Киоско безопасности системы голосовой связи Cisco

Официальный документ Обзор средств обеспечения безопасности систем голосовой связи. Защита инфраструктуры сети обработки голосовой связи, системы управления вызовами, приложений и оконечных устройств При выборе решения для построения системы голосовой связи соображениям безопасности уделяется большое внимание. При внедрении в компании традиционной АТС на базе технологии TDM или современной системы IP-телефонии ИТ-специалисты и администраторы системы голосовой связи должно принять соответствующие меры для предотвращения реализации типовых угроз, например, мошенничества при осуществлении междугородных переговоров и прослушивания телефонных переговоров.

Системы унифицированных коммуникаций Cisco могут обеспечить уровень безопасности равный уровню безопасности традиционных решений на базе УАТС, а то и превосходящий его. Голосовой трафик передается по той же IP-сети, по которой передается корпоративный трафик данных; таким образом, если в организации обеспечена безопасность передачи данных, то большая часть работы по обеспечению безопасности системы голосовой связи уже сделана. По результатам независимого тестирования, проведенного Miercom, решения Cisco в области IP-телефонии признаны самыми безопасными в индустрии 1 .

Краткое содержание Системы унифицированных коммуникаций позволяют организациям любого размера повысить производительность работы сотрудников, обеспечить мобильность, а также увеличить гибкость системы телефонной связи. Перед внедрением системы унифицированных коммуникаций многие компании хотят предпринять меры по обеспечению безопасности системы обработки вызовов, приложений и оконечных устройств, которые используются при обработке вызовов, а также инфраструктуры основной IP-сети. Соображения безопасности постоянно учитываются при разработке и внедрении систем голосовой связи еще со времен частных телефонных линий, когда прослушивание линии являлось постоянной угрозой.

Первые случаи взлома систем голосовой связи были зафиксированы в 1970-х годах, когда злоумышленники имитировали сигналы управления вызовами с помощью специальных устройств и осуществляли бесплатные телефонные звонки. Сегодня среди наиболее частых атак на телефонные системы TDM, а также на системы IP-телефонии, можно выделить атаки типа "отказ в обслуживании", мошенничество при осуществлении междугородных переговоров и прослушивание телефонных переговоров.

Но стоит отметить, что сервис IP-телефонии представляет собой не более чем еще один дополнительный сервис, реализованный в рамках сети, и все технологии обеспечения и политики безопасности, которые используются для защиты сети передачи данных, также распространяются на трафик системы IP-телефонии. В этом кроется отличие системы унифицированных коммуникаций и системы IP-телефонии от традиционных систем на базе УАТС, которым часто не хватает недорогих средств обеспечения общей безопасности, которые несложно внедрять по мере изменения условий работы организации.

Одно из основных отличий решений Cisco в области IP-телефонии от решений других производителей заключается в успешном решении вопросов обеспечения безопасности. По результатам независимого тестирования, проведенного Miercom, решения Cisco в области IP-телефонии признаны самыми безопасными в индустрии. На сегодняшний день компания Cisco Systems(r) является единственным производителем решений в области IP-телефонии, получившей высшую оценку Miercom "Secure". Эта оценка отражает способность сервиса IP-телефонии функционировать в условиях проведения хакерских атак 2 .

Команда квалифицированных хакеров, работавшая по заданию Miercom, не смогла нарушить функционирование или хотя бы повлиять на качество функционирование сервиса телефонии, несмотря на проведение сложных непрерывных атак в течение трех дней. В отличие от производителей, которые предлагают устанавливать отдельные устройства для обеспечения безопасности системы голосовой связи, Cisco предлагает полномасштабную интегрированную систему обеспечения безопасности, которая защищает всю сеть передачи данных, включая голосовой трафик.

Несколько уровней защиты (инфраструктуры, обработки вызовов, приложений и оконечных устройств) обеспечивают надежную защиту как от уже известных, так и от новых, пока неизвестных угроз. © Cisco Systems, Inc., 1992–2006 г.г. С сохранением всех прав. Стр. 1 из 8

Page 1

Официальный документ В этой публикации, предназначенной для ИТ-специалистов и администраторов систем голосовой связи средних предприятий, представлен обзор современных требований к безопасности систем голосовой связи и существующих решений. В начале документа приводится результаты анализа рисков систем голосовой связи, многие из которых являются общими для TDM-систем и систем IP-телефонии. Далее рассматриваются решения Cisco, позволяющие обеспечить безопасность инфраструктуры системы голосовой связи, системы управления вызовами, приложений и оконечных узлов.

