דרישות רשת ואבטחה של מופע ייעודי

ביטחון פיזי

חשוב לספק אבטחה פיזית למיקומים של Equinix Meet-Me Room ולמתקני Cisco Dedicated Instance Data Center. כאשר האבטחה הפיזית נפגעת, ניתן להפעיל התקפות פשוטות כגון שיבוש שירות על ידי כיבוי כוח למתגים של הלקוח. עם גישה פיזית, תוקפים יכולים לקבל גישה למכשירי שרת, לאפס סיסמאות ולהשיג גישה למתגים. גישה פיזית מאפשרת גם התקפות מתוחכמות יותר כמו התקפות אדם באמצע, ולכן שכבת האבטחה השנייה, אבטחת הרשת, היא קריטית.

כוננים להצפין עצמי משמשים במרכזי נתונים של מופע ייעודי שמארחים יישומי UC.

למידע נוסף על נוהלי אבטחה כלליים, עיין בתיעוד במיקום הבא: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

אבטחת רשת

שותפים צריכים להבטיח שכל רכיבי הרשת מאובטחים בתשתית המופע הייעודי (אשר מתחברת דרך Equinix). זוהי אחריותו של שותף להבטיח שיטות מומלצות לאבטחה כגון:

• הפרד VLAN עבור קול ונתונים

• אפשר אבטחת יציאה אשר מגבילה את מספר כתובות ה-MAC המותרות ליציאה, נגד הצפת טבלת CAM

• שומר מקור IP נגד כתובות IP מזויפות

• בדיקת ARP דינמית (DAI) בוחנת את פרוטוקול הרזולוציה של הכתובת (ARP) ואת ARP מיותר (GARP) להפרות (נגד הטעיית ARP)

• 802.⁦1x⁩ מגביל את גישת הרשת לאימות מכשירים ברשתות VLAN מוקצות (טלפונים תומכים ב-802.⁦1x⁩)

• תצורה של איכות שירות (QoS) לסימון מתאים של מנות קול

• תצורות יציאות חומת אש לחסימת כל תעבורה אחרת

אבטחת נקודות קצה

נקודות קצה של Cisco תומכות בתכונות אבטחה של ברירת מחדל כגון קושחה חתומה, אתחול מאובטח (דגמים נבחרים), אישור מותקן של יצרן (MIC) וקובצי תצורה חתומות, המספקים רמה מסוימת של אבטחה עבור נקודות קצה.

בנוסף, שותף או לקוח יכולים לאפשר אבטחה נוספת, כגון:

• הצפן שירותי טלפון IP (דרך HTTPS) עבור שירותים כגון ניידות שלוחה

• להנפיק תעודות משמעותיות מקומיות (LSCs) מתפקיד ה-Proxy של רשות האישורים (CAPF) או רשות אישורים ציבורית (CA)

• הצפן קבצי תצורה

• הצפן מדיה ואיתות

• בטל הגדרות אלה אם הן אינן בשימוש: יציאת PC, גישת VLAN קולית PC, ARP מיותר, גישת אינטרנט, לחצן הגדרות, SSH, מסוף

הטמעת מנגנוני אבטחה במופע הייעודי מונעת גניבת זהות של הטלפונים ושל שרת Unified CM, מניעת גניבת נתונים וחבלה של איתות שיחות / זרם מדיה.

מופע ייעודי ברשת:

• מבסס ומתחזק זרמי תקשורת מאומתים

• חותם דיגיטלית על קבצים לפני העברת הקובץ לטלפון

• הצפנת זרמי מדיה ואיתות על שיחות בין טלפון Cisco Unified IP

אבטחה כברירת מחדל מספקת את תכונות האבטחה האוטומטיות הבאות עבור טלפוני Cisco Unified IP:

• חתימה על קובצי התצורה של הטלפון

• תמיכה בהצפנת קובץ תצורת טלפון

• HTTPS עם טומקט ושירותי אינטרנט אחרים (MIDlets)

עבור Unified CM Release 8.0 מאוחר יותר, תכונות אבטחה אלה מסופקות כברירת מחדל מבלי להפעיל את לקוח רשימת תעודות אמון (CTL).

