Fysisk sikkerhed

Det er vigtigt at levere fysisk sikkerhed til Equinix Meet-Me-lokaleplaceringer og Cisco Dedikeret forekomst Datacenter faciliteter. Når den fysiske sikkerhed er kompromitteret, kan der startes simple angreb, såsom afbrydelse af tjenesten ved at lukke strømmen til en kundes switches. Med fysisk adgang kan hackere få adgang til serverenheder, nulstille adgangskoder og få adgang til switches. Fysisk adgang muliggør også mere avancerede angreb som f.eks. man-in-the-middle-angreb, hvorfor det andet sikkerhedslag, netværkssikkerheden, er kritisk.

Selvkrypterende drev bruges i Dedikeret forekomst Datacentre, der hoster UC-applikationer.

For yderligere oplysninger om generel sikkerhedspraksis henvises der til dokumentationen på følgende placering: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Netværkssikkerhed

Partnere skal sikre, at alle netværkselementer er sikret Dedikeret forekomst infrastruktur (som opretter forbindelse via Equinix). Det er partnerens ansvar at sikre bedste praksis for sikkerhed som f.eks.:

• Separat VLAN til tale og data

• Aktivér portsikkerhed, der begrænser antallet af tilladte MAC adresser pr. port mod oversvømmelse af CAM-tabeller

• IP kildebeskyttelse mod forfalskede IP -adresser

• Dynamic ARP Inspection (DAI) undersøger ARP (Address Resolution Protocol) og GARP (gratuitous ARP) for overtrædelser (mod ARP-spoofing)

• 802.1x begrænser netværksadgangen til at godkende enheder på tildelte VLAN'er (telefoner understøtter 802.1x )

• Konfiguration af Quality of Service (QoS) til passende mærkning af talepakker

• Firewall porter konfigurationer for at blokere al anden trafik

Sikkerhed for slutpunkter

Cisco -slutpunkter understøtter standardsikkerhedsfunktioner såsom signeret firmware, sikker start (udvalgte modeller), producentinstalleret certifikat (MIC) og signerede konfigurationsfiler, som giver et vist sikkerhedsniveau for slutpunkter.

Derudover kan en partner eller kunde aktivere yderligere sikkerhed, såsom:

• Krypter IP-telefon (via HTTPS) til tjenester som f.eks. Extension Mobility

• Udsted lokalt signifikante certifikater ( CAPF ) fra CAPF ( proxy-funktion for certificate authority Function) eller en offentlig certifikatmyndighed (CA)

• Krypter konfigurationsfiler

• Krypter medier og signalering

• Deaktiver disse indstillinger, hvis de ikke bruges: PC-port, PC stemme VLAN -adgang, Gratuitous ARP, webadgang, knap til indstillinger, SSH, konsol

Implementering af sikkerhedsmekanismer i Dedikeret forekomst forhindrer identitetstyveri af telefoner og Unified CM-server, datamanipulation og manipulation med opkaldssignalering/mediestreaming.

Dedikeret forekomst over netværket:

• Opretter og vedligeholder godkendte kommunikationsstreams

• Signerer filer digitalt, før filen overføres til telefonen

• Krypterer mediestreams og opkaldssignalering mellem Cisco Unified IP telefoner

Sikkerhed indeholder som standard følgende automatiske sikkerhedsfunktioner til Cisco Unified IP telefoner:

• Signering af telefonkonfiguration

• Understøttelse af kryptering af telefonkonfiguration

• HTTPS med Tomcat og andre webtjenester (MIDlets)

For Unified CM version 8.0 senere leveres disse sikkerhedsfunktioner som standard uden at køre CTL klienten (Certificate Trust List).

Da der er et stort antal telefoner på et netværk, og IP telefoner har begrænset hukommelse, fungerer Cisco Unified CM som et eksternt tillidslager via Trust Verification Service (TVS), så der ikke skal placeres et tillidscertifikatlager på hver telefon. Cisco IP telefoner kontakter TVS -serveren med henblik på bekræftelse, fordi de ikke kan bekræfte en signatur eller certifikat via CTL eller ITL-filer. Det er nemmere at administrere et centralt tillidslager end at have tillidslageret på hver Cisco Unified IP-telefon.

TVS gør det muligt for Cisco Unified IP telefoner at godkende applikationsservere, såsom EM -tjenester, telefonbog og MIDlet, under HTTPS-etablering.

ITL-filen (Initial Trust List) bruges til den indledende sikkerhed, så slutpunkterne kan have tillid til Cisco Unified CM. ITL behøver ingen sikkerhedsfunktioner for at blive aktiveret eksplicit. ITL-filen oprettes automatisk, når klyngen er installeret. Unified CM Trivial File Transfer Protocol (TFTP)-serverens private nøgle bruges til at signere ITL-filen.

Når Cisco Unified CM -klyngen eller -serveren er i ikke-sikker tilstand, downloades ITL-filen på alle understøttede Cisco IP-telefon. En partner kan se indholdet af en ITL-fil ved hjælp af CLI-kommando, admin:show itl.

Cisco IP telefoner skal bruge ITL-filen til at udføre følgende opgaver:

• Kommuniker sikkert til CAPF, hvilket er en forudsætning for at understøtte kryptering af konfigurationsfilen

• Godkend konfigurationsfilens signatur

• Godkend applikationsservere, såsom EM tjenester, telefonbog og MIDlet under HTTPS-etablering ved hjælp af TVS

Enheds-, fil- og signaleringsgodkendelse afhænger af oprettelsen af CTL-filen (Certificate Trust List), som oprettes, når partneren eller kunden installerer og konfigurerer Cisco Certificate Trust List Client.

