssystem:
- När medarbetare slutar bör inloggningsuppgifter konsekvent inaktiveras och eventuell fortsatt användning övervakas via Audit Logs – systemet kan här automatiskt slå larm.
- Ändringar av säkerhetsrelevanta kameraparametrar som kontrast eller bildfrekvens (FPS) bör rapporteras i realtid till larmcentralen för att tidigt upptäcka blinda fläckar i inspelningen.
- Integrationen av kamerans Audit Logs i befintliga SIEM- och övervakningsplattformar via fjärr-syslog med TLS möjliggör en central, krypterad analys tillsammans med annan nätverksdata.
- I kombination med "Software Sealing" kan varje ändring entydigt kopplas till en användare, en tidpunkt och en enhet – detta stödjer även forensiska analyser som kan sträcka sig flera år tillbaka.
Framtidsutsikter
Genom Audit Logs blir kameror hos CSOC till dokumenterade, övervakningsbara och forensiskt användbara delar av den övergripande arkitekturen. Från en rent reaktiv övervakning – där incidenter upptäcktes först i efterhand – skapas på så sätt ett proaktivt angreppssätt, där okänd firmware, misstänkta anslutningar eller obehöriga konfigurationsändringar blir omedelbart synliga.
Detta angreppssätt får relevans även genom regulatoriska ramverk: enligt Axis stödjer Audit Logs krav från KRITIS, NIS-2 och ISO 27001. För operatörer av säkerhetskritisk infrastruktur kommer spårbarhet på enhetsnivå därmed sannolikt framöver inte bara vara en teknisk bekvämlighet, utan i allt högre grad även en efterlevnadsfråga (compliance).
