Uživatelská příručka Otázky a odpovědi AXIS Cybersecurity

Obsah skrýt

1 Otázky a odpovědi AXIS Cybersecurity

2 Obecné otázky

3 Otázky specifické pro Axis

4 Dokumenty / zdroje

4.1 Reference

5 Související příspěvky

Otázky a odpovědi AXIS Cybersecurity

Obecné otázky

Co je kybernetická bezpečnost?
Kybernetická bezpečnost je ochrana počítačových systémů a služeb před kybernetickými hrozbami. Mezi praktiky kybernetické bezpečnosti patří procesy prevence poškození a obnovy počítačů, systémů a služeb elektronické komunikace, drátové a elektronické komunikace a uložených informací, aby byla zajištěna jejich dostupnost, integrita, bezpečnost, autentičnost, důvěrnost a nepopiratelnost. Kybernetická bezpečnost je o řízení rizik v delším časovém období. Rizika nelze nikdy eliminovat, pouze zmírnit.

Co obecně zahrnuje řízení kybernetické bezpečnosti?
Kybernetická bezpečnost je o produktech, lidech, technologii a probíhajících procesech. Bude tedy zahrnovat identifikaci a hodnocení různých aspektů vaší organizace, včetně inventarizace zařízení, systémů, softwaru a firmwaru; stanovení kritických cílů; dokumentování postupů a bezpečnostních politik; použití strategie řízení rizik a průběžné hodnocení rizik souvisejících s vašimi aktivy. Bude zahrnovat implementaci bezpečnostních kontrol a opatření na ochranu dat, zařízení, systémů a zařízení, které jste určili jako priority proti kybernetickým útokům. Bude také zahrnovat vývoj a implementaci činností, které vám pomohou odhalit kybernetické útoky, abyste mohli podniknout včasné kroky. To by mohlo zahrnovat například systém Security Information and Event Management (SIEM) nebo systém Security Orchestration, Automation and Response (SOAR), který spravuje data ze síťových zařízení a softwaru pro správu, agreguje data o abnormálním chování nebo potenciálních kybernetických útocích a analyzuje tato data a poskytuje výstrahy v reálném čase. Zařízení Axis podporují protokoly SYS a vzdálené protokoly SYS, které jsou primárním zdrojem dat pro váš systém SIEM nebo SOAR.
Řízení kybernetické bezpečnosti také zahrnuje vývoj a implementaci postupů pro reakci na kybernetický bezpečnostní incident, jakmile je detekován. Měli byste vzít v úvahu místní předpisy a interní zásady, stejně jako požadavky na zveřejňování incidentů v oblasti kybernetické bezpečnosti. Axis nabízí Forensic Guide AXIS OS, který vám pomůže pochopit, zda bylo zařízení Axis kompromitováno během útoku na kybernetickou bezpečnost. Důležitý bude také vývoj a provádění činností pro udržení plánů odolnosti a obnovení nebo obnovení jakýchkoli schopností nebo služeb narušených v důsledku kybernetického bezpečnostního incidentu. AXIS Device Manager například usnadňuje obnovu zařízení Axis tím, že podporuje body obnovení, což jsou uložené „snímky“ konfigurace systému v určitém okamžiku. V případě absence relevantního bodu obnovení může nástroj pomoci vrátit všechna zařízení do jejich výchozího stavu a vytlačit uložené konfigurační šablony přes síť.

Jaká jsou rizika kybernetické bezpečnosti?
Rizika kybernetické bezpečnosti (definovaná v RFC 4949 Internet Security Glossary) jsou očekávání ztráty vyjádřené jako pravděpodobnost, že konkrétní hrozba zneužije konkrétní zranitelnost s konkrétním škodlivým výsledkem. Je důležité definovat jasné systémové politiky a procesy, aby bylo dosaženo adekvátního snížení rizik v dlouhodobém horizontu. Doporučeným přístupem je pracovat podle dobře definovaného rámce ochrany IT, jako je ISO 27001, NIST nebo podobně. I když tento úkol může být pro menší organizace zdrcující, mít i minimální dokumentaci zásad a procesů je mnohem lepší než nemít vůbec nic. Informace o tom, jak vyhodnocovat rizika a upřednostňovat je, naleznete v referenční příručce kybernetické bezpečnosti.

jaké jsou hrozby?
Hrozbu lze definovat jako cokoli, co může ohrozit nebo poškodit váš majetek nebo zdroje. Obecně mají lidé tendenci spojovat kybernetické hrozby se škodlivými hackery a malwarem. Ve skutečnosti k negativnímu dopadu často dochází v důsledku nehod, neúmyslného nesprávného použití nebo selhání hardwaru. Útoky lze kategorizovat jako oportunistické nebo cílené. Většina dnešních útoků je oportunistických: útoky, ke kterým dochází jen proto, že existuje okno příležitosti. Takové útoky budou využívat nízkonákladové útočné vektory, jako je phishing a sondování. Použití standardní úrovně ochrany zmírní většinu rizik souvisejících s oportunistickými útoky. Těžší je chránit se před útočníky, kteří cílí na konkrétní systém s konkrétním cílem. Cílené útoky využívají stejné levné vektory útoků jako oportunističtí útočníci. Pokud však počáteční útoky selžou, jsou odhodlanější a jsou ochotni utrácet čas a prostředky k použití sofistikovanějších metod k dosažení svých cílů. U nich jde do značné míry o to, jak velká hodnota je v sázce.

