Файл: Технические и организационные меры обеспечения безопасности VoIP систем предприятия.pdf

Отказ от использования или упрощение механизмов аутентификации и авторизации в IP-телефонии открывает для злоумышленника возможность не санкционированно получить доступ к системе, подменив данные о пользователе своими. Возможен также взлом учетных данных пользователей посредством перебора или прослушивания незащищенных каналов связи. Подобная уязвимость может быть использована для совершения дорогостоящих звонков за счет жертвы, сводя на нет всю возможную выгоду от использования IP-телефонии. Также эта брешь в безопасности может применяться для приема звонков, предназначенных взломанной либо записи перехваченных звонков на носители злоумышленника с целью применения данной информации в корыстных целях.

Одной из разновидностей атак является «отказ в обслуживании» (Denial of Service, DoS). Эта атака нацелена на превышение предельной нагрузки на систему большим количеством коротких звонков или информационного мусора. Без постоянного отслеживания признаков подобных атак и применения пассивных средств защиты, это приводит к тому, что серверы IP-телефонии не справляются с возросшей нагрузкой и не в состоянии обслуживать подключенных абонентов.

При проектировании любой коммуникационной системы важно понимать, что ни одно из самостоятельных технических решений безопасности не в состоянии обеспечить абсолютную защиту от всех возможных угроз.

Проанализировав основные источники угроз безопасности IP-телефонии, можно выделить ключевые критерии защищенности:

Необходимость обеспечения защиты траффика IP-телефонии для предотвращения перехвата или прослушивания телефонных звонков, внесения изменений в передаваемую информацию, кражи учетных данных пользователей.

Обеспечение уверенности, что передаваемая информация не подвергается правке со стороны неавторизованных пользователей, что запросы на выполнение определенных задач или функций (например, совершение звонка или внесение изменений в настройки системы IP-телефонии) инициированы авторизованными пользователями или приложениями.

Бесперебойное функционирование корпоративной системы IP-телефонии в условиях DoS-атак, различных «червей», «вирусов» и т.п.

Рассмотрим наименее защищенный и, при этом, один из самых распространенных примеров реализации IP-телефонии.

Метод защиты	Описание
Применение политики сложных паролей	Получение учетных данных методом перебора (bruteforce) требует значительных затрат времени и вычислительных ресурсов, усложнение паролей позволит сделать данный метод атак нецелесообразным
Отключение гостевых звонков	Разрешение на совершение исходящих звонков имеют только пользователи системы. Этой настройкой можно отсечь попытки позвонить извне без предварительной авторизации
Отключение ответа о неверном пароле	По умолчанию Asterisk выдает одну ошибку о неверном пароле для существующего аккаунта и другую для несуществующего аккаунта. Существует множество программ для подбора паролей, поэтому злоумышленнику не составит труда проверить все короткие номера и собирать пароли лишь к существующим аккаунтам, которые ответили «неверный пароль»
Использование систем блокировки доступа после неудачных попыток регистрации	Просмотр отчетов системы на предмет обнаружения попыток взлома позволят выделить и блокировать IP-адрес атакующего. Таким образом, можно сократить количество мусорного SIP трафика и защититься от множественных попыток взлома
Ограничение направлений звонков, доступных абонентам, применение схемы «запрещено все, кроме разрешенного»	В случае получения злоумышленником учетных данных пользователя системы, он сможет совершать звонки только по определенным направлениям. Это позволит избежать несанкционированного совершения дорогостоящих международных звонков
Регулярные проверки системы на предмет попыток взлома, контроль параметров	Организация системы мониторинга состояния системы позволит улучшить качество IP-телефонии и отметить типовые для данной конфигурации параметры. Отклонения этих параметров от полученных типовых значений поможет выявить проблемы с оборудованием, каналами связи и выявить попытки вторжения злоумышленников

---

Межсетевой экран пропускает исходящий трафик от сервера телефонии к SIP-провайдеру и фильтрует входящий по определенным правилам. Рациональным решением можно считать закрытие на межсетевом экране всех сетевых портов для IP-телефонии, кроме необходимых для ее корректной работы и администрирования. Этот же метод защиты целесообразно применять на самом сервере телефонии, чтобы защитить его от внутренних атак.

Таким образом, сервер телефонии доступен из внешних сетей только по определенным служебным портам, подключение к которым, из соображений безопасности, будет выполняться с применением шифрования.

