Физическа сигурност

Важно е да се осигури физическа сигурност на местоположенията на Equinix Meet-Me Room и съоръженията на Cisco Specialized Instance Data Center. Когато физическата сигурност е компрометирана, могат да бъдат инициирани прости атаки като прекъсване на услугата чрез изключване на захранването на превключвателите на клиента. С физически достъп нападателите могат да получат достъп до сървърни устройства, да нулират паролите и да получат достъп до превключватели. Физическият достъп също улеснява по-сложни атаки като човешки атаки, поради което вторият слой за сигурност, мрежовата сигурност, е критичен.

Самокриптиращите се устройства се използват в центрове за данни със специализирани инстанции, които хостват UC приложения.

За повече информация относно общите практики за сигурност вижте документацията на следното място: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Мрежова сигурност

Партньорите трябва да гарантират, че всички мрежови елементи са защитени в инфраструктурата за специална инстанция (която се свързва чрез Equinix). Отговорността на партньора е да гарантира най-добрите практики за сигурност, като например:

• Отделна VLAN за глас и данни

• Активиране на защитата на портовете, която ограничава броя на разрешените MAC адреси на порт, срещу наводняване на CAM таблицата

• Защита на IP източника срещу фалшиви IP адреси

• Динамичната ARP инспекция (DAI) изследва протокола за разрешаване на адреси (ARP) и безвъзмездния ARP (GARP) за нарушения (срещу подправяне на ARP)

• 802.1x ограничава достъпа до мрежата за удостоверяване на устройства на зададени VLAN (телефоните поддържат 802.1x)

• Конфигуриране на качеството на услугата (QoS) за подходящо маркиране на гласови пакети

• Конфигурации на портовете на защитната стена за блокиране на всеки друг трафик

Сигурност на крайните точки

Крайните точки на Cisco поддържат функции за сигурност по подразбиране като подписан фърмуер, сигурно зареждане (избрани модели), сертификат, инсталиран от производителя (MIC) и подписани конфигурационни файлове, които осигуряват определено ниво на сигурност за крайните точки.

Освен това партньор или клиент може да активира допълнителна сигурност, като например:

• Шифроване на IP телефонни услуги (чрез HTTPS) за услуги като Extension Mobility

• Издаване на локално значими сертификати (LSC) от прокси функцията на сертифициращия орган (CAPF) или публичен сертифициращ орган (CA)

• Шифроване на конфигурационни файлове

• Шифроване на носители и сигнализация

• Деактивирайте тези настройки, ако не се използват: PC порт, PC Voice VLAN достъп, Безплатен ARP, уеб достъп, бутон за настройки, SSH, конзола

Внедряването на механизми за сигурност в специалната инстанция предотвратява кражба на самоличност на телефоните и Unified CM сървъра, подправяне на данни и манипулиране на повиквания/манипулиране на медиен поток.

Специален екземпляр през мрежата:

• Създава и поддържа автентифицирани комуникационни потоци

• Цифрово подписва файлове, преди да прехвърлите файла в телефона

• Шифрова медийни потоци и сигнализация на повиквания между Cisco Unified IP телефони

Сигурността по подразбиране предоставя следните автоматични функции за сигурност за Cisco Unified IP телефони:

• Подписване на конфигурационните файлове на телефона

• Поддръжка за криптиране на конфигурационен файл на телефона

• HTTPS с Tomcat и други уеб услуги (MIDLets)

За Unified CM версия 8.0 по-нова версия тези функции за сигурност се предоставят по подразбиране, без да се изпълнява клиентът за сертификат за доверие (CTL).

Тъй като има голям брой телефони в мрежата и IP телефоните имат ограничена памет, Cisco Unified CM действа като отдалечен магазин за доверие чрез услугата за проверка на доверие (TVS), така че магазин за доверие на сертификати не трябва да се поставя на всеки телефон. IP телефоните на Cisco се свързват със сървъра на TVS за проверка, защото не могат да проверят подпис или сертификат чрез CTL или ITL файлове. Наличието на централен магазин за доверие е по-лесно да се управлява, отколкото да имате магазина за доверие на всеки Cisco Unified IP телефон.

TVS позволява на Cisco Unified IP телефони да удостоверяват сървъри на приложения, като EM услуги, директория и MIDlet, по време на създаването на HTTPS.

Файлът „Първоначален списък с доверие“ (ITL) се използва за първоначал ната сигурност, така че крайните точки да могат да се доверят. Cisco Unified CM ITL не се нуждае от никакви функции за сигурност, за да бъдат активирани изрично. ITL файлът се създава автоматично, когато клъстерът е инсталиран. Частният Unified CM ключ на сървър а за тривиален протокол за прехвърляне на файлове (TFTP) се използва за подписване на ITL файла.

Когато Cisco Unified CM клъстерът или сървърът са в незащитен режим, ITL файл ът се изтегля на всеки поддържан IP телефон на Cisco. Партньорът може да преглежда съдържанието на ITL файл с помощта на командата CLI, admin: show itl.

