Fizikai biztonság

Fontos, hogy fizikai biztonságot biztosítsunk az Equinix Meet-Me Room helyszínei és a Cisco Dedicated Instance Data Center létesítményei számára. Ha a fizikai biztonság veszélybe kerül, olyan egyszerű támadások indíthatók el, mint például a szolgáltatás megszakadása az ügyfél kapcsolóinak áramellátásának leállításával. Fizikai hozzáféréssel a támadók hozzáférhetnek szervereszközökhöz, visszaállíthatják a jelszavakat és hozzáférhetnek a kapcsolókhoz. A fizikai hozzáférés megkönnyíti a kifinomultabb támadásokat is, például a középső támadásokat, ezért kritikus a második biztonsági réteg, a hálózati biztonság.

Az öntitkosító meghajtókat az UC alkalmazásokat tároló dedikált példányadatközpontokban használják.

Az általános biztonsági gyakorlatokról további információt a következő helyen található dokumentációban talál: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Hálózati biztonság

A partnereknek gondoskodniuk kell arról, hogy az összes hálózati elem biztonságban legyen a dedikált példányinfrastruktúrában (amely Equinix-en keresztül csatlakozik). A partner felelőssége a biztonsági bevált gyakorlatok biztosítása, mint például:

• Külön VLAN hang- és adatokhoz

• Engedélyezze a portbiztonságot, amely korlátozza a portonként engedélyezett MAC-címek számát, a CAM-táblák elárasztása ellen

• IP-forrásvédelem a hamisított IP-címek ellen

• A Dynamic ARP Inspection (DAI) megvizsgálja a címfelolási protokollt (ARP) és az ingyenes ARP-t (GARP) jogsértések szempontjából (ARP hamisítás ellen)

• A 802.1x korlátozza a hálózati hozzáférést a hozzárendelt VLAN-okon lévő eszközök hitelesítéséhez (a telefonok támogatják a 802.1x-ot)

• A szolgáltatás minőségének (QoS) konfigurálása a hangcsomagok megfelelő jelöléséhez

• Tűzfalportok konfigurációi az egyéb forgalom blokkolására

Végpontok biztonsága

A Cisco végpontok támogatják az alapértelmezett biztonsági funkciókat, például az aláírt firmware-t, a biztonságos rendszerindítást (kiválasztott modellek), a gyártó által telepített tanúsítványt (MIC) és az aláírt konfigurációs fájlokat, amelyek bizonyos szintű biztonságot biztosítanak a végpontok számára.

Ezenkívül egy partner vagy ügyfél további biztonságot is engedélyezhet, mint például:

• Titkosítsa az IP-telefonszolgáltatásokat (HTTPS-en keresztül) olyan szolgáltatások esetében, mint Extension Mobility

• Helyileg jelentős tanúsítványok (LSC) kiállítása a tanúsítványhatóság proxy funkciójából (CAPF) vagy egy nyilvános tanúsítványhatóságból (CA)

• Konfigurációs fájlok titkosítása

• A média és a jelzés titkosítása

• Tiltsa le ezeket a beállításokat, ha nem használják őket: PC port, PC Voice VLAN hozzáférés, Ingyenes ARP, Web Access, Beállítások gomb, SSH, konzol

A biztonsági mechanizmusok bevezetése a dedikált példányban megakadályozza a telefonok és a Unified CM szerver személyazonosságlopását, az adatok manipulálását, valamint a hívásjelzés/médiastream manipulációt.

Dedikált példány a hálózaton keresztül:

• Hitelesített kommunikációs folyamok létrehozása és fenntartása

• Digitálisan aláírja a fájlokat a fájl telefonra történő átvitele előtt

• Titkosítja a médiafolyamatokat és a hívásjelzést a Cisco Unified IP telefonok között

A Cisco Unified IP-telefonokhoz alapértelmezés szerint a következő automatikus biztonsági funkciókat biztosítja:

• A telefon konfigurációs fájlok aláírása

• Támogatás a telefonkonfigurációs fájl titkosításához

• HTTPS a Tomcat és más webszolgáltatásokkal (MIDLETS)

A 8.0-as Unified CM kiadás későbbi verziója esetén ezek a biztonsági funkciók alapértelmezés szerint a Certificate Trust List (CTL) kliens futtatása nélkül érhetők el.

