物理的なセキュリティ

Equinix Meet-Me Room の場所と Cisco 専用インスタンス データ センターの施設に物理的なセキュリティを提供することが重要です。 物理的なセキュリティが侵害されると、顧客のスイッチへの電源をシャットダウンすることで、サービスの中断などの簡単な攻撃を開始できます。 物理的なアクセスにより、攻撃者はサーバーデバイスにアクセスしたり、パスワードをリセットしたり、スイッチにアクセスしたりできます。 物理的なアクセスは、中間者攻撃のようなより高度な攻撃も容易になります。 そのため、2番目のセキュリティレイヤ、ネットワークセキュリティが重要です。

自己暗号化ドライブは、UC アプリケーションをホストする専用インスタンス データ センターで使用されます。

一般的なセキュリティ慣行の詳細については、次の場所にあるドキュメントを参照してください。 https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html。

ネットワークセキュリティ

パートナーは、すべてのネットワーク要素が専用インスタンスインフラストラクチャ(Equinix経由で接続)で保護されていることを確認する必要があります。 以下のようなセキュリティのベストプラクティスを確保することは、パートナーの責任です。

• 音声とデータの別々の VLAN

• CAM テーブルのフラッディングに対して、ポートごとに許可される MAC アドレスの数を制限するポート セキュリティを有効にします。

• スプーフィングされた IP アドレスに対する IP ソースガード

• ダイナミックARP検査（DAI）は、アドレス解決プロトコル（ARP）および無償ARP（GARP）の違反（ARPスプーフィングに対する違反）を検証します。

• 802.1x は、割り当てられた VLAN 上のデバイスを認証するため、ネットワーク アクセスを制限する (電話は 802.1x をサポート)

• 音声パケットの適切なマーキングのためのサービス品質（QoS）の設定

• 他のトラフィックをブロックするためのファイアウォールポート構成

エンドポイントのセキュリティ

シスコのエンドポイントは、署名付きファームウェア、セキュアブート（選択されたモデル）、メーカーがインストールした証明書（MIC）、署名付き設定ファイルなどのデフォルトのセキュリティ機能をサポートしており、エンドポイントに一定のセキュリティレベルを提供します。

さらに、パートナーまたは顧客は、次のような追加のセキュリティを有効にできます。

• エクステンション モビリティなどのサービスの IP 電話サービス（HTTPS 経由）を暗号化する

• 認証局プロキシ機能 (CAPF) または公共認証局 (CA) からローカルで重要な証明書 (LSC) を発行する

• 設定ファイルの暗号化

• メディアとシグナリングの暗号化

• 使用されていない場合は、これらの設定を無効にします。 PCポート、PC Voice VLAN Access、Gratuitous ARP、Web Access、設定ボタン、SSH、コンソール

専用インスタンスにセキュリティメカニズムを実装することで、電話機と Unified CM サーバのアイデンティティの盗難、データ改ざん、およびコールシグナリング/メディアストリームの改ざんを防ぎます。

ネットワーク経由の専用インスタンス:

• 認証された通信ストリームを確立し、維持する

• 電話機にファイルを転送する前に、ファイルをデジタル署名する

• Cisco Unified IP 電話間のメディア ストリームとコール シグナリングを暗号化する

デフォルトでのセキュリティは、Cisco Unified IP Phone に次の自動セキュリティ機能を提供します。

• 電話機の設定ファイルの署名

• 電話機の設定ファイルの暗号化をサポート

• Tomcat およびその他の Web サービス (MIDlets) を使用した HTTPS

Unified CM リリース 8.0 以降では、証明書信頼リスト（CTL）クライアントを実行せずに、これらのセキュリティ機能がデフォルトで提供されます。

ネットワークには多数の電話機があり、IP 電話にはメモリが限られているため、Cisco Unified CM は信頼検証サービス（TVS）を通じてリモート トラスト ストアとして機能し、証明書の信頼ストアが各電話機に配置される必要がありません。 Cisco IP 電話は、CTL ファイルまたは ITL ファイルで署名または証明書を検証できないため、TVS サーバに検証を依頼します。 中央信頼ストアを持つことは、各 Cisco Unified IP 電話に信頼ストアを持つことよりも簡単に管理できます。

TVS を使用すると、Cisco Unified IP 電話は、HTTPS の確立中に EM サービス、ディレクトリ、MIDlet などのアプリケーション サーバを認証できます。

初期信頼リスト（ITL）ファイルは、エンドポイントが Cisco Unified CM を信頼できるように、初期セキュリティに使用されます。 ITL は、明示的に有効にするためのセキュリティ機能を必要としません。 ITL ファイルは、クラスタがインストールされると自動的に作成されます。 Unified CM Trivial File Transfer Protocol（TFTP）サーバの秘密キーは、ITL ファイルに署名するために使用されます。

Cisco Unified CM クラスタまたはサーバが非セキュア モードの場合、ITL ファイルはサポートされているすべての Cisco IP 電話にダウンロードされます。 パートナーは、CLI コマンド admin:show itl を使用して ITL ファイルの内容を表示できます。

Cisco IP 電話は、次のタスクを実行するために ITL ファイルが必要です。

• 構成ファイルの暗号化をサポートするための前提条件である CAPF に安全に通信する

• 設定ファイルの署名を認証する

• TVS を使用して HTTPS 確立中に EM サービス、ディレクトリ、MIDlet などのアプリケーション サーバを認証する

デバイス、ファイル、およびシグナリング認証は、パートナーまたは顧客が Cisco Certificate Trust List Client をインストールおよび設定したときに作成される Certificate Trust List（CTL）ファイルの作成に依存します。

