Videosorveglianza: CCTV, sensori di movimento e logging

I sistemi di sorveglianza svolgono tre funzioni di sicurezza: deterrenza (le telecamere visibili scoraggiano i comportamenti non autorizzati), rilevamento (il monitoraggio avvisa il personale di sicurezza degli incidenti in corso in tempo reale) e prova forense (le registrazioni documentano ciò che è accaduto durante e dopo gli incidenti di sicurezza, a supporto delle indagini e dei procedimenti legali). Un sistema di sorveglianza ben progettato supporta tutte e tre le funzioni e si integra con i registri del controllo degli accessi per fornire un quadro completo degli eventi di sicurezza fisica.

Le telecamere CCTV (Closed-Circuit Television) variano per fattore di forma e funzionalità. Le telecamere fisse coprono continuamente un'area specifica. Le telecamere PTZ (Pan-Tilt-Zoom) possono essere controllate da remoto per seguire i soggetti. Le telecamere dome nascondono la direzione di ripresa. Le telecamere bullet sono deterrenti visibili dotati di obiettivi a lunga portata. Il posizionamento delle telecamere deve coprire tutti i punti di ingresso e di uscita, le aree con risorse di valore elevato e i corridoi. Campi visivi sovrapposti eliminano i punti ciechi che gli aggressori potrebbero sfruttare.

L'efficacia di una telecamera dipende dalla qualità delle immagini. La risoluzione deve essere sufficiente per identificare le persone: in genere 1080p o superiore per la verifica dell'identità presso gli ingressi, mentre per la copertura di aree estese è sufficiente una risoluzione inferiore. Le telecamere per condizioni di scarsa illuminazione e a infrarossi (IR) mantengono la visibilità in condizioni di luce ridotta. Le telecamere con ampia gamma dinamica (WDR) gestiscono scene ad alto contrasto (ad esempio, la luce solare intensa all'ingresso con un interno buio). Una qualità delle immagini scadente rende le riprese inutilizzabili a fini forensi, anche se è stata catturata l'area corretta.

Le riprese di sorveglianza vengono registrate e archiviate in due modi. I DVR (Digital Video Recorders) ricevono i segnali delle telecamere analogiche e li digitalizzano per l'archiviazione. Gli NVR (Network Video Recorders) ricevono i flussi digitali delle telecamere IP tramite la rete. I sistemi NVR consentono l'accesso remoto alle riprese, una più semplice integrazione con i software di analisi e un posizionamento flessibile delle telecamere senza cablaggi dedicati. Entrambi richiedono una capacità di archiviazione sufficiente: le telecamere ad alta risoluzione generano 10-40 GB al giorno per telecamera, rendendo necessaria una pianificazione della capacità per il periodo di conservazione richiesto.

Le telecamere con rilevamento del movimento registrano solo quando viene rilevato un movimento, riducendo il consumo di spazio di archiviazione. Le moderne telecamere IP e i sistemi NVR includono analisi video che vanno oltre il semplice movimento: rilevamento del superamento di una linea (avviso quando viene attraversata una linea virtuale), rilevamento della permanenza (avviso quando una persona rimane troppo a lungo in un'area), rilevamento della rimozione di oggetti (avviso quando un oggetto, come un server, scompare da un rack) e rilevamento della folla. Queste funzioni riducono la necessità di monitorare manualmente e contemporaneamente decine di flussi video.

Gli aggressori potrebbero tentare di disabilitare i sistemi di sorveglianza verniciando con uno spray gli obiettivi, coprendo le telecamere o tagliando i cavi di rete. Una buona progettazione della sorveglianza include: avvisi di manomissione attivati quando la visuale di una telecamera viene ostruita o la telecamera viene spostata fisicamente, percorsi di registrazione ridondanti (backup su scheda SD locale della telecamera oltre all'NVR), alimentazione di backup tramite UPS per telecamere e NVR e cablaggi protetti all'interno di canaline. L'NVR deve avvisare immediatamente quando una telecamera si disconnette inaspettatamente.

I sensori di movimento a infrarossi passivi (PIR) rilevano variazioni nella radiazione infrarossa causate dalla firma termica di un corpo in movimento. Sono ampiamente utilizzati per attivare gli allarmi e la registrazione delle telecamere. Le telecamere termiche rilevano le firme termiche nell'oscurità completa e possono identificare persone nascoste dietro oggetti o in condizioni di scarsa visibilità. Le telecamere termiche vengono utilizzate lungo le recinzioni perimetrali per rilevare gli intrusi di notte senza un'illuminazione visibile che ne segnalerebbe la presenza della sorveglianza.

Il massimo valore per la sicurezza si ottiene integrando la sorveglianza con i sistemi di controllo degli accessi. Quando si verifica un evento di accesso tramite badge, il sistema recupera automaticamente il flusso video della telecamera presso quella porta relativo a quella marca temporale. Il personale di sicurezza può verificare immediatamente che la persona che entra corrisponda alla foto del titolare del badge, rilevando così la clonazione o la condivisione del badge. Gli eventi di accesso negato attivano automaticamente il riposizionamento della telecamera PTZ per acquisire il volto di chi ha tentato di entrare senza autorizzazione.

I criteri di conservazione determinano per quanto tempo vengono conservate le riprese di sorveglianza. Periodi minimi di conservazione comuni: 30 giorni per le aree di ufficio generiche, 90 giorni per i data center e le aree protette e 1 anno o più quando richiesto dalle normative (PCI-DSS richiede 3 mesi per i sistemi rientranti nell'ambito di applicazione). Le riprese devono essere archiviate su sistemi con archiviazione a scrittura singola o a prova di manomissione, affinché non possano essere alterate o eliminate dopo un incidente. Un blocco legale può richiedere di estendere la conservazione quando si prevede un contenzioso.

Le telecamere IP sono dispositivi connessi alla rete e devono essere protette. Vulnerabilità comuni: credenziali predefinite (admin/admin è l'impostazione predefinita di molti marchi di telecamere), firmware senza patch con CVE note, gestione tramite Telnet/HTTP invece di SSH/HTTPS e flussi video non crittografati che possono essere intercettati. Le telecamere IP compromesse sono state utilizzate in grandi botnet DDoS (Mirai). Le best practice prevedono di modificare le credenziali predefinite, segmentare le telecamere in una VLAN dedicata, applicare regolarmente le patch al firmware e utilizzare flussi RTSP crittografati.

La tecnologia da sola non può sostituire il giudizio umano nella sicurezza fisica. Le guardie giurate svolgono una funzione deterrente grazie alla loro presenza visibile, rispondono agli allarmi, effettuano ronde di controllo e gestiscono l'accesso dei visitatori. Le guardie che monitorano le postazioni di sorveglianza devono disporre di procedure operative standard (SOP) che definiscano esattamente cosa fare per ogni tipo di allarme, invece di affidarsi al giudizio individuale sotto pressione. Le guardie dovrebbero alternarsi nelle attività di monitoraggio ogni 20-30 minuti per mantenere alta l'attenzione, poiché la capacità di concentrazione umana diminuisce rapidamente durante il monitoraggio video monotono.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: la sorveglianza CCTV svolge funzioni di deterrenza, rilevamento e raccolta di prove forensi; il rilevamento del movimento e l'analisi video riducono l'affaticamento da allarmi, rilevando in modo intelligente condizioni specifiche; e le telecamere IP devono essere messe in sicurezza e isolate in VLAN dedicate per impedire che diventino vettori di attacco. Ora esamineremo i controlli ambientali dei data center: HVAC, soppressione degli incendi e ridondanza dell'alimentazione.