Computerworld, США

Внедрение IP-телефонии изменяет подход к информационной безопасности

В попытке добиться некоторой экономии компания решила избавиться от установленной в офисе мини-АТС и перейти к использованию IP-телефонии. За счет осуществления звонков поверх имеющейся IP-сети и использования средств VoIP мы рассчитывали сократить расходы на связь. Дело в том, что значительный объем телефонных переговоров приходится на звонки между филиалами в США и на других континентах.

Однако оборотная сторона медали — появление телефонных аппаратов, подключенных к локальной сети. А это означает, что обеспечение безопасности телефонной сети теперь становится моей проблемой, проблемой сетевого администратора.

Раздумья о том, что IP-трафик с голосовым содержимым будет путешествовать по сети, сначала привели меня в уныние, ведь сеть не защищена так, как хотелось бы. Я провел обследование основных компонентов инфраструктуры IP-телефонии. Мои познания в этой технологии были не столь обширными, и я решил прочитать о ней все. Большинство известных уязвимостей касалось возможности либо перехвата трафика, либо осуществления ложных звонков, либо манипулирования ими так, как будто они происходят от чужого имени.

Для выполнения собственного тестирования я создал усеченную копию системы IP-телефонии. В комплект входили несколько моделей IP-телефонов, сервер управления звонками и кое-какое сетевое оборудование. Я начал с проверки сети, по которой должен передаваться голосовой трафик. Сначала подключил свой Linux-ноутбук к свободному Ethernet-порту, чтобы посмотреть, что я смогу увидеть при помощи свободно доступных сканеров dsniff и ethercap.

После того, как был записан некоторый объем сетевого трафика, я сгрузил и откомпилировал утилиту под названием Voice Over Misconfigured Internet Telephones, известную также под ужасным акронимом VOMIT (англ. vomit — «рвота»). Эта программа может использовать перехваченные пакеты IP-телефонии и восстанавливать их содержимое в такой форме, что его можно прослушивать посредством звуковой платы на персональном компьютере. IP-телефоны, трафик которых мне удалось перехватить, не поддерживают шифрование, так что я с легкостью мог бы подслушивать переговоры своих коллег. Таким образом, наличие у аппаратов функций криптографии будет непременным условием. Я также понял, что трафик IP-телефонии должен быть отделен от обычного сетевого трафика с данными. Этого я намерен добиться, организовав при помощи коммутаторов нашей сети отдельные виртуальные сети (virtual LAN, VLAN). Таким образом разделенный трафик не позволяет пользователям в сети VLAN с данными перехватывать голосовой трафик.

Кроме того, я собираюсь добавить к конфигурации сетевого экрана правила, которые разрешают доступ к критичным для работы системы IP-телефонии устройствам только выделенному подмножеству IP-адресов. К примеру, если менеджеры находятся в отдельной виртуальной сети, мы можем создать правило, по которому лишь некоторые пользователи смогут получать доступ к компьютерам менеджеров. Мы можем еще больше защитить сеть, ограничив трафик таким образом, что к менеджерам можно будет обращаться только по IP-телефонам.

Проверка взломом

Следующим пунктом моего плана было обеспечение «нерушимости» центрального коммуникационного сервера, или менеджера звонков, который управляет вызовами и производит соединения. IP-телефоны осуществляют звонок, вызывая этот сервер. Менеджер звонков нужен для установки соединений, но как только это выполнено, телефонные переговоры осуществляются непосредственно между двумя IP-телефонами по коммутируемой IP-сети.

Программное обеспечение сервера коммуникаций, которое используется в большинстве случаев — это Cisco CallManager, работающий под управлением Windows 2000 и Microsoft Internet Information Server. Это далеко не идеальная среда для построения инфраструктуры критически важной системы, однако в Cisco подчеркивают, что используемый вариант Windows был усилен с точки зрения безопасности.

Если бы я смог взломать CallManager, то тем самым завладел бы всей телефонной сетью. Для выполнения проверки я запускал Nessus — свободно доступный сканер портов, а также WebInspect компании SPI Dynamics. К моему удивлению, оба инструмента не обнаружили критически важных уязвимостей. Cisco и другие опрошенные мною поставщики в один голос утверждали, что они отслеживают все заплаты и возникающие проблемы с безопасностью, выпуская регулярные обновления к операционной системе и прикладным программам.

Это был всего лишь беглый взгляд на некоторые из основных компонентов инфраструктуры IP-телефонии. После решения вопроса с DoS-атаками я еще раз тщательно проанализировал архитектуру IP-телефонии в целом. Еще несколько проведенных для большей уверенности тестов показали, что построить безопасную систему IP-телефонии можно.

Теперь я понимаю, что внедрение технологии IP-телефонии с одновременным обеспечением безопасности возможно, но при условии тщательного планирования и проработки всей архитектуры и с применением всех доступных устройств защиты.

Эта заметка написана администратором безопасности; его имя и компания-работодатель изменены по очевидным соображениям. Вы можете связаться с ним по электронной почте mathias_thurman@yahoo.com