CTL ファイルには、次のサーバまたはセキュリティ トークンのエントリが含まれています。

• システム管理者のセキュリティ トークン (SAST)

• 同じサーバ上で実行されている Cisco CallManager および Cisco TFTP サービス

• 認証局プロキシ機能（CAPF）

• TFTP サーバ

• ASA ファイアウォール

CTL ファイルには、サーバ証明書、公開キー、シリアル番号、署名、発行者名、サブジェクト名、サーバ機能、DNS 名、および各サーバの IP アドレスが含まれています。

CTL を使用した電話セキュリティは、次の機能を提供します。

• 署名キーを使用した TFTP ダウンロードファイルの認証（設定、ロケール、リングリストなど）

• 署名キーを使用した TFTP 設定ファイルの暗号化

• IP 電話の暗号化されたコール シグナリング

• IP 電話の暗号化された通話音声 (メディア)

専用インスタンスは、エンドポイント登録とコール処理を提供します。 Cisco Unified CM とエンドポイント間のシグナリングは、Secure Skinny Client Control Protocol（SCCP）または Session Initiation Protocol（SIP）に基づいており、Transport Layer Security（TLS）を使用して暗号化できます。 エンドポイントからのメディアは Real-time Transport Protocol（RTP）に基づいており、Secure RTP（SRTP）を使用して暗号化することもできます。

Unified CM で混合モードを有効にすると、Cisco エンドポイントからのシグナリングおよびメディア トラフィックの暗号化が有効になります。

セキュア UC アプリケーション

混合モードは、専用インスタンスでデフォルトで有効になっています。

専用インスタンスで混合モードを有効にすると、シグナリングとメディア トラフィックの暗号化を Cisco エンドポイントとの間で実行できます。

Cisco Unified CM リリース 12.5(1) では、Jabber および Webex クライアントに対して、混合モード / CTL の代わりに SIP OAuth に基づくシグナリングとメディアの暗号化を有効にする新しいオプションが追加されました。 したがって、Unified CM リリース 12.5(1) では、SIP OAuth と SRTP を使用して、Jabber または Webex クライアントのシグナリングとメディアの暗号化を有効にできます。 現時点では、Cisco IP 電話およびその他の Cisco エンドポイントで混合モードを有効にする必要があります。 今後のリリースで、7800/8800 エンドポイントで SIP OAuth のサポートを追加する計画があります。

Cisco Unity Connection は、TLS ポートを介して Unified CM に接続します。 デバイスのセキュリティ モードが非セキュアな場合、Cisco Unity Connection は SCCP ポートを介して Unified CM に接続します。

SCCP を実行している Unified CM ボイス メッセージ ポートと Cisco Unity デバイス、または SCCP を実行している Cisco Unity Connection デバイスのセキュリティを設定するには、パートナーはポートのセキュア デバイス セキュリティ モードを選択できます。 認証されたボイスメール ポートを選択すると、TLS 接続が開き、相互証明書交換を使用してデバイスを認証します（各デバイスは他のデバイスの証明書を受け入れます）。 暗号化されたボイスメール ポートを選択した場合、システムは最初にデバイスを認証してから、デバイス間で暗号化された音声ストリームを送信します。

セキュリティボイスメッセージングポートの詳細については、次を参照してください。 https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Cisco Unified CM と CUBE 間の通信の保護

Cisco Unified CM と CUBE 間のセキュアな通信では、パートナー/顧客は自己署名証明書または CA 署名証明書のいずれかを使用する必要があります。

自己署名証明書の場合:

1. CUBE と Cisco Unified CM は自己署名証明書を生成します

2. CUBE が Cisco Unified CM に証明書をエクスポートする

3. Cisco Unified CM が CUBE に証明書をエクスポートする

CA 署名付き証明書の場合:

1. クライアントはキーペアを生成し、証明書署名リクエスト（CSR）を認証局（CA）に送信します

2. CA は秘密鍵で署名し、ID 証明書を作成します。

3. クライアントは信頼できる CA ルートおよび仲介証明書のリストと ID 証明書をインストールします

治験実施計画書の概要

次の表に、Unified CM ソリューションで使用されるプロトコルと関連サービスを示します。

MRA 設定の詳細については、次を参照してください。 https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

SIP OAuth で Jabber と Webex を保護する

Jabber および Webex クライアントは、ローカルで有効な証明書（LSC）の代わりに OAuth トークンを介して認証されます。これは、証明機関プロキシ機能（CAPF）の有効化（MRA の場合も）を必要としません。 混合モードの有無にかかわらず動作する SIP OAuth は、Cisco Unified CM 12.5(1)、Jabber 12.5、および Expressway X12.5 で導入されました。

Cisco Unified CM 12.5 では、SIP REGISTER のシングル トランスポート層セキュリティ（TLS） + OAuth トークンを使用して、LSC/CAPF なしで暗号化を可能にする電話セキュリティプロファイルに新しいオプションがあります。 Expressway-C ノードは、Administrative XML Web Service (AXL) API を使用して、証明書で Cisco Unified CM に SN/SAN を通知します。 Cisco Unified CM は、相互 TLS 接続を確立するときに、この情報を使用して Exp-C 証明書を検証します。

SIP OAuth は、エンドポイント証明書（LSC）なしでメディアおよびシグナリングの暗号化を有効にします。

Cisco Jabber は、TFTP サーバへの HTTPS 接続を介して、Ephemeral ポートとセキュア ポート 6971 および 6972 ポートを使用して、設定ファイルをダウンロードします。 ポート 6970 は、HTTP 経由でダウンロードするための非セキュアなポートです。

SIP OAuth 設定の詳細: SIP OAuth モード。