В документе приводятся ссылки на web-сайты Cisco, на которых представлена подробная информация о различных компонентах многоуровневого решения Cisco по обеспечению безопасности систем голосовой связи. Организации, заинтересованные в реализации описанных в данной документе решений по обеспечению безопасности сети, могут заказать разработку проекта компании Cisco или партнеру Cisco, при этом в любом случае исполнитель будет следовать тем этапам, которые рекомендованы в документе Cisco Smart Business Roadmap.

Типы угроз для системы голосовой связи Мошенничество при осуществлении междугородных переговоров Понятие "Мошенничество при осуществлении междугородных переговоров" относится к ситуации, когда внутренние или внешние пользователи системы корпоративной телефонной системы осуществляют несанкционированные междугородные звонки. Мошенничество при осуществлении междугородных переговоров может осуществляться при использовании в организации как TDM-, так и IP-системы.

При проведении атаки типа "отказ в обслуживании" злоумышленники используют программные средства, которые отправляют большое количество не имеющих смысла пакетов на IP-телефоны, серверы обработки вызовов или элементы сетевой инфраструктуры. Целью действий злоумышленников является перегрузка сетевых ресурсов с тем, чтобы вызовы прерывались или их обработка была невозможна. Обычным мотивом атаки является отвлечение ИТ-специалистов для того, чтобы они не обратили внимания на другие атаки.

Отказ в обслуживании Подмена абонента При проведении атаки типа "подмена абонента" злоумышленник подделывает реквизиты доступа легитимного пользователя с тем, чтобы вызовы с телефона злоумышленника казались исходящими с телефона другого пользователя. Например, неизвестный может выдать себя за сотрудника отдела поддержки и позвонить руководителю компании с тем, чтобы узнать его пароль. Если в качестве идентификатора звонящего отображается легитимный телефонный номер, чего нетрудно добиться в рамках как TDM-, так и IP-телефонной системы, жертва может поверить злоумышленнику.

Злоумышленники могут подделать IP-адрес своего узла или установить свой DHCP-сервер, отвечающий за распределение IP-адресов. Прослушивание телефонных переговоров или атака типа "человек в середине" При проведении атак типа "человек в середине" внутренний пользователь присваивает IP-адрес маршрутизатора или компьютера для прослушивания голосового трафика и данных, вводимых с клавиатуры IP-телефона, например, паролей. После быстрого копирования информации голосовой трафик перенаправляется получателю, так что ни отправитель, ни получатель не могут понять, что разговор прослушивается. Обычными мотивами являются шпионаж или личное преследование.

Прослушивание существенно облегчается доступным количеством свободно распространяемых средств для анализа сетевого трафика. Однако прослушивание сравнительно легко предотвращается. Безопасность инфраструктуры Для обеспечения безопасности системы голосовой связи используются те же проверенные интегрированные решения Cisco, которые позволяют обеспечить безопасность передачи данных. Организации, внедрившие самозащищающуюся сеть Cisco (SDN), уже обладают фундаментом для построения защищенной системы голосовой связи. Далее перечислены некоторые из технологий, рекомендованных Cisco для формирования защищенной инфраструктуры, которые могут быть особенно полезны для защиты систем голосовой связи.

Сети VLAN Технология Cisco VLAN, встроенная в маршрутизаторы Cisco, коммутаторы Cisco Catalyst ® и точки доступа к беспроводной сети Cisco Aironet ®, обеспечивает разделение одной физической сети на несколько логических сетей, например, для разделения сети организ а ции на сети отдела кадров, отдела продаж, отдела маркетинга, инженерного отдела и бухгалтерии. Основным методом обеспечения безопасности системы голосовой связи является создание отдельной VLAN для передачи голосового трафика. Во-первых, трафик голосовой VLAN не будет доступен внутренним или внешним пользователям, подключенным к различным VLAN передачи данных, и трафик данных не сможет © Cisco Systems, Inc., 1992–2007 г.г.

С сохранением всех прав. Стр. 2 из 8

Page 2

Официальный документ попасть в голосовую VLAN. Во-вторых, ИТ-специалисты смогут назначить для голосовой VLAN особый класс обслуживания, обеспечивающий приоритет голосового трафика над трафиком данных. Ниже описаны некоторые способы защиты системы голосовой связи от различных угроз с использованием сетей VLAN : ● Предотвращение мошенничества при осуществлении междугородных переговоров. Организации могут устанавливать различные политики управления доступом к голосовой VLAN; например, сотрудники отдела производства могут иметь доступ к сегменту данных, но не иметь доступа к сегменту голосовой связи.

