Requisitos de segurança e rede de Instâncias Dedicadas

Segurança física

É importante fornecer segurança física para locais da Sala Equinix Meet-Me e instalações do Centro de Dados de Instância Dedicada da Cisco . Quando a segurança física é comprometida, podem ser iniciados ataques simples, como interrupção do serviço, ao desligar a energia dos comutadores de um cliente. Com acesso físico, invasores podem obter acesso a dispositivos do servidor, redefinir senhas e obter acesso a comutadores. O acesso físico também facilita ataques mais sofisticados, como ataques man-in-the-middle, que é por isso que a segunda camada de segurança, a segurança da rede, é fundamental.

As unidades de disco de auto-criptografia são usadas em Centros de Dados de Instância Dedicada que hospedam aplicativos UC.

Para obter mais informações sobre práticas gerais de segurança, consulte a documentação no seguinte local: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Segurança da rede

Os parceiros precisam garantir que todos os elementos de rede sejam protegidos na infraestrutura de Instância dedicada (que se conecta via Equinix). É de responsabilidade do parceiro garantir as melhores práticas de segurança, tais como:

• Separar VLAN para voz e dados

• Habilitar Segurança da Porta que limita o número de endereços MAC permitidos por porta, contra a tabela CAM de confirmação

• Proteção de origem IP contra endereços IP spoofed

• A Inspeção Dinâmica do ARP (DAI) analisa o protocolo de resolução de endereços (ARP) e o ARP gratuito (GARP) para violações (contra spoofing ARP)

• 802. limita1x o acesso à rede para autenticar dispositivos nas VLANs atribuídas (os telefones suportam 802.1x)

• Configuração da qualidade de serviço (QoS) para marcação apropriada de pacotes de voz

• Configurações de portas do firewall para bloquear qualquer outro tráfego

Segurança de endpoints

Os terminais da Cisco suportam recursos de segurança padrão, como firmware assinado, inicialização segura (modelos selecionados), certificado instalado do fabricante (MIC) e arquivos de configuração assinados, que fornecem um certo nível de segurança para os terminais.

Além disso, um parceiro ou cliente pode permitir segurança adicional, como:

• Criptografe os serviços telefônicos IP (via HTTPS) para serviços como a Mobilidade de extensão

• Emissão de certificados localmente significativos (LSCs) da função de proxy da autoridade de certificação (CAPF) ou de uma autoridade de certificação pública (CA)

• Criptografar arquivos de configuração

• Criptografar mídia e sinalização

• Desative estas configurações se elas não foram usadas: Porta pc, acesso de VLAN de voz no PC, ARP gratuito, acesso à web, botão Configurações, SSH, console

A implementação de mecanismos de segurança na Ocorrência Dedicada impede o roubo de identidade dos telefones e do servidor Unified CM, violação de dados e sinalização de chamada/violação de fluxo de mídia.

Ocorrência dedicada pela rede:

• Estabelece e mantém fluxos de comunicação autenticados

• Assina digitalmente arquivos antes de transferir o arquivo para o telefone

• Criptografa fluxos de mídia e sinalização de chamada entre Cisco Unified IP phones

A segurança por padrão oferece os seguintes recursos de segurança automáticos para Cisco Unified IP phones:

• Assinar os arquivos de configuração do telefone

• Suporte para criptografia de arquivos de configuração de telefone

• HTTPS com Tomcat e outros serviços da web (MIDlets)

Para o Unified CM versão 8.0 posterior, esses recursos de segurança são fornecidos por padrão sem executar o cliente Lista de certificados de confiança (CTL).

Como há um grande número de telefones em uma rede e telefones IP tem memória limitada, o Cisco Unified CM atua como um armazenamento de confiança remota através do Serviço de Verificação de Confiança (TVS), de modo que um armazenamento de confiança de certificados não precisa ser colocado em cada telefone. O cisco IP phones entrar em contato com o servidor TVS para verificação porque eles não podem verificar uma assinatura ou certificado através de arquivos CTL ou ITL. Ter um armazenamento de confiança central é mais fácil de gerenciar do que ter o trust store em cada Cisco Unified IP virtual.

O TVS permite Cisco Unified IP para autenticar servidores de aplicativos, como serviços EM, diretório e MIDlet, durante o estabelecimento do HTTPS.

O arquivo Lista de confiança inicial (ITL) é usado para a segurança inicial, de modo que os terminais podem confiar Cisco Unified CM. A ITL não precisa que nenhum recurso de segurança seja habilitado explicitamente. O arquivo ITL é criado automaticamente quando o grupo é instalado. A chave privada do servidor do Unified CM Trivial File Transfer Protocol (TFTP) é usada para assinar o arquivo ITL.

Quando o Cisco Unified ou servidor CM estiver em modo não seguro, o arquivo ITL é baixado em cada telefone Cisco IP suportado. Um parceiro pode visualizar o conteúdo de um arquivo ITL usando o comando CLI, admin:show itl.

Os cisco IP phones precisam do arquivo ITL para executar as seguintes tarefas:

• Comunique-se com segurança para o CAPF, um pré-requisito para suportar a criptografia de arquivos de configuração

• Autenticar a assinatura do arquivo de configuração

• Autenticar servidores de aplicativos, tais como serviços EM, diretório e MIDlet durante o estabelecimento de HTTPS usando TVS

Autenticação de dispositivo, arquivo e sinalização confiam na criação do arquivo Lista de certificados confiável (CTL), que é criado quando o parceiro ou cliente instala e configura o Cliente da lista de confiança de certificados da Cisco.

