물리적 보안

Equinix Meet-Me Room 위치와 시스코 전용 인스턴스 데이터 센터 시설에 물리적 보안을 제공하는 것이 중요해요. 물리적 보안이 취약하면 고객 스위치 전원 차단으로 인한 서비스 중단 같은 단순한 공격이 시작될 수 있어요. 물리적인 접근을 통해 공격자들은 서버 장치에 접근하고, 암호를 재설정하고, 스위치에 접근할 수 있어요. 물리적 접근은 중간자 공격 같은 더 정교한 공격도 촉진해요. 그래서 두 번째 보안 계층인 네트워크 보안이 중요해요.

자체 암호화 드라이브는 UC 애플리케이션을 호스팅하는 전용 인스턴스 데이터 센터에서 사용돼요.

일반 보안 관행에 대한 자세한 내용은 다음 위치의 문서를 참조하세요. https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

네트워크 보안

파트너는 모든 네트워크 요소가 전용 인스턴스 인프라 (에퀴닉스로 연결) 에서 보호되는지 확인해야 해요. 다음과 같은 보안 모범 사례를 확인하는 것은 파트너의 책임이에요.

• 음성 및 데이터를 위한 별도의 VLAN

• CAM 테이블 플러딩에 대비하여 포트당 허용되는 MAC 주소 수를 제한하는 포트 보안을 활성화하세요.

• 스푸핑된 IP 주소에 대한 IP 소스 가드

• 동적 ARP 검사 (DAI) 는 주소 확인 프로토콜 (ARP) 과 무상 ARP (GARP) 위반 여부를 검사해요 (ARP 스푸핑 반대)

• 802.1x는 할당된 VLAN의 인증 장치에 대한 네트워크 액세스를 제한해요 (전화는 802.1x를 지원해요)

• 음성 패킷의 적절한 표시를 위한 서비스 품질 (QoS) 구성이에요

• 다른 트래픽을 차단하기 위한 방화벽 포트 구성이에요.

엔드포인트 보안

시스코 엔드포인트는 서명된 펌웨어, 보안 부팅 (일부 모델), 제조업체 설치 인증서 (MIC), 서명된 구성 파일 같은 기본 보안 기능을 지원하는데, 이는 엔드포인트에 특정 수준의 보안을 제공합니다.

또한 파트너나 고객이 다음과 같은 추가 보안을 설정할 수 있어요.

• 다음과 같은 서비스를 위해 IP 전화 서비스를 암호화하세요 (HTTPS를 통해) Extension Mobility

• 인증 기관 프록시 기능 (CAPF) 또는 공공 인증 기관 (CA) 에서 로컬에서 중요한 인증서 (LSC) 를 발급하세요.

• 구성 파일 암호화해요

• 미디어 및 시그널링 암호화해요

• 사용하지 않을 경우 이러한 설정을 비활성화하세요: PC 포트, PC 음성 VLAN 액세스, 무상 ARP, 웹 액세스, 설정 버튼, SSH, 콘솔

전용 인스턴스에 보안 메커니즘을 구현하면 전화와 Unified CM 서버의 ID 도용, 데이터 변조, 통화 신호/미디어 스트림 변조를 방지할 수 있어요.

네트워크 상의 전용 인스턴스:

• 인증된 통신 스트림을 구축하고 유지해요

• 파일을 휴대폰으로 전송하기 전에 파일에 디지털 서명을 해요.

• 시스코 통합 IP 전화 간의 미디어 스트림과 통화 신호를 암호화해요

보안은 기본적으로 Cisco Unified IP 전화에 다음과 같은 자동 보안 기능을 제공해요.

• 전화 구성 파일 서명해요

• 전화 구성 파일 암호화 지원해요

• 톰캣하고 다른 웹 서비스를 이용한 HTTPS (미들렛)

Unified CM릴리스 8.0 이후 버전에서는 CTL (인증서 신뢰 목록) 클라이언트 실행 없이 이러한 보안 기능이 기본적으로 제공돼요.