IP телефоните на Cisco се нуждаят от ITL файла, за да изпълняват следните задачи:

• Комуникирайте сигурно с CAPF, предпоставка за поддържане на криптирането на конфигурационния файл

• Удостоверяване на подписа на конфигурационния файл

• Удостоверяване на сървъри на приложения, като EM услуги, директория и MIDlet по време на създаване на HTTPS с помощта на TVS

Удостоверяването на устройството, файловете и сигналите разчитат на създаването на файла CTL (Certificate Trust List), който се създава, когато партньорът или клиентът инсталира и конфигурира клиента на Cisco Certificate Trust List.

CTL файлът съдържа записи за следните сървъри или токени за сигурност:

• Токен за сигурност на системния администратор (SAST)

• Cisco CallManagerи Cisco TFTP услуги, които работят на един и същ сървър

• Certificate AuthorityПрокси функция (CAPF)

• TFTP сървър (и)

• ASA защитна стена

CTL файлът съдържа сървърен сертификат, публичен ключ, сериен номер, подпис, име на издателя, име на тема, функция на сървъра, DNS име и IP адрес за всеки сървър.

Сигурността на телефона с CTL осигурява следните функции:

• Удостоверяване на изтеглените TFTP файлове (конфигурация, локални настройки, списък с звънчета и т.н.) с помощта на ключ за подписване

• Криптиране на TFTP конфигурационни файлове с помощта на ключ за подписване

• Криптирана сигнализация за обаждания за IP телефони

• Криптирано аудио повикване (медия) за IP телефони

Специализираната инстанция осигурява регистрация на крайни точки и обработка на повиквания. Сигнализацията между Cisco Unified CM и крайните точки се основава на Secure Skinny Client Control Protocol (SCCP) или протокол за иницииране на сесия (SIP) и може да бъде криптиран с помощта на транспортния слой сигурност (TLS). Медиите от/до крайните точки се основават на транспортния протокол в реално време (RTP) и също могат да бъдат криптирани с помощта на Secure RTP (SRTP).

Активирането на смесен режим Unified CM позволява криптиране на сигнализацията и медийния трафик от и към крайните точки на Cisco.

Сигурни UC приложения

Смесеният режим е активиран по подразбиране в специален екземпляр.

Активирането на смесен режим в специален екземпляр дава възможност за криптиране на сигнализацията и медийния трафик от и към крайните точки на Cisco.

От Cisco Unified CM версия 12.5 (1), нова опция за активиране на криптиране на сигнализация и носители, базирани на SIP OAuth вместо смесен режим/CTL, беше добавена за Jabber и Webex клиенти. Следователно, във Unified CM версия 12.5 (1), SIP OAuth и SRTP могат да се използват за активиране на криптиране за сигнализация и носители за клиенти на Jabber или Webex. Понастоящ ем активирането на смесен режим продължава да се изисква за IP телефони на Cisco и други крайни точки на Cisco. Има план за добавяне на поддръжка за SIP OAuth в 7800/8800 крайни точки в бъдещо издание.

Осигуряване на комуникациите между Cisco Unified CM и CUBE

За сигурна комуникация между Cisco Unified CM и CUBE партньори/клиентите трябва да използват или самоподписан сертификат, или сертификат, подписан от CA.

За самоподписани сертификати:

1. CUBE и Cisco Unified CM генерирайте самоподписани сертификати

2. CUBE изнася сертификат към Cisco Unified CM

3. Cisco Unified CMсертификат за износ към CUBE

За сертификати, подписани от CA:

1. Клиентът генерира ключова двойка и изпраща заявка за подписване на сертификат (КСО) до (CACertificate Authority)

2. CA го подписва с личния си ключ, създавайки сертификат за самоличност

3. Клиентът инсталира списъка с надеждни CA root и посреднически сертификати и удостоверението за самоличност

Резюме на протокола

Следващата таблица показва протоколите и свързаните с тях услуги, използвани в Unified CM решението.

За повече информация относно конфигурацията на MRA вижте: Раз дел Сценарии за внедряване на MRA в Ръ ководство за мобилно и Remote Access чрез в Cisco Expressway недряване.

Осигуряване на Jabber и Webex с SIP OAuth

Клиентите на Jabber и Webex се удостоверяват чрез токен OAuth вместо локално значим сертификат (LSC), който не изисква активиране на функцията за прокси орган на сертификат (CAPF) (и за MRA). SIP OAuth, работещ със или без смесен режим, беше въведен в Cisco Unified CM 12.5 (1) и по-нови, Jabber 12.5 и по-нови, и Expressway X12.5.

В Cisco Unified CM 12.5 и по-нови версии имаме нова опция в профила за защита на телефона, която позволява криптиране без LSC/CAPF, използвайки един токен за сигурност на транспортен слой (TLS) + OAuth в SIP REGISTER. Expressway-C възлите използват API на административната XML уеб услуга (AXL), за да информират за SN/SAN в тех Cisco Unified CM ния сертификат. Cisco Unified CMизползва тази информация за валидиране на Exp-C сертификата при установяване на взаим на TLS връзка.

SIP OAuth позволява медийно и сигнално криптиране без сертификат за крайна точка (LSC).

Cisco Jabberизползва ефемерни портове и защитени портове 6971 и 6972 портове чрез HTTPS връзка към TFTP сървъра за изтегляне на конфигурационните файлове. Порт 6970 е незащитен порт за изтегляне чрез HTTP.

Повече подробности за конфигурацията на SIP OAuth: SIP O Auth режим.