ביטחון פיזי

חשוב לספק אבטחה פיזית למיקומי Equinix Meet-Me Room Cisco מופע ייעודי מתקני מרכז נתונים. כאשר האבטחה הפיזית נפגעת, ניתן ליזום התקפות פשוטות כגון הפרעת שירות על ידי כיבוי מתח למתגים של לקוח. עם גישה פיזית, תוקפים יכולים לקבל גישה להתקני שרת, לאפס סיסמאות ולקבל גישה למתגים. הגישה הפיזית מאפשרת גם התקפות מתוחכמות יותר כמו התקפות אדם-באמצע, ולכן שכבת האבטחה השנייה, אבטחת הרשת, היא קריטית.

כוננים מוצפנים עצמיים משמשים ב מופע ייעודי מרכזי נתונים המארחים יישומי UC.

למידע נוסף על נוהלי אבטחה כלליים, עיין בתיעוד במיקום הבא: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

אבטחת רשת

שותפים צריכים להבטיח שכל רכיבי הרשת מאובטחים מופע ייעודי תשתית (המתחברת דרך Equinix). באחריות השותף להבטיח שיטות אבטחה שיטות מומלצות כגון:

• VLAN נפרד לקול ונתונים

• הפעל אבטחת יציאות המגבילה את מספר כתובות MAC המותרות לכל יציאה, כנגד הצפה בטבלת CAM

• משמר מקור IP נגד כתובות IP מזויפות

• בדיקת ARP דינמית (DAI) בוחנת את פרוטוקול פתרון הכתובות (ARP) ו-ARP ללא תשלום (GARP) עבור הפרות (נגד זיוף ARP)

• 802.1x מגביל את הגישה לרשת לאימות התקנים ב-VLAN שהוקצו (טלפונים אכן תומכים ב-802.1x )

• הגדרת איכות השירות (QoS) לסימון מתאים של מנות קול

• חומת אש יציאת תצורות לחסימת כל תעבורה אחרת

אבטחת נקודות קצה

נקודות הקצה של Cisco תומכות בתכונות אבטחה ברירת מחדל כגון קושחה חתומה, אתחול מאובטח (דגמים נבחרים), אישור מותקן על ידי יצרן (MIC) וקובצי תצורה חתומים, המספקים רמת אבטחה מסוימת עבור נקודות קצה.

בנוסף, שותף או לקוח יכולים לאפשר אבטחה נוספת, כגון:

• הצפנת שירותי טלפון IP (באמצעות HTTPS) עבור שירותים כגון ניידות שלוחה

• הנפק אישורים בעלי משמעות מקומית (LSC) מפונקציית פונקציית Proxy של רשות Certificate Authority של רשות האישורים (CAPF) או מרשות אישורים ציבורית (CA)

• הצפנת קבצי תצורה

• הצפנת מדיה ואיתות

• השבת את ההגדרות האלה אם לא נעשה בהן שימוש: יציאת מחשב מחשב, גישה ל- VLAN קולית מחשב , ARP ללא תשלום, גישה מקוון/באינטרנט , לחצן הגדרות, SSH, קונסולה

יישום מנגנוני אבטחה ב מופע ייעודי מונע גניבת זהות של הטלפונים ושל Unified CM server, שיבוש נתונים ושיבול איתות שיחות / זרם מדיה.

מופע ייעודי דרך הרשת:

• מקים ומתחזק זרמי תקשורת מאומתים

• חתימה דיגיטלית על קבצים לפני העברת הקובץ לטלפון

• מצפין זרמי מדיה ואיתות שיחות בין טלפונים של Cisco Unified IP

אבטחה כברירת מחדל מספקת את תכונות האבטחה האוטומטיות הבאות עבור טלפונים של Cisco Unified IP :

• חתימה על קבצי תצורת טלפון

• תמיכה בהצפנת קבצי תצורת טלפון

• HTTPS עם Tomcat ושירותי מקוון/באינטרנט אחרים (MIDlets)

עבור Unified CM Release 8.0 מאוחר יותר, תכונות האבטחה הללו מסופקות כברירת מחדל מבלי להפעיל את לקוח ה-Certificate Trust List (CTL).

