専用インスタンスのネットワークおよびセキュリティ要件

物理的なセキュリティ

Equinix Meet-Me Room のロケーションと Cisco 専用インスタンスデータセンター施設に物理的なセキュリティを提供することが 重要です。物理的なセキュリティが侵害されると、顧客のスイッチの電源をシャットダウンすることでサービスの中断などの単純な攻撃を開始することができます。物理的なアクセスにより、攻撃者はサーバーデバイスへのアクセス、パスワードのリセット、スイッチへのアクセス権を取得する可能性があります。物理的なアクセスにより、中間者攻撃などのより洗練された攻撃が促進されます。2 番目のセキュリティ層であるネットワークセキュリティが重要です。

セルフ暗号化ドライブは、UC アプリケーションをホスト する専用インスタンスデータセンターで使用されます。

一般的なセキュリティ慣行の詳細については、次の場所にあるドキュメントを参照してください。https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html。

ネットワークセキュリティ

パートナーは、すべてのネットワーク要素が 、Equinix を経由して接続する専用インスタンス インフラストラクチャで保護されている必要があります。セキュリティのベストプラクティスを確実に行う責任は、以下の通り行います。

• 音声とデータのための別々の VLAN

• 1 ポート当たりに許可される MAC アドレスの数を制限するポートセキュリティを、CAM テーブルリングに対して制限します。

• スプーフィングされた IP アドレスに対する IP ソースのなりすまし

• Dynamic GAR 検査 (DAI) はアドレス解決プロトコル (GARP) と違反に対する (GARP) 違反について (GARP) 検証します (GARP スプーフィングに対する)

• 802.1x 割り当てられた VLAN (電話は 802 をサポートする) 上のデバイスを認証するために、ネットワークアクセスを制限します1x。

• 音声パケットの適切なマーキングのためのサービスの質(QoS)の設定

• 他のトラフィックをブロックするファイアウォール ポートの構成

エンドポイントのセキュリティ

Cisco エンドポイントは、署名されたファームウェア、セキュア ブート (選択モデル)、製造元がインストールした証明書 (MIC)、および署名された構成ファイルなどのデフォルトのセキュリティ機能をサポートし、エンドポイントに特定のレベルのセキュリティを提供します。

さらに、パートナーまたは顧客は、次のような追加のセキュリティを有効にできます。

• Extension Mobility などのサービスのための IP 電話サービス (HTTPS 経由) を暗号化します

• 証明機関のプロキシ機能 (CAPF) またはパブリック証明機関 (CA) からローカルに重要な証明書 (LSCs) を発行します

• 構成ファイルを暗号化する

• メディアとシグナルの暗号化

• これらを使用しない場合、これらの設定を無効にします。PC ポート, PC 音声 VLAN アクセス, 無料な VLAN, ウェブ アクセス, 設定ボタン, SSH, コンソール

専用インスタンスにセキュリティ メカニズムを実装することで、電話と Unified CM サーバーの ID の盗難、データの改元、通話信号 / メディアストリームの改めを防止します。

ネットワーク上の 専用インスタンス:

• 認証済みの通信ストリームを確立し維持します。

• ファイルを電話に転送する前にデジタル署名を行う

• Ip フォン間のメディアストリームと通話シグナリングCisco Unifiedします。

セキュリティ機能により、IP フォンを使用する場合に、以下Cisco Unifiedセキュリティ機能が提供されます。

• 電話構成ファイルの署名

• 電話設定ファイル暗号化のサポート

• Tomcat および他の Web サービスの HTTPS (MIDlets)

Unified CM Release 8.0 以降では、これらのセキュリティ機能はデフォルトで提供され、Certificate Trust List (CTL) クライアントを実行しない必要があります。

ネットワーク内には多くの電話があり、IP 電話にはメモリが限られているため、Cisco Unified CM は信頼確認サービス (TVS) を通してリモートの信頼ストアとして機能し、証明書信頼ストアを各電話に配置する必要がないのでです。Cisco IP Phone は CTL または ITL ファイル経由で署名または証明書を検証できないため、TVS サーバーに連絡して検証を行います。中央の信頼ストアを有することにより、各顧客の IP 電話に信頼ストアCisco Unified管理するより容易になります。

TVS によりCisco Unified IP 電話は、HTTPS 保護中に EM サービス、ディレクトリ、MIDlet などのアプリケーション サーバーを認証できます。

初期信頼リスト (ITL) ファイルは、エンドポイントが CM を信頼できるよう、最初のセキュリティCisco Unifiedされます。ITL は、明示的に有効にするセキュリティ機能を必要としません。ITL ファイルはクラスターがインストールされると自動的に作成されます。ITL ファイルに署名するために、Unified CM Trivial ファイル転送プロトコル (TFTP) サーバーのプライベートキーが使用されます。

ITL Cisco Unifiedサーバーが非セキュアモードの場合、ITL ファイルはサポートされる Cisco IP 電話にダウンロードされます。パートナーは CLI コマンド「admin:show itl」を使用して ITL ファイルのコンテンツを表示できます。

Cisco IP Phone は、以下のタスクを実行するために ITL ファイルが必要です。

• 構成ファイル暗号化のサポートの前提条件である CAPF に安全に通信する

• 構成ファイル署名を認証する

• TVS を使用して HTTPS 中に EM サービス、ディレクトリ、MIDlet などのアプリケーション サーバーを認証する

デバイス、ファイル、シグナル認証は、パートナーまたは顧客が Cisco Certificate Trust List Client をインストールして構成するときに作成される Certificate Trust List (CTL) ファイルの作成に依存します。

CTL ファイルには次のサーバーまたはセキュリティトークンのエントリが含まれています:

