Un_sist-big 24:2007 12/20/07 11:39 AM Page 12 НАДЕЖНЫЕ И ЗАЩИЩЕННЫЕ IP-КОММУНИКАЦИИ НА ВСЕМ ПРОТЯЖЕНИИ СЕТИ – ОТ IP-ТЕРМИНАЛОВ ДО ЯДРА СЕТЕВОЙ ИНФРАСТРУКТУРЫ Сегодня сетевую безопасность уже нельзя рассматривать как набор отдельных решений. Растет количество приложений и устройств, используемых в сетях, и вместе с ними появляется целый ряд новых точек уязвимости: IP-телефоны, беспроводные устройства для удаленных пользователей, КПК, мобильные телефоны и коммуникаторы и т. д. Безопасность сетей должна быть всеобъемлющей и охватывать как конечные устройства (например, IP-телефоны и персональные компьютеры), так и системное программное обеспечение и другие устройства в сетевой инфраструктуре.
Фактически в настоящее время сеть стала точкой контроля, в которой предотвращаются угрозы безопасности, исходящие от внутренних и внешних источников, и механизмом реализации адекватных ответных мер. Когда клиенты развертывают приложения системы унифицированных коммуникаций Cisco в интеллектуальной инфраструктуре Cisco, им не требуется предусматривать отдельный комплекс мер по обеспечению сетевой безопасности. Cisco предоставляет все три важнейших элемента системы безопасности: надежные соединения, доверительное взаимодействие и идентификацию, а также защиту от угроз.
Кроме того, Cisco является единственным производителем, который глубоко интегрировал технологии безопасности в самой структуре сети. В отличие от конкурентов, которые сосредотачивают внимание на безопасности только голосовых компонентов или инфраструктуры, Cisco применяет системный подход, в котором предусмотрены функции и сервисы безопасности для транспортной сети, конечных устройств, инфраструктуры обработки вызовов и для приложений. Использование встроенных интеллектуальных ресурсов самой сети для управления сетевой безопасностью значительно более эффективно, производительно и экономически целесообразно.
Как Cisco решает задачу обеспечения сетевой безопасности В рамках архитектуры защищенной сети (Self Defending Network – SDN) Cisco компания Cisco предлагает комплекс средств для обеспечением сетевой безопасности системы унифицированных коммуникаций Cisco. Защита от вторжений (Threat Defense) Эффективная защита корпоративной IP-телефонии в целом возможна только с использованием системного подхода. Совместная работа технологий обеспечения безопасности и сетевого интеллекта позволяет Cisco предоставить эшелонированную защиту всей сети, включая систему IP-телефонии.
Для этого требуется совместная работа таких технологий, как межсетевой экран, системы обнаружения и предотвращения вторжений, защита конечных устройств, защита контента, функции обеспечения безопасности маршрутизаторов и коммутаторов, безопасное управление. Давайте рассмотрим их работу. При подключении IP-телефона в сеть необходимо проверить его IP- и MAC-адрес. Злоумышленники часто применяют технику, известную как подмена IP-адреса (IP spoofing), которая заключается в использовании чужого легального IP-адреса.
Коммутатор уровня доступа Cisco Catalyst поддерживает функции просмотра сообщений и фильтрации протокола динамического назначения адресов (DHCP Snooping), функции защиты от подмены IP-адреса (IP Source Guard) и ряд других функций, которые обнаруживают и предотвращают подобные атаки. На уровне доступа к сети технология виртуальных локальных сетей (Virtual LAN – VLAN) помогает организациям логически разделить сеть по принципу разграничения прав доступа пользователей к необходимым им ресурсам. Cisco Systems первой предложила создавать телефонные VLAN для передачи трафика IP-телефонии и отдельные VLAN для передачи данных. Такое разделение помогает повысить устойчивость сети к атакам.
Например, если сетевой червь или вирус заразит компьютер в одной VLAN, то угроза заражения будет ограничена только этой VLAN. Взаимодействие между VLAN осуществляется через маршрутизацию, где к трафику применяются списки доступа (Access Control List – ACL). Они гарантируют, что только пользователи с разрешенным IP-адресом, протоколом, портом TCP/UDP имеют доступ в определенную VLAN. Списки доступа ACL поддерживаются на всех маршрутизаторах Cisco и большинстве коммутаторов Cisco Catalyst.
Межсетевые экраны Cisco ASA Firewall и Cisco IOS Firewall, построенные на базе технологии фильтрации пакетов с учетом состояния сеансов приложений, осуществляют защиту широкого диапазона мультимедийных стандартов, включая потоковое видео и аудио. Например, межсетевой экран Cisco ASA Firewall поддерживает следующие протоколы, используемые в системе IP-телефонии: H.323 Version 1–4, SIP, Cisco SCCP, MGCP, Cisco CTIQBE (TAPI/JTAPI), TFTP. Это позволяет использовать межсетевой экран Cisco ASA Firewall для контроля прохождения протоколов IP-телефонии между кластером Cisco Unified CallManager и IP-сетью.
При этом Cisco ASA Firewall наблюдает за состоянием сессий, запрашиваемыми ресурсами, пропуская только те транзакции, которые действительно необходимы для функционирования системы IP-телефонии. Осуществляя интеллектуальный контроль состояния сессии, межсетевые экраны Cisco ASA Firewall значительно уменьшают вероятность компрометации критических компонентов системы IP-телефонии, интеллекта системы управления вызовами (Cisco Unified CallManager) и осуществления несанкционированных телефонных переговоров. Межсетевой экран Cisco IOS Firewall, интегрированный в операционную систему Cisco IOS маршрутизаторов Cisco, также поддерживает широкий набор протоколов IP-телефонии:
SIP, Cisco SCCP, H.323, TFTP. Кроме того, Cisco IOS Firewall поддерживает анализ трафика, генерируемого самим маршрутизатором, что позволяет дополнительно защищать встроенный в маршрутизатор голосовой шлюз или мини-АТС Cisco Unified CallManager Express. 12