Jaké jsou nejčastější hrozby a jak je lze řešit?
Úmyslné nebo náhodné zneužití systému Lidé, kteří mají legitimní přístup k systému, je jednou z nejčastějších hrozeb pro jakýkoli systém. Mohou přistupovat ke službám, ke kterým nemají oprávnění. Mohou ukrást nebo způsobit úmyslné poškození systému. Lidé mohou také dělat chyby. Při pokusu o nápravu mohou neúmyslně snížit výkon systému. Jednotlivci jsou také náchylní k sociálnímu inženýrství; tedy triky, díky nimž legitimní uživatelé prozradí citlivé informace. Jednotlivci mohou ztratit nebo přemístit důležité součásti (přístupové karty, telefony, notebooky, dokumentace atd.). Počítače lidí mohou být ohroženy a neúmyslně infikovat systém malwarem.
Mezi doporučené ochrany patří definovaná politika a proces uživatelských účtů, dostatečné schéma ověřování přístupu, nástroje pro správu uživatelských účtů a oprávnění v průběhu času, snížení expozice a školení o kybernetickém povědomí. Axis pomáhá čelit této hrozbě pomocí příruček a nástrojů jako AXIS Device Manager a AXIS Device Manager Extend.

Fyzická tampering a sabotage
Fyzicky exponované zařízení může být tampered with, ukradl, odpojen, redirected or cut. Mezi doporučené ochrany patří umístění síťového zařízení (napřampservery a přepínače) v uzamčených oblastech, montáž kamer tak, aby byly těžko dosažitelné, použití chráněného krytu, když je fyzicky vystaven, a ochranu kabelů ve stěnách nebo potrubí.
Axis pomáhá čelit této hrozbě pomocí ochranného krytu pro zařízení, tamper-odolné šrouby, kamery se schopností šifrovat SD karty, detekce pro kameru view tampa detekce otevřeného pouzdra.

Využití zranitelností softwaru
Všechny softwarové produkty mají slabá místa (známá nebo neznámá), která by mohla být zneužita. Většina zranitelností má nízké riziko, což znamená, že je velmi těžké je zneužít, nebo je negativní dopad omezený. Občas se mohou objevit odhalené a zneužitelné zranitelnosti, které mají významný negativní dopad. MITER hostí velkou databázi CVE (Common Vulnerabilities & Exposures), která pomáhá ostatním zmírňovat rizika. Mezi doporučené ochrany patří nepřetržitý proces záplatování, který pomáhá minimalizovat počet známých zranitelností v systému, minimalizace vystavení sítě, aby bylo obtížnější zkoumat a zneužít známá zranitelnost, a spolupráce s důvěryhodnými subdodavateli, kteří pracují v souladu se zásadami a procesy. které minimalizují chyby a poskytují záplaty a jsou transparentní ohledně objevených kritických zranitelností. Axis řeší hrozbu pomocí Axis Security Development Model, jehož cílem je minimalizovat zneužitelná zranitelnost v softwaru Axis; a s politikou Axis Vulnerability Management Policy, která identifikuje, napravuje a oznamuje zranitelnosti, kterých si zákazníci musí být vědomi, aby mohli podniknout příslušné kroky. (Od dubna 2021 je Axis společným úřadem pro číslování zranitelností a vystavení pro produkty Axis, což nám umožňuje přizpůsobit naše procesy standardnímu průmyslovému procesu MITER Corporation.) Axis také poskytuje průvodce zpevněním s doporučeními, jak snížit expozici a přidat kontroly ke snížení riziko vykořisťování. Axis nabízí uživatelům dvě různé stopy firmwaru, aby byl firmware zařízení Axis aktuální:

Aktivní stopa poskytuje aktualizace firmwaru, které podporují nové funkce a funkce, stejně jako opravy chyb a bezpečnostní záplaty.

Trať dlouhodobé podpory (LTS) poskytuje aktualizace firmwaru, které podporují opravy chyb a bezpečnostní záplaty a zároveň minimalizují rizika problémů s nekompatibilitou se systémy třetích stran.

