الأمن المادي

من المهم توفير الأمان المادي لمواقع Equinix Meet-Me Room و Cisco مثيل مخصص مرافق مركز البيانات. عندما يتم اختراق الأمان المادي ، يمكن بدء هجمات بسيطة مثل تعطيل الخدمة عن طريق إيقاف تشغيل الطاقة عن مفاتيح العميل. من خلال الوصول المادي ، يمكن للمهاجمين الوصول إلى أجهزة الخادم وإعادة تعيين كلمات المرور والوصول إلى المفاتيح. يسهل الوصول المادي أيضًا الهجمات الأكثر تعقيدًا مثل هجمات man-in-the-middle ، وهذا هو سبب أهمية طبقة الأمان الثانية ، أمان الشبكة.

يتم استخدام محركات الأقراص ذاتية التشفير في ملفات مثيل مخصص مراكز البيانات التي تستضيف تطبيقات الاتصالات الموحدة.

لمزيد من المعلومات حول ممارسات الأمان العامة ، راجع الوثائق الموجودة في الموقع التالي: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

أمان الشبكة

يحتاج الشركاء إلى التأكد من أن جميع عناصر الشبكة مؤمنة مثيل مخصص البنية التحتية (التي تتصل عبر Equinix). تقع على عاتق الشريك مسؤولية ضمان أفضل الممارسات الأمنية مثل:

• VLAN منفصلة للصوت والبيانات

• قم بتمكين أمان المنفذ الذي يحد من عدد عناوين MAC المسموح بها لكل منفذ ، مقابل فيضان جدول CAM

• حماية مصدر IP من عناوين IP المخادعة

• يفحص فحص ARP الديناميكي (DAI) بروتوكول حل العنوان (ARP) و ARP غير المبرر (GARP) للانتهاكات (ضد انتحال ARP)

• 802.1x يحد من الوصول إلى الشبكة لمصادقة الأجهزة على شبكات VLAN المعينة (تدعم الهواتف معيار 802.1x )

• تكوين جودة الخدمة (QoS) لوضع العلامات المناسبة على حزم الصوت

• تكوينات منافذ جدار الحماية لحظر أي حركة مرور أخرى

أمان نقاط النهاية

تدعم نقاط نهاية Cisco ميزات الأمان الافتراضية مثل البرامج الثابتة الموقعة والتمهيد الآمن (الطرز المحددة) والشهادة المثبتة من قبل الشركة المصنعة (MIC) وملفات التكوين الموقعة ، والتي توفر مستوى معينًا من الأمان لنقاط النهاية.

بالإضافة إلى ذلك ، يمكن للشريك أو العميل تمكين أمان إضافي ، مثل:

• تشفير خدمات هاتف IP (عبر HTTPS) لخدمات مثل Extension Mobility

• إصدار الشهادات المهمة محليًا (LSCs) من وظيفة وكيل جهة منح الشهادات (CAPF) أو هيئة إصدار الشهادات العامة (CA)

• تشفير ملفات التكوين

• تشفير الوسائط والإشارات

• قم بتعطيل هذه الإعدادات إذا لم يتم استخدامها: منفذ PC الشخصي ، الوصول إلى VLAN الصوتي كمبيوتر شخصي ، ARP المجاني ، الوصول إلى الويب ، زر الإعدادات ، SSH ، وحدة التحكم

يتم تنفيذ آليات الأمان في مثيل مخصص يمنع سرقة الهوية للهواتف خادم Unified CM، والتلاعب بالبيانات ، والتلاعب في إشارات المكالمات / تدفق الوسائط.

مثيل مخصص عبر الشبكة:

• ينشئ ويحافظ على تدفقات الاتصال المصدق عليها

• توقيع الملفات رقميًا قبل نقل الملف إلى الهاتف

• يشفر تدفقات الوسائط وإشارات المكالمات بين هواتف Cisco Unified IP

يوفر الأمان افتراضيًا ميزات الأمان التلقائية التالية لهواتف Cisco Unified IP :

• توقيع ملفات تكوين الهاتف

• دعم لتشفير ملف تكوين الهاتف

• HTTPS مع Tomcat وخدمات الويب الأخرى (MIDlets)

بالنسبة للإصدار 8.0 من Unified CM لاحقًا ، يتم توفير ميزات الأمان هذه بشكل افتراضي دون تشغيل عميل قائمة الشهادات الموثوق بها (CTL).