Создание отдельной голосовой VLAN также позволяет предотвратить использование сотрудниками сети VLAN другого отдела для выполнения междугородных звонков (такое мошенничество позволяет сотрудникам экономить средства за счет того, что счета за междугородные переговоры попадут в другой отдел). ● Предотвращение атак типа "отказ в обслуживании". Многие атаки типа "отказ в обслуживании" должны запускать с персонального компьютера и потому не смогут повлиять на состояние IP-телефонов и серверов обработки вызовов, подключенных к отдельной голосовой VLAN. ● Предотвращение прослушивания и перехвата телефонных переговоров.

Обычно для прослушивания переговоров злоумышленники используют персональный компьютер со специальным программным обеспечением. При этом компьютер необходимо подключить к VLAN одного из абонентов. Если устройство системы голосовой связи логически выделены в отдельную сеть, злоумышленник не может подключить персональный компьютер к голосовой VLAN. VPN с поддержкой передачи голоса и видео Предотвращение несанкционированного доступа к сети является неплохим первым шагом в программе обеспечения безопасности системы голосовой связи.

Для введения дополнительного уровня защиты на случай если злоумышленник все же получит несанкционированный доступ к сети, в организации может использоваться криптографическая защита голосового трафика. Технология VPN с поддержкой голоса и видео (V3PN), реализованная во многих маршрутизаторах и специализированных устройствах обеспечения безопасности Cisco, обеспечивает шифрование голосового трафика и трафика данных с использованием алгоритмов IPSec или AES. Шифрование выполняется на аппаратном уровне, таким образом производительность межсетевого экрана не снижается.

Также внедрение решения V3PN не влияет на качество голосовой связи, поскольку устройства обеспечения безопасности ASA 5500 Series и решения Cisco в области межсетевых экранов поддерживают механизмы обеспечения качества обслуживания (QoS). При передаче пакетов голосового трафика по VPN-туннелям они обладают более высоким приоритетом, чем пакеты трафика данных. Ниже описаны некоторые способы защиты системы голосовой связи от различных угроз с использованием технологии Cisco V3PN: ● Предотвращение мошенничества при осуществлении междугородных переговоров.

Для осуществления мошенничества злоумышленнику необходимо получить сведения о телефонной системе и ее легитимных пользователях, например, MAC- и IP-адреса IP-телефонов Cisco Unified и сервера Cisco Unified Communications Manager. Криптографическая защита этой информации при передаче по сети (особенно после логического выделения голосового трафика в отдельную сеть VLAN и введение механизмов контроля доступа) существенно затрудняет доступ к ней злоумышленника. ● Предотвращение прослушивания и перехвата телефонных переговоров.

Во многих организациях технология V3PN используется для шифрования голосового трафика, передаваемого через общедоступные сегменты сети Интернет, например, голосового трафика между основным офисом организации и ее филиалами. Маршрутизаторы Cisco, решения в области межсетевых экранов, VPN-концентраторы и адаптивные устройства обеспечения безопасности также обеспечивают шифрование данных, вводимых пользователями с клавиатуры телефонов в процессе телефонных переговоров, например, паролей или номеров кредитных карт, которые вводятся по запросу систем IVR.

Списки контроля доступа Списки контроля доступа (ACL), которые используются во всех сетевых устройствах Cisco, позволяют ограничить доступ к заданному сетевому ресурсу, например, серверу Cisco Unified Communications Manager, предоставив доступ определенным пользователям или хостам, принадлежащим к определенным сегментам сети. В рамках организации ACL для голосового трафика могут настраиваться для отделов, рабочих групп и даже отдельных пользователей. Списки ACL позволяют обеспечить безопасность системы голосовой связи следующим образом: ● Предотвращение мошенничества при осуществлении междугородных переговоров.

Организации могут использовать ACL для управления списком пользователей, которым предоставлен доступ к системе голосовой связи, и списком местоположений, из которых предоставляется доступ к системе голосовой связи. Например, организация может предоставить доступ к шлюзу системы голосовой связи для осуществления междугородных и международных © Cisco Systems, Inc., 1992–2007 г.г. С сохранением всех прав. Стр. 3 из 8

Page 3

Официальный документ звонков только некоторым пользователям, и даже запретить этим пользователям доступ из менее доверенных областей внутренней сети. Запрет доступа из вестибюлей здания может предотвратить международные звонки со стороны постороннего посетителя, зашедшего в здание с ноутбуком, на котором установлено программное обеспечение системы IP-телефонии. Такой запрет позволит предотвратить обнаружение адреса сервера обработки вызовов путем сканирования портов, проведенного посторонним из того же вестибюля или других областей общего доступа. Совместное использование ACL и VLAN позволяет обеспечить дополнительную защиту от мошенничества при осуществлении междугородных переговоров.

