AvayaIPT安全解決方案

經(jīng)典word整理文檔，僅參考，雙擊此處可刪除頁眉頁腳。本資料屬于網(wǎng)絡整理，如有侵權，請聯(lián)系刪除，謝謝！Avaya-IPT安全解決方案Avaya在設計IPT礎技術與融合的概念同時推出。傳統(tǒng)語音基礎設施和數(shù)據(jù)基礎設施所面臨的安全威脅傳統(tǒng)的語音基礎設施，例如PBX來說，安全威脅以話費欺詐為主，而造成話費欺詐的主要原因包括：粗心的用戶暴露了長途直撥的驗證代碼自動撥號功能按鈕中的用戶編程驗證代碼語音郵件密碼泄漏配置錯誤的遠程訪問、語音郵件訪問和自動話務員訪問權限未及時清除已經(jīng)離開公司的員工賬戶傳統(tǒng)語音基礎設施中還存在線路竊聽、通過遠程撥號維護調(diào)制解調(diào)器進行非法接入、對PABX的物理接觸等，但由于傳統(tǒng)的語音設備技術上的私有性和封閉性，對傳統(tǒng)語音設備的攻擊遠小于數(shù)據(jù)網(wǎng)絡中的攻擊。網(wǎng)絡協(xié)議的開放性，技術上的易掌握性，目前數(shù)據(jù)網(wǎng)絡上存在著大量的安全攻擊和威脅，例如：拒絕服務攻擊–SYNFlood，F(xiàn)loodPing、IP碎片攻擊、Fingerofdeath等；病毒攻擊–郵件蠕蟲、特洛伊木馬等操作系統(tǒng)安全漏洞–大部分黑客都是通過OS的安全漏洞獲取超級用戶訪問權端口掃描–獲取網(wǎng)絡服務和拓撲圖，目前從互聯(lián)網(wǎng)上均可以下載到端口掃描的工具交換機、路由器、防火墻–SNMPV1本身存在安全弱點，超級權限用戶訪問等數(shù)據(jù)攔截/竊聽–交換式網(wǎng)絡上的中間人攻擊，IP欺騙，SnifferIP語音通訊所面臨的安全威脅由于IPTelephony的語音服務器和網(wǎng)關均部署在IP網(wǎng)絡平臺上，因此會面臨原來傳統(tǒng)的語音和數(shù)據(jù)基礎設施合二為一的安全威脅，這些威脅將嚴重影響IP語音系統(tǒng)的正常運行，包括：–端口掃描拒絕服務攻擊(DoS)從網(wǎng)絡攻擊的方法和產(chǎn)生的破壞效果來看，DoS服務請求，但因為所包含的回復地址是虛假的，服務器將等不到回傳的消息，直至所有的資源被耗盡。VoIP技術已經(jīng)有很多知名的端口，像1719、1720、5060等。還有一些端口是產(chǎn)品本身需要用于遠端管理或是私有信息傳遞的用途，總之是要比普通的某個簡單的數(shù)據(jù)應用多。只要是攻擊者的PC和這些應用端口在同一網(wǎng)段，就可以通過簡單的掃描工具，如X-Way之類的共享軟件來獲得更詳細的信息。最近報道的一個安全漏洞是由NISCC(UKNationalInfrastructureSecurityCo-ordi-nationCenter)提出，測試結(jié)果表明：市場上很多采用H.323協(xié)議的VoIP系統(tǒng)在H.245建立過程中都存在漏洞，容易在1720端口上受到DoS的攻擊，導致從而系統(tǒng)的不穩(wěn)定甚至癱瘓。–OS漏洞和病毒攻擊目前IPTelephony最常用的話音建立和控制信令是H.323和SIP協(xié)議。盡管它們之間有若干區(qū)別，但總體上都是一套開放的協(xié)議體系。設備廠家都會有獨立的組件來承載包括IPWindowsNTLinux或VxWorks。越是開放的操作系統(tǒng)，也就越容易受到病毒和惡意攻擊的影響。尤其是某些設備需要提供基于Web的管理界面的時候，都會有機會采用MicrosoftIIS或Apache來提供服務，而這些應用都是在產(chǎn)品出廠的時候已經(jīng)安裝在設備當中，無法保證是最新版本或是承諾已經(jīng)彌補了某些安全漏洞。