Cet article répond à certaines des questions fréquemment posées par les professionnels de l'informatique et de la sécurité concernant la cybersécurité, issues des recherches Google, des discussions sur Reddit, ainsi que de nos propres webinaires sur ce sujet.

Pourquoi suivre les conseils en cybersécurité de Milestone Systems ? Avant de commencer, posons la question : pourquoi devriez-vous faire confiance aux informations contenues dans cet article ? La réponse est que Milestone est un acteur clé dans le secteur de la sécurité vidéo depuis plus de 25 ans. Nous avons adapté nos produits et services en fonction de l'évolution des normes de cybersécurité. Mais ne vous fiez pas seulement à notre parole : nous avons été autorisés à devenir une autorité de numérotation CVE (CNA) par le programme Vulnerability and Exposures (CVE®), ce qui atteste de notre expertise et de notre transparence dans la gestion des vulnérabilités et des mises à jour de nos produits.

Nous évoquons souvent le VMS XProtect® de Milestone, mais les informations présentées ici sont généralement applicables à toutes les configurations de sécurité vidéo. Nos clients peuvent aussi utiliser des termes différents tels que CCTV, vidéosurveillance ou logiciel de gestion vidéo, mais pour cet article, tous ces termes désignent le même concept.

Quelles sont les cybermenaces qui pèsent sur les logiciels de gestion vidéo ? La cybersécurité des VMS concerne tous les éléments d'un système de sécurité vidéo. Le logiciel n'est qu'une partie du tout. Parmi les principales menaces, on trouve :

1. Accès non autorisé : Les attaquants peuvent accéder au VMS et aux caméras, ce qui leur permet de visionner, manipuler ou supprimer des flux vidéo, souvent via des mots de passe faibles ou des vulnérabilités non corrigées.
2. Violations de données : Les données vidéo sensibles peuvent être interceptées ou volées lors de leur transmission ou de leur stockage, entraînant des violations de la vie privée.
3. Logiciels malveillants et ransomwares : Les logiciels malveillants peuvent infecter les systèmes VMS, perturber les opérations ou crypter les données en échange d'une rançon.
4. Attaques par déni de service (DoS) : Les attaquants peuvent saturer le VMS avec un trafic excessif, rendant le système inutilisable.
5. Attaques de l'homme du milieu (MitM) : Les cybercriminels peuvent intercepter et modifier les communications entre les caméras et le VMS.
6. Exploitation de vulnérabilités logicielles : Les vulnérabilités non corrigées dans le VMS peuvent être exploitées pour prendre le contrôle du système.
7. Menaces internes : Les employés ou sous-traitants peuvent abuser de leurs privilèges pour manipuler ou voler des données vidéo.
8. Compromissions physiques : L'accès physique aux infrastructures réseau ou aux dispositifs peut permettre aux attaquants de contourner les cyberdéfenses.
9. Vol d'informations d'identification : Des techniques telles que le phishing ou la force brute peuvent être utilisées pour voler des identifiants, donnant accès au VMS.
10. Intrusions réseau : Si le réseau n'est pas correctement sécurisé, des intrus peuvent perturber le VMS ou accéder à ses données.

Des mesures de cyber-résilience doivent être mises en place pour minimiser les risques associés à ces menaces.

Quels sont les défis pour une cyber-résilience optimale ? Le principal défi est double. D'une part, il est naturel de se concentrer sur les problèmes actuels plutôt que de se préparer à des menaces futures. D'autre part, de nombreux professionnels de la sécurité ne sont pas toujours certains d'avoir pris toutes les précautions nécessaires. Nous visons à fournir des conseils clairs pour aider à renforcer les configurations de sécurité vidéo.

Faut-il mettre à jour régulièrement tous les appareils ? Oui. Les menaces évoluent constamment, et ne pas mettre à jour vos systèmes expose votre réseau à de nouveaux risques. En règle générale, il est conseillé de procéder à des mises à jour au moins deux fois par an, ou chaque fois qu'une nouvelle version est disponible. Les mises à jour régulières sont cruciales pour la sécurité, non seulement pour combler les vulnérabilités, mais aussi pour respecter les réglementations telles que le GDPR.

Est-il nécessaire de séparer les caméras et les clients VMS dans des VLAN distincts ? Oui. Séparer les caméras des clients VMS sur des VLAN distincts améliore la sécurité en limitant l'accès non autorisé aux flux vidéo. Cela garantit également une meilleure gestion du trafic et facilite le dépannage du réseau.

Faut-il séparer le VMS du réseau du bureau ? Oui. La séparation des réseaux, qu'elle soit physique ou virtuelle, permet de protéger davantage les données et les équipements. Un VLAN dédié pour chaque type d'appareil et une séparation claire entre le VMS et le réseau du bureau améliorent la sécurité du système.

Le VPN est-il nécessaire pour les opérateurs distants ? Oui. Une connexion HTTPS ne suffit pas pour sécuriser les points de terminaison multiples. Le VPN est une solution plus sécurisée pour les connexions distantes, notamment pour les systèmes VMS complexes où plusieurs serveurs sont impliqués.

Peut-on intégrer une authentification à deux facteurs (2FA) avec le VMS de Milestone ? Oui, mais cela dépend de l'accès à Internet. Si l'installation du VMS est isolée du réseau Internet, l'intégration de 2FA pourrait être plus complexe. Toutefois, cette fonctionnalité est compatible avec des solutions comme Okta et peut être intégrée à XProtect pour renforcer la sécurité des connexions.

Faut-il utiliser des certificats SSL pour les connexions sécurisées ? Les certificats auto-signés sont souvent une solution efficace pour les clients XProtect, bien qu'il faille parfois opter pour des autorités de certification tierces (CA) pour certaines configurations, en particulier pour les installations accessibles via Internet.

La cybersécurité est-elle applicable à toutes les versions de XProtect ? Oui. Toutes les versions de XProtect sont conçues avec la sécurité à l'esprit. Elles prennent en charge des fonctionnalités telles que le cryptage HTTPS, la séparation des réseaux et la signature numérique pour protéger l'intégrité des données.