Представим, что сотрудник одного отдела хочется воспользоваться приложением Cisco IP Communicator, установленным на портативном компьютере, с тем, чтобы выдать себя за сотрудника другого отдела и уменьшить расходы своего отдела на телефонную связь. Технология VLAN не позволяет сотруднику выполнять голосовые вызовы из сети VLAN другого отдела. В качестве дополнительной меры обеспечения безопасности можно настроить ACL пользователя таким образом, чтобы запретить передачу его трафика из сети VLAN одного отдела в сеть VLAN другого. ● Предотвращение прослушивания и перехвата телефонных переговоров.

Списки ACL позволяют предотвратить передачу голосового трафика через недостаточно защищенные области сети. ● Предотвращение атак типа "отказ в обслуживании". Организации могут использовать механизм списков ACL для предотвращения передачи входящих пакетов данных, например, пакетов, которые составляют атаки типа "отказ в обслуживании" в сеть VLAN системы голосовой связи. Можно настроить отдельные списки ACL для входящего и исходящего трафика. В этом случае ACL для входящего трафика блокирует поступление входящих пакетов в сеть VLAN системы голосовой связи, а ACL для исходящего трафика разрешает передачу во внешнюю сеть пакетов, исходящих из сети VLAN системы голосовой связи.

Такое разделение позволяет внедрить на IP-телефоны Cisco Unified различные XML-приложения, например, для регистрации времени начала и завершения работы смен. Безопасность портов В то время как решения Cisco в области межсетевых экранов обеспечивают контроль и разграничение доступа внешних пользователей, средства обеспечения безопасности портов позволяют реализовать контроль и разграничение доступа внутренних пользователей. Встроенные механизмы обеспечения портов маршрутизаторов и коммутаторов Cisco позволяют ограничивать набор сервисов, доступных пользователям, на основании физического порта, к которому подключены пользователи.

Такой подход позволяет защищать систему голосовой связи следующим образом: ● Предотвращение мошенничества при осуществлении междугородных переговоров. Первым шагом в предотвращении мошенничества является отказ в доступе тем пользователям, которым не предоставлены соответствующие права доступа. Средства обеспечения безопасности портов позволяют организациям ограничить доступ к сети головой связи до уровня конкретных физических портов.

Например, организация может запретить доступ к системе голосовой связи через порты, связанные с областями, в которых у сотрудников обычно нет телефонов, например, с областями содержания заключенных в пенитенциарных учреждениях или с производственными помещениями на промышленных предприятиях. Другой способ контроля доступа с использованием средств обеспечения безопасности портов заключается в перенаправлении пользователя в соответствующую сеть VLAN на основании прав доступа пользователя к системе голосовой связи. Например, неизвестный пользователь может быть перенаправлен в гостевую сеть VLAN, которая характеризуется ограниченным или отсутствующим доступом к системе голосовой связи.

Кроме того, список ACL для данного пользователя предотвращает его доступ к системе голосовой связи. Напротив, легитимный пользователь будет направлен в сеть VLAN своего отдела. ● Предотвращение атак типа "отказ в обслуживании". Порт не включается до тех пор, пока он не получит подтверждение об уровне доверия пользователю и устройству, с помощью которого работает пользователь. Такой подход позволяет предотвратить несанкционированное подключение постороннего лица к сети из укромного уголка в помещениях организации, например, из подвала или комнаты для переговоров, для последующего запуска атаки типа "отказ в обслуживании".

Для защиты от атак типа "отказ в обслуживании" с настольных компьютеров или ноутбуков сотрудников организации необходимо совмещать использование средств обеспечения безопасности портов с решениями NAC, позволяющими убедиться, что на настольном компьютере или ноутбуке установлены последние версии антивирусной программы и программы Cisco Security Agent. ● Предотвращение подмены пользователя, подмены адреса отправителя или прослушивания телефонных переговоров. Средства обеспечения безопасности портов позволяют ограничить количество MAC-адресов устройств, которым разрешен доступ к сети через заданный порт.

Это позволяет предотвратить ситуацию, в которой нарушитель отключает легитимный IP-телефон от сети, подключает на его место концентратор на два порта или более, а затем подключает к одному из портов несанкционированный IP-телефон или компьютер, на котором установлено соответствующее приложение телефонии. Порт не будет допускать подключения устройств с MAC-адресами, отличными от заданного MAC-адреса. © Cisco Systems, Inc., 1992–2007 г.г. С сохранением всех прав. Стр. 4 из 8

Page 4