네트워크에는 전화기가 많고 IP 전화는 메모리가 제한되어 있기 때문에 TVS (Trust Verification Service) 를 통해 원격 신뢰 저장소 Cisco Unified CM 역할을 하므로 각 전화기에 인증서 신뢰 저장소를 둘 필요가 없어요. Cisco IP 전화는 CTL이나 ITL 파일로는 서명이나 인증서를 확인할 수 없기 때문에 TVS 서버에 확인을 요청해요. 중앙 신뢰 저장소를 갖는 것이 각 Cisco Unified IP 전화에 신뢰 저장소를 두는 것보다 관리하기 쉬워요.

TVS를 사용하면 시스코 통합 IP 폰에서 HTTPS 설정 중에 EM 서비스, 디렉토리, MidLet 같은 애플리케이션 서버를 인증할 수 있어요.

ITL (초기 신뢰 목록) 파일은 엔드포인트가 신뢰할 수 있도록 초기 보안에 사용돼요. Cisco Unified CM ITL은 보안 기능을 명시적으로 활성화할 필요가 없어요. ITL 파일은 클러스터 설치 시 자동으로 생성돼요. Unified CM트리비얼 파일 전송 프로토콜 (TFTP) 서버의 개인키가 ITL 파일에 서명하는 데 사용돼요.

Cisco Unified CM클러스터나 서버가 비보안 모드일 때, ITL 파일은 지원되는 모든 Cisco IP 전화에 다운로드돼요. 파트너는 CLI 명령어 admin:show itl을 사용하여 ITL 파일의 내용을 볼 수 있어요.

Cisco IP 전화는 다음 작업을 수행하려면 ITL 파일이 필요해요.

• 구성 파일 암호화를 지원하기 위한 전제 조건인 CAPF와 안전하게 통신하세요

• 구성 파일 서명 인증해

• HTTPS 설정 중에 TVS로 EM 서비스, 디렉토리, MIDlet 같은 애플리케이션 서버를 인증해요

장치, 파일 및 신호 인증은 파트너 또는 고객이 Cisco 인증서 신뢰 목록 클라이언트를 설치하고 구성할 때 생성되는 CTL (인증서 신뢰 목록) 파일 생성에 의존해요.

CTL 파일에는 다음 서버나 보안 토큰에 대한 항목이 들어 있어요.

• 시스템 관리자 보안 토큰 (SAST)

• Cisco CallManager그리고 같은 서버에서 실행되는 시스코 TFTP 서비스들

• Certificate Authority프록시 함수 (CAPF)

• TFTP 서버

• ASA 방화벽

CTL 파일에는 서버 인증서, 공개 키, 일련 번호, 서명, 발급자 이름, 주체 이름, 서버 기능, DNS 이름, 각 서버의 IP 주소가 들어 있어요.

CTL이 포함된 전화 보안은 다음 기능을 제공해요.

• 서명 키를 사용하여 TFTP로 다운로드한 파일 (구성, 로케일, 링리스트 등) 을 인증해요.

• 서명 키를 사용하여 TFTP 구성 파일 암호화해요

• IP 전화용 암호화된 통화 시그널링

• IP 전화용 암호화된 통화 오디오 (미디어)

전용 인스턴스는 엔드포인트 등록과 통화 처리를 제공해요. 엔드포인트 간의 Cisco Unified CM 신호는 보안 스키니 클라이언트 제어 프로토콜 (SCCP) 또는 세션 개시 프로토콜 (SIP) 을 기반으로 하며 전송 계층 보안 (TLS) 을 사용하여 암호화할 수 있어요. 엔드포인트로 오고 가는 미디어는 실시간 전송 프로토콜 (RTP) 을 기반으로 하고 보안 RTP (SRTP) 를 사용하여 암호화할 수도 있어요.

혼합 모드 켜면 Cisco 엔드포인트에서 오고 가는 시그널링 및 미디어 트래픽의 암호화가 Unified CM 활성화돼요.

