Файл: Основные положения теории информационной безопасности. Общие проблемы безопасности IP-телефонии..pdf

Сценарий соединения по протоколу SIP

Программные управляющие устройства и программное обеспечение АТС Asterisk.

Asterisk - программный продукт, работающий под средой Linux, воплощающий собой телефонную станцию. Данная телефонная станция имеет в себе множество различных функций, чтобы обеспечить гибкость настройки под любые нужды пользователя.

Реализовать можно двумя способами: «плоский» Asterisk, управляемый через командный интерфейс (с помощью командной строки), или система «Asterisk» с Web-интерфейсом (их написано достаточное количество).

Представление интерфейса

Первый вариант предполагает больше гибкости и более широкие возможности, а второй – более простую настройку и управление.

Для офисных задач и задач малого предприятия реализация сложной логики не важна. Поэтому здесь ориентируемся на построение более простой системы, предназначенной для обслуживания до 100 внутренних телефонов при многоканальных входных линиях от одного или нескольких телефонных операторов.

Разработка структуры сети IP-телефонии, выбор оборудования и настройка ЛС.

Была выбрана компания ООО «Print Edition». Данная организация задалась целью внедрить IP-телефонию в свой офис. Компания занимается нанесением фотографий и логотипов на футболки, майки, банданы и на другие текстильные изделия методом цифровой печати. 

Предприятие располагается на 2 этажах здания, и занимает общую площадь 900 м². Каждый этаж по 450 м². В компании уже организованна локальная сеть, которая включает в себя 40 компьютеров, сервер, и 2 коммутатора на 48 портов. При внедрении существующей локальной сети владелец заранее спланировал последующее внедрение IP-телефонии поэтому и установил коммутаторы с большим количеством портов на запас. В здании уже установлены короба для прокладки кабеля и есть шахта между этажами. Подробный план здания и расположение оборудования указан на рисунках 7 и 8.

В здании предприятия будет использоваться 32 IP телефонов Panasonic KX-HDV130, сервер Asterisk, 2 коммутатора D-Link DGS-1210-52 / C1A, кабель витая пара UTP. Коммутаторы мы закупать не будем, потому что данные коммутаторы, как писалось ранее, были уже установлены организацией и использовались для создания LAN сети компьютеров. Портов для подключения компьютеров и телефонов хватит.

Схема сети IP телефонии 1го этажа

Схема сети IP телефонии 2го этажа

Построение и применение VLAN на малом предприятии.

VLAN (Virtual Local Area Network) — группа устройств, имеющих возможность взаимодействовать между собой напрямую на канальном уровне, хотя физически при этом они могут быть подключены к разным сетевым коммутаторам. И наоборот, устройства, находящиеся в разных VLAN'ах, невидимы друг для друга на канальном уровне, даже если они подключены к одному коммутатору, и связь между этими устройствами возможна только на сетевом и более высоких уровнях.

В здании предприятия, с общей площадью в 900 м², находятся 40 рабочих станций, 1 сервер, 2 коммутатора. Маска подсети: 255.255.255.224

Локальная сеть компании на первом этаже

Локальная сеть компании на втором этаже

Таблица 2

Адреса компьютеров

Как известно, адрес IP состоит из 4 октетов и обычно представляется в формате 200.200.200.5. Требуется маска подсети для того, чтобы показать, какая часть IP адреса является идентификатором сети (Network ID), а какая - идентификатором хоста (Host ID). Маска подсети показывает, какая часть IP адреса является Network ID, а какая - Host ID.

Основные виды угроз для VoIP-сетей

• Перехват и манипулирование данными

Наиболее часто встречаемая уязвимость телефонных сетей, особенно опасная для IP-телефонии. В случае применения IP-телефонии злоумышленнику не нужен физический доступ к линии передачи данных. Находящееся внутри корпоративной сети устройство перехвата, скорее всего, может быть обнаружено, внешнее прослушивание отследить практически невозможно. Кроме того, перехваченные данные или голос могут быть переданы далее с изменениями. В таких условиях весь незашифрованный голосовой поток необходимо считать небезопасным.

• Подмена и взлом пользовательских данных

Отказ от использования или упрощение механизмов аутентификации и авторизации в IP-телефонии открывает для злоумышленника возможность не санкционированно получить доступ к системе, подменив данные о пользователе своими. Возможен также взлом учетных данных пользователей посредством перебора или прослушивания незащищенных каналов связи. Подобная уязвимость может быть использована для совершения дорогостоящих звонков за счет жертвы, сводя на нет всю возможную выгоду от использования IP-телефонии. Также эта брешь в безопасности может применяться для приема звонков, предназначенных взломанной либо записи перехваченных звонков на носители злоумышленника с целью применения данной информации в корыстных целях.

