물리적 보안

Equinix Meet-Me 회의실 위치 및 Cisco 전용 인스턴스 데이터 센터 시설에 물리적 보안을 제공하는 것이 중요합니다. 물리적 보안이 손상되면 고객의 스위치에 대한 전원을 차단하여 서비스 중단과 같은 간단한 공격을 시작할 수 있습니다. 물리적 액세스를 통해 공격자는 서버 장치에 액세스하고, 암호를 재설정하고, 스위치에 액세스할 수 있습니다. 물리적 액세스는 중간자 공격과 같은 더욱 정교한 공격을 용이하게 합니다. 이것이 두 번째 보안 계층인 네트워크 보안이 중요한 이유입니다.

셀프 암호화 드라이브는 UC 애플리케이션을 호스팅하는 전용 인스턴스 데이터 센터에서 사용됩니다.

일반 보안 관행에 대한 자세한 내용은 다음 위치에 있는 문서를 참조하십시오. https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

네트워크 보안

파트너는 모든 네트워크 요소가 전용 인스턴스 인프라(Equinix를 통해 연결)에서 보안되도록 해야 합니다. 다음과 같은 보안 모범 사례를 보장하는 것은 파트너의 책임입니다.

• 음성 및 데이터에 대한 별도의 VLAN

• CAM 테이블 범람에 대해 포트당 허용되는 MAC 주소 수를 제한하는 포트 보안 활성화

• 스푸핑된 IP 주소에 대한 IP 소스 가드

• DAI(Dynamic ARP Inspection)는 ARP(Address Resolution Protocol) 및 GARP(Gratuitous ARP)를 위반에 대해 검사합니다(ARP 스푸핑 방지).

• 802.1x는 할당된 VLAN에서 장치를 인증하기 위해 네트워크 액세스를 제한합니다(전화는 802.1x 지원).

• 음성 패킷의 적절한 표시를 위한 서비스 품질(QoS) 구성

• 다른 트래픽을 차단하기 위한 방화벽 포트 구성

엔드포인트 보안

Cisco 엔드포인트는 서명된 펌웨어, 보안 부팅(선택한 모델), 제조업체에 설치된 인증서(MIC) 및 서명된 구성 파일과 같은 기본 보안 기능을 지원하며, 이는 엔드포인트에 대한 특정 수준의 보안을 제공합니다.

또한 파트너 또는 고객은 다음과 같은 추가 보안을 활성화할 수 있습니다.

• Extension Mobility와 같은 서비스에 대해 HTTPS를 통해 IP 전화 서비스 암호화

• CAPF(인증 기관 프록시 기능) 또는 CA(공용 인증 기관)에서 LSC(로컬 중요 인증서)를 발급합니다.

• 구성 파일 암호화

• 미디어 및 신호 암호화

• 사용하지 않는 경우 해당 설정을 비활성화합니다. PC 포트, PC 음성 VLAN 액세스, 불필요한 ARP, 웹 액세스, 설정 버튼, SSH, 콘솔

전용 인스턴스에서 보안 메커니즘을 구현하면 전화기 및 Unified CM 서버의 아이덴티티 도난, 데이터 변조 및 통화 신호 처리/미디어 스트림 변조가 방지됩니다.

네트워크를 통한 전용 인스턴스:

• 인증된 통신 스트림 설정 및 유지 관리

• 파일을 전화기로 전송하기 전에 디지털 방식으로 파일에 서명

• Cisco Unified IP 전화기 간 미디어 스트림 및 통화 신호 암호화

기본적으로 보안은 Cisco Unified IP 전화기에 대해 다음 자동 보안 기능을 제공합니다.

• 전화기 구성 파일 서명

• 전화기 구성 파일 암호화 지원

• Tomcat 및 기타 웹 서비스(MIDlets)를 사용하는 HTTPS

나중에 Unified CM 릴리스 8.0의 경우 이러한 보안 기능은 CTL(Certificate Trust List) 클라이언트를 실행하지 않고 기본적으로 제공됩니다.

