IP-телефонію все частіше починають застосовувати в компаніях. Вона підвищує ефективність ведення бізнесу, дозволяє здійснити багато раніше неможливі операції (наприклад, інтеграцію з CRM і іншими бізнес-пріложеніямі, створення ефективних call-центрів і т. п.), а також понизити витрати на побудову і експлуатацію телекомунікаційної інфраструктури і сукупну вартість володіння системою.
Більш того, провідні виробники ринку телефонії перестали вкладати гроші в дослідження традиційної телефонії - тільки в IP-телефонію. Проте її активний розвиток стримується чутками про її низьку безпеку. Спробуємо розвінчати деякі міфи, що склалися, про незахищеність IP-телефонії.
Архітектура інфраструктури IP-телефонії складається з декількох компонентів:
IP-телефони, що підключаються до локальної мережі і надають крім самих дзвінків широкий спектр додаткових сервісних можливостей. Наприклад, з телефону на своєму робочому місці я можу прийняти одночасно декілька дзвінків, дістати доступ до корпоративного і персонального телефонного довідника, дізнатися розклад потягів і літаків або прогноз погоди, уточнити персональний розклад зустрічей, а також переглянути електронну і прослуховувати голосову пошту. Треба відзначити, що IP-телефони можуть бути виконані і у вигляді програмного рішення, що встановлюється на комп'ютер користувача (наприклад, на ноутбук);
сервер управління, що відповідає за встановлення телефонних з'єднань і забезпечуючий ряд додаткових адміністративних функцій;
голосовий шлюз, вирішальний завдання інтеграції інфраструктури IP-телефонії з наявними в компанії системами традиційної телефонії і вихід в телефонні мережі загального користування (ТФОП);
голосові додатки, що полегшують користувачам рішення бізнес-задач, - голосова пошта, голосові меню, система управління дзвінками для секретарів і операторів, персональна система управління дзвінками, пов'язана з особистим розкладом співробітника, система проведення аудіоконференцій, інтелектуальні центри обробки викликів і т.п.
Кожний з цих компонентів може стати мішенню для хакерів, і тому кожний з компонентів повинен містити в собі розвинені механізми захисту. Враховуючи, що різні виробники по-різному підходять до рішення цього питання, я
зупинюся на підході тільки одного з них - компанії Cisco Systems і її архітектури AVVID (Architecture for Voice, Video and Integrated Data). І цей вибір не випадковий. За даними звіту "WorldWide Enterprise Voice Market: Q2 CY2004" консалтингової фірми Synergy Research Group, компанія Cisco захопила чотири перші місця з продажу різних компонентів IP-телефонії.
Отже, почнемо развенчаніє міфів.
Міф 1. IP-телефонія не захищає від підслуховування
"Просунуті" рішення IP-телефонії використовують декілька технологій і механізмів, що забезпечують конфіденційність телефонних розмов. По-перше, це напрям голосового трафіку у виділений сегмент мережі і розмежування доступу до голосового потоку шляхом використання правил контролю доступу на маршрутизаторах і міжмережевих екранах. По-друге, весь голосовий трафік може бути захищений від несанкціонованого прослуховування за допомогою технології побудови віртуальних приватних мереж (VPN). Протокол IPSec дозволяє забезпечити телефонну розмову, здійснювану навіть через мережі відкритого доступу, наприклад Інтернет.
І нарешті, деякі компанії реалізували в своїх IP-телефонах спеціально розроблений для забезпечення конфіденційності голосового потоку протокол SECURERTP (SRTP), що не дозволяє стороннім проникнути в таємницю телефонних переговорів.
Міф 2. IP-телефонія схильна до зараження черв'яками, вірусами і Троєю
Для захисту інфраструктури IP-телефонії від зараження різними шкідливими програмами використовується цілий ряд захисних заходів, що дозволяють побудувати ешелоновану оборону, що перешкоджає не тільки впровадженню, але і розповсюдженню черв'яків, вірусів, троянських коней і інших типів шкідливої "фауни".
