Фізична безпека

Важливо забезпечити фізичну безпеку місць Equinix Meet-Me Room та центрів обробки даних Cisco для виділених екземплярів. Коли фізична безпека порушена, можуть бути ініційовані прості атаки, такі як порушення обслуговування через відключення живлення комутаторів клієнта. За допомогою фізичного доступу зловмисники могли отримати доступ до серверних пристроїв, скинути паролі та отримати доступ до комутаторів. Фізичний доступ також полегшує більш складні атаки, такі як атаки «людина-середина», тому другий рівень безпеки, мережева безпека, є критичним.

Накопичувачі з самошифруванням використовуються в центрах обробки даних виділених екземплярів, де розміщуються програми UC.

Для отримання додаткової інформації про загальну практику безпеки зверніться до документації в наступному місці: https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html.

Безпека мережі

Партнери повинні гарантувати, що всі елементи мережі захищені в інфраструктурі виділених екземплярів (яка підключається через Equinix). Партнер несе відповідальність за забезпечення найкращих практик безпеки, таких як:

• Окремий VLAN для голосу і даних

• Увімкнути безпеку портів, яка обмежує кількість MAC-адрес, дозволених для кожного порту, проти затоплення таблиці CAM

• Захист джерела IP від підроблених IP-адрес

• Динамічна перевірка ARP (DAI) перевіряє протокол резолюції адрес (ARP) та безоплатний ARP (GARP) на наявність порушень (проти підробки ARP)

• 802.1x обмежує доступ до мережі для автентифікації пристроїв на призначених VLAN (телефони підтримують 802.1x)

• Налаштування якості обслуговування (QoS) для відповідного маркування голосових пакетів

• Конфігурації портів брандмауера для блокування будь-якого іншого трафіку

Безпека кінцевих точок

Кінцеві точки Cisco підтримують функції безпеки за замовчуванням, такі як підписана мікропрограма, безпечне завантаження (вибрані моделі), встановлений виробником сертифікат (MIC) та підписані файли конфігурації, які забезпечують певний рівень безпеки для кінцевих точок.

Крім того, партнер або клієнт може включити додаткову безпеку, наприклад:

• Шифрування IP-телефонних служб (через HTTPS) для таких служб, як Extension Mobility

• Видавайте локально значущі сертифікати (LSC) від функції проксі органу сертифікатів (CAPF) або державного органу сертифікатів (CA)

• Шифрувати файли конфігурації

• Шифрування носія та сигналізації

• Вимкніть ці налаштування, якщо вони не використовуються: порт ПК, доступ до голосового VLAN ПК, безкоштовний ARP, веб-доступ, кнопка налаштувань, SSH, консоль

Впровадження механізмів безпеки у виділеному екземплярі запобігає крадіжці особистих даних телефонів та Unified CM сервера, підробленню даних та підробці сигналізації викликів/медіапотоку.

Виділений екземпляр по мережі:

• Встановлює та підтримує автентифіковані потоки зв'язку

• Цифровий підпис файлів перед перенесенням файлу на телефон

• Шифрує медіапотоки та сигналізацію дзвінків між уніфікованими IP-телефонами Cisco

Безпека за замовчуванням забезпечує наступні функції автоматичного захисту для уніфікованих IP-телефонів Cisco:

• Підписування файлів конфігурації телефону

• Підтримка шифрування файлів конфігурації телефону

• HTTPS з Tomcat та іншими веб-сервісами (MIDLets)

Для Unified CM випуску 8.0 пізнішої версії ці функції безпеки передбачені за замовчуванням без запуску клієнта списку довіри сертифікатів (CTL).

Оскільки в мережі є велика кількість телефонів, а IP-телефони мають обмежену пам'ять, він Cisco Unified CM діє як віддалений сховище довіри через службу перевірки довіри (TVS), щоб сховище довіри сертифікатів не потрібно розміщувати на кожному телефоні. IP-телефони Cisco звертаються до сервера TVS для перевірки, оскільки вони не можуть перевірити підпис або сертифікат через файли CTL або ITL. Керувати центральним магазином довіри простіше, ніж мати сховище довіри на кожному уніфікованому IP-телефоні Cisco.

TVS дозволяє уніфікованим IP-телефонам Cisco автентифікувати сервери додатків, такі як служби EM, каталог та MIDlet, під час встановлення HTTPS.

Файл початкового списку довіри (ITL) використовується для почат кового захисту, щоб кінцеві точки могли довіряти. Cisco Unified CM ITL не потребує явного включення будь-яких функцій безпеки. Файл ITL створюється автоматично при установці кластера. При Unified CM ватний клю ч сервера тривіального протоколу передачі файлів (TFTP) використовується для підписання файлу ITL .

Коли Cisco Unified CM кластер або сервер перебувають у незахищеному режимі, файл ITL завантажується на кожен підтримуваний IP-телефон Cisco. Партнер може перегля дати вміст файлу ITL за допомогою команди CLI, ad min:show itl.

IP-телефонам Cisco потрібен файл ITL для виконання наступних завдань:

• Безпечний зв'язок з CAPF, необхідною умовою підтримки шифрування файлів кон фігурації

• Аутентифікація підпису файлу конфігурації

• Аутентифікація серверів додатків, таких як служби EM, каталог та MIDlet під час встановлення HTTPS за допомогою TVS

Аутентифікація пристроїв, файлів і сигналів залежить від створення файлу списку довіри сертифікатів (CTL), який створюється, коли партнер або клієнт встановлюють і налаштовують Клієнт списку довіри сертифікатів Cisco.