CTL-fil indeholder poster for følgende servere eller sikkerhedstokens:

• Systemadministrators sikkerhedstoken (SAST)

• Cisco CallManager og Cisco TFTP -tjenester, der kører på den samme server

• Certificate Authority Proxy Function (CAPF)

• TFTP -server(e)

• ASA firewall

CTL-fil indeholder et servercertifikat, en offentlig nøgle, serienummer, signatur, udstedernavn, emnenavn, serverfunktion, DNS -navn og IP-adresse for hver server.

Telefonsikkerhed med CTL indeholder følgende funktioner:

• Godkendelse af TFTP -downloadede filer (konfiguration, landestandard, ringeliste osv.) ved hjælp af en signeringsnøgle

• Kryptering af TFTP konfigurationsfiler ved hjælp af en signeringsnøgle

• Krypteret opkaldssignalering til IP telefoner

• Krypteret opkaldslyd (medier) til IP telefoner

Dedikeret forekomst leverer slutpunktsregistrering og opkaldsbehandling. Signaleringen mellem Cisco Unified CM og slutpunkter er baseret på SCCP (Secure Skinny Client Control Protocol ) eller Session Initiation Protocol (SIP) og kan krypteres ved hjælp af TLS ( Transport Layer Security ). Mediet fra/til slutpunkterne er baseret på RTP(Real-time Transport Protocol) og kan også krypteres ved hjælp af Secure RTP (SRTP).

Aktivering af blandet tilstand på Unified CM muliggør kryptering af signalerings- og mediatrafik fra og til Cisco -slutpunkterne.

Sikre UC-applikationer

Blandet tilstand er aktiveret som standard i Dedikeret forekomst .

Aktiverer blandet tilstand i Dedikeret forekomst giver mulighed for at udføre kryptering af signal- og mediatrafik fra og til Cisco -slutpunkterne.

I Cisco Unified CM version 12.5(1) blev der tilføjet en ny mulighed for at aktivere kryptering af signalering og medier baseret på SIP OAuth i stedet for blandet tilstand/ CTL for Jabber- og Webex -klienter. I Unified CM -version 12.5(1) kan SIP OAuth og SRTP derfor bruges til at aktivere kryptering af signalering og medier til Jabber- eller Webex -klienter. Aktivering af blandet tilstand er fortsat påkrævet for Cisco IP telefoner og andre Cisco -slutpunkter på nuværende tidspunkt. Der er en plan om at tilføje understøttelse af SIP OAuth i 7800/8800-slutpunkter i en fremtidig udgivelse.

Cisco Unity Connection opretter forbindelse til Unified CM via TLS -porten. Når enhedens sikkerhedstilstand er ikke-sikker, opretter Cisco Unity Connection forbindelse til Unified CM via SCCP -porten.

Hvis du vil konfigurere sikkerheden for Unified CM -porte til talemeddelelser og Cisco Unity -enheder, der kører SCCP eller Cisco Unity Connection -enheder, der kører SCCP, kan en partner vælge en sikker enhedssikkerhedstilstand for porten. Hvis du vælger en godkendt voicemail-port, åbnes en TLS -forbindelse, som godkender enhederne ved hjælp af en gensidig certifikatudveksling (hver enhed accepterer certifikatet for den anden enhed). Hvis du vælger en krypteret voicemail-port, godkender systemet først enhederne og sender derefter krypterede talestreams mellem enhederne.

Få flere oplysninger om sikkerhedsporte til talemeddelelser i: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Sikring af kommunikation mellem Cisco Unified CM og CUBE

For sikker kommunikation mellem Cisco Unified CM og CUBE skal partnere/kunder bruge enten selvsigneret certifikat eller CA-signerede certifikater.

For selvsignerede certifikater:

1. CUBE og Cisco Unified CM genererer selvsignerede certifikater

2. CUBE eksporterer certifikatet til Cisco Unified CM

3. Cisco Unified CM eksporterer certifikatet til CUBE

For CA-underskrevne certifikater:

1. Klienten genererer et nøglepar og sender en Certificate Signing Request (CSR) til Certificate Authority (CA)

2. CA signerer den med sin private nøgle og opretter et identitetscertifikat

3. Klienten installerer listen over CA-rod- og mellemliggende certifikater, der er tillid til, og identitetscertifikatet

Protokoloversigt

Følgende tabel viser de protokoller og tilknyttede tjenester, der bruges i Unified CM -løsningen.

Få flere oplysninger om MRA-konfiguration på: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Sikring af Jabber og Webex med SIP OAuth

Jabber- og Webex klienter godkendes via et OAuth-token i stedet for et lokalt signifikant certifikat (LSC ), som ikke kræver aktivering af CAPF ( proxy-funktion for certificate authority Function) (også for MRA). SIP OAuth, der fungerer med eller uden blandet tilstand, blev introduceret i Cisco Unified CM 12.5(1), Jabber 12.5 og Expressway X12.5.

I Cisco Unified CM 12.5 har vi en ny valgmulighed i Phone Security Profile, der muliggør kryptering uden LSC/ CAPF ved hjælp af single Transport Layer Security (TLS) + OAuth-token i SIP REGISTER. Expressway-C-knuder bruger AXL (Administrative XML Web Service API) til at informere Cisco Unified CM om SN/SAN i deres certifikat. Cisco Unified CM bruger disse oplysninger til at validere Exp-C-certifikatet, når der oprettes en fælles TLS -forbindelse.

SIP OAuth muliggør medie- og signalkryptering uden et slutpunktscertifikat (LSC).

Cisco Jabber bruger kortvarige porte og sikre porte 6971- og 6972-porte via HTTPS-forbindelse til TFTP -serveren til at downloade konfigurationsfilerne. Port 6970 er en ikke-sikker port til download via HTTP.

Flere oplysninger om SIP OAuth-konfiguration: SIP OAuth-tilstand .