Физическая безопасность

Важно обеспечить физическую безопасность помещений Equinix Meet-Me Room и центров обработки данных Cisco с выделенными инстансами. При нарушении физической безопасности могут быть предприняты простые атаки, такие как перебои в обслуживании в результате отключения питания коммутаторов клиента. Используя физический доступ, злоумышленники могут получить доступ к серверным устройствам, сбросить пароли и получить доступ к коммутаторам. Физический доступ также способствует более сложным атакам, таким как атаки типа «человек посередине», поэтому второй уровень безопасности — сетевая безопасность — имеет решающее значение.

Диски с самошифрованием используются в специализированных центрах обработки данных, в которых размещаются приложения UC.

Дополнительные сведения об общих методах обеспечения безопасности см. в документации по следующему адресу: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Сетевая безопасность

Партнеры должны обеспечить безопасность всех сетевых элементов в инфраструктуре выделенных инстансов (которая подключается через Equinix). Партнер несет ответственность за внедрение передовых методов обеспечения безопасности, таких как:

• Отдельная сеть VLAN для передачи голоса и данных

• Включите функцию Port Security, которая ограничивает количество MAC-адресов, разрешенных для каждого порта, на случай переполнения таблиц CAM

• Защита источника IP от поддельных IP-адресов

• Динамическая проверка ARP (DAI) проверяет протокол разрешения адресов (ARP) и необоснованный ARP (GARP) на предмет нарушений (против подделки ARP)

• 802.1x ограничивает доступ к сети для аутентификации устройств в назначенных VLAN (телефоны поддерживают 802.1x)

• Настройка качества обслуживания (QoS) для надлежащей маркировки голосовых пакетов

• Конфигурации портов брандмауэра для блокировки любого другого трафика

Безопасность конечных точек

Конечные точки Cisco поддерживают стандартные функции безопасности, такие как подписанное микропрограммное обеспечение, безопасная загрузка (некоторые модели), установленный производителем сертификат (MIC) и подписанные файлы конфигурации, которые обеспечивают определенный уровень безопасности конечных точек.

Кроме того, партнер или заказчик могут обеспечить дополнительную защиту, например:

• Зашифруйте услуги IP-телефонии (по протоколу HTTPS) для таких сервисов, как Extension Mobility

• Выпускайте локально значимые сертификаты (LSC) через прокси-функцию центра сертификации (CAPF) или в публичном центре сертификации (CA)

• Зашифруйте файлы конфигурации

• Зашифруйте носители и сигналы

• Отключите эти настройки, если они не используются: порт ПК, голосовой доступ к VLAN с ПК, бесплатный ARP, доступ в Интернет, кнопка настроек, SSH, консоль

Внедрение механизмов безопасности в выделенном инстансе предотвращает кражу личных данных телефонов и Unified CM сервера, фальсификацию данных, передачу сигналов о вызовах/медиапотоках.

Выделенный инстанс в сети:

• Устанавливает и поддерживает аутентифицированные потоки связи

• Цифровая подпись файлов перед их передачей на телефон

• Шифрует медиапотоки и сигнализацию вызовов между IP-телефонами Cisco Unified

Система безопасности по умолчанию предоставляет следующие автоматические функции безопасности для IP-телефонов Cisco Unified:

• Подписание файлов конфигурации телефона

• Поддержка шифрования файлов конфигурации телефона

• HTTPS с Tomcat и другими веб-сервисами (MidLets)

В более поздней Unified CM версии 8.0 эти функции безопасности предоставляются по умолчанию без запуска клиента списка доверенных сертификатов (CTL).

Поскольку в сети подключено большое количество телефонов, а IP-телефоны имеют ограниченный объем памяти, она Cisco Unified CM выступает в качестве удаленного хранилища доверия через Службу верификации доверия (TVS), поэтому нет необходимости размещать хранилище доверия сертификатов на каждом телефоне. IP-телефоны Cisco обращаются к серверу TVS для проверки, поскольку они не могут проверить подпись или сертификат с помощью файлов CTL или ITL. Управлять центральным доверительным хранилищем проще, чем доверительным хранилищем на каждом IP-телефоне Cisco Unified.

TVS позволяет IP-телефонам Cisco Unified аутентифицировать серверы приложений, такие как службы EM, каталоги и MidLet, во время создания протокола HTTPS.

Файл первоначального списка доверия (ITL) используется для первоначальной защиты, чтобы конечные точки могли доверять. Cisco Unified CM ITL не требует явного включения каких-либо функций безопасности. Файл ITL автоматически создается при установке кластера. Для подписи файла ITL используется закрытый ключ сервера TFTP. Unified CM

Когда Cisco Unified CM кластер или сервер находятся в небезопасном режиме, файл ITL загружается на все поддерживаемые IP-телефоны Cisco. Партнер может просматривать содержимое файла ITL с помощью команды командной строки admin:show itl.

Телефоны Cisco IP нуждаются в файле ITL для выполнения следующих задач:

• Безопасная связь с CAPF — необходимое условие для поддержки шифрования конфигурационных файлов

• Аутентифицируйте подпись файла конфигурации

• Аутентифицируйте серверы приложений, такие как службы EM, каталоги и MidLet, во время создания HTTPS с помощью TVS

Аутентификация устройств, файлов и сигналов основана на создании файла списка доверия сертификатов (CTL), который создается, когда партнер или заказчик устанавливает и настраивает клиент списка доверия сертификатов Cisco.