–由于網(wǎng)絡管理漏洞以及通過分組竊聽泄漏驗證代碼造成話費欺詐題。盡管IP話機沒辦法通過并線的方式來打電話，但通過竊取使用者IP電話的登陸密碼同樣能夠獲得話機的權限。通常在IP話機首次登陸到系統(tǒng)時，會要求提示輸入各人的分機號碼和密碼；很多采用了VoIP的企業(yè)為了方便員工遠程/移動辦公，都會在分配一個桌面電話的同時，再分配一個虛擬的IP電話，并授予密碼和撥號權限。這樣，即使員工出差或是在家辦公情況下，都可以利用VPN方式接入到公司的局域網(wǎng)中，然后運行電腦中的IP軟件電話接聽或撥打市話，如同在公司里辦公一樣。當密碼流失之后，任何人都可以用自–IP語音Sniffer模擬話機存在并線竊聽的問題，當企業(yè)用戶使用了數(shù)字話機之后，由于都是廠家私有的協(xié)議，很難通過簡單的手段來偵聽。但在IP環(huán)境下，這個問題又被提了出來。一個典型的IP語音呼叫需要信令和媒體流兩個建立的步驟，RTP/RTCP是在基于包的網(wǎng)絡上傳輸?shù)葧r通過Sniffer的方式記錄所有信息并通過軟件加以重放，會引起員工對話音通信的信任危機。S8700/S8500/8300媒體服務器均采用專業(yè)的硬件設備及Linux操作系統(tǒng)，AvayaCommunicationManager核心軟件運行在該操作系統(tǒng)上提供呼叫處理功能。而運行在S8700/S8500/8300媒體服務器的Linux操作系統(tǒng)是經(jīng)過特別的安全強化設計的：8226;強化的Linux操作系統(tǒng)—S8700/S8500/8300采用強化的操作系統(tǒng)，僅僅運行必要的服務；8226;入侵檢測S8700/S8500/8300媒體服務器采用標準的安裝，可以很好的監(jiān)控系統(tǒng)和配置的變化，并會產(chǎn)生相應的告警；8226;Netfilter/IPTables(內(nèi)核級防火墻)—提供了對運行在服務器上服務的更加增強的安全性接入；8226;安全的Telnet(SSH),、FTP(SFTP)、文件拷貝和Web(HTTPS)方式管理—為系統(tǒng)管理和配置提供安全性保障；8226;不需要使用root身份登錄服務器—操作和維護S8700/S8300媒體服務器，均不使用root用戶名登錄，防止病毒和木馬程序的影響AvayaIP語音安全架構(gòu)設計Avaya在從傳統(tǒng)語音向IPTelephony遷移過程中，注意到了融合網(wǎng)絡平臺的安全性的問題，在進行產(chǎn)品架構(gòu)、功能設計時均充分考慮到IP網(wǎng)絡平臺的安全威脅，并進行了全面的優(yōu)化設計。Avaya系統(tǒng)安全優(yōu)化結(jié)構(gòu)通過從媒體服務器，媒體網(wǎng)關到IP終端的多級安全設計，實現(xiàn)一個立體化的端到端的IP語音安全架構(gòu)。S8700媒體服務器放置在單獨的安全域在S8710媒體服務器中，控制信息和語音信息采用不同的承載通道。對于語音信息的傳輸，仍然安裝于G650媒體網(wǎng)關的相應的IP接口板實現(xiàn)?？刂菩畔t在S8700媒體服務器和G650媒體網(wǎng)關中的TN2312IPSI板之間的專用網(wǎng)絡來傳輸。該網(wǎng)絡原則上是一個相對S8700媒體服務器不會受到外界網(wǎng)絡攻擊和病毒的影響強化的Linxu服務器及安全的管理S8710媒體服務器均采用專業(yè)的硬件設備及Linux操作系統(tǒng)，AvayaCommunicationManager核心軟件運行在該操作系統(tǒng)上提供呼叫處理功能。而運行在S8710媒體服務器的Linux操作系統(tǒng)是經(jīng)過特別的安全強化設計的：•強化的Linux操作系統(tǒng)—S8700/S8300采用強化的操作系統(tǒng)，僅僅運行必要的服務；•入侵檢測—S8700/S8300媒體服務器采用標準的安裝，可以很好的監(jiān)控系統(tǒng)和配置的變化，并會產(chǎn)生相應的告警；•Netfilter/IPTables內(nèi)核級防火墻)—提供了對運行在服務器上服務的更加增強的安全性接入；•安全的Telnet(SSH),、FTP、文件拷貝(SCP)和Web(HTTPS)方式管理—為系統(tǒng)管理和配置提供安全性保障；•不需要使用root身份登錄服務器—操作和維護S8700/S8300root的影響預防DoS攻擊由于S8710IPSI板卡之間控制信息的傳輸不會受到外界網(wǎng)絡DoS攻擊的影響。在客戶的數(shù)據(jù)網(wǎng)絡平臺上部署IP電話，媒體網(wǎng)關上需要配置兩個接口卡板：C－LAN和IP媒介處理器板TN2302AP（IPMediaProcessor）。它們均通過標準的以太網(wǎng)接口與IP網(wǎng)絡連接。C－LAN板卡主要為媒體服務器和IP電話之間提供IP語音控制信令的連接，提供類似H.323關守的功能，其中包括:H.323/H.225協(xié)議,提供登錄、許可及安全校驗功能Q931協(xié)議，以提供信令控制功能和增值應用H.245協(xié)議，用于用戶輸入指示消息﹡用于IP軟件電話和IP電話的CCMS協(xié)議而IPIPMediaProcessorTDM）總線與IP網(wǎng)絡之間音頻信息流的轉(zhuǎn)換處理。該板不具有任何信令處理功能：它只處理音頻業(yè)務的傳輸，而呼叫信令的處理由Avaya呼叫處理軟件來完成。由于C－LAN板和IP媒介處理器板（IPMediaProcessor）才真正連接到客戶數(shù)據(jù)網(wǎng)絡平臺上，但由于這兩快板卡均運行特定的服務，只對相應IP語音TCP/UDP應用進行響應，所以網(wǎng)絡當中的病毒和DoS攻擊均無法影響到IP語音系統(tǒng)的可靠運行。IP語音和普通數(shù)據(jù)邏輯隔離Avaya46xx系列IP話機均提供2個以太網(wǎng)端口，一個連接網(wǎng)絡交換機，一個可以連接用戶PC，與網(wǎng)絡交換機連接端口通過802.1Q/p標準協(xié)議，可以實現(xiàn)IP語音和用戶PC分布屬于不同的VLAN。劃分VLAN是目前保護IP話音系統(tǒng)最為簡單有效的方法，可以隔離病毒和簡單的攻擊。而且IP語音包會帶上第二層和第三層的優(yōu)先級標記，可以和客戶具有QoS支持的數(shù)據(jù)網(wǎng)絡相配合，還將有助于提高話音質(zhì)量IP信令和RTP媒體流加密部署在客戶開放數(shù)據(jù)網(wǎng)絡平臺上的Avaya媒體網(wǎng)關和IP電話，支持IP信令和IP語音流的加密。Avaya的媒體服務器、媒體網(wǎng)關以及IP終端均支持對RTP語音媒體流進行加密傳輸。H.323C－LAN板）和H.323終端在IP語音呼叫信令建立過程中，會對媒體加密進行協(xié)商，如果決定對一個呼叫進行加密，它們之間會交換加密的相關關鍵參數(shù)：8226;使用什么加密算法8226;使用什么加密密鑰RTP媒體流加密可以以下設備之間實施：8226;IP–媒體網(wǎng)關8226;IP–IP終端8226;媒體網(wǎng)管–媒體網(wǎng)關目前，AvayaIP語音系統(tǒng)中將支持（Avaya私有加密算法）和高級加密標準（）。AEA采用對稱（共享密鑰）加密算法，兩部IP終端設備采用共享的密鑰，對語音流量進行加密和解密，能實現(xiàn)很高的處理速度，僅僅增加小于3毫秒的端到端延遲，AEA密鑰針對會話逐一生成，并且在任何時候媒體流重新定向時重新產(chǎn)生。目前其它廠商雖然提出了類似的RTP流加密技術象SRTPIPIP話機之間的RTPAvayaIP話機、IP話機－IP話機之間全面實現(xiàn)端到端RTP媒體流加密傳輸。核心軟件的安全功能運行在媒體服務器內(nèi)的CommunicationManager核心軟件，沉淀了從、Lucent一直發(fā)展到現(xiàn)在100年來累積的技術和經(jīng)驗，具有豐富的控制和限制功能。例如通過服務等級、限制等級的設定，可以將不同的功能和呼叫權限分配給不同等級的用戶，并通過受控限制、長話分析等加強語音系統(tǒng)的安全性。詳細的系統(tǒng)安全功能介紹如下：系統(tǒng)管理員接入安全網(wǎng)關接入安全網(wǎng)關（）是一種用來保護系統(tǒng)管理和維護端口和/或登錄系統(tǒng)的驗證接口。接入安全網(wǎng)關使用詢問/響應協(xié)議來證實用戶的RS-232會話并提供了登錄ID，系統(tǒng)即會發(fā)起詢問/響應對話。驗證過程中，系統(tǒng)基于用戶提供的登錄ID發(fā)出詢問，用戶必須對此作出正確的響應。更替設備限制等級允許CommunicationManager調(diào)整對線路或中繼的設備限制等級和授權密碼。通常每條線路或中繼都被賦予一個設備限制等級，同時這可以把電話的夜間長途呼叫功能置為無效，這樣就可防止未授權的員工撥打長途電話。更換操作支持系統(tǒng)告警號碼允許用戶設立第二個號碼，當告警事件發(fā)生時，CommunicationManager系統(tǒng)可按這個號碼進行呼叫。本功能可用于對諸如INADS和OneVision系統(tǒng)這樣的第二個支持機構(gòu)進行告警。保密—話務員鎖定除非電話用戶重新呼叫話務員，保密－話務員鎖定功能防止話務員重新進入保持在話務臺上的多方連接。此功能在系統(tǒng)范圍加以設定，其狀態(tài)可置為有效或無效。授權密碼—13位數(shù)授權密碼加強了主叫權限控制，從而提高了遠程接入主叫的安全性。授權密碼可長達13位數(shù)。Avaya節(jié)點管理授權密碼可用于下列場合：－超越始叫分機或中繼的設備限制等級－限制單個直達入中繼和遠程接入中繼連接到出中繼線－跟蹤CDR呼叫用于話費分配－提供額外的安全控制呼叫限制管理員和話務員可以用撥叫接入碼的方法來限制用戶打出或接收特定類型的呼叫。共有5種呼叫限制：外線－用戶不能撥打外線。分機到分機－用戶不能撥打與接收內(nèi)線呼叫。終端－用戶不能接收任何呼叫(除非優(yōu)先呼叫)長途電話－用戶能夠撥打本地電話，但不能撥打長途電話。全部－既不能撥打也不能接收任何電話。限制等級(COR)CommunicationManager可以無任何限制、只有一個COR，或者可有為實現(xiàn)所需的限制而必要的多個限制等級?？蓪粨Q機內(nèi)的多種設備作多級限制。例如，用戶可利用主叫限制等級來阻止主叫方接入公網(wǎng)。阻塞被叫付費呼出呼叫將會向CO發(fā)回一個雙答復。此雙答復告知該CO此特定分機不接受被叫付費呼叫。如果某呼叫為被叫付費呼叫，則該CO將會切斷該呼叫。用戶設備告警向用戶指示已經(jīng)發(fā)生系統(tǒng)告警且CommunicationManager系統(tǒng)已經(jīng)嘗試向服務機構(gòu)報告告警。用戶所提供的設備，例如燈或鈴等，被用來指示告警。