네트워크에 많은 수의 전화기가 있고 IP 전화기에 메모리가 제한되어 있기 때문에 Cisco Unified CM은 TVS(Trust Verification Service)를 통해 원격 신뢰 저장소로 작동하여 인증서 신뢰 저장소가 각 전화기에 위치하지 않아도 됩니다. Cisco IP 전화기는 CTL 또는 ITL 파일을 통해 서명 또는 인증서를 확인할 수 없으므로 확인을 위해 TVS 서버에 문의합니다. 중앙 신뢰 스토어를 갖는 것은 각 Cisco Unified IP 전화기에 신뢰 스토어를 갖는 것보다 관리가 쉽습니다.

TVS를 사용하면 Cisco Unified IP 전화기가 HTTPS 설정 중에 EM 서비스, 디렉터리 및 MIDlet과 같은 애플리케이션 서버를 인증할 수 있습니다.

ITL(Initial Trust List) 파일은 초기 보안에 사용되므로 엔드포인트는 Cisco Unified CM을 신뢰할 수 있습니다. ITL은 명시적으로 활성화할 보안 기능이 필요하지 않습니다. 클러스터가 설치되면 ITL 파일이 자동으로 생성됩니다. TFTP(Unified CM Trivial File Transfer Protocol) 서버의 개인 키가 ITL 파일에 서명하는 데 사용됩니다.

Cisco Unified CM 클러스터 또는 서버가 비보안 모드에 있으면 지원되는 모든 Cisco IP 전화기에서 ITL 파일이 다운로드됩니다. 파트너는 CLI 명령어 admin:show itl을 사용하여 ITL 파일의 내용을 볼 수 있습니다.

다음 작업을 수행하려면 Cisco IP 전화기에 ITL 파일이 필요합니다.

• 구성 파일 암호화를 지원하는 전제 조건인 CAPF에 안전하게 통신

• 구성 파일 서명 인증

• TVS를 사용하여 HTTPS 설정 중에 EM 서비스, 디렉터리 및 MIDlet과 같은 애플리케이션 서버 인증

장치, 파일 및 신호 인증은 파트너 또는 고객이 Cisco 인증서 신뢰 목록 클라이언트를 설치하고 구성할 때 생성되는 CTL(인증서 신뢰 목록) 파일을 생성하는 데 의존합니다.

CTL 파일에는 다음 서버 또는 보안 토큰에 대한 항목이 포함됩니다.

• 시스템 관리자 보안 토큰(SAST)

• 동일한 서버에서 실행 중인 Cisco CallManager 및 Cisco TFTP 서비스

• CAPF(인증센터 프록시 기능)

• TFTP 서버

• ASA 방화벽

CTL 파일에는 서버 인증서, 공개 키, 일련 번호, 서명, 발급자 이름, 제목 이름, 서버 기능, DNS 이름 및 각 서버에 대한 IP 주소가 포함됩니다.

CTL을 사용하는 전화기 보안은 다음 기능을 제공합니다.

• 서명 키를 사용하여 TFTP에서 다운로드한 파일(구성, 로케일, 링리스트 등)의 인증

• 서명 키를 사용하여 TFTP 구성 파일의 암호화

• IP 전화기에 대해 암호화된 통화 신호 처리

• IP 전화기에 대한 암호화된 통화 오디오(미디어)

전용 인스턴스는 엔드포인트 등록 및 통화 처리를 제공합니다. Cisco Unified CM과 엔드포인트 간의 신호 처리는 SCCP(Secure Skinny Client Control Protocol) 또는 SIP(Session Initiation Protocol)를 기반으로 하며 TLS(Transport Layer Security)를 사용하여 암호화될 수 있습니다. 엔드포인트에 대한 미디어는 RTP(Real-time Transport Protocol)를 기반으로 하며 Secure RTP(SRTP)를 사용하여 암호화될 수도 있습니다.

Unified CM에서 혼합 모드를 활성화하면 시그널링 및 미디어 트래픽이 Cisco 엔드포인트에서 암호화될 수 있습니다.

보안 UC 애플리케이션

혼합 모드는 기본적으로 전용 인스턴스에서 활성화됩니다.

전용 인스턴스에서 혼합 모드를 활성화하면 시그널링 및 미디어 트래픽의 암호화를 Cisco 엔드포인트에서 수행할 수 있습니다.

