Fizička sigurnost

Važno je osigurati fizičku sigurnost lokacijama Equinix Meet-Me Room i objektima Cisco Dedicated Instance Data Centra. Kada je fizička sigurnost ugrožena, mogu se pokrenuti jednostavni napadi poput poremećaja usluge isključivanjem napajanja prekidača kupca. Fizičkim pristupom napadači su mogli dobiti pristup poslužiteljskim uređajima, resetirati lozinke i dobiti pristup prekidačima. Fizički pristup također olakšava sofisticiranije napade poput napada čovjeka u sredini, zbog čega je drugi sigurnosni sloj, mrežna sigurnost, kritičan.

Pogoni koji se samošifriraju koriste se u namjenskim podatkovnim centrima s instancama koji hostuju UC aplikacije.

Više informacija o općim sigurnosnim praksama potražite u dokumentaciji na sljedećoj lokaciji: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Sigurnost mreže

Partneri moraju osigurati da su svi mrežni elementi zaštićeni u infrastrukturi namenske instance (koja se povezuje putem Equinixa). Odgovornost partnera je osigurati najbolje sigurnosne prakse kao što su:

• Odvojeni VLAN za glas i podatke

• Omogućite sigurnost porta koja ograničava broj dopuštenih MAC adresa po portu, protiv poplave CAM tablice

• Zaštita IP izvora od lažnih IP adresa

• Dinamička ARP inspekcija (DAI) ispituje protokol za rješavanje adresa (ARP) i besplatni ARP (GARP) zbog kršenja (protiv lažiranja ARP -a)

• 802.1x ograničava pristup mreži za provjeru autentičnosti uređaja na dodijeljenim VLAN-ovima (telefoni podržavaju 802.1x)

• Konfiguracija kvalitete usluge (QoS) za odgovarajuće označavanje glasovnih paketa

• Konfiguracije priključaka vatrozida za blokiranje bilo kojeg drugog prometa

Sigurnost krajnjih točaka

Ciscove krajnje točke podržavaju zadane sigurnosne značajke kao što su potpisani firmver, sigurno pokretanje sustava (odabrani modeli), proizvođač instaliran certifikat (MIC) i potpisane konfiguracijske datoteke, koje pružaju određenu razinu sigurnosti za krajnje točke.

Osim toga, partner ili kupac može omogućiti dodatnu sigurnost, kao što su:

• Šifrirajte IP telefonske usluge (putem HTTPS-a) za usluge kao što su Extension Mobility

• Izdavanje lokalno značajnih certifikata (LSC) iz funkcije zastupnika ovlaštenja certifikata (CAPF) ili javnog tijela za certifikate (CA)

• Šifriranje konfiguracijskih datoteka

• Šifriranje medija i signalizacije

• Onemogućite ove postavke ako se ne koriste: PC priključak, PC Voice VLAN pristup, Besplatni ARP, Web pristup, gumb Postavke, SSH, konzola

Implementacija sigurnosnih mehanizama u namjenskoj instanci sprječava krađu identiteta telefona i Unified CM poslužitelja, manipulaciju podataka i signalizaciju poziva/neovlaštenost medijskog toka.

Namjenska instanca preko mreže:

• Uspostavlja i održava autentificirane komunikacijske tokove

• Digitalno potpisuje datoteke prije prijenosa datoteke na telefon

• Šifrira medijske tokove i signalizaciju poziva između Cisco Unified IP telefona

Sigurnost prema zadanim postavkama pruža sljedeće automatske sigurnosne značajke za Cisco Unified IP telefone:

• Potpisivanje konfiguracijskih datoteka telefona

• Podrška za šifriranje konfiguracijske datoteke telefona

• HTTPS s Tomcatom i drugim web uslugama (MIDLets)

Za Unified CM izdanje 8.0 kasnije ove sigurnosne značajke predviđene su prema zadanim postavkama bez pokretanja klijenta Certificate Trust List (CTL).

Budući da postoji veliki broj telefona u mreži, a IP telefoni imaju ograničenu memoriju, Cisco Unified CM djeluje kao udaljena trgovina povjerenja putem usluge provjere povjerenja (TVS) tako da se trgovina povjerenja certifikata ne mora postavljati na svaki telefon. Cisco IP telefoni kontaktiraju TVS poslužitelj radi provjere jer ne mogu provjeriti potpis ili certifikat putem CTL ili ITL datoteka. Imati središnju trgovinu povjerenja lakše je upravljati nego imati trgovinu povjerenja na svakom Cisco Unified IP telefonu.

TVS omogućuje Cisco Unified IP telefonima autentifikaciju poslužitelja aplikacija, kao što su EM usluge, direktorij i MIDlet, tijekom uspostavljanja HTTPS-a.

Datoteka Initial Trust List (ITL) koristi se za počet nu sigurnost, tako da krajnje točke mogu vjerovati. Cisco Unified CM ITL ne treba nikakve sigurnosne značajke da bi bile eksplicitno omogućene. ITL datoteka se automatski stvara kada je klaster instaliran. Privatni ključ poslužitelja Unified CM Trivial File Transfer Protocol (TFTP) koristi se za potpisivanje ITL datoteke.

Kada su Cisco Unified CM klaster ili poslužitelj u nesigurnom načinu rada, ITL datoteka preuzima se na svaki podržani Cisco IP telefon. Partner može pregledati sadržaj ITL datoteke pomoću naredbe CLI, admin: show itl.