מכיוון שיש מספר גדול של טלפונים ברשת וטלפוני IP בעלי זיכרון מוגבל, ל-Cisco Unified CM פועל כחנות אמון מרחוק דרך שירות אימות האמון (TVS) כך שלא יהיה צורך להציב חנות אמון בתעודות בכל טלפון. טלפוני Cisco IP יוצרים קשר עם שרת TVS לאימות מכיוון שהם לא יכולים לאמת חתימה או תעודה באמצעות קובצי CTL או ITL. קל יותר לנהל חנות אמון מרכזית מאשר לנהל את חנות האמון בכל טלפון Cisco Unified IP.

TVS מאפשר לטלפוני Cisco Unified IP לאמת שרתי יישומים, כגון שירותי EM, ספרייה ו-MIDlet, במהלך יצירת HTTPS.

קובץ רשימת האמון הראשונית (ITL) משמש לאבטחה הראשונית, כך שנקודות הקצה יכולות לתת אמון ב-Cisco Unified CM. ITL לא צריך להפעיל במפורש תכונות אבטחה. קובץ ה-ITL נוצר באופן אוטומטי כאשר האשכול מותקן. המפתח הפרטי של שרת Unified CM Trivial File Transfer Protocol (TFTP) משמש לחתימה על קובץ ITL.

כאשר האשכול או השרת של Cisco Unified CM במצב לא מאובטח, קובץ ה-ITL יורד בכל טלפון Cisco IP נתמך. שותף יכול להציג את התוכן של קובץ ITL באמצעות פקודת CLI, admin:show itl.

טלפוני Cisco IP זקוקים לקובץ ITL כדי לבצע את המשימות הבאות:

• תקשר בצורה מאובטחת ל-CAPF, דרישה מוקדמת לתמיכה בהצפנת קובץ התצורה

• אמת את חתימת קובץ התצורה

• אימות שרתי יישומים, כגון שירותי EM, ספרייה ו-MIDlet במהלך יצירת HTTPS באמצעות TVS

אימות מכשיר, קובץ ואיתות מסתמכים על יצירת קובץ רשימת אמון של אישורים (CTL), שנוצר כאשר השותף או הלקוח מתקין ומגדיר את לקוח רשימת אמון של Cisco.

קובץ CTL מכיל ערכים עבור השרתים הבאים או אסימוני האבטחה הבאים:

• אסימון אבטחה של מנהל מערכת (SAST)

• שירותי Cisco CallManager ו-Cisco TFTP שפועלים באותו שרת

• פונקציית Proxy של רשות Certificate Authority (CAPF)

• שרתי TFTP

• חומת אש של ASA

קובץ ה-CTL מכיל אישור שרת, מפתח ציבורי, מספר סידורי, חתימה, שם מנפיק, שם נושא, פונקציית שרת, שם DNS וכתובת IP עבור כל שרת.

אבטחת טלפון עם CTL מספקת את הפונקציות הבאות:

• אימות של קבצים שהורדו TFTP (תצורה, מיקום, רשימת צלצולים וכן הלאה) באמצעות מפתח חתימה

• הצפנה של קבצי תצורת TFTP באמצעות מפתח חתימה

• איתות שיחה מוצפן עבור טלפוני IP

• שמע שיחה מוצפן (מדיה) עבור טלפוני IP

המופע הייעודי מספק רישום נקודת קצה ועיבוד שיחות. האיתות בין Cisco Unified CM ונקודות הקצה מבוסס על פרוטוקול בקרת לקוח רזה מאובטחת (SCCP) או פרוטוקול התחלת הפעלה (SIP) וניתן להצפין באמצעות אבטחת שכבת תעבורה (TLS). המדיה מנקודות הקצה מבוססת על פרוטוקול תעבורה בזמן אמת (RTP) וניתן גם להצפין באמצעות RTP מאובטח (SRTP).

הפעלת מצב מעורב ב-Unified CM מאפשרת הצפנה של תעבורת האיתות והמדיה מנקודות הקצה של Cisco.

יישומי UC מאובטחים

מצב מעורב מופעל כברירת מחדל במופע ייעודי.

הפעלת מצב מעורב במופע ייעודי מאפשרת את היכולת לבצע הצפנה של תעבורת האיתות והמדיה מנקודות הקצה של Cisco.