Cisco Unified CM 릴리스 12.5(1)에서 Jabber 및 Webex 클라이언트에 대해 혼합 모드 / CTL 대신 SIP OAuth를 기반으로 시그널링 및 미디어의 암호화를 활성화하는 새로운 옵션이 추가되었습니다. 따라서 Unified CM 릴리스 12.5(1)에서 SIP OAuth 및 SRTP를 사용하여 Jabber 또는 Webex 클라이언트의 신호 처리 및 미디어에 대한 암호화를 활성화할 수 있습니다. 혼합 모드 활성화는 현재 Cisco IP 전화기 및 기타 Cisco 엔드포인트에 대해 계속 필요합니다. 향후 릴리즈에서 7800/8800 엔드포인트에서 SIP OAuth에 대한 지원을 추가할 계획이 있습니다.

Cisco Unity Connection은 TLS 포트를 통해 Unified CM에 연결됩니다. 장치 보안 모드가 비보안인 경우 Cisco Unity Connection은 SCCP 포트를 통해 Unified CM에 연결됩니다.

SCCP를 실행하는 Unified CM 음성 메시징 포트 및 Cisco Unity 디바이스 또는 SCCP를 실행하는 Cisco Unity Connection 디바이스에 대한 보안을 구성하려면 파트너는 포트에 대한 보안 디바이스 보안 모드를 선택할 수 있습니다. 인증된 보이스메일 포트를 선택하는 경우, 상호 인증서 교환을 사용하여 장치를 인증하는 TLS 연결이 열립니다(각 장치는 다른 장치의 인증서를 수락함). 암호화된 보이스메일 포트를 선택하는 경우, 시스템은 먼저 장치를 인증한 후 장치 간에 암호화된 음성 스트림을 보냅니다.

보안 음성 메시징 포트에 대한 자세한 정보는 다음을 참조하십시오. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Cisco Unified CM 및 CUBE 간의 통신 보안

Cisco Unified CM과 CUBE 간의 보안 통신을 위해 파트너/고객은 자체 서명 인증서 또는 CA 서명 인증서를 사용해야 합니다.

자체 서명 인증서의 경우:

1. CUBE 및 Cisco Unified CM은 자체 서명 인증서를 생성합니다.

2. CUBE는 Cisco Unified CM에 인증서를 내보냅니다.

3. Cisco Unified CM은 CUBE에 인증서를 내보냅니다.

CA 서명 인증서의 경우:

1. 클라이언트는 키 쌍을 생성하고 CSR(Certificate Signing Request)을 CA(Certificate Authority)로 보냅니다.

2. CA는 개인 키로 서명하고 ID 인증서를 만듭니다.

3. 클라이언트는 신뢰할 수 있는 CA 루트 및 중개 인증서 및 ID 인증서 목록을 설치합니다.

임상시험 계획서 요약

다음 표에서는 Unified CM 솔루션에서 사용되는 프로토콜 및 관련 서비스를 보여줍니다.

MRA 구성에 대한 자세한 내용은 다음을 참조하십시오. https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

SIP OAuth로 Jabber 및 Webex 보안

Jabber 및 Webex 클라이언트는 LSC(로컬 중요 인증서) 대신 OAuth 토큰을 통해 인증됩니다. 이는 CAPF(인증 기관 프록시 기능) 활성화를 요구하지 않습니다(MRA에서도). 혼합 모드를 사용하거나 사용하지 않는 SIP OAuth는 Cisco Unified CM 12.5(1), Jabber 12.5 및 Expressway X12.5에서 도입되었습니다.

Cisco Unified CM 12.5에서는 SIP REGISTER에서 단일 전송 계층 보안(TLS) + OAuth 토큰을 사용하여 LSC/CAPF 없이 암호화를 활성화하는 전화기 보안 프로필에 새로운 옵션이 있습니다. Expressway-C 노드는 관리 XML 웹 서비스(AXL) API를 사용하여 인증서에서 Cisco Unified CM에 SN/SAN을 알립니다. Cisco Unified CM은 이 정보를 사용하여 상호 TLS 연결을 설정할 때 Exp-C 인증서의 유효성을 검증합니다.

SIP OAuth는 엔드포인트 인증서(LSC) 없이 미디어 및 시그널링 암호화를 활성화합니다.

Cisco Jabber는 TFTP 서버에 HTTPS 연결을 통해 임시 포트 및 보안 포트 6971 및 6972 포트를 사용하여 구성 파일을 다운로드합니다. 포트 6970은 HTTP를 통해 다운로드할 수 있는 비보안 포트입니다.

SIP OAuth 구성에 대한 자세한 내용: SIP OAuth 모드.