• Ограничение доступности

Одной из разновидностей атак является «отказ в обслуживании» (Denial of Service, DoS). Эта атака нацелена на превышение предельной нагрузки на систему большим количеством коротких звонков или информационного мусора. Без постоянного отслеживания признаков подобных атак и применения пассивных средств защиты, это приводит к тому, что серверы IP-телефонии не справляются с возросшей нагрузкой и не в состоянии обслуживать подключенных абонентов.

Безопасность IP-телефонии – комплексный подход!

При проектировании любой коммуникационной системы важно понимать, что ни одно из самостоятельных технических решений безопасности не в состоянии обеспечить абсолютную защиту от всех возможных угроз.

Проанализировав основные источники угроз безопасности IP-телефонии, можно выделить ключевые критерии защищенности:

• Конфиденциальность

Необходимость обеспечения защиты траффика IP-телефонии для предотвращения перехвата или прослушивания телефонных звонков, внесения изменений в передаваемую информацию, кражи учетных данных пользователей.

• Целостность

Обеспечение уверенности, что передаваемая информация не подвергается правке со стороны неавторизованных пользователей, что запросы на выполнение определенных задач или функций (например, совершение звонка или внесение изменений в настройки системы IP-телефонии) инициированы авторизованными пользователями или приложениями.

• Доступность

Бесперебойное функционирование корпоративной системы IP-телефонии в условиях DoS-атак, различных «червей», «вирусов» и т.п.

Как защитить IP-телефонию?

Рассмотрим наименее защищенный и, при этом, один из самых распространенных примеров реализации IP-телефонии.

Реализация IP-телефонии

Сервер телефонии на базе IP-АТС Asterisk имеет прямой выход в сеть интернет для обслуживания удаленных филиалов и связи с SIP-провайдером, предоставляющим доступ к внешним линиям связи. Аутентификация пользователей происходит по IP-адресам.

Решение задач информационной безопасности должно быть комплексным, поскольку каждый способ защиты не только закрывает свою часть информационного периметра, но и дополняет другие решения.

Настройка сервера телефонии

Последним рубежом защиты является сам сервер IP-телефонии. Существует несколько классических методов защиты сервера от атак.

Применение межсетевых экранов

Межсетевой экран пропускает исходящий трафик от сервера телефонии к SIP-провайдеру и фильтрует входящий по определенным правилам. Рациональным решением можно считать закрытие на межсетевом экране всех сетевых портов для IP-телефонии, кроме необходимых для ее корректной работы и администрирования. Этот же метод защиты целесообразно применять на самом сервере телефонии, чтобы защитить его от внутренних атак.

Таким образом, сервер телефонии доступен из внешних сетей только по определенным служебным портам, подключение к которым, из соображений безопасности, будет выполняться с применением шифрования.

Шифрование телефонных разговоров

Для защиты конфиденциальных переговоров и минимизации возможности попадания конфиденциальной или коммерческой информации в руки злоумышленника необходимо защитить передаваемые по открытым каналам связи данные от перехвата и прослушивания.

Поскольку для совершения звонка клиент и сервер предварительно обмениваются служебными данными для установления соединения, данную проблему можно разделить на две составляющих – защиту служебных данных IP-телефонии и защиту голосового трафика. В качестве средства защиты могут быть использованы протокол TLS (Transport Layer Security) для защиты SIP сигналов и протокол SRTP (Secure Real Time Protocol) для защиты голосового трафика.

Шифрование IP-телефонии

TLS — криптографический протокол, обеспечивающий защищённую передачу данных между узлами в сети, является стандартным методом для шифрования SIP-протокола. TLS обеспечивает конфиденциальность и целостность передаваемой информации, осуществляет аутентификацию.

После установления защищенного соединения начинается передача голосовых данных, обезопасить которые позволяет применение протокола SRTP.

Протокол SRTP считается одним из лучших способов защиты IP телефонии на базе IP-АТС Asterisk. Основное преимущество этого протокола – отсутствие какого-либо влияния на качество связи. Схема работы протокола SRTP выглядит так: каждому совершаемому вами звонку присваивается уникальный код, который делает подслушивание разговоров неавторизированными в системе пользователями практически невозможным. Благодаря этому протокол SRTP выбирают как для обычных, так и для конфиденциальных звонков.