Útok na dodavatelský řetězec

Útok na dodavatelský řetězec je kybernetický útok, který se snaží poškodit organizaci tím, že se zaměřuje na méně bezpečné prvky v dodavatelském řetězci. Útoku je dosaženo kompromitováním softwaru/firmwaru/produktů a lákáním správce, aby jej nainstaloval do systému. Produkt může být ohrožen během přepravy vlastníkovi systému. Mezi doporučené ochrany patří zásada instalovat software pouze z důvěryhodných a ověřených zdrojů, ověření integrity softwaru porovnáním softwarového kontrolního součtu (výběru) s kontrolním součtem dodavatele před instalací, kontrola dodávek produktů, zda nevykazují známky tampering. Axis čelí této hrozbě mnoha způsoby. Axis publikuje software s kontrolním součtem, aby správci mohli ověřit integritu před jeho instalací. Když má být nahrán nový firmware, síťová zařízení Axis přijímají pouze firmware, který je podepsán společností Axis. Zabezpečené spouštění na síťových zařízeních Axis také zajišťuje, že zařízení spouští pouze firmware podepsaný společností Axis. A každé zařízení má jedinečné ID zařízení Axis, které poskytuje systému způsob, jak ověřit, že zařízení je originálním produktem Axis. Podrobnosti o těchto funkcích kybernetické bezpečnosti naleznete v dokumentu Whitepaper Funkce kybernetické bezpečnosti v produktech Axis (pdf). Další podrobnosti o hrozbách naleznete v Referenční příručce kybernetické bezpečnosti v terminologii a konceptech.

Co jsou zranitelnosti?
Zranitelnosti poskytují protivníkům příležitost zaútočit nebo získat přístup k systému. Mohou být důsledkem nedostatků, funkcí nebo lidských chyb. Škodliví útočníci se mohou snažit zneužít jakékoli známé chyby zabezpečení, často kombinující jednu nebo více. Většina úspěšných nedostatků je způsobena lidskými chybami, špatně nakonfigurovanými systémy a špatně udržovanými systémy – často kvůli nedostatku adekvátních zásad, nedefinovaným odpovědnostem a nízkému organizačnímu povědomí.

Jaké jsou softwarové zranitelnosti?
Rozhraní API zařízení (Application Programming Interface) a softwarové služby mohou mít chyby nebo funkce, které lze při útoku zneužít. Žádný prodejce nemůže nikdy zaručit, že produkty nemají žádné vady. Pokud jsou nedostatky známy, mohou být rizika zmírněna opatřeními bezpečnostní kontroly. Na druhou stranu, pokud útočník objeví novou neznámou chybu, riziko se zvyšuje, protože oběť neměla čas systém chránit.

Co je Common Vulnerability Scoring System (CVSS)?
Common Vulnerability Scoring System (CVSS) je jedním ze způsobů, jak klasifikovat závažnost zranitelnosti softwaru. Je to vzorec, který se zabývá tím, jak snadné je zneužít a jaký to může mít negativní dopad. Skóre je hodnota mezi 0-10, přičemž 10 představuje nejvyšší závažnost. Číslo CVSS často najdete v publikovaných zprávách o společné zranitelnosti a ohrožení (CVE). Axis používá CVSS jako jedno z opatření k určení, jak kritická může být identifikovaná zranitelnost v softwaru/produktu.

Otázky specifické pro Axis

Jaká školení a příručky jsou k dispozici, aby mi pomohly lépe porozumět kybernetické bezpečnosti a co mohu udělat pro lepší ochranu produktů a služeb před kybernetickými incidenty?
Zdroje web Tato stránka vám poskytuje přístup k příručkám zpevnění (např. – AXIS OS Hardening Guide, AXIS Camera Station System Hardening Guide a Axis Network Switches Hardening Guide), dokumentům zásad a dalším. Axis také nabízí e-learningový kurz o kybernetické bezpečnosti.

Kde mohu najít nejnovější firmware pro své zařízení?
Přejděte na Firmware a vyhledejte svůj produkt.

Jak mohu snadno upgradovat firmware na svém zařízení?
K upgradu firmwaru zařízení můžete použít software pro správu videa Axis, jako je AXIS Companion nebo AXIS Camera Station, nebo nástroje jako AXIS Device Manager a AXIS Device Manager Extend.

Pokud dojde k přerušení služeb Axis, jak mohu být informován?
Navštivte status.axis.com.

Jak mohu být upozorněn na zjištěnou chybu zabezpečení?
Můžete si předplatit službu Axis Security Notification Service.

Jak Axis spravuje zranitelnosti?
Viz Zásady správy zranitelnosti Axis.

Jak Axis minimalizuje zranitelnosti softwaru?
Přečtěte si článek Začlenění kybernetické bezpečnosti do vývoje softwaru Axis.

Jak Axis podporuje kybernetickou bezpečnost v průběhu životního cyklu zařízení?
Přečtěte si článek Podpora kybernetické bezpečnosti v průběhu celého životního cyklu zařízení.
Jaké jsou funkce kybernetické bezpečnosti, které jsou zabudovány do produktů Axis?
Přečtěte si více: