Защитите свой коммутатор

Телефонная система и ее периферия могут оказаться ахиллесовой пятой вашей организации. Каким образом (и с помощью каких продуктов) можно повысить надежность защиты телекоммуникационной инфраструктуры?

Несколько лет назад хакеры взломали нашу систему голосовой почты. Это была просто злая шутка: клиенты, оставлявшие сообщения для руководителей компании, были измучены звонками от людей, выдававших себя за наших сотрудников. В конце концов (на это ушло несколько дней) мы разобрались в причинах происходящего и изменили старые пароли, которые злоумышленники использовали для получения доступа. Хакеры оставили нас в покое и отправились на поиски более привлекательной добычи.

Все могло оказаться гораздо серьезнее. Реальной была опасность похищения конфиденциальной коммерческой информации (включая сведения о счетах клиентов и кредитной истории), получения доступа к материалам, важным для наших конкурентов, или к данным о сотрудниках. А если бы отключили голосовую почту? Задумайтесь о том, сколько «совершенно секретных сведений» передается по телефону? Насколько важно, чтобы телекоммуникационная структура всегда функционировала корректно?

Возможно, «взлом УАТС» звучит не столь впечатляюще, как l33t (элитное) проникновение в Internet, взлом зашифрованной информации или защиты от копирования, создание вирусов и организация атак по типу «отказ в обслуживании» на Белый дом. Но вреда он может нанести не меньше. Атаки на УАТС, устройства автоматического распределения вызовов (Automatic Call Distribution, ACD), голосовую почту, модули голосовых ответов и другие компоненты инфраструктуры способны привести к краху любого бизнеса: работа будет парализована, секретная информация разглашена, репутация компании подорвана, ей придется выплачивать компенсации и нести расходы на восстановление своей работоспособности и возмещение понесенных убытков.

Фактически, если кто-то намерен нанести реальный вред организации, то телекоммуникационная инфраструктура, пожалуй, для этого более подходящая цель, чем локальная сеть или сайт Web. Защите последних, как правило, уделяется серьезное внимание, этим занимаются тысячи программистов (многие из которых сами бывшие хакеры), а оборудование передачи данных и соответствующее программное обеспечение достаточно часто обновляются. Так что есть все основания полагать, что большинство (или хотя бы часть) ресурсов сети передачи данных надежно защищено. А поскольку специалисты, работающие с данными, крайне трепетно относятся к вопросам безопасности, иногда они даже конфигурируют сетевые компоненты таким образом, чтобы обеспечить наилучшую защиту. Более того, в противоположность столь популярному в средствах массовой информации образу, хакерам не всегда легко разобраться в том, что они, собственно говоря, нашли. Корпоративные файловые системы содержат множество физических и виртуальных томов, специальные соглашения об именовании файлов различных форматов, устаревшие и запутанные конфигурации баз данных и т. д. Даже взломав систему, нельзя войти в соответствующий каталог и просто скопировать файл под названием «Совершенно секретные материалы!».

С УАТС дела обстоят иначе.

• УАТС и периферия вполне успешно функционируют в течение длительного времени, поэтому не всегда базируются на самых последних технологических достижениях. Функции защиты могут оказаться примитивными: внутренние базы данных не зашифрованы, их структура - очевидна, а потому ею легко манипулировать.
• Подобное оборудование выпускают довольно мало компаний. Изучив два-три решения (хотя это может потребовать больших усилий), можно успешно управлять 70% существующих УАТС.
• Специалисты, работающие с УАТС, как правило, не уделяют серьезного внимания вопросам защиты, поэтому порой даже очевидные меры безопасности игнорируются.
• Управление УАТС и периферией зачастую осуществляется из-за пределов офиса, и почти все модели предусматривают определенную форму удаленного доступа для пользователей, так что хакерам довольно просто найти эти легитимные и легко обнаружимые способы входа в систему.
• Модернизация программного обеспечения УАТС часто выполняется удаленно - управление этим процессом можно перехватить и установить "троянских коней".
• Производители обслуживают такие решения без выезда к клиенту, поэтому пароли и другая информация хранятся за пределами компании - эти данные невозможно защитить напрямую.
• Телекоммуникационная инфраструктура используется всеми (не только квалифицированными специалистами). Простор для применения методов социального инжиниринга огромен (несложно, например, позвонить кому-нибудь и обманным путем узнать пароль или другую секретную информацию).
• Телекоммуникационная сеть предприятия часто охватывает пустующие этажи и офисы, и проникнуть в нее в обход коммутатора достаточно просто.
• Неправомерное или некорректное использование услуг и злонамеренные действия могут совершать даже сотрудники, пользующиеся доверием. Их действия порой сложно выявить и предотвратить, так как бо/льшая часть программного обеспечения генерации счетов на телефонные переговоры получает сведения с модулей удаленной записи данных периодически, а не в реальном времени.
• УАТС - очень сложные системы. Обезопасить отдельные функции вполне реально, но производителям трудно, если вообще возможно, дать гарантии того, что какое-либо сочетание функций не приведет к нарушению защиты всей системы. Кроме того, злоумышленник способен преодолеть защиту или воспользоваться функциями УАТС с помощью периферии (например, голосовой почты), и наоборот.
• УАТС может превратиться в инструмент для кражи данных! Один из самых распространенных способов добыть информацию и получить несанкционированный доступ к сети - воспользоваться УАТС. Злоумышленник может набрать номер, найти ПК с модемом, подключенным к аналоговому каналу, взломать его, и оказаться таким образом в сети. Либо если какой-либо сотрудник обижен и намерен в скором времени уйти из компании, то он может воспользоваться модемом для перекачки данных, что невозможно отследить. Одна из компаний, SecureLogix, специализируется на выпуске телекоммуникационных межсетевых экранов, применение которых позволяeт предотвратить такого рода неблаговидную деятельность.

Именно поэтому крупные специалисты по безопасности очень серьезно относятся к взлому телекоммуникационных систем. Ряд организаций, в том числе Национальный институт по стандартам и технологии (National Institute of Standards and Technology, NIST), недавно разработал несколько документов, посвященных рассматриваемой теме. В них профессионально анализируются вопросы защиты УАТС. Подготовленные в целях оказания помощи конечным пользователям, работающим над ликвидацией изъянов в защите, материалы предлагают снабженное обескураживающими подробностями описание того, какой вред хакеры могут нанести современной цифровой УАТС. Список обнаруженных уязвимых мест выглядит воистину устрашающе: от подслушивания разговоров с определенного аппарата и проникновения через некоторые порты до изменения функционирования аппарата оператора и предумышленного использования противоречий в функциях.

Аналогичные уязвимые места есть во всех телекоммуникационных инфраструктурах: голосовой почте, ACD, шлюзах IP-телефонии и т. д. Еще больше ухудшает ситуацию тот факт, что новые устройства (иногда созданные на базе ПК) предоставляют хакерам возможность использовать все уязвимые места оборудования, подключаемого к сетям передачи данных и доступного через Internet (со стандартными операционными системами, вспомогательными утилитами системы удаленного доступа и обслуживания). Сегодня голосовую почту можно парализовать с помощью вируса. На запрос в Google строки «PC Anywhere hack» («взлом с помощью PC Anywhere») было получено 5860 ответов, в том числе (среди первых десяти ответов) материалы о том, как получить управление над устройствами (и/или отключить его), работающими с PC Anywhere, популярной утилитой удаленного управления, используемой для обслуживания телекоммуникационных систем и программного обеспечения.

КАК СЕБЯ ЗАЩИТИТЬ

Первое, что следует сделать любому ответственному администратору телекоммуникационных систем, — обратиться в NIST и прочитать подготовленные там материалы. Изложенные в них факты помогут убедить руководство в том, что защита телекоммуникаций — вещь нешуточная.

Затем необходимо провести тщательную последовательную проверку системы безопасности вашей телекоммуникационной инфраструктуры.