Файл CTL містить записи для наступних серверів або токенів безпеки:

• Токен безпеки системного адміністратора (SAST)

• Cisco CallManagerі служби Cisco TFTP, які працюють на одному сервері

• Certificate AuthorityФункція проксі (CAPF)

• TFTP-сервер (и)

• Брандмауер ASA

Файл CTL містить сертифікат сервера, відкритий ключ, серійний номер, підпис, ім'я емітента, ім'я теми, функцію сервера, ім'я DNS та IP-адресу для кожного сервера.

Безпека телефону за допомогою CTL забезпечує наступні функції:

• Аутентифікація завантажених файлів TFTP (конфігурація, локаль, список дзвінків тощо) за допомогою ключа підпису

• Шифрування файлів конфігурації TFTP за допомогою підписуючого ключа

• Зашифрована сигналізація дзвінків для IP-телефонів

• Зашифрований аудіо викликів (медіа) для IP-телефонів

Виділений екземпляр забезпечує реєстрацію кінцевої точки та обробку викликів. Сигналізація між Cisco Unified CM кінцевими точками базується на захищеному протоколі контролю тонкого клієнта (SCCP) або протоколу ініціації сеансу (SIP) і може бути зашифрована за допомогою безпеки транспортного рівня (TLS). Носій з/до кінцевих точок базується на протоколі передачі в режимі реального часу (RTP), а також може бути зашифрований за допомогою Secure RTP (SRTP).

Увімкнення змішаного Unified CM режиму дозволяє шифрувати сигналізацію та мультимедійний трафік від і до кінцевих точок Cisco.

Захищені програми UC

Змішаний режим увімкнено за замовчуванням у виділеному екземплярі.

Увімкнення змішаного режиму у виділеному екземплярі дозволяє виконувати шифрування сигналізації та мультимедійного трафіку з та до кінцевих точок Cisco.

З Cisco Unified CM випуску 12.5 (1) була додана нова опція для включення шифрування сигналізації та носіїв на основі SIP OAuth замість змішаного режиму/CTL для клієнтів Jabber та Webex. Тому у Unified CM випуску 12.5 (1) SIP OAuth та SRTP можуть використовуватися для включення шифрування сигналізації та носіїв інформації для клієнтів Jabber або Webex. Наразі у вімкнення змішаного режиму продовжує бути необхідним для IP-телефонів Cisco та інших кінцевих то чок Cisco. Існує план додавання підтримки SIP OAuth у кінце вих точках 7800/8800 у майбутньому випуску.

Забезпечення комунікацій між Cisco Unified CM і CUBE

Для безпечного зв'язку між Cisco Unified CM і CUBE партнерим/клієнтам потрібно використовувати або сертифікати з власним підписом, або сертифікати з підписом CA.

Для самопідписаних сертифікатів:

1. CUBE та Cisco Unified CM генеруйте сертифікати з власним підписом

2. CUBE експортує сертифікат до Cisco Unified CM

3. Cisco Unified CMекспортний сертифікат в CUBE

Для сертифікатів з підписом CA:

1. Клієнт генерує пару ключів і надсилає запит на підписання сертифіката (CSR) до (CA) Certificate Authority

2. CA підписує його своїм приватним ключем, створюючи сертифікат ідентифікації

3. Клієнт встановлює список надійних кореневих та посередницьких сертифікатів CA та сертифікат ідентифікації

Резюме протоколу

У наступній таблиці наведено протоколи та пов'язані служби, які використовуються в рі Unified CM шенні.

Для отримання додаткової інформації про конфігурацію MRA див. розділ Сцен арії розгортання MRA у Посі бнику з мобільного та Remote Access через Cisco Expressway розгортання.

Захист Jabber і Webex за допомогою SIP OAuth

Клієнти Jabber і Webex аутентифікуються за допомогою токена OAuth замість локально значущого сертифіката (LSC), який не вимагає активації функції проксі-сервера сертифікатів (CAPF) (також для MRA). SIP OAuth, що працює зі змішаним режимом або без нього, був введений у Cisco Unified CM 12.5 (1) та пізніших версіях, Jabber 12.5 та пізніших версіях та Expressway X12.5.

У Cisco Unified CM 12.5 і пізніших версіях ми маємо нову опцію в профілі безпеки телефону, яка дозволяє шифрувати без LSC/CAPF, використовуючи один транспортний рівень безпеки (TLS) +токен OAuth у SIP REGISTER. Вузли Expressway-C використовують API Адміністративної веб-служби XML (AXL) для інформування про SN/SAN у своєму Cisco Unified CM сертифікаті. Cisco Unified CMвикористовує цю інформацію для перевірки сертифікату Exp-C при встановленні взаєм ного з'єднання TLS.

SIP OAuth дозволяє шифрувати медіа та сигналізацію без сертифіката кінцевої точки (LSC).

Cisco Jabberвикористовує ефемерні порти та захищені порти 6971 та 6972 через HTTPS-з'єднання з сервером TFTP для завантаження файлів конфігурації. Порт 6970 - це незахищений порт для завантаження через HTTP.

Детальніше про конфігурацію SIP OAuth: Режим SIP O Auth.