Mivel nagy számú telefon van a hálózatban, és az IP-telefonok korlátozott memóriával rendelkeznek, távoli megbízhatósági tárolóként Cisco Unified CM működik a Trust Verification Service (TVS) segítségével, így nem kell minden telefonon tanúsítványbizalmi tárolót elhelyezni. A Cisco IP-telefonjai kapcsolatba lépnek a TVS szerverrel ellenőrzés céljából, mert nem tudnak aláírást vagy tanúsítványt CTL- vagy ITL-fájlokon keresztül ellenőrizni. A központi megbízhatósági áruház kezelése könnyebben kezelhető, mint a megbízhatósági áruház minden Cisco Unified IP-telefonon.

A TVS lehetővé teszi a Cisco Unified IP-telefonok számára az alkalmazáskiszolgálók, például az EM-szolgáltatások, a könyvtár és a MIDlet hitelesítését a HTTPS létrehozása során.

A kezdeti biztonsághoz a kezdeti megbízhatósági lista (ITL) fájl kerül felhasználásra, így a végpontok megbízhatnak. Cisco Unified CM Az ITL-nek nincs szüksége semmilyen biztonsági funkcióra a kifejezett engedélyezéshez. Az ITL fájl automatikusan létrejön a klaszter telepítésekor. Az ITL fájl alá írásához a Unified CM Trivial File Transfer Protocol (TFTP) kiszolgáló privát kulcsa szolgál.

Ha a Cisco Unified CM klaszter vagy a kiszolgáló nem biztonságos módban van, az ITL-fájl letölthető minden támogatott Cisco IP-telefonra. A partner az admin: show itl CLI paranccsal tekintheti meg az ITL-fájl tartalmát.

A Cisco IP telefonoknak szükségük van az ITL fájlra a következő feladatok elvégzéséhez:

• Biztonságos kommunikáció a CAPF-vel, ami a konfigurációs fájl titkosításának támogatásának előfeltétele

• A konfigurációs fájl aláírásának hitelesítése

• Hitelesítse az alkalmazáskiszolgálókat, például az EM-szolgáltatásokat, a könyvtárat és a MIDletet a HTTPS-létrehozás során a TVS segítségével

Az eszköz-, fájl- és jelátviteli hitelesítés a Certificate Trust List (CTL) fájl létrehozásán alapul, amely akkor jön létre, amikor a partner vagy az ügyfél telepíti és konfigurálja a Cisco Certificate Trust List Client programot.

A CTL fájl a következő szerverekre vagy biztonsági tokenekre vonatkozó bejegyzéseket tartalmaz:

• Rendszergazda biztonsági token (SAST)

• Cisco CallManagerés Cisco TFTP szolgáltatásai, amelyek ugyanazon a szerveren futnak

• Certificate AuthorityProxy funkció (CAPF)

• TFTP szerver (ek)

• ASA tűzfal

A CTL-fájl tartalmaz egy kiszolgálótanúsítványt, nyilvános kulcsot, sorozatszámot, aláírást, kibocsátó nevét, tárgy nevét, kiszolgálófunkcióját, DNS-nevét és IP-címét az egyes kiszolgálók számára.

A telefon biztonsága a CTL segítségével a következő funkciókat biztosítja:

• A TFTP letöltött fájlok (konfiguráció, helyi beállítás, csengőlista stb.) hitelesítése aláírási kulcs segítségével

• TFTP konfigurációs fájlok titkosítása aláírási kulccsal

• Titkosított hívásjelzés IP telefonokhoz

• Titkosított híváshang (média) IP-telefonokhoz

A dedikált példány végpontok regisztrációját és hívásfeldolgozását teszi lehetővé. A jelzés Cisco Unified CM a végpontok közötti és a Secure Skinny Client Control Protocol (SCCP) vagy a Session Initiation Protocol (SIP) alapja, és a Transport Layer Security (TLS) segítségével titkosítható. A végpontokból és a végpontokba történő adathordozók valós idejű szállítási protokollon (RTP) alapulnak, és titkosíthatók a Secure RTP (SRTP) segítségével is.

A vegyes mód bekapcsolása Unified CM lehetővé teszi a jelzés és a médiafelhasználás titkosítását a Cisco végpontjairól és azokig.