במהדורת Cisco Unified CM 12.5(1), נוספה אפשרות חדשה לאפשר הצפנה של איתות ומדיה בהתבסס על SIP OAuth במקום מצב מעורב / CTL עבור לקוחות Jabber ו-Webex. לכן, במהדורת Unified CM ‏12.5(1), ניתן להשתמש ב-SIP OAuth ו-SRTP כדי לאפשר הצפנה לאיתות ומדיה עבור לקוחות Jabber או Webex. הפעלת מצב מעורב ממשיכה להידרש עבור טלפוני Cisco IP ונקודות קצה אחרות של Cisco בשלב זה. יש תוכנית להוסיף תמיכה ב-SIP OAuth בנקודות קצה של 7800/8800 במהדורה עתידית.

Cisco Unity Connection מתחבר ל-Unified CM דרך יציאת TLS. כאשר מצב אבטחת המכשיר אינו מאובטח, Cisco Unity Connection מתחבר ל-Unified CM דרך יציאת SCCP.

כדי להגדיר את האבטחה עבור יציאות הקוליות של Unified CM ולהתקני Cisco Unity הפועלים ב-SCCP או התקני Cisco Unity Connection הפועלים ב-SCCP, שותף יכול לבחור מצב אבטחת מכשיר מאובטח עבור היציאה. אם תבחר יציאת דואר קולי מאומתת, נפתח חיבור TLS, שמאמת את המכשירים באמצעות חילופי אישור הדדי (כל מכשיר מקבל את האישור של המכשיר האחר). אם תבחר יציאת דואר קולי מוצפן, המערכת מאמתת תחילה את המכשירים ולאחר מכן שולחת זרמי קול מוצפנים בין המכשירים.

לקבלת מידע נוסף על יציאות העברת הודעות קוליות של אבטחה, ראה: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

אבטחת תקשורת בין Cisco Unified CM ו-CUBE

עבור תקשורת מאובטחת בין Cisco Unified CM ו-CUBE, שותפים/לקוחות צריכים להשתמש באישור בחתימה עצמית או באישורים החתומים על ידי CA.

עבור תעודות בחתימה עצמית:

1. CUBE ו-Cisco Unified CM מייצרים תעודות בחתימה עצמית

2. אישור ייצוא CUBE ל-Cisco Unified CM

3. אישור ייצוא של Cisco Unified CM ל-CUBE

עבור תעודות חתומות על ידי CA:

1. הלקוח מייצר זוג מפתחות ושולח בקשה לחתימת אישור (CSR) לרשות האישורים (CA)

2. CA חותמת עליו עם המפתח הפרטי שלו, מה שיוצר תעודת זהות

3. הלקוח מתקין את רשימת תעודות השורש והתעודות המתווכים של CA מהימנות ואת תעודת הזהות

סיכום פרוטוקול

הטבלה הבאה מציגה את הפרוטוקולים והשירותים המשויכים המשמשים בפתרון Unified CM.

לקבלת מידע נוסף על תצורת MRA, ראה: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

אבטחת Jabber ו-Webex עם SIP OAuth

לקוחות Jabber ו-Webex מאומתים באמצעות אסימון OAuth במקום אישור משמעותי מקומי (LSC), שאינו דורש הפעלת פונקציית Proxy של רשות אישורים (CAPF) (גם עבור MRA). SIP OAuth שעובד עם או ללא מצב מעורב הוצג ב-Cisco Unified CM 12.5(1), Jabber 12.5 ו-Expressway X12.5.

ב-Cisco Unified CM 12.5, יש לנו אפשרות חדשה בפרופיל אבטחת טלפון המאפשרת הצפנה ללא LSC/CAPF, באמצעות אבטחת שכבת תעבורה יחידה (TLS) + OAuth אסימון ב-SIP REGISTER. צמתי Expressway-C משתמשים ב-API של שירות ה-XML המנהלי (AXL) כדי ליידע את Cisco Unified CM של SN/SAN בתעודה שלהם. Cisco Unified CM משתמש במידע זה כדי לאמת את CERT-C בעת יצירת חיבור TLS הדדי.

SIP OAuth מאפשר הצפנת מדיה ואיתות ללא אישור נקודת קצה (LSC).

Cisco Jabber משתמש ביציאות ארעיות ויציאות מאובטחות 6971 ו-6972 דרך חיבור HTTPS לשרת TFTP כדי להוריד את קובצי התצורה. יציאה 6970 היא יציאה לא מאובטחת להורדה דרך HTTP.

פרטים נוספים על תצורת SIP OAuth: מצב SIP OAuth.