Для защиты конфиденциальных переговоров и минимизации возможности попадания конфиденциальной или коммерческой информации в руки злоумышленника необходимо защитить передаваемые по открытым каналам связи данные от перехвата и прослушивания.

Поскольку для совершения звонка клиент и сервер предварительно обмениваются служебными данными для установления соединения, данную проблему можно разделить на две составляющих – защиту служебных данных IP-телефонии и защиту голосового трафика. В качестве средства защиты могут быть использованы протокол TLS (Transport Layer Security) для защиты SIP сигналов и протокол SRTP (Secure Real Time Protocol) для защиты голосового трафика.

Рисунок 2 - Шифрование IP-телефонии

TLS — криптографический протокол, обеспечивающий защищённую передачу данных между узлами в сети, является стандартным методом для шифрования SIP-протокола. TLS обеспечивает конфиденциальность и целостность передаваемой информации, осуществляет аутентификацию.

После установления защищенного соединения начинается передача голосовых данных, обезопасить которые позволяет применение протокола SRTP.

Протокол SRTP считается одним из лучших способов защиты IP телефонии на базе IP-АТС Asterisk. Основное преимущество этого протокола – отсутствие какого-либо влияния на качество связи. Схема работы протокола SRTP выглядит так: каждому совершаемому вами звонку присваивается уникальный код, который делает подслушивание разговоров неавторизированными в системе пользователями практически невозможным. Благодаря этому протокол SRTP выбирают как для обычных, так и для конфиденциальных звонков.

Не следует забывать о необходимости защиты подключения сервера телефонии к внешним каналам связи (мобильная связь, телефонные сети общего пользования).

В случае необходимости организации систем с повышенными требованиями к защите IP-телефонии, возможно подключение удаленных пользователей посредством виртуальных частных сетей (VPN). Содержание перехваченных пакетов, отправленных по шифрованным VPN туннелям понятно только владельцам ключа шифрования. Этот же метод применим для защиты подключений к поставщикам услуг IP-телефонии. На текущий момент многие VoIP провайдеры предлагают возможность VPN-подключения.

---

Рисунок 3 - Схема работы IP-телефонии через VPN-туннель

Однако технология VPN имеет ряд недостатков, ограничивающих ее применение:

• снижение качества связи из-за задержек, создаваемых шифрованием;
• повышенная нагрузка на каналы связи и оборудование, вызванная необходимостью шифрования;
• усложнение сетевой структуры.

Применение перечисленных методов защиты сервера позволит свести к минимуму вероятность взлома, а при успешном обходе системы безопасности минимизировать ущерб.

Рисунок 4 - Комплексная защита IP-телефонии

Абсолютную гарантию безопасности, к сожалению, не сможет дать ни один комплекс мер. Рассмотренные выше аспекты лишь частично решают задачу построения защищенной коммуникационной системы. На практике следует рассматривать всю инфраструктуру корпоративной сети, проводить глубокий анализ требуемого уровня защиты. Необходимо учитывать не только необходимость обеспечения безопасности IP-телефонии, но и выходов на внешние каналы связи (мобильная связь, телефонные сети общего пользования). Только такой подход, вместе с постоянным совершенствованием систем информационной безопасности, позволит создать надежную и защищенную систему.

2.Разработка проектных решений

2.1 Разработка и обоснование общей концепции системы

Использование существующей системы защиты создает дополнительные источники вторжения злоумышленников через используемые компанией каналы передачи данных.

Обычно в каналах передачи возникают дополнительные помехи, вызванные перекрестными наводками к каналу передачи.

Рассмотрим основные помехи, которые возникают в каналах передачи, и определим техническое задание для разрабатываемого устройства.

Каналы утечки информации, обусловленные наводками, образуются за счет соединительных линий технических средств ИСПДн и ВТСС и посторонних проводников (в том числе цепей электропитания и заземления).

Наводки электромагнитных излучений технических средств ИСПДн возникают при излучении элементами технических средств ИСПДн информативных сигналов при наличии емкостной, индуктивной или гальванической связей соединительных линий технических средств ИСПДн, линий ВТСС и посторонних проводников. В результате на случайных антеннах (цепях ВТСС или посторонних проводниках) наводится информативный сигнал.

---

Прохождение информативных сигналов в цепи электропитания возможно при наличии емкостной, индуктивной или гальванической связи источника информативных сигналов в составе технических средств ИСПДн и цепей питания.