보안 UC 애플리케이션

전용 인스턴스에서는 혼합 모드가 기본적으로 활성화돼요.

전용 인스턴스에서 혼합 모드를 활성화하면 Cisco 엔드포인트에서 오고 가는 시그널링 및 미디어 트래픽을 암호화할 수 있어요.

Cisco Unified CM릴리스 12.5 (1) 부터 Jabber 및 Webex 클라이언트에 혼합 모드/CTL 대신 SIP OAuth를 기반으로 신호 및 미디어 암호화를 활성화하는 새로운 옵션이 추가되었어요. 따라서 Unified CM 릴리스 12.5 (1) 에서는 SIP OAuth와 SRTP를 사용하여 Jabber 또는 Webex 클라이언트의 시그널링 및 미디어를 암호화할 수 있어요. Cisco IP 전화하고 다른 Cisco 엔드포인트에는 지금도 혼합 모드 활성화가 계속 필요해요. 향후 릴리스에서 7800/8800 엔드포인트에 SIP OAuth에 대한 지원을 추가할 계획이 있어요.

Cisco Unified CM그리고 큐브 사이의 통신 보안

CUBE 간의 Cisco Unified CM 보안 통신을 위해 파트너/고객은 자체 서명된 인증서나 CA 서명 인증서를 사용해야 해요.

자체 서명 인증서의 경우:

1. CUBE 및 자체 서명 인증서 Cisco Unified CM 생성

2. CUBE가 인증서를 수출해요 Cisco Unified CM

3. Cisco Unified CM인증서를 큐브에 수출해요

CA 서명 인증서의 경우:

1. 클라이언트가 키페어를 생성하고 (CA) 에 인증서 서명 요청 (CSR) 을 Certificate Authority 보낸대요

2. CA가 개인 키로 서명해서 ID 인증서를 만든대요

3. 클라이언트가 신뢰할 수 있는 CA 루트 및 중간 인증서 목록과 ID 인증서를 설치해요.

프로토콜 요약

다음 표는 Unified CM 솔루션에 사용된 프로토콜과 관련 서비스를 보여줘요.

MRA 구성에 대한 자세한 내용은 모바일 및 Remote Access 스루 Cisco Expressway 배포 가이드의 MRA 배포 시나리오 섹션을 참조하세요.

SIP Auth로 재버와 웹엑스 보안

Jabber와 Webex 클라이언트는 로컬 중요 인증서 (LSC) 대신 OAuth 토큰을 통해 인증돼요. 인증 기관 프록시 기능 (CAPF) 활성화가 필요 없어요 (MRA에도 해당). 혼합 모드를 사용하거나 사용하지 않고 작동하는 SIP OAuth가 Cisco Unified CM 12.5 (1) 이후, 재버 12.5 이상과 고속도로 X12.5에 도입됐어요.

Cisco Unified CM12.5 이후 버전에는 전화 보안 프로필에 SIP 레지스터의 단일 전송 계층 보안 (TLS) + OAuth 토큰을 사용하여 LSC/CAPF 없이 암호화를 가능하게 하는 새로운 옵션이 생겼어요. 익스프레스웨이-C 노드는 관리 XML 웹 서비스 (AXL) API를 사용하여 Cisco Unified CM 인증서의 SN/SAN을 알려줘요. Cisco Unified CM상호 TLS 연결 설정 시 Exp-C 인증서의 유효성을 검사하는 데 이 정보를 사용해요.

SIP OAuth는 엔드포인트 인증서 (LSC) 없이 미디어 및 시그널링 암호화를 가능하게 해요.

Cisco Jabber임시 포트와 HTTPS 연결을 통해 TFTP 서버에 대한 보안 포트 6971 및 6972 포트를 사용하여 구성 파일을 다운로드해요. 포트 6970은 HTTP를 통한 다운로드를 위한 비보안 포트예요.

SIP OAuth 구성에 대한 추가 세부 정보: SIP OAuth 모드.