• システム管理者セキュリティ トークン (SAST)

• 同じサーバー上で実行している Cisco CallManager および Cisco TFTP サービス

• 認証機関プロキシ機能(CAPF)

• TFTP サーバー

• ASA ファイアウォール

CTL ファイルには、サーバー証明書、公開鍵、シリアル番号、署名、発行者名、サブジェクト名、サーバー機能、DNS 名、および各サーバーの IP アドレスが含まれている。

CTL を含む電話のセキュリティでは、次の機能を提供します。

• 署名キーを使用した TFTP ダウンロードファイル (構成、ロケール、呼び出しリストなど) の認証

• 署名キーを使用した TFTP 構成ファイルの暗号化

• IP 電話用の暗号化通話信号

• IP 電話用の暗号化通話音声 (メディア)

専用インスタンスは エンドポイントの登録と通話処理を提供します。Cisco Unified CM とエンドポイント間のシグナリングは、Secure Skinny Client Control Protocol (SCCP) または セッション開始プロトコル (SIP) に基づいており、トランスポート層セキュリティ (TLS) を使用して暗号化できます。エンドポイント間のメディアは、リアルタイム トランスポート プロトコル (RTP) に基づいており、セキュア RTP (SRTP) を使用して暗号化されます。

Unified CM の混合モードを有効にすると、Cisco エンドポイント間のシグナリングおよびメディア トラフィックの暗号化が有効になります。

セキュア UC アプリケーション

混合モードは、専用インスタンスでデフォルトで有効になっています。

専用インスタンスで混合モード を有効 にすると、Cisco エンドポイントから、または Cisco エンドポイントへのシグナリングおよびメディア トラフィックの暗号化を実行する機能が有効になります。

Cisco Unified CM リリース 12.5(1) で、混合モードの代わりに SIP OAuth に基づくシグナリングおよびメディアの暗号化を有効にする新しいオプション / CTL が Jabber および Webex クライアントに追加されました。したがって、Unified CM リリース 12.5(1)では、JAbber または Webex クライアントのシグナリングおよびメディアの暗号化を有効にするには、SIP OAuth および SRTP を使用できます。現時点で、Cisco IP 電話と他の Cisco エンドポイントでは、混合モードの有効化が引き続き必要です。今後のリリースで 7800/8800 エンドポイントで SIP OAuth のサポートを追加する計画があります。

Cisco Unity Connection通じて Unified CM に接続できます。デバイスのセキュリティ モードが非セキュアである場合、ユーザー Cisco Unity Connection、SCCP ポートを通して Unified CM に接続します。

SCCP を実行している SCCP または Cisco Unity Connection デバイスを実行する Unified CM ボイスメッセージポートと Cisco Unity デバイスのセキュリティを設定するには、パートナーはポートに安全なデバイス セキュリティ モードを選択できます。認証済みのボイスメール ポートを選択すると、TLS 接続が開き、相互証明書の交換を使用してデバイスを認証します (各デバイスは他のデバイスの証明書を受け入れる)。暗号化されたボイスメール ポートを選択する場合、システムは最初にデバイスを認証し、デバイス間で暗号化されたボイス ストリームを送信します。

セキュリティボイスメッセージポートの詳細については次を参照してください: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Cisco Unified CM と CUBE 間の通信の保護

Cisco Unified CM と CUBE 間の安全な通信を行う場合、パートナー/顧客は自己署名証明書または CA 署名証明書のいずれかを使用する必要があります。

自己署名証明書の場合:

1. CUBE および Cisco Unified CM は自己署名証明書を生成します

2. CUBE は証明書を Cisco Unified CM にエクスポートします

3. Cisco Unified CM は証明書を CUBE にエクスポートします

CA 署名付き証明書の場合:

1. クライアントはキーペアを生成し、Certificate Signing Request (CSR) を認証局 (CA) に送信します。

2. CA はプライベートキーで署名し、ID 証明書を作成します

3. クライアントは信頼できる CA ルートおよびメディア証明書と ID 証明書のリストをインストールします

治験実施計画書の概要

以下の表では、Unified CM ソリューションで使用されるプロトコルと関連サービスを示します。

MRA 構成の詳細については、次を参照してください。 https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

SIP OAuth で Jabber および Webex を保護する

Jabber および Webex クライアントは、ローカルに重要な証明書 (LSC) の代わりに Oauth トークンを通じて認証されます。これは、認証機関のプロキシ機能 (CAPF も同様に) 有効化を必要としません。混合モードで動作するまたは混合モードを使用しない SIP Oauth は、Cisco Unified CM 12.5(1)、Jabber 12.5、および Expressway X12.5 で導入されました。

Cisco Unified CM 12.5 では、SIP 登録の単一 Transport Layer Security (TLS) + Oauth トークンを使用して、LSC/CAPF なしの暗号化を有効にする電話セキュリティ プロファイルの新しいオプションがあります。Expressway-C ノードは Administrative XML Web Service (AXL) API を使用して、証明書の SN/SAN について Cisco Unified CM に通知します。Cisco Unified CM はこの情報を使用して、ユーザーの接続を確立する際に Exp-Cert 相互 TLSします。

SIP OAuth は、エンドポイント証明書 (LSC) なしで、メディアとシグナリング暗号化を有効にします。

Cisco Jabber は TFTP サーバーへの HTTPS 接続経由で一時的ポートとセキュアポート 6971 および 6972 ポートを使用して構成ファイルをダウンロードします。ポート 6970 は、HTTP 経由でダウンロードするための非セキュアなポートです。

SIP Oauth 構成に関する詳細:SIP OAuth モード。