Cisco IP telefoni trebaju ITL datoteku za obavljanje sljedećih zadataka:

• Sigurno komunicirajte s CAPF-om, preduvjet za podršku šifriranja konfiguracijske datoteke

• Potvrdite autentičnost potpisa konfiguracijske datoteke

• Autentificirajte poslužitelje aplikacija, kao što su EM usluge, direktorij i MIDlet tijekom uspostavljanja HTTPS-a pomoću TVS-a

Autentikacija uređaja, datoteka i signala oslanjaju se na stvaranje datoteke CTL (Certificate Trust List) koja se stvara kada partner ili kupac instalira i konfigurira klijent Cisco Certificate Trust List.

CTL datoteka sadrži unose za sljedeće poslužitelje ili sigurnosne tokene:

• Sigurnosni token administratora sustava (SAST)

• Cisco CallManageri Cisco TFTP usluge koje rade na istom poslužitelju

• Certificate AuthorityProxy funkcija (CAPF)

• TFTP poslužitelj (i)

• ASA vatrozid

CTL datoteka sadrži certifikat poslužitelja, javni ključ, serijski broj, potpis, ime izdavatelja, naziv subjekta, funkciju poslužitelja, DNS naziv i IP adresu za svaki poslužitelj.

Sigurnost telefona s CTL-om pruža sljedeće funkcije:

• Autentikacija TFTP preuzetih datoteka (konfiguracija, lokalizacija, popis zvona itd.) pomoću ključa za potpisivanje

• Šifriranje TFTP konfiguracijskih datoteka pomoću ključa za potpisivanje

• Šifrirana signalizacija poziva za IP telefone

• Šifrirani zvuk poziva (medij) za IP telefone

Namjenska instanca omogućuje registraciju krajnjih točaka i obradu poziva. Signalizacija između Cisco Unified CM i krajnjih točaka temelji se na Secure Skinny Client Control Protocol (SCCP) ili protokolu inicijacije sesije (SIP) i može se šifrirati pomoću sigurnosti transportnog sloja (TLS). Medij od/do krajnjih točaka temelji se na protokolu transporta u stvarnom vremenu (RTP), a također se može šifrirati pomoću Secure RTP (SRTP).

Omogućavanje mješovitog načina rada Unified CM omogućuje šifriranje signalizacije i medijskog prometa od i do Ciscovih krajnjih točaka.

Sigurne UC aplikacije

Mješoviti način rada omogućen je prema zadanim postavkama u Namjenskoj instanci.

Omogućavanje mješovitog načina rada u namjenskoj instanci omogućuje šifriranje signalizacije i medijskog prometa od i do Ciscovih krajnjih točaka.

Od Cisco Unified CM izdanja 12.5 (1) dodana je nova opcija za omogućavanje šifriranja signalizacije i medija na temelju SIP OAuth umjesto mješovitog moda/CTL za Jabber i Webex klijente. Stoga se u Unified CM izdanju 12.5 (1) SIP OAuth i SRTP mogu koristiti za omogućavanje šifriranja za signalizaciju i medije za Jabber ili Webex klijente. Omogućavanje mješovitog načina rada i dalje je potrebno za Cisco IP telefone i druge Cisco krajnje točke u ovom trenutku. Postoji plan za dodavanje podrške za SIP OAuth u 7800/8800 krajnjih točaka u budućem izdanju.

Osiguravanje komunikacije između Cisco Unified CM i CUBE

Za sigurnu komunikaciju između Cisco Unified CM i CUBE-a, partneri/kupci moraju koristiti ili samopotpisan certifikat ili certifikate potpisane CA.

Za samopotpisane certifikate:

1. CUBE i Cisco Unified CM generirajte samopotpisane certifikate

2. CUBE izvozi certifikat u Cisco Unified CM

3. Cisco Unified CMizvozni certifikat u CUBE

Za certifikate potpisane CA:

1. Klijent generira par ključeva i šalje zahtjev za potpisivanje certifikata (CSR) (CA) Certificate Authority

2. CA ga potpisuje svojim privatnim ključem, stvarajući potvrdu o identitetu

3. Klijent instalira popis pouzdanih CA korijenskih i posredničkih certifikata i certifikat identiteta

Sažetak protokola

Sljedeća tablica prikazuje protokole i povezane usluge koje se koriste u Unified CM rješenju.

Dodatne informacije o konfiguraciji MRA potražite u odjeljku Scenariji implementacije MRA u V odiču za mobilnu i Remote Access kroz implementaciju Cisco Expressway .

Osiguranje Jabbera i Webexa pomoću SIP OAuth

Jabber i Webex klijenti autentificiraju se putem OAuth tokena umjesto lokalno značajnog certifikata (LSC), koji ne zahtijeva omogućavanje funkcije proxy certifikata (CAPF) (i za MRA). SIP OAuth koji radi sa ili bez mješovitog načina rada uveden je u Cisco Unified CM 12.5 (1) i novijim, Jabber 12.5 i novijim, te Expressway X12.5.

U Cisco Unified CM 12.5 i novijim verzijama imamo novu opciju u Profilu sigurnosti telefona koja omogućuje šifriranje bez LSC/CAPF -a, koristeći jedan zaštitni sloj transportnog sloja (TLS) +OAuth token u SIP REGISTERU. Expressway-C čvorovi koriste API Administrative XML Web Service (AXL) kako bi informirali o SN/SAN u Cisco Unified CM svom certifikatu. Cisco Unified CMkoristi ove podatke za provjeru Exp-C certifikata prilikom uspostavljanja međusobne T LS veze.

SIP OAuth omogućuje šifriranje medija i signalizacije bez certifikata krajnje točke (LSC).

Cisco Jabberkoristi efemerne portove i sigurne portove 6971 i 6972 portove putem HTTPS veze s TFTP poslužiteljem za preuzimanje konfiguracijskih datoteka. Port 6970 je nesiguran priključak za preuzimanje putem HTTP-a.

Više detalja o konfiguraciji SIP OAuth: SIP O Auth način rada.