نظرًا لوجود عدد كبير من الهواتف في الشبكة وهواتف IP ذات ذاكرة محدودة ، تعمل Cisco Unified CM كمخزن ثقة عن بُعد من خلال خدمة التحقق من الثقة (TVS) بحيث لا يلزم وضع مخزن الشهادات الموثوق به على كل هاتف. تتصل هواتف Cisco IP بخادم TVS للتحقق من صحة التوقيع أو الشهادة من خلال ملفات CTL أو ITL. يعد امتلاك متجر ثقة مركزي أسهل في إدارته من وجود متجر موثوق به على كل هاتف IP Cisco Unified IP.

تعمل خدمة TVS على تمكين هواتف Cisco Unified IP من مصادقة خوادم التطبيقات ، مثل خدمات EM ، والدليل ، و MIDlet ، أثناء إنشاء HTTPS.

يتم استخدام ملف قائمة الثقة الأولية (ITL) للأمان الأولي ، بحيث يمكن لنقاط النهاية الوثوق بـ Cisco Unified CM. لا يحتاج ITL إلى تمكين أي ميزات أمان بشكل صريح. يتم إنشاء ملف ITL تلقائيًا عند تثبيت المجموعة. يتم استخدام المفتاح الخاص لخادم Unified CM Trivial File Transfer Protocol (TFTP) للتوقيع على ملف ITL.

عندما تكون مجموعة أو خادم Cisco Unified CM في وضع آمن ، يتم تنزيل ملف ITL على كل هاتف IP Cisco IP مدعوم. يمكن للشريك عرض محتويات ملف ITL باستخدام أمر CLI، admin: show itl.

تحتاج هواتف Cisco IP إلى ملف ITL لأداء المهام التالية:

• الاتصال بشكل آمن بـ CAPF، وهو شرط أساسي لدعم تشفير ملف التكوين

• قم بمصادقة توقيع ملف التكوين

• مصادقة خوادم التطبيقات ، مثل خدمات EM والدليل و MIDlet أثناء إنشاء HTTPS باستخدام TVS

تعتمد مصادقة الجهاز والملف والإشارة على إنشاء ملف قائمة الشهادات الموثوق بها (CTL) ، والذي يتم إنشاؤه عندما يقوم الشريك أو العميل بتثبيت وتكوين عميل قائمة الشهادات الموثوق بها من Cisco .

يحتوي ملف CTL على إدخالات للخوادم أو رموز الأمان التالية:

• رمز أمان مسؤول النظام (SAST)

• خدمات Cisco CallManager و Cisco TFTP التي تعمل على نفس الخادم

• وظيفة وكيل Certificate Authority (CAPF)

• خادم (خوادم) TFTP

• جدار حماية ASA

يحتوي ملف CTL على شهادة الخادم والمفتاح العام رقم تسلسلي والتوقيع واسم المُصدر واسم الموضوع ووظيفة الخادم واسم DNS عنوان IP لكل خادم.

يوفر أمان الهاتف باستخدام CTL الوظائف التالية:

• مصادقة ملفات TFTP التي تم تنزيلها (التكوين والإعدادات المحلية وقائمة الرنين وما إلى ذلك) باستخدام مفتاح التوقيع

• تشفير ملفات تكوين TFTP باستخدام مفتاح توقيع

• إشارات المكالمات المشفرة لهواتف IP

• صوت المكالمة المشفر (الوسائط) لهواتف IP

مثيل مخصص يوفر تسجيل نقاط النهاية معالجة المكالمة. تستند الإشارة بين Cisco Unified CM ونقاط النهاية إلى بروتوكول التحكم في عميل Skinny (SCCP) أو بروتوكول بدء الجلسة (SIP) ويمكن تشفيرها باستخدام أمان طبقة النقل (TLS). تعتمد الوسائط من / إلى نقاط النهاية على بروتوكول النقل في الوقت الفعلي (RTP) ويمكن أيضًا تشفيرها باستخدام Secure RTP (SRTP).

يتيح تمكين الوضع المختلط على Unified CM تشفير نقل الوسائط من وإلى نقاط نهاية Cisco .

تطبيقات UC الآمنة

يتم تم تمكينه افتراضيًا في مثيل مخصص .

تمكين الوضع المختلط في مثيل مخصص يتيح القدرة على إجراء تشفير للإشارات نقل الوسائط من وإلى نقاط نهاية Cisco .