Прохождение информативных сигналов в цепи заземления обусловлено наличием емкостной, индуктивной или гальванической связи источника информативных сигналов в составе аппаратуры ТСПИ и цепей заземления.

Для съема информации с проводных линий могут использоваться:

• средства съема сигналов, содержащих защищаемую информацию, с цепей технических средств ИСПДн и ВТСС, линий связи и передачи данных, выходящих за пределы служебных помещений (эквиваленты сети, токовые трансформаторы, пробники);
• средства съема наведенных информативных сигналов с цепей электропитания;
• средства съема наведенных информативных сигналов с шин заземления;
• средства съема наведенных информативных сигналов с проводящих инженерных коммуникаций.

Для волоконно-оптической системы передачи данных угрозой утечки информации является утечка оптического излучения, содержащего защищаемую информацию, с боковой поверхности оптического волокна.

Появление новых каналов связи – сотовой связи, пейджинговых сообщений, спутниковых и беспроводных сетей передачи данных – привело к развитию специализированных систем и средств контроля и перехвата информации, ориентированных на используемые в них информационные технологии, в том числе средств:

• перехвата пейджинговых сообщений и сотовой связи;
• перехвата информации в каналах передачи данных вычислительных сетей.

2.2 Разработка аппаратно-программной системы

В соответствии с требованиями ТЗ, мы должны спроектировать устройство, состоящее из аппаратной и программной части, которое в соответствии с заданным математическим аппаратом будет отделять сигналы, несущие полезную информацию по VoIP каналам от помех либо ошибочных сигналов.

В качестве аппаратной части, необходимой для генерации помех в вычислительной сети будет использоваться генератор помех, показанный на рисунке ниже.

Рисунок 5 - Схема генератора помех

Устройство построено по классической схеме шумового генератора радиочастотного диапазона.

---

Основные технические характеристики устройства показаны ниже.

1. Уровень помехового сигнала на выходных разъемах в поддиапазонах частот

10кГц-100кГц(F=200Гц) не менее 65 дБ

150кГц-30МГц(F=9кГц) не менее 65 дБ

30МГц-1ГГц(F=120кГц) не менее 45 дБ

2. Энтропийный коэффициент качества помехи не менее 0.8

3. Напряжение питания 220 В 50 Гц.

Для отделения помех от сигналов в каналах связи используется не только генератор помех в качестве аппаратной части разрабатываемой системы.

Основную часть системы представляет программная часть, которая несет основную нагрузку по классификации сигналов, поступающих из сети по различным каналам связи.

Предлагаемая технология решения задачи классификации состоит из следующих основных этапов.

Этап 1. Получение обучающей выборки объектов.

Этап 2. Вычисление признаков объектов.

Этап 3. Обучение нейронной сети по обучающей выборке признаков.

Этап 4. Проверка качества решения задачи классификации по тестовой выборке.

Этап 5. В случае неудовлетворительного качества решения задачи классификации возможны шаги (в зависимости от результатов анализа ошибок)

1. Переобучение нейросети с качественно отличными параметрами и повторение Этапа 4;
2. Переопределение обучающей выборки признаков с использованием других признаков или их параметров и повторение Этапов 3 и 4; шаг
3. Дополнение обучающей выборки объектов и повторение Этапов 2, 3 и 4;
4. Дообучение нейросети по той же обучающей выборки и с теми же параметрами, если обучение было остановлено досрочно и повторение этапа 4.

Этап 5 может повторяться многократно и составляет суть технологии решения задачи классификации.

Архитектура классификатора сигналов СПИ показана на рисунке Классификатор имеет трехслойную структуру и состоит из входного слоя нейронов, второго слоя и выходного слоя. На вход классификатора подается либо вектор сигнала, либо вектор признаков наблюдаемого сигнала, который является результатом предобработки входного сигнала, с целью уменьшения размерности без уменьшения необходимой степени информативности.

Рисунок 6 – Архитектура классификатора каналов

Фактически, задача определения требуемого сигнала состоит в том, что с помощью трехслойной нейронной сети характеристики сигнала оцениваться по нескольким признакам, характер которых определяет слой нейронной сети.

Основным преимуществом предложенной иерархической структуры является то, что за счет разбиения основной задачи идентификации на несколько подзадач и поэтапное их решение с помощью подсетей, использующих общие входные данные, но обучаемых независимо друг от друга, было достигнуто существенное уменьшение времени обучения всей иерархической нейронной сети и времени классификации конкретного сигнала.

---