用戶可設定系統(tǒng)的告警通知等級。數(shù)據(jù)保密本功能保護模擬數(shù)據(jù)呼叫不受任何系統(tǒng)超越或振鈴功能的干擾。用戶在開始進行呼叫時，撥動啟動碼就可激活本功能。數(shù)據(jù)限制本功能保護模擬數(shù)據(jù)呼叫不受任何系統(tǒng)超越或振鈴功能的干擾。本功能受系統(tǒng)管理，用于選定的模擬和多通道顯示話機以及中繼群。設備限制級別和旅行級別標志中繼線，而其他的用戶卻只能使用較便宜的專網(wǎng)線路。管理中可把AAR和ARS用戶分成8個等級。惡意呼叫跟蹤本功能可跟蹤惡意呼叫?？啥x一個終端用戶組，當收到惡意呼叫時及時通知組內(nèi)的其他人，這些用戶就可提取與該呼叫相關的信息。ETSIPRI跟蹤惡意呼叫。受控限制允許話務員或經(jīng)話務臺許可的話機用戶激活與撤消某個話機或話機組的以下限制：外線、全部、分機到分機及終端。安全侵犯通知(SVN)借助于安全侵犯通知(SVN)功能，用戶可以設定多個安全相關參數(shù)。若設定的這些安全限制遭受侵犯，用戶將收到相關通知。用戶可以得到有效及無效的接入報告。用戶還可設置使受到安全侵犯的登錄ID及遠程接入授權無效。分機保密碼根據(jù)用戶選擇提供附加的安全手段。對于遠程登錄使用，除了init‖登錄驗證外，還提供額外的鑒別程序。備用告警警。當此隊列長度降到隊列告警門限值以下時，告警就會停止。不論話務員隊列的規(guī)模如何，當話務臺處于夜服模式時，就出現(xiàn)可聞告警。阻擋碼遠程接入阻擋碼時效‖的七位數(shù)阻擋碼。件得到滿足后失效。注意：詳細呼叫記錄(CDR)不會跟蹤記錄阻擋碼。阻擋碼為入局控制碼，而授權密碼則主要為出局控制碼。主叫/被叫號碼(CPN)限制－每次呼叫主叫號碼限制用戶也可指定主叫號碼保密信息。對于ISDN用戶而言，此時主叫號碼顯示指示器將被相應編碼。對于非ISDN用戶而言，此時接入支持主叫號碼限制功能的公網(wǎng)，而網(wǎng)絡專有的功能激活代碼將送入至網(wǎng)絡用于轉(zhuǎn)換和激活此功能。送主叫號碼設置也將被取代。－每條線路主叫號碼限制用戶作為主叫時可屏蔽自己的主叫號碼。對于ISDN用戶而言，此時主叫號碼顯示指示器將被相應編碼。對于非ISDN用戶而言，此時路主叫號碼限制，則任何ISDN中繼群發(fā)送主叫號碼的限制將被取代。應急告警至數(shù)字尋呼機應急告警也能夠向某數(shù)字尋呼機發(fā)出緊急呼叫的通知。在這種情況下，它會向?qū)ず魴C發(fā)出7至22位數(shù)字的信息并顯示應急告警代碼、一分機和房間號碼、以及一總機號碼（如果曾經(jīng)輸入）。這樣一來，被尋呼者將知悉緊急呼叫的起源，并且能夠引導救援人員前往合適CRSS-ALRTAlertPager(告警尋呼機)字段設定為。任何具有CRSS-ALRT按鍵的分機及一個尋呼機可收到正確的告警。應急告警至數(shù)字分機號會令CRSS-ALRT按鍵信號燈發(fā)出閃光并顯示主叫方姓名與分機號碼（或房間）。應急告警對緊急呼叫的起源的顯示，使話務員或知。此分機仍然可以始發(fā)呼叫，以允許通知其他人員。須應答每個呼叫；在此情況下，呼叫的排隊順序與其撥叫的時間順序未必相同。如果系統(tǒng)被設定為只有一個用戶必須應答，第一應急告警將在收到此告警的話機上保持有效。后續(xù)呼叫將按照其撥叫的時間順序排隊等候下一個可接聽分機。應急告警至話務臺當緊急呼叫接入時，應急告警同時使用可聞和可見告警來通知話務臺?？陕劯婢盘柭犉饋硐笫蔷茸o車的聲音?？梢妶缶盘枙頒RSS-ALRT按鍵信號燈發(fā)出閃光并顯示主叫方姓名與分機號碼（或房間）。應急告警對緊急呼叫的起源的顯示，使話務員或其它