1. Физическая защита оборудования имеет первостепенное значение. Комната с оборудованием (и офисы, где хранятся любые телекоммуникационные данные) должна быть закрыта. Контролируйте доступ. Не наклеивайте листочки с секретной информацией (паролями и т. д.) на оборудование. Проверьте кабельную систему и отключите неиспользуемые выходы. Откажитесь от ненужных внутренних номеров, факсов и модемных линий. Круг лиц, имеющих право работы с аппаратом оператора, следует ограничить, поскольку с него часто можно выполнять операции с полномочиями супервизора.
2. Выявите и ликвидируйте очевидные изъяны защиты. Поменяйте системные пароли на какие-то иные слова вместо слова password ("пароль"). Отключите или защитите перевод вызовов на внешний номер, поскольку это самый простой способ воспользоваться вашим оборудованием для выполнения междугородных звонков. Сформируйте разрешительные списки таким образом, чтобы только сотрудники, для работы которых требуется междугородная и международная связь и совершение звонков на платные номера, могли это делать. Используйте классы обслуживания для того, чтобы максимально упростить, унифицировать (и сделать прозрачными для пользователя) формирование списков и соответствующую политику. Расписание функционирования системы должно быть составлено таким образом, чтобы несущественные службы отключались в нерабочие часы. Физически защитите внутренние номера (телефоны), с которых разрешается совершать более дорогие звонки.
3. Проанализируйте систему защиты с помощью персонала. Проверьте ящики голосовой почты и убедитесь, что на все установлены надежные пароли (а не системный пароль по умолчанию "0000"). Введите расписание изменения паролей. Научите пользователей правилам работы с ними (пароли не следует указывать среди параметров станции для автоматического набора!). Проверьте телефонные карты и условия контрактов с производителями; убедитесь, что старые карты деактивированы.
4. Порты для обслуживания - это объект номер один для умышленного причинения вреда. Они должны быть защищены. Этот процесс следует согласовать с производителем УАТС или периферии (в части технической поддержки) и с поставщиком. Последнему следует быть готовым к проведению проверки собственных систем и методологии защиты в соответствии с вашими требованиями (типичный вопрос: что произойдет, когда техник, выполнявший модернизацию АТС и, следовательно, знающий пароли, будет уволен?). Открытые для удаленного управления порты для обслуживания оборудования следует включать только в периоды запланированного технического обслуживания. Обновление программного обеспечения необходимо тщательно проанализировать и убедиться в его аутентичности. Порты для обслуживания должны быть защищены с помощью "интеллектуальных" модемов/различающих порты устройств с применением паролей и обратных звонков (но даже обратный звонок можно переадресовать!) или даже аппаратного шифрования в ответ на вызов (схема аутентификации, при которой человек, обращающийся к системе, обязан использовать динамическое устройство с генерацией одноразового пароля).
5. Защита доступа для всей периферии УАТС и приложений: платформ, операционных систем, паролей и схем допуска. Тщательно проанализируйте защиту всех системных утилит удаленного управления (например, PC Anywhere) в поисках возможных изъянов. Помните: если кто-то сможет получить контроль над вашей голосовой почтой, он сумеет осуществить связь через вашу УАТС, возможно, даже управлять ею.
6. Установите динамическую систему удаленного управления с функциями защиты от мошенничества. С практической точки зрения предпочтение следует отдать продукту с анализом трафика в реальном времени и возможностью оповещения в случае обнаружения признаков мошенничества или аномального поведения (например, многочисленные неудачные попытки ввести пароль к пользовательскому почтовому ящику). Другая полезная функция: возможность определить политику "кода бюджета" для международных звонков. Помните, что отчеты удаленного управления нередко становятся причиной нарушения защиты. Убедитесь, что они не распространяются неконтролируемым образом. Лучшие пакеты и службы удаленного управления имеют проработанные функции доставки отчетов, гарантирующие, что информацию получат только уполномоченные сотрудники, причем своевременно.

ОБЗОР ПРОДУКТОВ

Ниже описаны некоторые продукты, которые могут помочь вам решить определенные вопросы защиты телекоммуникационной инфраструктуры.

e-Comms специализируется на удаленном управлении сетевыми ресурсами как в области телекоммуникаций, так и передачи данных. Младшие модели продуктов — набор функциональных и компактных опрашиваемых буферов CDR (серия CABS) — идеальны для получения данных для составления счетов за звонки. FastNet и Beacon — многофункциональные компактные модули с питанием от постоянного тока с напряжением 48 В. Они предлагают надежно защищенный удаленный доступ к многочисленным портам обслуживания, а также возможности включения и выключения питания на расстоянии (у них весьма привлекательный дизайн, и досадно, что они располагаются в комнате с оборудованием, которая должна быть закрыта).

Что касается продуктов старшего класса, то интегрированный E-Commander использует единый «мозг» для поддержки работы периферии с различным функциями — от возможностей включения и выключения питания и коммутации последовательных портов передачи данных до коммутации маршрутов передачи данных на физическом уровне (применяемых для включения и выключения сетевых анализаторов в сетевых сегментах и выполнения других задач). Вот один из примеров их применения: коммутатор с несколькими последовательными портами подойдет для организации защищенного удаленного доступа к нескольким портам обслуживания и удаленного отключения питания последовательного коммутатора между плановыми сеансами обслуживания.