Першою лінією оборони є застосування разом з антивірусами міжмережевих екранів і систем виявлення і запобігання атакам, що розмежовують доступ до інфраструктури IP-телефонії. Друга лінія оборони будується на використанні систем запобігання атакам і антивірусам на крайових вузлах, що беруть участь в інфраструктурі IP-телефонії.
Остання по рахунку, але не остання по важливості лінія оборони - ініціатива Network Admission Control. В рамках цієї ініціативи не всі відповідні політиці безпеки (зокрема з невстановленими або неактуальними антивірусним ПО, "латочками" і т. п.) робочі станції і сервери не зможуть дістати доступ до корпоративної мережі і, зокрема, до сегменту IP-телефонії і завдати збитку її ресурсам.
Для незахищених вузлів буде доступний тільки спеціально виділений карантинний сегмент мережі, в якому вони зможуть отримати останні оновлення для свого антивіруса, "латочки" для ОС і т.п.
Міф 3. IP-телефонія не захищає від підміни телефонів і серверів управління
Для захисту від пристроїв, що намагаються замаскуватися під авторизовані IP-телефони або несанкціоновано підключених до мережевої інфраструктури, можна і потрібно використовувати не тільки вже згадані вище за правило контролю доступу на маршрутизаторах і міжмережевих екранах, але і розвинені засоби строгої аутентифікації всіх абонентів інфраструктури IP-телефонії (включаючи сервер управління телефонними з'єднаннями), для підтвердження достовірності яких використовуються різні стандартні протоколи, включаючи 802.1x, RADIUS, сертифікати PKI X.509 і т.д.
Міф 4. Зловмисник з адміністративними правами може порушити функціонування інфраструктури IP-телефонії
У "серйозних" серверах управління передбачені розширені можливості по наділу системних адміністраторів тільки тими правами, які їм потрібні для виконання своїх обов'язків. До таких прав можуть бути віднесені: доступ до конкретних настроювань тільки на читання, повну відсутність доступу до них, доступ на зміну і т.д.
Крім того, всі вироблювані адміністратором дії повинні фіксуватися в спеціальному журналі реєстрації і можуть бути проаналізовані у будь-який момент у пошуках слідів несанкціонованої активності.
Оскільки інфраструктура IP-телефонії є достатньо розгалуженою, те управління конфігурацією IP-телефонів і взаємодія їх з сервером управління повинно здійснюватися по захищеному від несанкціонованого доступу каналу, що дозволяє запобігти будь-яким спробам прочитання або модифікації команд, що управляють. Для захисту каналу управління можуть використовуватися різні протоколи - IPSec, SSL, TLS і т.д.
Міф 5. IP-телефонію легко вивести з ладу
Не дивлячись на те що різні компоненти IP-телефонії потенційно схильні до атак типу "відмова в обслуговуванні", компанії, що приділяють серйозну увагу питанням мережевої безпеки, пропонують цілий ряд захисних заходів, що запобігають як самим DoS-атакам, так і їх наслідкам. Для цього можна використовувати вбудовані в мережеве устаткування механізми забезпечення інформаційної безпеки і додаткові рішення, наприклад:
розділення корпоративної мережі на непересічні сегменти передачі голосу і даних, що запобігає появі в "голосовій" ділянці поширених атак, у тому числі і DOS;
спеціальні правила контролю доступу на маршрутизаторах і міжмережевих екранах, що захищають периметр корпоративної мережі і окремі її сегменти;
системи запобігання атакам на вузлах;
спеціалізовані системи захисту від DOS- і DDoS-атак;
спеціальні настройки на мережевому устаткуванні, що запобігають підміні адреси, часто використовуваній при DoS-атаках, і пропусканням, що обмежують смугу, що не дозволяє вивести з ладу ресурси, що атакуються, великим потоком даремного трафіку.
Міф 6. До IP-телефонів можна здійснити несанкціонований доступ
Самі IP-телефони містять цілий ряд спеціальних настройок, що перешкоджають несанкціонованому доступу до них. До таких настройок можна віднести, зокрема, доступ до функцій телефону тільки після пред'явлення ідентифікатора і пароля або заборона локальної зміни настройок і т.д.