في الإصدار 12.5 (1) من Cisco Unified CM ، تمت إضافة خيار جديد لتمكين تشفير الإشارات والوسائط استنادًا إلى SIP OAuth بدلاً من الوضع المختلط / CTL لعملاء Jabber و Webex . لذلك ، في إصدار Unified CM 12.5 (1) ، يمكن استخدام SIP OAuth و SRTP لتمكين التشفير للإشارات والوسائط لعملاء Jabber أو Webex . لا يزال تمكين الوضع المختلط مطلوبًا لهواتف Cisco IP ونقاط نهاية Cisco الأخرى في الوقت الحالي. هناك خطة لإضافة دعم SIP OAuth في 7800/8800 نقطة نهاية في إصدار مستقبلي.

يتصل Cisco Unity Connection بـ Unified CM من خلال منفذ TLS . عندما يكون وضع أمان الجهاز غير آمن ، يتصل Cisco Unity Connection بـ Unified CM من خلال منفذ SCCP .

لتكوين الأمان لمنافذ الرسائل الصوتية Unified CM وأجهزة Cisco Unity التي تقوم بتشغيل أجهزة SCCP أو Cisco Unity Connection التي تقوم بتشغيل SCCP، يمكن للشريك اختيار وضع أمان الجهاز الآمن للمنفذ. إذا اخترت منفذ بريد صوتي مصدق عليه ، فسيتم فتح اتصال TLS ، والذي يقوم بمصادقة الأجهزة باستخدام تبادل الشهادات المتبادل (يقبل كل جهاز شهادة الجهاز الآخر). إذا اخترت منفذ بريد صوتي مشفر ، يقوم النظام أولاً بمصادقة الأجهزة ثم إرسال تدفقات صوتية مشفرة بين الأجهزة.

لمزيد من المعلومات حول منافذ المراسلة الصوتية للأمان ، يرجى الرجوع إلى: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

تأمين الاتصالات بين Cisco Unified CM وCUBE

للاتصالات الآمنة بين Cisco Unified CM و CUBE ، يحتاج الشركاء / العملاء إلى استخدام شهادة موقعة ذاتيًا من قِبل المرجع المصدق.

للشهادات الموقعة ذاتيًا:

1. ينشئ CUBE و Cisco Unified CM شهادات موقعة ذاتيًا

2. يقوم CUBE بتصدير الشهادة إلى Cisco Unified CM

3. تصدر Cisco Unified CM الشهادة إلى CUBE

للشهادات الموقعة من قِبل المرجع المصدق (CA):

1. ينشئ العميل زوجًا من المفاتيح ويرسل طلب توقيع الشهادة (CSR) إلى Certificate Authority (CA)

2. يقوم المرجع المصدق بتسجيله باستخدام مفتاحه الخاص ، مما يؤدي إلى إنشاء شهادة هوية

3. يقوم العميل بتثبيت قائمة الشهادات الجذرية والوسيطة للمرجع المصدق وشهادة الهوية

ملخص البروتوكول

يوضح الجدول التالي البروتوكولات والخدمات المرتبطة بها المستخدمة في حل Unified CM .

لمزيد من المعلومات حول تكوين MRA ، راجع: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

تأمين Jabber و Webex باستخدام SIP OAuth

تتم مصادقة عملاء Jabber و Webex من خلال رمز OAuth المميز بدلاً من شهادة مهمة محليًا (LSC) ، والتي لا تتطلب تمكين وظيفة وكيل جهة منح الشهادات (CAPF) (لـ MRA أيضًا). تم تقديم SIP OAuth الذي يعمل مع الوضع المختلط أو بدونه في Cisco Unified CM 12.5 (1) و Jabber 12.5 و Expressway X12.5.

في Cisco Unified CM 12.5 ، لدينا خيار جديد في ملف تعريف أمان الهاتف الذي يتيح التشفير بدون LSC/ CAPF، باستخدام أمان طبقة النقل (TLS) + رمز OAuth المميز في SIP REGISTER. تستخدم عُقد Expressway-C API خدمة الويب XML الإدارية ( AXL ) لإبلاغ Cisco Unified CM بـ SN / SAN في شهادتها. يستخدم Cisco Unified CM هذه المعلومات للتحقق من صحة شهادة Exp-C عند إنشاء اتصال TLS متبادل.

يتيح SIP OAuth تشفير الوسائط والإشارات بدون شهادة نقطة النهاية (LSC).

يستخدم Cisco Jabber المنافذ المؤقتة والمنافذ الآمنة 6971 و 6972 عبر اتصال HTTPS بخادم TFTP لتنزيل ملفات التكوين. المنفذ 6970 هو منفذ غير آمن للتنزيل عبر HTTP.

مزيد من التفاصيل حول تكوين SIP OAuth: وضع SIP OAuth .