Biztonságos UC alkalmazások

A vegyes mód alapértelmezés szerint engedélyezve van a dedikált példányban.

A vegyes mód engedélyezése a dedikált példányban lehetővé teszi a jelzés és a médiafelhasználás titkosítását a Cisco végpontjairól és azokig.

A 12.5 (1) Cisco Unified CM kiadástól kezdve a Jabber és Webex kliensek számára új lehetőséget adtak hozzá, amely lehetővé teszi a jelátviteli és adathordozók SIP OAuth alapú titkosítását vegyes mód/CTL helyett. Ezért a 12.5 (1) Unified CM kiadásban a SIP OAuth és az SRTP felhasználható a Jabber vagy Webex kli ensek jelátviteli és adathordozók titkosításának engedélyezésére. A vegyes mód engedélyezése továbbra is szükséges a Cisco IP-telefonokhoz és más Cisco végpon tokhoz. Tervezik, hogy a SIP OAuth támogatását 7800/8800 végpontban hozzák a jövőbeli kiadásban.

A CUBE Cisco Unified CM és a CUBE közötti kommunikáció biztosítása

Cisco Unified CMA CUBE és a CUBE közötti biztonságos kommunikációhoz a partnerek/ügyfeleknek vagy önaláírt tanúsítványt vagy CA-aláírt tanúsítványokat kell használniuk.

Önaláírt tanúsítványok esetén:

1. CUBE és készítsen ön Cisco Unified CM aláírt tanúsítványokat

2. A CUBE tanúsítványt exportál Cisco Unified CM

3. Cisco Unified CMexporttanúsítvány a CUBE-ba

A CA-aláírt tanúsítványok esetében:

1. Az ügyfél generál egy kulcspárt, és tanúsítványaláírási kérelmet (CSR) küld a (CA) részére Certificate Authority

2. A CA magánkulccsal írja alá, létrehozva egy személyazonossági tanúsítványt

3. Az ügyfél telepíti a megbízható CA-gyökér- és közvetítő tanúsítványok listáját, valamint az azonosító tanúsítványt

Protokoll összefoglaló

Az alábbi táblázat a megoldásban használt protokollokat és kapcsolódó szolgáltatásokat mutatja Unified CM be.

Az MRA-konfigurációról további információt a Mobile and Through Deployment Gu ide című MRA telepítési forgatóköny vek szakaszában Remote Access talál Cisco Expressway .

A Jabber és a Webex biztosítása a SIP OAuth segítségével

A Jabber és a Webex ügyfeleket egy OAuth tokennel hitelesítik a helyi jelentőségű tanúsítvány (LSC) helyett, amely nem igényel tanúsítványhatósági proxy funkció (CAPF) engedélyezését (MRA esetében is). A vegyes üzemmódban vagy anélkül működő SIP OAuth alkalmazást a Cisco Unified CM 12.5 (1) és későbbi verziókban, a Jabber 12.5 és későbbi verziókban, valamint az Expressway X12.5 verzióban vezették be.

A 12.5- Cisco Unified CM ben és újabb verziókban van egy új lehetőségünk a Phone Security Profile programban, amely lehetővé teszi a titkosítást LSC/CAPF nélkül, egyetlen Transport Layer Security (TLS) + OAuth token használatával a SIP REGISZTERben. Az Expressway-C csomópontok az Adminisztratív XML Web Service (AXL) API-t használják, hogy tájékoztassák a tanúsítványukban található SN Cisco Unified CM /SAN-ról. Cisco Unified CMezeket az információkat az Exp-C tanúsítvány érvényesítésére használja a kölcsönös TLS-kapcsolat létrehozásakor.

A SIP OAuth lehetővé teszi a média- és jelátviteli titkosítást végponttanúsítvány (LSC) nélkül.

Cisco JabberEphemeral portokat és biztonságos 6971 és 6972 portokat használ a TFTP-kiszolgálóhoz való HTTPS-kapcsolaton keresztül a konfigurációs fájlok letöltéséhez. A 6970-es port egy nem biztonságos port, amelyet HTTP-n keresztül lehet letölteni.

További részletek a SIP OAuth konfigurációról: SIP O Auth mód.