З метою запобігання завантаженню на IP-телефон несанкціоновано модифікованого ПО і конфігураційних файлів їх цілісність контролюється електронним цифровим підписом і сертифікатами X.509.
Міф 7. Сервер управління можна перенавантажувати великим числом дзвінків
Максимальне число дзвінків в годину на один сервер управління складає від 100 000 (залежно від конфігурації) до 250 000 при використанні кластера серверів, що управляють. При цьому адміністратор може використовувати спеціальні настройки, що обмежують число вхідних дзвінків необхідним значенням.
І нарешті, у разі втрати зв'язку з одним з серверів управління можлива автоматична перереєстрація IP-телефону на резервному сервері.
Міф 8. У IP-телефонії легко зробити шахрайство
Сервер управління інфраструктурою IP-телефонії містить ряд можливостей, що дозволяють понизити вірогідність телефонного шахрайства, таких, як крадіжка послуг, фальсифікація дзвінків, відмова від платежу і т. п.). Так, для кожного абонента можна:
заблокувати дзвінки на певні групи номерів і з них;
заблокувати можливість переадресації дзвінків на різні типи номерів - міські, мобільні, міжміські, міжнародні і т. д.;
фільтрувати дзвінки по різних параметрах і т.д.
Всі ці дії здійснюються незалежно від того, з якого телефонного апарату абонент дзвонить. Це реалізується шляхом аутентифікації кожного абонента, одержуючого доступ до IP-телефону. Якщо користувач не проходить процес підтвердження своєї достовірності, то він може дзвонити тільки за наперед певним списком телефонних номерів, наприклад в швидку допомогу, міліцію або внутрішній відділ підтримки.
Міф 9. Традиційна телефонія захищеніша, ніж IP-телефонія
Це найпоширеніший міф в області телефонії. Традиційна телефонія, розроблена десятиліття тому, забезпечує нижчий рівень захищеності, чим нова і більш довершена технологія IP-телефонії.
У традиційній телефонії набагато легше підключитися до чужої розмови, підмінити номер, "наповнити" дзвінками і провести безліч інших погроз, що навіть не мають аналогів в IP-телефонії (наприклад, war dialing). Захист традиційної телефонії забезпечується набагато дорожчими засобами і механізмами, чим в IP-телефонії, в якій ці засоби вбудовані в самі компоненти цієї технології.
Наприклад, для захисту від прослуховування традиційна телефонія використовує спеціальні пристрої - скремблери, централізоване управління якими неможливе; не говорячи вже про дорожнечу їх придбання і установки перед кожним телефонним апаратом.
Питання безпеки нових інформаційних технологій (а до них відноситься і IP-телефонія) зараз знаходяться в центрі уваги багато. Ніхто не хоче, упроваджуючи у себе новомодне рішення, що допомагає бізнесу, привносити в компанію і нові погрози. Тому зараз інформаційна безпека стає в розділ кута при виборі нових ІТ-СИСТЕМ. Цій темі присвячуються і різні публікації.
Наприклад, зовсім недавно відомий журнал NetworkWorld спільно з незалежною тестовою лабораторією Miercom провели повномасштабне дослідження захищеності ряду відомих рішень для побудови мереж IP-телефонії. З його результатами можна ознайомитися на сайті NetworkWorld. На закінчення хочу відзначити, що, не дивлячись на чутки, циркулюючі в середовищі ІТ-СПЕЦИАЛІСТОВ, щодо низької захищеності IP-телефонії, насправді ця технологія набагато захищеніша, ніж її традиційна "сестра". При цьому вартість захисту істотно нижча, а управління набагато зручніше і ефективніше, ніж в звичній нам телефонії.
Звідси можна зробити висновок: перехід до IP-телефонії, що надає набагато привабливіші для бізнесу послуги і функції, - всього лише питання часу. І перший, хто зрозуміє це і здійснить його, стане лідером в своєму сегменті ринку.
А. Лукацкий, PC Week/RE

Джерело: ip-phones.com.ru