الأمن المادي

من المهم توفير الأمان المادي لمواقع غرفة Equinix Meet-Me ومرافق مركز بيانات المثيل المخصص من Cisco. عند اختراق الأمان المادي، يمكن بدء هجمات بسيطة مثل انقطاع الخدمة عن طريق إغلاق الطاقة إلى مفاتيح العميل. مع الوصول الفعلي، يمكن للمهاجمين الوصول إلى أجهزة الخادم، وإعادة تعيين كلمات المرور، والوصول إلى المفاتيح. كما يسهل الوصول المادي هجمات أكثر تطوراً مثل هجمات الرجل في الوسط، وهذا هو السبب في أن الطبقة الأمنية الثانية، أمن الشبكة، أمر بالغ الأهمية.

يتم استخدام محركات الأقراص ذاتية التشفير في مراكز بيانات المثيل المكرس التي تستضيف تطبيقات UC.

لمزيد من المعلومات حول الممارسات الأمنية العامة، ارجع إلى الوثائق في الموقع التالي: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

أمان الشبكة

يحتاج الشركاء إلى التأكد من أن جميع عناصر الشبكة مؤمنة في البنية التحتية للمثيل المخصص (التي تتصل عبر Equinix). تقع على عاتق الشريك مسؤولية ضمان أفضل الممارسات الأمنية مثل:

• فصل VLAN للصوت والبيانات

• تمكين أمان المنفذ الذي يحد من عدد عناوين MAC المسموح بها لكل منفذ، ضد فيضانات جدول CAM

• حارس مصدر IP ضد عناوين IP المزورة

• فحص ARP الديناميكي (DAI) يفحص بروتوكول حل العناوين (ARP) و ARP (GARP) دون مبرر للانتهاكات (ضد الاحتيال ARP)

• يحد 802.1x من الوصول إلى الشبكة لمصادقة الأجهزة على شبكات VLAN المعينة (تدعم الهواتف 802.1x)

• تكوين جودة الخدمة (QoS) لوضع علامة مناسبة على حزم الصوت

• تكوينات منافذ جدار الحماية لمنع أي حركة مرور أخرى

أمان نقاط النهاية

تدعم نقاط نهاية Cisco ميزات الأمان الافتراضية مثل البرامج الثابتة الموقعة، والتمهيد الآمن (الموديلات المحددة)، والشهادة المثبتة من الشركة المصنعة (MIC)، وملفات التكوين الموقعة، والتي توفر مستوى معين من الأمان لنقاط النهاية.

بالإضافة إلى ذلك، يمكن لشريك أو عميل تمكين أمان إضافي، مثل:

• تشفير خدمات هاتف IP (عبر HTTPS) لخدمات مثل Extension Mobility

• إصدار شهادات مهمة محليًا (LSCs) من وظيفة وكيل جهة منح الشهادات (CAPF) أو جهة شهادة عامة (CA)

• تشفير ملفات التكوين

• تشفير الوسائط وإرسال الإشارات

• قم بتعطيل هذه الإعدادات إذا لم يتم استخدامها: منفذ PC، الوصول إلى VLAN للصوت للكمبيوتر الشخصي، ARP مجانية، الوصول إلى الويب، زر الإعدادات، SSH، وحدة التحكم

يمنع تطبيق آليات الأمان في المثيل المخصص سرقة الهوية للهواتف وخادم Unified CM، والتلاعب بالبيانات، والتلاعب بإشارات المكالمات/ بث الوسائط.

المثيل المكرّس عبر الشبكة:

• إنشاء وصيانة تدفقات الاتصالات الموثقة

• التوقيع الرقمي على الملفات قبل نقل الملف إلى الهاتف

• تشفير تدفقات الوسائط وإشارات المكالمات بين هواتف Cisco Unified IP

يوفر الأمان بشكل افتراضي ميزات الأمان التلقائية التالية لهواتف Cisco Unified IP:

• توقيع ملفات تكوين الهاتف

• دعم تشفير ملف تكوين الهاتف

• HTTPS مع Tomcat وخدمات الويب الأخرى (MIDlets)

بالنسبة لإصدار Unified CM 8.0 لاحقًا، يتم توفير ميزات الأمان هذه بشكل افتراضي دون تشغيل عميل قائمة الثقة للشهادات (CTL).

