Un_sist-big 24:2007 12/20/07 11:39 AM Page 13 Системы предотвращения вторжений (Intrusion Prevention System – IPS) Системы предотвращения вторжений, устанавливаемые в сети, а также на компьютерах пользователей и серверах, являются одними из важнейших компонентов стратегии Cisco SDN. Сетевые системы IPS защищают кластер Cisco Unified CallManager от известных атак, идентифицируя их по сигнатурам – последовательностям битов, характерным для той или иной атаки, а также используя интеллектуальные механизмы оценки рисков атаки и релевантности атаки ее цели.
Любой трафик, распознанный как злонамеренный, будет проанализирован сетевой системой предотвращения вторжений в реальном времени, и при обнаружении атаки не пропустит пакет, осуществит сброс соединения, запись пакета в буфер, а также изменит настройки межсетевого экрана, соединяющего кластер Cisco Unified CallManager и IP-сеть организации. Сетевые системы предотвращения вторжений Cisco поддерживают детальный анализ телефонного протокола H.323, позволяя предотвращать атаки, осуществляемые путем передачи умышленно некорректно сформированных сообщений H.323.
Системы предотвращения вторжений IPS, устанавливаемые на серверы и компьютеры, например Cisco Security Agent, дополняют систему предотвращения вторжений благодаря своей уникальной архитектуре, не зависящей от наличия сигнатур атак. Установленное на сервер Cisco Unified CallManager или персональный компьютер с программным телефоном Cisco IP Communicator программное обеспечение Cisco Security Agent отслеживает системные вызовы к операционной системе и пресекает те, которые не соответствуют установленной политике безопасности.
Принцип работы Cisco Security Agent основан на поведенческом анализе, что, в отличие от защиты на основе сигнатур, позволяет эффективно противостоять неизвестным атакам без участия администратора. Компания Cisco Systems разработала и постоянно совершенствует поведенческий профиль защиты Cisco Security Agent для Cisco Unified CallManager, Cisco Unity, Cisco Unified IP Contact Center и других приложений IP-коммуникаций, что обеспечивает дополнительный периметр защиты системы IP-телефонии.
Идентификация и управление доверием (Identity & Trust Management System) Прежде чем пользователь, приложение или устройство получит доступ к необходимым ресурсам, он должен быть идентифицирован и аутентифицирован, после чего ему будут присвоены соответствующие права и привилегии. Эту задачу решает интеллектуальная инфраструктура Cisco с помощью следующих технологий: шифрование паролей, одноразовые пароли, цифровые сертификаты, протоколы аутентификации, авторизации и учета, средства безопасности Cisco IOS.
Cisco обеспечивает поддержку традиционных сервисов аутентификации, авторизации и учета (AAA) в инфраструктуре, а также поддерживает более совершенные функции с большей областью действия за счет применения таких инструментов, как расширяемый протокол аутентификации (EAP) и цифровые сертификаты. Клиенты могут плавно активировать голосовые функции в своих защищенных сетях передачи данных. Например, 802.1x с голосовыми VLAN и защищенные WLAN. Это обеспечивает прозрачное подключение IP-телефонов к портам коммутаторов, на которых действует аутентификация пользователей с применением 802.1x.
В структуре управления допуском в сеть Cisco (NAC) администраторы могут ввести ограничения для подключения проводных и беспроводных терминалов, не отвечающих нормам безопасности. Этот механизм, в первую очередь, позволяет изолировать подключение уязвимых терминалов, подверженных атакам, сетевым червям, вирусам или содержащих программы со шпионским кодом (Trojan), а во вторую очередь – не допускает их входа в сеть, предотвращая тем самым нарушение работы голосовых сервисов. Защищенное взаимодействие (Secure Connectivity) Для обеспечения конфиденциальности переговоров в системе IP-телефонии Cisco предусмотрено несколько уровней защиты.
В локальных сетях на базе коммутаторов Cisco Catalyst конфиденциальность переговоров обеспечивается путем защиты от несанкционированного перехвата телефонных IP-пакетов. Это достигается за счет использования встроенных в коммутаторы Cisco Catalyst механизмов Port Security, защищающих от переполнения таблицы коммутации/фильтрации коммутаторов, а также механизма динамического анализа/фильтрации сообщений протокола разрешения IP-адресов (Address Resolution Protocol – ARP), который называется Dynamic ARP Inspection (DAI). Механизм DAI защищает от несанкционированного перехвата телефонных пакетов, осуществляемого путем манипуляции сообщениями протокола ARP.
Дополнительно IP-телефоны Cisco позволяют отключить незащищенный режим работы протокола ARP (Gratuitous ARP). В распределенных сетях для защиты конфиденциальности переговоров Cisco использует виртуальные защищенные сети для телефонии, видео и данных (Voice and Video VPN – V3PN). Это решение предусматривает использование сертифицированных в Российской Федерации средств криптографической защиты с применением российских алгоритмов криптографии, разрабатываемых партнерами Cisco Systems, Inc. и интегрируемых в сетевую инфраструктуру и системы управления Cisco.
Средства криптографической защиты позволяют при туннелировании голосового пакета (шифрация и упаковка в новый пакет) сохранить его маркировку. Это позволяет сохранить прозрачность классификации пакетов, используемых механизмом управления качеством передачи (QoS). Благодаря этим интегрированным ресурсам безопасности компания Cisco предлагает сети IP-телефонии, которые признаны самыми мощными и безопасными, согласно данным отчета Network World за 2004 год. Этот отчет был составлен на основе исследований, проведенных фирмой Miercom (Нью-Джерси, США) – ведущего эксперта в области сетевого 13