O arquivo CTL contém entradas para os seguintes servidores ou tokens de segurança:

• Token de Segurança do Administrador do Sistema (SAST)

• Serviços Cisco CallManager e Cisco TFTP que estão em execução no mesmo servidor

• Função de proxy da autoridade de certificação (CAPF)

• Servidor(es) TFTP

• Firewall ASA

O arquivo CTL contém um certificado de servidor, chave pública, número de série, assinatura, nome do emissor, nome do assunto, função do servidor, nome dns e endereço de IP para cada servidor.

A segurança do telefone com CTL fornece as seguintes funções:

• Autenticação de arquivos baixados pelo TFTP (configuração, localidade, lista de toques, e assim por diante) usando uma chave de assinatura

• Criptografia de arquivos de configuração TFTP usando uma chave de assinatura

• Sinalização de chamada criptografada para telefones IP

• Áudio de chamada criptografado (mídia) para telefones IP

A Ocorrência Dedicada oferece registro do ponto final e processamento de chamada. A sinalização entre Cisco Unified CM e terminais é baseada no Secure Skinny Client Control Protocol (SCCP) ou Protocolo de iniciação de sessão (SIP) e pode ser criptografada usando Transport Layer Security (TLS). A mídia de/para os terminais é baseada no RTP (Protocolo de Transporte em Tempo Real) e também pode ser criptografada usando RTP Seguro (SRTP).

Habilitar modo misto no Unified CM habilita a criptografia do tráfego de mídia e sinalização de e para os terminais da Cisco.

Aplicativos de UC seguros

O modo misto é ativado por padrão na Ocorrência dedicada.

Habilitar modo misto em Instância Dedicada habilita a capacidade de executar a criptografia do tráfego de mídia e sinalização de e para os terminais da Cisco.

Na Cisco Unified CM versão 12.5(1), uma nova opção para permitir a criptografia de sinalização e mídia com base no SIP OAuth em vez do modo misto /CTL foi adicionada aos clientes Jabber e Webex. Portanto, no Unified CM versão 12.5(1), o SIP OAuth e SRTP podem ser usados para permitir a criptografia para sinalização e mídia para clientes Jabber ou Webex. A ativação do modo misto continua a ser necessária para os IP phones Cisco e outros terminais Cisco neste momento. Há um plano para adicionar suporte ao SIP OAuth em terminais 7800/8800 em uma versão futura.

Cisco Unity Connection se conecta ao Unified CM através da porta TLS. Quando o modo de segurança do dispositivo não é seguro, o Cisco Unity Connection se conecta ao Unified CM através da porta SCCP.

Para configurar a segurança das portas de mensagens de voz do Unified CM e dispositivos Cisco Unity que estão executando dispositivos SCCP ou Cisco Unity Connection que estão executando o SCCP, um parceiro pode escolher um modo de segurança de dispositivo seguro para a porta. Se você escolher uma porta de correio de voz autenticada, uma conexão TLS abre, que autentica os dispositivos usando uma troca de certificado mútuo (cada dispositivo aceita o certificado do outro dispositivo). Se você escolher uma porta de correio de voz criptografada, o sistema autentica os dispositivos e, em seguida, envia fluxos de voz criptografados entre os dispositivos.

Para obter mais informações sobre as portas de mensagens de voz de segurança, consulte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/cucm/security/12_5_1_SU1/cucm_b_security-guide-125SU1/cucm_b_security-guide-for-cisco-unified125SU1_chapter_010001.html

Protegendo comunicações entre o Cisco Unified CM e o CUBE

Para comunicações seguras entre Cisco Unified CM e o CUBE, parceiros/clientes precisam usar certificados auto assinados ou certificados assinados pela CA.

Para certificados auto assinados:

1. CUBE e Cisco Unified CM geram certificados auto assinados

2. CUBE exporta certificado para Cisco Unified CM

3. Cisco Unified CM exporta certificado para CUBE

Para certificados assinados pela CA:

1. O cliente gera um par de chaves e envia uma Solicitação de Assinatura de Certificado (CSR) para a Autoridade certificadora (CA)

2. A CA a assina com sua chave privada, criando um Certificado de Identidade

3. O Cliente instala a lista de certificados raiz e de intermediação de CA confiáveis e o Certificado de identidade

Resumo do protocolo

A tabela a seguir mostra os protocolos e serviços associados usados na solução Unified CM.

Para obter mais informações sobre a configuração MRA, consulte: https://www.cisco.com/c/en/us/td/docs/voice_ip_comm/expressway/config_guide/X12-5/exwy_b_mra-expressway-deployment-guide/exwy_b_mra-expressway-deployment-guide_chapter_011.html

Proteger o Jabber e o Webex com o SIP OAuth

Os clientes Jabber e Webex são autenticados através de um token OAuth em vez de um certificado localmente significativo (LSC), que não exige a aplicação de função de proxy da autoridade certificadora (CAPF) (também para MRA). O SIP OAuth funcionando com ou sem modo misto foi introduzido Cisco Unified CM 12.5(1), Jabber 12.5 e Expressway X12.5.

No Cisco Unified CM 12.5, temos uma nova opção no Perfil de segurança do telefone que permite criptografia sem LSC/CAPF, usando o único token OAuth Security (TLS) + Transport Layer Security no REGISTRO SIP. Expressway -C nós usam a API do Serviço da Web (AXL) XML administrativo para informar Cisco Unified CM do SN/SAN em seus certificados. Cisco Unified CM utiliza essas informações para validar o certificado Exp-C ao estabelecer uma conexão TLS mútuo conexão.

O SIP OAuth permite a criptografia de mídia e sinalização sem um certificado de ponto final (LSC).

O Cisco Jabber usa portas efêmeras e portas seguras 6971 e 6972 via conexão HTTPS com o servidor TFTP para baixar os arquivos de configuração. A porta 6970 é uma porta não segura para download via HTTP.

Mais detalhes sobre a configuração do SIP OAuth: Modo SIP OAuth .