מכיוון שיש מספר רב של טלפונים ברשת ולטלפונים IP יש זיכרון מוגבל, Cisco Unified CM פועלת כחנות אמון מרוחקת דרך שירות אימות האמון (TVS) כך שלא צריך להציב חנות אמון של אישורים בכל טלפון. טלפונים של Cisco IP יוצרים קשר עם שרת TVS לצורך אימות מכיוון שהם אינם יכולים לאמת חתימה או אישור באמצעות קבצי CTL או ITL. קל יותר לנהל חנות אמון מרכזית מאשר להחזיק את חנות האמון בכל טלפון Cisco Unified טלפון IP.

TVS מאפשרת לטלפונים של Cisco Unified IP לאמת שרתי יישומים, כגון שירותי EM , ספרייה ו-MIDlet, במהלך הקמת HTTPS.

הקובץ Initial Trust List (ITL) משמש לאבטחה הראשונית, כך שנקודות הקצה יכולות לסמוך על Cisco Unified CM. ITL לא צריך שום תכונות אבטחה כדי להיות מופעלות באופן מפורש. קובץ ה-ITL נוצר באופן אוטומטי עם התקנת האשכול. המפתח הפרטי של שרת Unified CM Trivial File Transfer Protocol (TFTP) משמש לחתימה על קובץ ה-ITL.

כאשר האשכול או השרת של Cisco Unified CM נמצאים במצב לא מצב מאובטח , קובץ ה-ITL מוריד בכל טלפון IP נתמך של Cisco . שותף יכול להציג את התוכן של קובץ ITL באמצעות פקודת CLI, admin:show itl.

טלפונים IP של Cisco זקוקים לקובץ ITL כדי לבצע את המשימות הבאות:

• תקשר בצורה מאובטחת ל- CAPF, תנאי מוקדם לתמיכה בהצפנת קובץ תצורה

• אמת את חתימת קובץ תצורה

• אימות שרתי יישומים, כגון שירותי EM , ספרייה ו-MIDlet במהלך הקמת HTTPS באמצעות TVS

אימות התקן, קבצים ואיתות מסתמכים על יצירת הקובץ Certificate Trust List (CTL), אשר נוצר כאשר השותף או הלקוח מתקין ומגדיר את Cisco Certificate Trust List Client.

קובץ CTL מכיל ערכים עבור השרתים או אסימוני האבטחה הבאים:

• אסימון אבטחה של מנהל מערכת (SAST)

• שירותי Cisco CallManager ו- Cisco TFTP הפועלים על אותו שרת

• פונקציית פרוקסי של Certificate Authority (CAPF)

• שרתי TFTP

• חומת אש של ASA

קובץ CTL מכיל תעודת שרת, מפתח ציבורי, מספר סידורי, חתימה, שם מנפיק, שם נושא, פונקציית שרת, שם DNS כתובת IP עבור כל שרת.

אבטחת טלפון עם CTL מספקת את הפונקציות הבאות:

• אימות של קבצי TFTP שהורדו (תצורה, מיקום, רשימת צלצולים וכן הלאה) באמצעות מפתח חתימה

• הצפנה של קבצי תצורת TFTP באמצעות מפתח חתימה

• איתות שיחות מוצפן עבור טלפונים IP

• שמע שיחה מוצפן (מדיה) עבור טלפונים IP

מופע ייעודי מספק רישום נקודות קצה עיבוד שיחות. האיתות בין Cisco Unified CM לנקודות הקצה מבוסס על Secure Skinny Client Control Protocol (SCCP) או פרוטוקול התחלת הפעלה (SIP) וניתן להצפין באמצעות Transport Layer Security (TLS). המדיה מ/אל נקודות הקצה מבוססת על פרוטוקול תעבורה בזמן אמת (RTP) וניתנת להצפנה גם באמצעות Secure RTP (SRTP).

הפעלת מצב מעורב ב- Unified CM מאפשרת הצפנה של תעבורת מדיה מנקודות הקצה של Cisco ואליהן.

יישומי UC מאובטחים

מצב מעורב מופעל כברירת מחדל ב מופע ייעודי .

הפעלת מצב מעורב ב מופע ייעודי מאפשרת את היכולת לבצע הצפנה של תעבורת האיתות תעבורת מדיה מנקודות הקצה של Cisco ואליהן.