نظرًا لوجود عدد كبير من الهواتف في الشبكة وذاكرة IP محدودة، يعمل Cisco Unified CM كمخزن ثقة بعيد من خلال خدمة التحقق من الثقة (TVS) بحيث لا يلزم وضع متجر ثقة للشهادات على كل هاتف. تتصل هواتف Cisco IP بخادم TVS للتحقق لأنها لا تستطيع التحقق من توقيع أو شهادة من خلال ملفات CTL أو ITL. من السهل إدارة وجود متجر ثقة مركزي من وجود متجر ثقة على كل هاتف Cisco Unified IP.

تمكن TVS هواتف Cisco Unified IP من مصادقة خوادم التطبيقات، مثل خدمات EM والدليل وMIDlet، أثناء إنشاء HTTPS.

يتم استخدام ملف قائمة الثقة الأولية (ITL) للأمان الأولي، بحيث يمكن لنقاط النهاية الثقة في Cisco Unified CM. لا يحتاج سجل المعاملات الدولي إلى تمكين أي ميزات أمان بشكل صريح. يتم إنشاء ملف ITL تلقائيًا عند تثبيت المجموعة. يتم استخدام المفتاح الخاص لخادم بروتوكول نقل الملفات التافه Unified CM (TFTP) لتوقيع ملف ITL.

عندما يكون نظام مجموعة أو خادم Cisco Unified CM في وضع غير آمن، يتم تنزيل ملف ITL على كل هاتف Cisco IP مدعوم. يمكن للشريك عرض محتويات ملف ITL باستخدام أمر CLI، المسؤول:show itl.

تحتاج هواتف Cisco IP إلى ملف ITL لتنفيذ المهام التالية:

• الاتصال بشكل آمن بـ CAPF، وهو شرط مسبق لدعم تشفير ملف التكوين

• مصادقة توقيع ملف التكوين

• مصادقة خوادم التطبيقات، مثل خدمات EM والدليل وMIDlet أثناء إنشاء HTTPS باستخدام TVS

تعتمد مصادقة الجهاز والملف وإرسال الإشارات على إنشاء ملف قائمة الثقة للشهادات (CTL)، والذي يتم إنشاؤه عندما يقوم الشريك أو العميل بتثبيت وتكوين عميل قائمة الثقة لشهادات Cisco.

يحتوي ملف CTL على إدخالات للخوادم التالية أو رموز الأمان:

• رمز أمان مسؤول النظام (SAST)

• خدمات Cisco CallManager وCisco TFTP التي تعمل على نفس الخادم

• وظيفة وكيل جهة منح الشهادات (CAPF)

• خادم (خوادم) TFTP

• جدار حماية ASA

يحتوي ملف CTL على شهادة خادم ومفتاح عام ورقم تسلسلي وتوقيع واسم جهة الإصدار واسم الموضوع ووظيفة الخادم واسم DNS وعنوان IP لكل خادم.

يوفر أمان الهاتف باستخدام CTL الوظائف التالية:

• مصادقة ملفات TFTP التي تم تنزيلها (التكوين والإعدادات المحلية وقائمة الرنين وما إلى ذلك) باستخدام مفتاح التوقيع

• تشفير ملفات تكوين TFTP باستخدام مفتاح التوقيع

• إرسال إشارات المكالمات المشفرة لهواتف IP

• صوت المكالمة المشفر (الوسائط) لهواتف IP

يوفر المثيل المخصص تسجيل نقطة النهاية ومعالجة المكالمات. تعتمد الإشارات بين Cisco Unified CM ونقاط النهاية على بروتوكول التحكم في عميل نحيف آمن (SCCP) أو بروتوكول بدء الجلسة (SIP) ويمكن تشفيرها باستخدام أمان طبقة النقل (TLS). تعتمد الوسائط من/إلى نقاط النهاية على بروتوكول النقل في الوقت الحقيقي (RTP) ويمكن تشفيرها أيضًا باستخدام RTP الآمن (SRTP).

يؤدي تمكين الوضع المختلط على Unified CM إلى تمكين تشفير الإشارات وحركة مرور الوسائط من وإلى نقاط نهاية Cisco.

تطبيقات UC الآمنة

يتم تمكين الوضع المختلط افتراضيًا في المثيل المخصص.

يؤدي تمكين الوضع المختلط في المثيل المخصص إلى تمكين القدرة على تنفيذ تشفير الإشارات وحركة مرور الوسائط من وإلى نقاط نهاية Cisco.

