الأمان المادي

من المهم توفير الأمان المادي لمواقع غرفة Equinix Meet-Me ومرافق مركز بيانات المثيل المخصص من Cisco. عند اختراق الأمان المادي، يمكن بدء هجمات بسيطة مثل تعطيل الخدمة عن طريق إيقاف تشغيل الطاقة عن مفاتيح العميل. من خلال الوصول الفعلي، يمكن للمهاجمين الوصول إلى أجهزة الخادم وإعادة تعيين كلمات المرور والوصول إلى المحولات. يعمل الوصول المادي أيضًا على تسهيل الهجمات الأكثر تعقيدًا مثل هجمات man-in-the-middle، وهذا هو سبب أهمية طبقة الأمان الثانية، وهي أمان الشبكة.

يتم استخدام محركات الأقراص ذات التشفير الذاتي في مراكز بيانات المثيلات المخصصة التي تستضيف تطبيقات UC.

لمزيد من المعلومات حول ممارسات الأمان العامة، راجع الوثائق في الموقع التالي: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

أمان الشبكة

يحتاج الشركاء إلى التأكد من أن جميع عناصر الشبكة مؤمنة في البنية التحتية للمثيل المخصص (التي تتصل عبر Equinix). تقع على عاتق الشريك مسؤولية ضمان أفضل الممارسات الأمنية مثل:

• شبكة VLAN منفصلة للصوت والبيانات

• قم بتمكين أمان المنفذ الذي يحد من عدد عناوين MAC المسموح بها لكل منفذ، ضد فيضان جدول CAM

• حماية مصدر IP ضد عناوين IP المخادعة

• يفحص فحص ARP الديناميكي (DAI) بروتوكول حل العناوين (ARP) وبروتوكول ARP المجاني (GARP) للانتهاكات (ضد انتحال ARP)

• يحد 802.1x من الوصول إلى الشبكة لمصادقة الأجهزة على شبكات VLAN المعينة (تدعم الهواتف 802.1x)

• تكوين جودة الخدمة (QoS) لوضع العلامات المناسبة للحزم الصوتية

• تكوينات منافذ جدار الحماية لحظر أي حركة مرور أخرى

أمان نقاط النهاية

تدعم نقاط نهاية Cisco ميزات الأمان الافتراضية مثل البرامج الثابتة الموقعة والتمهيد الآمن (الطرازات المحددة) والشهادة المثبتة من قبل الشركة المصنعة (MIC) وملفات التكوين الموقعة، والتي توفر مستوى معينًا من الأمان لنقاط النهاية.

بالإضافة إلى ذلك، يمكن للشريك أو العميل تمكين الأمان الإضافي، مثل:

• تشفير خدمات هاتف IP (عبر HTTPS) لخدمات مثل Extension Mobility

• إصدار شهادات ذات أهمية محلية (LSCs) من وظيفة وكيل المرجع المصدق (CAPF) أو هيئة إصدار الشهادات العامة (CA)

• تشفير ملفات التكوين

• تشفير الوسائط والإشارات

• قم بتعطيل هذه الإعدادات إذا لم يتم استخدامها: منفذ الكمبيوتر الشخصي، الوصول إلى صوت الكمبيوتر VLAN، ARP المجاني، الوصول إلى الويب، زر الإعدادات، SSH، وحدة التحكم

يؤدي تنفيذ آليات الأمان في المثيل المخصص إلى منع سرقة هوية الهواتف Unified CM والخادم، والتلاعب بالبيانات، والتلاعب بإشارات المكالمات/بث الوسائط.

مثيل مخصص عبر الشبكة:

• ينشئ ويحافظ على تدفقات الاتصالات المصادق عليها

• يقوم بتوقيع الملفات رقميًا قبل نقل الملف إلى الهاتف

• يقوم بتشفير تدفقات الوسائط وإشارات المكالمات بين هواتف Cisco Unified IP

يوفر الأمان افتراضيًا ميزات الأمان التلقائية التالية لهواتف Cisco Unified IP:

• توقيع ملفات تكوين الهاتف

• دعم تشفير ملف تكوين الهاتف

• HTTPS مع Tomcat وخدمات الويب الأخرى (MIDLets)

بالنسبة Unified CM للإصدار 8.0 لاحقًا، يتم توفير ميزات الأمان هذه افتراضيًا بدون تشغيل عميل قائمة الشهادات الموثوق بها (CTL).