במהדורת Cisco Unified CM 12.5(1), נוספה אפשרות חדשה לאפשר הצפנה של איתות ומדיה המבוססת על SIP OAuth במקום מצב מעורב/ CTL עבור לקוחות Jabber ו- Webex . לכן, במהדורת Unified CM 12.5(1), ניתן להשתמש ב- SIP OAuth ו- SRTP כדי לאפשר הצפנה עבור איתות ומדיה עבור לקוחות Jabber או Webex . הפעלת מצב מעורב ממשיכה להידרש עבור טלפונים של Cisco IP ונקודות קצה אחרות של Cisco בשלב זה. יש תוכנית להוסיף תמיכה עבור SIP OAuth בנקודות קצה 7800/8800 במהדורה עתידית.

Cisco Unity Connection מתחבר ל- Unified CM דרך יציאת TLS . כאשר מצב אבטחת המכשיר אינו מאובטח, Cisco Unity Connection מתחבר ל- Unified CM דרך יציאת SCCP .

כדי להגדיר אבטחה עבור יציאות Unified CM להעברת הודעות קוליות והתקני Cisco Unity המריצים התקני SCCP או Cisco Unity Connection המריצים SCCP, שותף יכול לבחור מצב אבטחת התקן מאובטח עבור היציאה. אם תבחר יציאת דואר קולי מאומת, ייפתח חיבור TLS , המאמת את המכשירים באמצעות החלפת אישורים הדדית (כל מכשיר מקבל את האישור של המכשיר השני). אם תבחר יציאת דואר קולי מוצפן, המערכת תחילה מאמתת את המכשירים ולאחר מכן שולחת זרמי קול מוצפנים בין המכשירים.

למידע נוסף על יציאות הודעות קוליות אבטחה, עיין ב: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

אבטחת תקשורת בין Cisco Unified CM ו-CUBE

לתקשורת מאובטחת בין Cisco Unified CM ו-CUBE, שותפים/לקוחות צריכים להשתמש תעודה בחתימה עצמית ב-CA.

לאישורים בחתימה עצמית:

1. CUBE ו- Cisco Unified CM מייצרים אישורים בחתימה עצמית

2. CUBE מייצאת אישור ל- Cisco Unified CM

3. Cisco Unified CM מייצאת אישור ל-CUBE

עבור אישורים חתומים על ידי CA:

1. הלקוח יוצר צמד מפתחות ושולח בקשת חתימת אישורים (CSR) Certificate Authority (CA)

2. ה-CA חותם עליו עם המפתח הפרטי שלו, ויוצר אישור זהות

3. הלקוח מתקין את רשימת ה-CA Root ואישורי מתווך מהימנים ואת תעודת הזהות

סיכום פרוטוקול

הטבלה הבאה מציגה את הפרוטוקולים והשירותים המשויכים בשימוש בפתרון Unified CM .

למידע נוסף על תצורת MRA, ראה: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

אבטחת Jabber ו- Webex עם SIP OAuth

לקוחות Jabber ו- Webex מאומתים באמצעות אסימון OAuth במקום אישור בעל משמעות מקומית (LSC), שאינו דורש הפעלת פונקציית Proxy של רשות Certificate Authority (CAPF) (גם עבור MRA). SIP OAuth שעובד עם או בלי מצב מעורב הוצג ב- Cisco Unified CM 12.5(1), Jabber 12.5 ו-Expressway X12.5.

ב- Cisco Unified CM 12.5, יש לנו אפשרות חדשה בפרופיל אבטחת הטלפון המאפשרת הצפנה ללא LSC/ CAPF, באמצעות Transport Layer Security יחידה (TLS) + אסימון OAuth ב- SIP REGISTER. צמתים של Expressway-C משתמשים ב- API של Administrative XML מקוון/באינטרנט Service (AXL ) כדי ליידע את Cisco Unified CM על ה-SN/SAN בתעודה שלהם. Cisco Unified CM משתמש במידע זה כדי לאמת את אישור Exp-C בעת יצירת חיבור TLS הדדי.

SIP OAuth מאפשר הצפנת מדיה ואיתות ללא אישור נקודת קצה (LSC).

Cisco Jabber משתמש ביציאות ארעיות וביציאות מאובטחות 6971 ו-6972 באמצעות חיבור HTTPS לשרת TFTP כדי להוריד את קובצי התצורה. יציאה 6970 היא יציאה לא מאובטחת להורדה באמצעות HTTP.

פרטים נוספים על תצורת SIP OAuth: מצב SIP OAuth .