Распечатать

Information Security - Назначение, функции и типы систем видеозащиты. Вопросы обеспечения информационной безопасности

Иван Смирнов, ведущий инженер отдела информационной безопасности «Энвижн Груп»

19 марта 2009

Иван Смирнов, ведущий инженер отдела информационной безопасности «Энвижн Груп»
 
В течение последнего десятилетия рынок систем  безопасности переживал стремительный рост, который в первую очередь обусловлен существенным и закономерным повышением внимания со стороны государства и коммерческих предприятий к проблемам обеспечения комплексной безопасности населения и сохранности материальных ценностей. Современные комплексы систем безопасности состоят из целого ряда подсистем, однако они немыслимы без использования средств, позволяющих производить визуальную оценку, анализ и регистрацию происходящих событий. Значение системы видеонаблюдения трудно переоценить, поскольку до 80% информации об окружающем мире человек получает именно посредством органов зрения.
 
"Надо позаботиться о более широком применении в охране правопорядка технических средств, современных управленческих комплексов. Даже самые простые технические системы: видеонаблюдение, экстренная связь с милицией, мониторинг общественных зданий, мест пребывания граждан, школьных дворов позволяют повысить уровень контроля за ситуацией в общественных местах".
 
Президент РФ Путин В.В. 27 июня 2007 г.
 
Системы видеонаблюдения позволяют своевременно получать пользователям полную и достоверную информацию о происходящих или уже произошедших событиях, которая обеспечивает принятие взвешенных и соответствующих обстоятельствам решений. По функциональной принадлежности все системы принято разделять на два типа: охранные и технологические.
Охранные системы функционируют в целях поддержания правопорядка на улицах города, в муниципальных и коммерческих организациях, на территории различных промышленных предприятий и т.д. Они предоставляют оператору, осуществляющему мониторинг, изображение в масштабе настоящего времени или архивные материалы. Количество камер в системе может исчисляться десятками, сотнями и даже тысячами.  
 
Так, начиная с марта 2002 года, в рамках программы «Безопасный Город» только в центральном автономном округе г. Москва установлено более 6500 телевизионных камер. По этой причине, операторам зачастую не удается установить факт правонарушения в оперативном режиме. Частично, решить вопрос систематизации и упорядочивания большого объема поступающей информации позволяют детекторы движения и интеллектуальные методы обработки видеосигнала. Современная цифровая обработка позволяет детектировать движение в сложных уличных условиях, идентифицировать с заданной вероятностью личность человека по геометрическим параметрам лица, производить распознавание автомобильных номеров и контролировать соблюдение ПДД участниками дорожного движения. Детекторы движения позволяют обнаруживать оставленные предметы и массовые скопления людей, формируя событийные базы систем охранного видеонаблюдения.
 
Системы технологического видеонаблюдения функционируют в целях оптимизации производственных процессов. Использование современных средств видеомониторинга позволяет ускорить выполнение работ и минимизировать количество задействованного персонала. На сегодняшний день системы используются в промышленности для наблюдения за производственными линиями, в автоматизированных системах контроля состояния товарных запасов. Использование тепловизионной техники позволяет решать ряд куда более специализированных задач, например, определение объема жидкости в железнодорожных цистернах.  Технологические системы позволяют производить удаленное наблюдение за процессами, способными привести к травматическим случаям или гибели сотрудников, анализировать видеоинформацию на предмет определения нарушений сотрудниками установленных правил и техники безопасности.
 
Также как и в случае с охранными, в технологических системах применяются методы анализа видеосигнала, позволяющие автоматизировать процессы учета и управления. Например, использование на предприятии системы распознавания автотранспортных номеров или номеров подвижного железнодорожного состава позволяет автоматизировать учет транспортных потоков. Системы городского мониторинга помогают получить важные статистические данные о плотности автомобильного потока и динамике ее суточного изменения в целях оптимизации регулирования дорожного движения, информацию о возникновении пробок и дорожно-транспортных происшествий с целью информирования участников дорожного движения.  
В целом, системы охранного наблюдения решают набор достаточно типовых задач обнаружения и идентификации личности или события. Внедрение же систем технологического наблюдения требует глубокого анализа производственных процессов и оценки экономической эффективности будущей системы.
 
Механизмы обеспечения достоверности и целостности видеоматериалов
 
Основными критериями безопасности информационных систем являются: достоверность, целостность и доступность циркулирующей информации. Представляя собой основу информационной безопасности, данные критерии применимы для любой информационной системы, поэтому они не являются исключением и для систем видеонаблюдения.
 
Под целостностью данных ИС принято понимать свойство информации, заключающееся в её существовании в неискаженном виде - неизменном по отношению к некоторому фиксированному ее состоянию. Под достоверностью - свойство, говорящее об идентичности заявленной информации. Модификация видеоматериалов с целью подлога и изменение указанных выше критериев  событие отнюдь не частое. Однако, использование полученного видео в качестве доказательной базы  в судебном процессе потребует  обязательной экспертизы, проводимой независимыми лабораториями в целях подтверждения оригинальности материалов. В случае отсутствия такого подтверждения, нечеткости формулировок предоставленных лабораторией или слишком длительного срока, прошедшего с момента предоставления материалов, их рассмотрение, вероятнее всего, будет трактоваться в пользу ответчика. Итак, вам известно: что произошло и кто является виновником происшествия, но для доказательства этого потребуется поискать иные факты.
 