نظرًا لوجود عدد كبير من الهواتف في الشبكة ولهواتف IP ذات ذاكرة محدودة، فإنها Cisco Unified CM تعمل كمخزن ثقة عن بُعد من خلال خدمة التحقق من الثقة (TVS) بحيث لا يلزم وضع مخزن ثقة للشهادات على كل هاتف. تتصل هواتف Cisco IP بخادم TVS للتحقق لأنها لا تستطيع التحقق من التوقيع أو الشهادة من خلال ملفات CTL أو ITL. يعد امتلاك مخزن ثقة مركزي أسهل في الإدارة من امتلاك مخزن الثقة على كل هاتف Cisco Unified IP.

تعمل TVS على تمكين هواتف Cisco Unified IP من مصادقة خوادم التطبيقات، مثل خدمات EM والدليل وMidLet، أثناء إنشاء HTTPS.

يتم استخدام ملف قائمة الثقة الأولية (ITL) للأمان الأولي، بحيث يمكن أن تثق نقاط النهاية. Cisco Unified CM لا تحتاج ITL إلى أي ميزات أمان ليتم تمكينها بشكل صريح. يتم إنشاء ملف ITL تلقائيًا عند تثبيت الكتلة. يُستخدم المفتاح الخاص لخادم بروتوكول نقل الملفات Unified CM البسيط (TFTP) لتوقيع ملف ITL.

عندما تكون Cisco Unified CM المجموعة أو الخادم في وضع غير آمن، يتم تنزيل ملف ITL على كل هاتف Cisco IP مدعوم. يمكن للشريك عرض محتويات ملف ITL باستخدام الأمر CLI، admin:show itl.

تحتاج هواتف Cisco IP إلى ملف ITL لتنفيذ المهام التالية:

• تواصل بأمان مع CAPF، وهو شرط أساسي لدعم تشفير ملف التكوين

• قم بمصادقة توقيع ملف التكوين

• قم بمصادقة خوادم التطبيقات، مثل خدمات EM والدليل وMidLet أثناء إنشاء HTTPS باستخدام TVS

تعتمد مصادقة الجهاز والملف والإشارة على إنشاء ملف قائمة الشهادات الموثوق بها (CTL)، والذي يتم إنشاؤه عندما يقوم الشريك أو العميل بتثبيت عميل قائمة شهادات Cisco الموثوق بها وتكوينه.

يحتوي ملف CTL على إدخالات للخوادم التالية أو رموز الأمان:

• رمز أمان مسؤول النظام (SAST)

• Cisco CallManagerوخدمات Cisco TFTP التي تعمل على نفس الخادم

• Certificate Authorityوظيفة الوكيل (CAPF)

• خادم (خوادم) TFTP

• جدار حماية ASA

يحتوي ملف CTL على شهادة الخادم والمفتاح العام والرقم التسلسلي والتوقيع واسم المُصدر واسم الموضوع ووظيفة الخادم واسم DNS وعنوان IP لكل خادم.

يوفر أمان الهاتف مع CTL الوظائف التالية:

• مصادقة ملفات TFTP التي تم تنزيلها (التكوين والإعدادات المحلية وقائمة الحلقات وما إلى ذلك) باستخدام مفتاح التوقيع

• تشفير ملفات تكوين TFTP باستخدام مفتاح توقيع

• إشارات المكالمات المشفرة لهواتف IP

• صوت المكالمة المشفرة (الوسائط) لهواتف IP

يوفر المثيل المخصص تسجيل نقطة النهاية ومعالجة المكالمات. تعتمد الإشارة Cisco Unified CM بين نقاط النهاية على بروتوكول التحكم في عميل Secure Skinny (SCCP) أو بروتوكول بدء الجلسة (SIP) ويمكن تشفيرها باستخدام أمان طبقة النقل (TLS). تعتمد الوسائط من/إلى نقاط النهاية على بروتوكول النقل في الوقت الفعلي (RTP) ويمكن أيضًا تشفيرها باستخدام Secure RTP (SRTP).

يؤدي تمكين الوضع المختلط إلى Unified CM تمكين تشفير الإشارات وحركة مرور الوسائط من وإلى نقاط نهاية Cisco.

