Que s'est-il passé ?
La société Certified Security Operations Center GmbH (CSOC) a mis en place, en collaboration avec Axis Communications, des « Audit Logs » (journaux d'audit) pour les caméras réseau dans le domaine de la sécurité. L'objectif est de rendre traçables les processus au sein même de la caméra – un domaine qui restait jusqu'à présent largement invisible pour les systèmes de surveillance professionnels. Alors que le trafic réseau et les données de journalisation de l'infrastructure étaient depuis longtemps surveillés de manière centralisée, les informations sur qui s'était connecté ou si des paramètres avaient été modifiés manquaient au niveau des caméras elles-mêmes.
Les détails
CSOC exploite un Security Operations Center (SOC) et surveille 24h/24 et 7j/7 les infrastructures IT et OT d'entreprises de taille moyenne – des petites structures aux organisations relevant des infrastructures critiques (KRITIS). L'approche de détection et réponse managées (Managed Detection and Response, MDR) utilisée combine détection automatisée et expertise humaine. Le principe de base : pas d'analyse sans données, et plus la transparence est grande, meilleure est la protection.
Joerg Lammerich, directeur général de CSOC, décrit concrètement la lacune existant jusqu'à présent : « Nous pouvions voir le trafic réseau de la caméra, mais pas ce qui se passait à l'intérieur de celle-ci. Qui s'est connecté ? Des paramètres ont-ils été modifiés ? Ces informations pertinentes nous faisaient défaut. » À titre d'exemple, il cite le cas où quelqu'un modifie la fréquence d'images d'une caméra – l'enregistrement présente alors des « zones d'ombre » et devient défaillant. Lors d'une recherche forensique, des informations importantes feraient alors défaut, par exemple pour savoir qui a pénétré dans une zone de sécurité et avec quelle autorisation.
Selon Axis, les utilisateurs disposant de droits élevés, tels que les administrateurs, le personnel de maintenance ou les prestataires externes, représentent un risque accru, car ils possèdent des connaissances techniques approfondies et de vastes droits d'accès. Qu'il s'agisse d'intention malveillante ou d'erreurs de configuration, de telles modifications passeraient souvent inaperçues sans Audit Logs.
Les Audit Logs sont des enregistrements chronologiques inaltérables de toutes les activités liées à la sécurité sur un appareil, sécurisés par une transmission chiffrée et une signature. Ils ne peuvent pas être désactivés par les utilisateurs locaux. Sont notamment documentés :
- les modifications de configurations et de paramètres
- les accès aux données vidéo en direct ou archivées
- les modifications d'utilisateurs et de rôles
- les événements système et interventions logicielles
Selon le fabricant, les caméras Axis fournissent des Audit Logs détaillés par trois voies : un flux d'événements vers les systèmes VMS pour une surveillance en temps réel, l'API VAPIX Audit Log pour des requêtes administratives ciblées via HTTP/HTTPS, ainsi que le Remote Syslog via TLS pour une intégration chiffrée dans les plateformes SIEM et de monitoring. Selon l'entreprise, ces données s'intègrent de manière transparente dans l'infrastructure SOC existante de CSOC – chiffrées, inviolables et exploitables à des fins forensiques.
Mise en perspective
Les systèmes de vidéosurveillance et de contrôle d'accès ne sont plus depuis longtemps des systèmes isolés, mais font partie d'un vaste système informatique interconnecté – et constituent donc un vecteur d'attaque potentiel. La technologie derrière les Audit Logs n'est pas nouvelle en soi ; elle est depuis longtemps un standard dans l'informatique classique. Ce qui est nouveau, c'est son application dans le domaine de la sécurité vidéo.
Selon Axis, en particulier dans le cas d'auteurs internes ou d'attaques indirectes, par exemple via des identifiants compromis, les Audit Logs constituent la preuve déterminante des manipulations au niveau de l'appareil. Ils constituent la base de la détection des menaces tout au long de la chaîne de preuve – de la caméra à la transmission des données, en passant par le stockage et l'affichage. Une manipulation potentiellement invisible devient ainsi un processus traçable, pouvant même déclencher une alerte proactive selon le degré de modification.
Conseils pratiques
Les cas d'usage décrits permettent de dégager les pistes suivantes pour les exploitants de systèmes de vidéosurveillance :
- Lors du départ de collaborateurs, les identifiants d'accès doivent être systématiquement désactivés, et leur éventuelle utilisation ultérieure doit être surveillée via les Audit Logs – le système peut alors déclencher automatiquement une alerte.
- Les modifications de paramètres de caméra liés à la sécurité, comme le contraste ou la fréquence d'images (FPS), devraient être signalées en temps réel au centre de contrôle afin de détecter précocement les zones d'ombre dans l'enregistrement.
- L'intégration des Audit Logs des caméras dans les plateformes SIEM et de monitoring existantes via Remote Syslog en TLS permet une analyse centralisée et chiffrée, conjointement avec d'autres données réseau.
- Combinés au « Software Sealing », chaque modification peut être clairement attribuée à un utilisateur, un moment précis et un appareil – ce qui facilite également les analyses forensiques pouvant remonter plusieurs années en arrière.
Perspectives
Grâce aux Audit Logs, les caméras deviennent chez CSOC des éléments documentés, surveillables et exploitables à des fins forensiques au sein de l'architecture globale. D'une surveillance purement réactive – où les incidents n'étaient détectés qu'a posteriori – émerge ainsi une approche proactive, où les firmwares inconnus, les connexions suspectes ou les modifications de configuration non autorisées deviennent immédiatement visibles.
Cette approche gagne également en pertinence au regard du cadre réglementaire : selon Axis, les Audit Logs répondent aux exigences découlant de KRITIS, de la directive NIS 2 et de la norme ISO 27001. Pour les exploitants d'infrastructures critiques, la traçabilité au niveau des appareils devrait donc à l'avenir ne plus être seulement une caractéristique technique de confort, mais de plus en plus un enjeu de conformité réglementaire.
