Monitoring: CCTV, czujniki ruchu i rejestrowanie zdarzeń

Systemy monitoringu pełnią trzy funkcje związane z bezpieczeństwem: odstraszanie (widoczne kamery zniechęcają do nieuprawnionych działań), wykrywanie (monitoring w czasie rzeczywistym powiadamia personel ochrony o trwających incydentach) oraz dowody kryminalistyczne (nagrania dokumentują przebieg zdarzeń w trakcie incydentów bezpieczeństwa i po nich na potrzeby dochodzeń oraz postępowań sądowych). Dobrze zaprojektowany system monitoringu obsługuje wszystkie trzy funkcje i integruje się z rejestrami kontroli dostępu, zapewniając pełny obraz zdarzeń związanych z bezpieczeństwem fizycznym.

Kamery CCTV (Closed-Circuit Television) różnią się konstrukcją i możliwościami. Kamery stałopozycyjne stale obejmują określony obszar. Kamery PTZ (Pan-Tilt-Zoom) można zdalnie sterować, aby śledziły obserwowane osoby. Kamery kopułkowe ukrywają kierunek obserwacji. Kamery tubowe są widocznym środkiem odstraszającym i mają obiektywy dalekiego zasięgu. Rozmieszczenie kamer powinno obejmować wszystkie punkty wejścia i wyjścia, obszary z cennymi zasobami oraz korytarze. Nakładające się pola widzenia eliminują martwe strefy, które napastnicy mogliby wykorzystać.

Skuteczność kamery zależy od jakości obrazu. Rozdzielczość musi wystarczać do identyfikacji osób — zazwyczaj 1080p lub wyższa przy weryfikacji tożsamości przy drzwiach; do obserwacji dużych obszarów można stosować niższą rozdzielczość. Kamery do pracy przy słabym oświetleniu i kamery IR zachowują widoczność w ciemnych warunkach. Kamery z funkcją WDR (Wide Dynamic Range) radzą sobie ze scenami o dużym kontraście (np. z jasnym światłem słonecznym przy wejściu i ciemnym wnętrzem). Słaba jakość obrazu sprawia, że nagranie jest bezużyteczne jako dowód kryminalistyczny, nawet jeśli obejmuje właściwy obszar.

Nagrania z monitoringu są rejestrowane i przechowywane na dwa sposoby. Rejestratory DVR (Digital Video Recorders) odbierają analogowe sygnały z kamer i digitalizują je na potrzeby przechowywania. Rejestratory NVR (Network Video Recorders) odbierają cyfrowe strumienie z kamer IP za pośrednictwem sieci. Systemy NVR umożliwiają zdalny dostęp do nagrań, łatwiejszą integrację z oprogramowaniem analitycznym oraz elastyczne rozmieszczanie kamer bez dedykowanego okablowania. Oba typy rejestratorów wymagają odpowiedniej pojemności pamięci — kamery o wysokiej rozdzielczości generują od 10 do 40 GB danych dziennie na kamerę, dlatego należy zaplanować pojemność na wymagany okres przechowywania.

Kamery z funkcją wykrywania ruchu nagrywają tylko wtedy, gdy wykryją ruch, ograniczając zużycie przestrzeni dyskowej. Nowoczesne kamery IP i systemy NVR obejmują analizę obrazu, która wykracza poza proste wykrywanie ruchu: wykrywanie przekroczenia linii (alert po przekroczeniu wirtualnej linii), wykrywanie przebywania w obszarze (alert, gdy osoba pozostaje w danym obszarze zbyt długo), wykrywanie usunięcia obiektu (alert, gdy obiekt, np. serwer, zniknie z szafy) oraz wykrywanie tłumu. Funkcje te ograniczają konieczność jednoczesnego ręcznego monitorowania dziesiątek strumieni z kamer.

Napastnicy mogą próbować wyłączyć systemy monitoringu, malując obiektywy sprayem, zasłaniając kamery lub przecinając kable sieciowe. Dobrze zaprojektowany monitoring obejmuje: alerty o manipulacji uruchamiane po zasłonięciu pola widzenia kamery lub fizycznym przestawieniu kamery, nadmiarowe ścieżki rejestrowania (lokalna kopia zapasowa na karcie SD kamery oraz zapis w NVR), zasilanie awaryjne UPS kamer i NVR oraz zabezpieczone trasy kablowe w rurach osłonowych. System NVR powinien natychmiast powiadamiać o nieoczekiwanym przejściu dowolnej kamery w tryb offline.