Файл CTL содержит записи для следующих серверов или токенов безопасности:

• Токен безопасности системного администратора (SAST)

• Cisco CallManagerи службы Cisco TFTP, работающие на одном сервере

• Certificate AuthorityФункция прокси-сервера (CAPF)

• Сервер (ы) TFTP

• Межсетевой экран ASA

Файл CTL содержит сертификат сервера, открытый ключ, серийный номер, подпись, имя эмитента, имя субъекта, функцию сервера, DNS-имя и IP-адрес каждого сервера.

Защита телефона с помощью CTL обеспечивает следующие функции:

• Аутентификация загруженных файлов по протоколу TFTP (конфигурация, локаль, ринглист и т. д.) с помощью ключа подписи

• Шифрование файлов конфигурации TFTP с помощью ключа подписи

• Зашифрованная сигнализация вызовов для IP-телефонов

• Зашифрованный звук вызовов (медиафайлы) для IP-телефонов

Выделенный инстанс обеспечивает регистрацию конечных точек и обработку вызовов. Передача сигналов между конечными точками Cisco Unified CM и конечными точками основана на протоколе Secure Skinny Client Control Protocol (SCCP) или протоколе инициации сеанса (SIP) и может быть зашифрована с помощью протокола TLS. Мультимедийные данные, передаваемые с конечных точек и обратно, основаны на протоколе передачи данных в реальном времени (RTP), а также могут быть зашифрованы с помощью Secure RTP (SRTP).

Включение смешанного режима Unified CM позволяет шифровать сигналы и медиатрафик от и до конечных точек Cisco.

Защищенные приложения UC

Смешанный режим по умолчанию включен в выделенном инстансе.

Включение смешанного режима в выделенном инстансе позволяет выполнять шифрование сигнального и мультимедийного трафика от конечных точек Cisco и до конечных точек Cisco.

В Cisco Unified CM версии 12.5 (1) для клиентов Jabber и Webex была добавлена новая опция шифрования сигналов и мультимедиа на основе SIP OAuth вместо смешанного режима /CTL. Поэтому в Unified CM версии 12.5 (1) SIP OAuth и SRTP можно использовать для шифрования сигналов и мультимедиа для клиентов Jabber или Webex. В настоящее время поддержка смешанного режима по-прежнему необходима для IP-телефонов Cisco и других конечных точек Cisco. В будущем выпуске планируется добавить поддержку SIP OAuth в конечных точках 7800/8800.

Защита связи между CUBE и CUBE Cisco Unified CM

Для безопасной связи между CUBE Cisco Unified CM и CUBE партнерам/клиентам необходимо использовать самозаверенный сертификат или сертификаты, подписанные центром сертификации.

Для самозаверенных сертификатов:

1. CUBE и Cisco Unified CM генерируйте самозаверяющие сертификаты

2. CUBE экспортирует сертификат в Cisco Unified CM

3. Cisco Unified CMэкспортирует сертификат в CUBE

Для сертификатов, подписанных CA:

1. Клиент создает пару ключей и отправляет запрос на подписание сертификата (CSR) в (CA) Certificate Authority

2. Центр сертификации подписывает документ своим закрытым ключом, создавая удостоверение личности

3. Клиент устанавливает список доверенных корневых и промежуточных сертификатов CA и удостоверение личности

Краткое описание протокола

В следующей таблице приведены протоколы и связанные с ними сервисы, используемые в Unified CM решении.

Дополнительные сведения о конфигурации MRA см. в разделе «Сценарии развертывания MRA» руководства по мобильному и Remote Access сквозному Cisco Expressway развертыванию.

Защита Jabber и Webex с помощью SIP OAuth

Аутентификация клиентов Jabber и Webex осуществляется с помощью токена OAuth, а не локально значимого сертификата (LSC), для чего не требуется включать функцию прокси-сервера центра сертификации (CAPF) (также для MRA). SIP OAuth, работающий в смешанном режиме или без него, был представлен в версии Cisco Unified CM 12.5 (1) и более поздних версиях, Jabber 12.5 и более поздних версиях и Expressway X12.5.

В версии Cisco Unified CM 12.5 и более поздних версиях в профиле безопасности телефона появилась новая опция, позволяющая шифровать данные без LSC/CAPF с использованием единого токена TLS + OAuth в SIP REGISTER. Узлы Expressway-C используют API административной веб-службы XML (AXL) для информирования о SN/SAN в своем сертификате. Cisco Unified CM Cisco Unified CMиспользует эту информацию для проверки сертификата Exp-C при установлении взаимного соединения TLS.

SIP OAuth обеспечивает шифрование носителей и сигналов без сертификата конечной точки (LSC).

Cisco Jabberиспользует эфемерные порты и защищенные порты 6971 и 6972 через HTTPS-соединение с сервером TFTP для загрузки файлов конфигурации. Порт 6970 является незащищенным портом для загрузки по протоколу HTTP.

Подробнее о конфигурации SIP OAuth: режим SIP OAuth.