统一通信UC带来必须提防的潜在安全漏洞

Nemertes Research公司分析师Ted Ritter说，当前多数企业部署通常试图尽可能地隔离VoIP，通过广泛限制不需要支持呼叫的设备访问权来建立保护语音网络的孤岛。统一通信改变了这一切。Ritter说：“在使用UC时，按照定义，用户开放基础设施并关注协作，扩展到企业之外连接贸易合作伙伴和客户。”窃听、篡改会话、偷打电话、进行话费欺诈、以及利用呼叫淹没目标分机（这些活动以前都是可能的）变得更容易。不要忽视基本网络攻击然而，VoIP安全联盟主席、Tipping Point高级安全研究主管David Endler说，在现实中，这些理论上的VoIP特有的攻击很少真正发生。他承认，作为VoIP基础的IP网络的基本措施仍是最好的保护。Endler说：“人们可能往往会研究一些更感性的攻击类型以防止它们—如窃听或假冒、或呼叫者ID哄骗。但真实情况是，当前最普遍的威胁是非常基本的网络级类型的攻击。”Global Knowledge公司Stuart McLeod说，部署VoIP的企业仍应当意识到UC可能打开的安全裂缝。他说：“安全性的关键始终是在黑客与他的目标之间建立尽可能多的障碍层。一旦采用统一通信，我们会失去几个障碍层。”例如，Viper Labs主管Jason Ostrom说，UC可能引入在PC上使用软电话客户程序，这可能造成麻烦。Viper Labs是专业从事VoIP安全的厂商—Sipera公司的安全研究机构。着眼于测试企业VoIP网络的Ostrom在试验室中开发针对VoIP的攻击，自动化已有的攻击让它们变得更复杂。用于呼叫中心应用的Microsoft Office Communications Server客户端程序和Cisco Communicator软电话客户端程序可能成为发动攻击的潜在站点，尤其是来自内部人员的攻击。他说，他们可以通过这些客户程序入侵数据虚拟LAN。因为这些客户程序提供连接VoIP VLAN的语音收听服务。此外，UC应用生存连接到LDAP和Active Directory服务器的语音VLAN上，从而打开暴露数据网络的另一个通道。Ostrom说：“用户口令和企业数据可以通过语音VLAN来偷窃。”数据安全咨询机构Cryptography Research总裁兼首席科学家Paul Kocher说，风险评估是做出保护与UC连接的VoIP决定所不可缺少的。他说，UC代表着连接可能造成其他风险，但并不全是紧急风险应用的一系列复杂的集成点。例如，在UC软件中，程序可以被配置为触发电话呼叫，但这不是个大问题。Kocher说：“存在着潜在的窃听场景或者应用可能被破坏来拨打错误的电话号码。但是这些并不是让你为之担心的问题。”Ritter说，保护这类网络是可能的，但越来越大的复杂性意味着更多的企业单位必须在比独立VoIP所需要的更高级别上的参与。不要忽视遵从性因素遵从性是金融、医疗保健和支付卡等行业中的大问题，这些行业拥有可能影响到VoIP的管理规定。必须保护UC，防止数据泄露。不管数据是利用电子邮件发送的语音邮件、发送到公司之外的IM，还是保存在硬盘上、包含患者信息的存档视频会议。Ritter说，在UC部署上最成功的企业是让安全团队在规划过程的早期就参与进来，但这不是通常的情况。他说：“不幸的是，我们仍发现安全团队通常属于最后参与规划的团队之一。”Ritter建议在规划UC和VoIP时，及早让安全团队和遵从性团队一起工作。这样做可以解除更可能是电话专家或一般基础设施专家的大部分安全责任。法律团队也应当及早参与规划工作。随着新技术的采用，VoIP的暴露面将继续增长。Nemertes发现，接受调查的规划，面向服务架构的IT经理中有46%的人认为，他们还计划将UC与像CRM或ERP这样的SOA应用相集成。Ritter说：“由于这将把UC和VoIP扩展到应用域中，因此增加了另一层复杂性。”尽管存在这种风险，但Nemertes发现，安全团队对SOA部署的贡献最少。专家们说，也许VoIP安全面临的最大威胁是许多用户没有通盘考虑安全性。Ostrom说：“我看到的多数VoIP部署没有建议实行像强加密、认证和接入控制等最佳实践来保护VoIP网络不受其余网络的影响。”除此之外，一些企业没有意识到它们使用会很容易被篡改的协议。Avaya公司安全规划与战略高级经理Andy Zmolek说：“我看到的最常见的错误是在VLAN分配这类事情上采用不安全的协议。”Zmolek说：“他们应当使用链路层发现协议和802.1X认证来确保VLAN分配和访问控制是安全的。”缺少安全认证，PC可以伪装成一部电话，接入VoIP VLAN，然后造成一场灾难。他认为，另一个问题与技术无关，而与支持部署技术的团队内的沟通有联系。例如，许多客户发出包含他们在购买后从来不启用的特性的RFP（需求方案说明书）。他说：“他们具有加密信令和媒体的能力，但他们很少启用这种能力。他们可能会说这应当由安全部门来处理，但安全团队才开始了解如何确保实施所需要的安全性。”Ostrom说，企业应当小心，不要理所当然地信任自己的雇员。他发现，依靠VoIP的企业中存在错误的想法：由于VoIP用户在内部网络上，而这些用户是可信任的，因此不存在VoIP安全问题。他说，这是危险的假设。因为如果他们错了的话，一个拥有网络访问权的攻击者会造成巨大的破坏。他还说，具有网络访问权的用户可以通过把一台欺诈便携机连接在一台被电话共享的集线器上，搭载在成功的IP电话802.1X认证上进入数据网络。这部电话认证登录交换机端口，但此后没有对每个数据包的认证。如果攻击者与电话用来连接网络的集线器共享的认证，他就获得了对VoIP网络的访问，并可以发动窃听或修改电话呼叫内容的中间人攻击。“我们开发了一种证明这种攻击的概念证明工具。利用这种工具，他们可以以其他电话或VLAN跳转为目标攻击数据网络。”Ostrom表示。Nemertes分析师Irwin Lazar说，企业对VoIP的主要担心仍是如何保护基础数据网络免受像拒绝服务攻击这样的影响。网界网

淄博西装定做

枣庄制作防静电工服

山东工服制做

吉林定做西装