تطبيقات UC الآمنة

يتم تمكين الوضع المختلط افتراضيًا في المثيل المخصص.

يؤدي تمكين الوضع المختلط في المثيل المخصص إلى تمكين القدرة على إجراء تشفير الإشارات وحركة مرور الوسائط من وإلى نقاط نهاية Cisco.

بدءًا من Cisco Unified CM الإصدار 12.5 (1)، تمت إضافة خيار جديد لتمكين تشفير الإشارات والوسائط استنادًا إلى SIP OAuth بدلاً من الوضع المختلط/CTL لعملاء Jabber و Webex. لذلك، في Unified CM الإصدار 12.5 (1)، يمكن استخدام SIP OAuth و SRTP لتمكين التشفير للإشارة والوسائط لعملاء Jabber أو Webex. لا يزال تمكين الوضع المختلط مطلوبًا لهواتف Cisco IP ونقاط نهاية Cisco الأخرى في هذا الوقت. هناك خطة لإضافة دعم لـ SIP OAuth في نقاط النهاية 7800/8800 في إصدار مستقبلي.

تأمين الاتصالات بين Cisco Unified CM و CUBE

للاتصالات الآمنة بين Cisco Unified CM CUBE، يحتاج الشركاء/العملاء إلى استخدام إما شهادة موقعة ذاتيًا أو شهادات موقعة من CA.

بالنسبة للشهادات الموقعة ذاتيًا:

1. CUBE Cisco Unified CM وإنشاء شهادات موقعة ذاتيًا

2. تقوم CUBE بتصدير الشهادة إلى Cisco Unified CM

3. Cisco Unified CMشهادة التصدير إلى CUBE

بالنسبة للشهادات الموقعة من CA:

1. يقوم العميل بإنشاء زوج مفاتيح وإرسال طلب توقيع الشهادة (CSR) إلى Certificate Authority (CA)

2. تقوم CA بالتوقيع عليها بمفتاحها الخاص، مما يؤدي إلى إنشاء شهادة هوية

3. يقوم العميل بتثبيت قائمة شهادات CA الجذرية والوسيطة الموثوقة وشهادة الهوية

ملخص البروتوكول

يعرض الجدول التالي البروتوكولات والخدمات المرتبطة المستخدمة في Unified CM الحل.

لمزيد من المعلومات حول تكوين MRA، راجع: قسم سيناريوهات نشر MRA من دليل الأجهزة المحمولة Remote Access وعبر Cisco Expressway النشر.

تأمين جابر وويبكس باستخدام SIP OAuth

تتم مصادقة عملاء Jabber و Webex من خلال رمز OAuth بدلاً من الشهادة ذات الأهمية المحلية (LSC)، والتي لا تتطلب تمكين وظيفة وكيل سلطة الشهادة (CAPF) (لـ MRA أيضًا). تم تقديم SIP OAuth الذي يعمل مع الوضع المختلط أو بدونه في Cisco Unified CM 12.5 (1) والإصدارات الأحدث، و Jabber 12.5 والإصدارات الأحدث، و Expressway X12.5.

في Cisco Unified CM الإصدار 12.5 والإصدارات الأحدث، لدينا خيار جديد في ملف تعريف أمان الهاتف يتيح التشفير بدون LSC/CAPF، باستخدام أمان طبقة النقل الفردية (TLS) +رمز OAuth في SIP REGISTER. تستخدم عُقد Expressway-C واجهة برمجة تطبيقات خدمة ويب XML الإدارية (AXL) للإبلاغ عن SN/SAN في Cisco Unified CM الشهادة الخاصة بها. Cisco Unified CMيستخدم هذه المعلومات للتحقق من صحة شهادة Exp-C عند إنشاء اتصال TLS متبادل.

يتيح SIP OAuth تشفير الوسائط والإشارات بدون شهادة نقطة النهاية (LSC).

Cisco Jabberيستخدم المنافذ المؤقتة والمنافذ الآمنة 6971 و6972 عبر اتصال HTTPS بخادم TFTP لتنزيل ملفات التكوين. المنفذ 6970 هو منفذ غير آمن للتنزيل عبر HTTP.

مزيد من التفاصيل حول تكوين SIP OAuth: وضع SIP OAuth.