IS Associates создает крупномасштабные системы генерации счетов и удаленного управления для клиентов с жесткими требованиями, в том числе для различных операторов и отрасли здравоохранения. Система удаленного управления TeleCount отличается большим разнообразием функций, направленных на предотвращение мошеннических звонков и злоупотреблений телекоммуникационными системами. Она создавалась в расчете на внешнюю эвристическую обработку записей о звонках и тревожных сигналах, а также поддержку документированных интерфейсов, совместимых с Delphi, VB и CA-Visual Objects. Поэтому, если необходимо реализовать специальные требования, задать особые условия или применить собственные методы для обнаружения неправомерных действий, это могут сделать специалисты компании.

ISI Info Group выпускает Infortel NT — одну из первых и до сих пор, как считают многие, одну из лучших систем генерации счетов для корпоративного учета звонков и удаленного управления. В ней заложены надежные функции выявления мошеннических звонков и злоупотреблений телекоммуникационными системами. Но все это было бы неэффективно, если бы ISI (как некоторые компании) игнорировала угрозу защите в более широком смысле.

Обращает на себя внимание тот факт, что на сайте Web (помимо множества другой информации) размещены постоянно обновляемые сведения о защите с подробным описанием методов усовершенствования собственной защиты и целостности Infortel NT в том, что касается передаваемых по электронной почте вирусов. ISI также поддерживает партнерские соглашения с Unimax, создателями «системы управления изменениями» 2nd Nature. С помощью этой системы осуществляется проверка, хранение и передача данных о телекоммуникационной конфигурации между компонентами инфраструктуры. Дисциплина управления изменениями — важный скрытый компонент общей идеологии защиты: она систематизирует программирование функций, упрощает внедрение и реализацию политики, выявляет аномалии при работе и отслеживает «конфликты версий», которые могут порождать изъяны в защите. Среди пользователей Unimax — IRS (группа, весьма скрупулезно подходящая к выбору реализуемых решений), а также другие крупные компании и организации.

Omnitronix выпускает полную серию защищенных устройств управления портами, уведомлений о тревожных ситуациях и сбора данных для широкого диапазона телекоммуникационных приложений с доступом к ним по коммутируемым линиям и через сеть. Их устройства DataLink DL-50 (двухпортовое) и DL-100 (четырехпортовое) осуществляют опрос по коммутируемым линиям или сети, поддерживают сбор данных с помощью CDR, уведомления о тревожных ситуациях и контроль среды, а также комплексное, детальное удаленное управление оборудованием. DataLinks использует несколько уровней защиты посредством паролей и подтверждение IP-адреса отправителя. Только имеющие соответствующие права субъекты получат доступ к вашему оборудованию. Компания производит многочисленные продукты офисного управления, в том числе аппаратуру удаленной цикличной подачи питания и интеллектуальные специализированные механизмы для укрепления защиты. Примером последних могут служить информаторы Campus-Guard 911. Они анализируют CDR, получаемые от коммутатора, и предупреждают, если набран номер 911, что критически важно для надлежащей реакции, а в некоторых случаях для поиска позвонившего.

Veramark предлагает опрашиваемые модули для сбора CDR и систему генерации счетов eCas — полнофункциональную систему удаленного управления с интеграцией с Definity в качестве опции. ECAS компании Veramark — единственный, насколько нам известно, продукт генерации телефонных счетов, который совместим с протоколом Definity Reliable Session Protocol на базе IP компании Avaya (стратегия «отката к ТФоП» мешает большинству систем генерации телефонных счетов отслеживать звонки с начала и до конца). Они совместимы с 2nd Nature компании Unimax.

Western Telematic выпускает большой набор буферов CDR и продуктов удаленного управления. Серия NetReach включает в себя полное оборудование удаленного управления, способное поддерживать защищенный контролируемый доступ к многочисленным портам управления через коммутируемое или сетевое соединение, включение и отключение питания, а также другие функции защиты. Упрощенный и мощный защищенный модем, монтируемый в стойку, специально предназначен для защищенного удаленного управления и способен поддерживать обратные звонки, до 100 паролей и реализуемые в сети возможности защиты.