في الإصدار 12.5(1) من Cisco Unified CM، تمت إضافة خيار جديد لتمكين تشفير الإشارات والوسائط بناءً على SIP OAuth بدلاً من الوضع المختلط/CTL لعملاء Jabber وWebex. لذلك، في إصدار Unified CM 12.5(1)، يمكن استخدام SIP OAuth وSRTP لتمكين التشفير لإرسال الإشارات والوسائط لعملاء Jabber أو Webex. يظل تمكين الوضع المختلط مطلوبًا لهواتف Cisco IP ونقاط نهاية Cisco الأخرى في الوقت الحالي. هناك خطة لإضافة دعم لـ SIP OAuth في نقاط نهاية 7800/8800 في إصدار مستقبلي.

يتصل Cisco Unity Connection بـ Unified CM من خلال منفذ TLS. عندما يكون وضع أمان الجهاز غير آمن، يتصل Cisco Unity Connection بـ Unified CM من خلال منفذ SCCP.

لتكوين الأمان لمنافذ المراسلة الصوتية Unified CM وأجهزة Cisco Unity التي تقوم بتشغيل SCCP أو أجهزة Cisco Unity Connection التي تقوم بتشغيل SCCP، يستطيع الشريك اختيار وضع أمان الجهاز الآمن للمنفذ. إذا اخترت منفذ بريد صوتي مصدق عليه، يتم فتح اتصال TLS، والذي يصادق على الأجهزة باستخدام تبادل شهادة متبادلة (يقبل كل جهاز شهادة الجهاز الآخر). إذا اخترت منفذ بريد صوتي مشفر، يقوم النظام أولاً بمصادقة الأجهزة ثم يرسل تيارات صوتية مشفرة بين الأجهزة.

لمزيد من المعلومات حول منافذ المراسلة الصوتية الأمنية، ارجع إلى: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified SU1_chapter_010001.html

تأمين الاتصالات بين Cisco Unified CM وCUBE

للاتصالات الآمنة بين Cisco Unified CM وCUBE، يحتاج الشركاء/العملاء إلى استخدام إما شهادة موقعة ذاتيًا أو شهادات موقعة من CA.

للشهادات الموقعة ذاتيًا:

1. يقوم CUBE وCisco Unified CM بإنشاء شهادات موقعة ذاتيًا

2. شهادة تصدير CUBE إلى Cisco Unified CM

3. شهادة تصدير Cisco Unified CM إلى CUBE

للشهادات الموقعة على CA:

1. يقوم العميل بإنشاء زوج مفاتيح ويرسل طلب توقيع الشهادة (CSR) إلى مرجع الشهادة (CA)

2. يقوم CA بتوقيعها باستخدام مفتاحه الخاص ، مما يؤدي إلى إنشاء شهادة هوية

3. يقوم العميل بتثبيت قائمة شهادات CA الجذر والوسيط الموثوق بها وشهادة الهوية

ملخص البروتوكول

يعرض الجدول التالي البروتوكولات والخدمات المرتبطة بها المستخدمة في حل Unified CM.

لمزيد من المعلومات حول تكوين MRA، راجع: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/x12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

تأمين Jabber وWebex باستخدام SIP OAuth

تتم مصادقة عملاء Jabber وWebex من خلال رمز OAuth بدلاً من شهادة مهمة محليًا (LSC)، والتي لا تتطلب تمكين وظيفة وكيل جهة منح الشهادات (CAPF) (لـ MRA كذلك). تم تقديم SIP OAuth الذي يعمل مع أو بدون وضع مختلط في Cisco Unified CM 12.5(1) وJabber 12.5 وExpressway X12.5.

في Cisco Unified CM 12.5، لدينا خيار جديد في ملف تعريف أمان الهاتف الذي يتيح التشفير دون LSC/CAPF، باستخدام رمز أمان طبقة النقل (TLS) + OAuth في SIP REGISTER. تستخدم عُقد Expressway-C واجهة برمجة تطبيقات خدمة ويب XML (AXL) الإدارية لإبلاغ Cisco Unified CM عن SN/SAN في شهادتها. يستخدم Cisco Unified CM هذه المعلومات للتحقق من صحة شهادة EXP-C عند إنشاء اتصال TLS المتبادل.

يقوم SIP OAuth بتمكين تشفير الوسائط والإشارات دون شهادة نقطة نهاية (LSC).

يستخدم Cisco Jabber المنافذ المؤقتة والمنافذ الآمنة 6971 و6972 عبر اتصال HTTPS بخادم TFTP لتنزيل ملفات التكوين. المنفذ 6970 هو منفذ غير آمن للتنزيل عبر HTTP.

مزيد من التفاصيل حول تكوين SIP OAuth: وضع SIP OAuth.