Особенно актуальна данная проблема для масштабных проектов, с большим количеством устройств и архивных материалов. Например, для программ «Безопасный город», нацеленных на поддержание и обеспечение правопорядка в городских условиях. Проводя расследование уголовного дела, спустя длительный период времени можно проанализировать видеоматериалы, получить идентификационные признаки правонарушителя и установить предполагаемое время события. Но как доказать достоверность предоставленной записи? Наиболее удачным и надежным решением проблемы является использование алгоритмов электронной цифровой подписи в соответствие с Федеральным законом об ЭЦП от 10. 01. 2002. В процессе регистрации видеоматериалов на цифровой носитель добавляется реквизит, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в исходном документе. Таким образом, запись, произведенная с использованием алгоритмов ЭЦП, является неопровержимым доказательством в суде.
 
В настоящее время, большинство российских производителей систем видеонаблюдения и регистрирующего оборудования используют алгоритмы ЭЦП. Не отстают и иностранные производители, предлагающие свои продукты на рынке систем видеонаблюдения и реализующие различного рода алгоритмы «watermark protection». Однако, если вы хотите быть уверены в том, что запись, сделанная приобретаемым видеорегистратором станет веским доводом в Вашу пользу, мы рекомендуем поинтересоваться у производителя о наличие сертификата криминалистического центра МВД.
 
Обеспечение информационной безопасности в системах телевизионного наблюдения
 
Кроме видеоматериалов, в системах хранится большое количество сопутствующих данных, например: конфигурационные файлы, сведения о пользователях системы и их полномочиях, информация о системных событиях (от авторизации пользователей,  до типов выявленных неисправностей для отдельных устройств). Несанкционированный доступ и модификация указанной информации может стать причиной вывода из строя целой системы. Таким образом, для корректной работы необходимо обеспечить доступность в соответствие с полномочиями для авторизованных пользователей, в то же время, надежно ограничив доступ для всех остальных. В данном вопросе не существует универсального решения на все случаи жизни, однако можно выделить ряд обобщенных рекомендаций, выполнение которых минимизирует риски преднамеренного вывода системы из строя. Стоит оговориться, что далее речь пойдет о системах, основанных на PC-based оборудовании с возможностями удаленного доступа к компонентам системы по локальной вычислительной сети. Классические системы, созданные на основе матричных коммутаторов и stand-alone регистраторов, в существенной мере менее подвержены указанным рискам, в силу специфичности используемых программно-аппаратных платформ и отсутствия механизмов удаленного сетевого доступа.
 
Для систем малого масштаба, которые характеризуются небольшим количеством видеосерверов, пользователей системы и, использующих для передачи данных ЛВС, в целях повышения информационной безопасности целесообразно обратить внимание на настройку политик безопасности операционной системы. Как правило, средства реализации политики доступа ОС предшествуют программным средствам самой системы видеонаблюдения и, при надлежащей настройке, являются достаточно действенным механизмом на пути противодействия несанкционированному доступу и регистрации вносимых изменений в конфигурацию ОС.  Эта рекомендация является универсальной и применима ко всем устройствам системы, будь это малый сетевой видеорегистратор, удаленная рабочая станция оператора или центральный сервер в распределенной клиент-серверной конфигурации. В системах с повышенными требованиями к авторизации пользователей возможно использование отдельных средств строгой аутентификации, которые представляют собой электронные устройства  в виде USB-ключей или смарт-карт. Отсутствие такого ключа влечет за собой отказ в запуске системы, а внесение несанкционированного изменение в системную конфигурацию не остается незамеченным для авторизованного пользователя.
 
Следующим действенным этапом, не требующим существенных затрат является конфигурация сетевых Access Control Lists и Port Security. ACL представляют собой набор правил, определяющих порты служб или имена доменов, доступных на узле со списком узлов или сетей, которым разрешен доступ к сервису. Сетевые ACL могут быть настроены как на обычном сервере, так и на сетевом маршрутизаторе и могут управлять как входящим, так и исходящим трафиком, в качестве межсетевого экрана. Port Security позволит реализовать политику подключения доверенных IP и MAC-адресов устройств.
 
При создании систем безопасности, использующие ЛВС в целях передачи информации рекомендуется использовать вновь создаваемые сети. Однако, если такая возможность отсутствует или вложения в новую инфраструктуру представляются экономически неоправданными, возможно использование существующей ЛВС.  В этом случае необходимо использовать виртуальную локальную вычислительную сеть или VLAN. С одной стороны, это позволит оградить общую сеть передачи данных от весьма внушительного трафика системы видеонаблюдения, с другой – изолировать на логическом уровне подсеть системы от общей ЛВС в целях обеспечения ИБ.  Удаленный доступ к системе, с использованием открытых каналов передачи данных, должен сопровождаться установкой VPN-терминирующих устройств, осуществляющих шифрование передаваемых данных. Таким образом, затраты на обеспечение информационной безопасности в системах малого масштаба невелики, а ее реализация определяется навыками и опытом специалистов компании-инсталлятора.
 
Системы большого масштаба характеризуются территориальной распределенностью и иерархичностью уровней управления. Такие системы, в особенности, технологического назначения, могут использовать корпоративные сети передачи данных и являться частью АСУ организаций. По  указанным причинам, к этим системам должны применяться требованиям по обеспечению ИБ корпоративной сети. На этапе проектирования системы видеонаблюдения необходимо сформулировать требования к информационной безопасности и изучить техническую возможность использования существующих механизмов корпоративной ИБ, в качестве которых могут рассматриваться системы host IPS, средства обнаружения и защиты от DDoS-атак, механизмы организации демилитаризованных зон и Network Access Control.