Pasywne czujniki ruchu na podczerwień (PIR) wykrywają zmiany promieniowania podczerwonego powodowane sygnaturą cieplną poruszającego się ciała. Są powszechnie stosowane do uruchamiania alarmów i nagrywania obrazu przez kamery. Kamery termowizyjne wykrywają sygnatury cieplne w całkowitej ciemności i mogą identyfikować osoby ukrywające się za obiektami lub w warunkach ograniczonej widoczności. Kamery termowizyjne stosuje się przy ogrodzeniach obwodowych do wykrywania intruzów w nocy, bez widocznego oświetlenia, które mogłoby ujawnić im obecność monitoringu.

Maksymalną wartość dla bezpieczeństwa zapewnia integracja monitoringu z systemami kontroli dostępu. Gdy nastąpi zdarzenie dostępu za pomocą karty, system automatycznie pobiera obraz z kamery przy danych drzwiach z odpowiedniego znacznika czasu. Personel ochrony może natychmiast sprawdzić, czy osoba wchodząca odpowiada posiadaczowi karty na zdjęciu, wykrywając w ten sposób klonowanie lub udostępnianie kart. Zdarzenia odmowy dostępu automatycznie powodują zmianę ustawienia kamery PTZ w celu zarejestrowania twarzy osoby próbującej uzyskać nieuprawniony dostęp.

Zasady przechowywania określają, jak długo przechowywane są nagrania z monitoringu. Typowe minimalne okresy przechowywania to: 30 dni dla ogólnodostępnych obszarów biurowych, 90 dni dla centrów danych i obszarów zabezpieczonych oraz 1 rok lub dłużej, gdy wymagają tego przepisy (PCI-DSS wymaga 3 miesięcy dla systemów objętych zakresem standardu). Nagrania powinny być przechowywane w systemach z pamięcią jednokrotnego zapisu lub pamięcią z wykrywaniem manipulacji, aby po incydencie nie można było ich zmienić ani usunąć. Wstrzymanie usuwania danych ze względów prawnych może wymagać wydłużenia okresu przechowywania, gdy przewidywane jest postępowanie sądowe.

Same kamery IP są urządzeniami podłączonymi do sieci, które należy zabezpieczyć. Typowe luki obejmują: domyślne dane uwierzytelniające (wiele marek kamer domyślnie używa danych admin/admin), niezaktualizowane oprogramowanie układowe ze znanymi CVE, zarządzanie przez Telnet/HTTP zamiast SSH/HTTPS oraz nieszyfrowane strumienie wideo, które można przechwycić. Przejęte kamery IP były wykorzystywane w dużych botnetach DDoS (Mirai). Dobre praktyki obejmują zmianę domyślnych danych uwierzytelniających, odizolowanie kamer w dedykowanej sieci VLAN, regularne aktualizowanie oprogramowania układowego oraz używanie szyfrowanych strumieni RTSP.

Sama technologia nie może zastąpić ludzkiej oceny sytuacji w zakresie bezpieczeństwa fizycznego. Pracownicy ochrony zapewniają odstraszanie poprzez widoczną obecność, reagują na alarmy, przeprowadzają obchody i zarządzają dostępem gości. Pracownicy ochrony monitorujący stanowiska nadzoru powinni mieć do dyspozycji standardowe procedury operacyjne (SOP) dokładnie określające działania dla każdego rodzaju alarmu — zamiast polegać na indywidualnej ocenie pod presją. Aby zachować czujność, pracownicy ochrony powinni zmieniać przydział do monitorowania co 20–30 minut, ponieważ ludzka uwaga szybko słabnie podczas monotonnej obserwacji obrazu.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: monitoring CCTV pełni funkcje odstraszania, wykrywania i dostarczania dowodów kryminalistycznych, wykrywanie ruchu i analiza obrazu ograniczają zmęczenie alertami dzięki inteligentnemu wykrywaniu określonych warunków, a kamery IP muszą być odpowiednio zabezpieczone i odizolowane w dedykowanych sieciach VLAN, aby nie stały się wektorami ataku. Następnie omówimy środowiskowe zabezpieczenia centrów danych — HVAC, gaszenie pożarów i nadmiarowość zasilania.