小心統(tǒng)一通信安全威脅—統(tǒng)一通信（UC）帶來必須提防的潛在安全漏洞
2008/12/23
統(tǒng)一通信為VoIP網(wǎng)絡打開通向協(xié)作的大門，這些協(xié)作方式包括即時消息、視頻、業(yè)務應用和電子郵件。但它也使網(wǎng)絡面臨新的攻擊。
盡管VoIP網(wǎng)絡最大的實際威脅仍是對基礎IP網(wǎng)絡基礎設施的攻擊，但UC通過建立VoIP網(wǎng)絡與企業(yè)數(shù)據(jù)網(wǎng)絡之間的連接更換了新的攻擊角度。
Nemertes Research公司分析師Ted Ritter說，當前多數(shù)企業(yè)部署通常試圖盡可能地隔離VoIP，通過廣泛限制不需要支持呼叫的設備訪問權來建立保護語音網(wǎng)絡的孤島。
統(tǒng)一通信改變了這一切。Ritter說：“在使用UC時，按照定義，用戶開放基礎設施并關注協(xié)作，擴展到企業(yè)之外連接貿(mào)易合作伙伴和客戶。”
竊聽、篡改會話、偷打電話、進行話費欺詐、以及利用呼叫淹沒目標分機（這些活動以前都是可能的）變得更容易。
不要忽視基本網(wǎng)絡攻擊
然而，VoIP安全聯(lián)盟主席、Tipping Point高級安全研究主管David Endler說，在現(xiàn)實中，這些理論上的VoIP特有的攻擊很少真正發(fā)生。他承認，作為VoIP基礎的IP網(wǎng)絡的基本措施仍是最好的保護。
Endler說：“人們可能往往會研究一些更感性的攻擊類型以防止它們—如竊聽或假冒、或呼叫者ID哄騙。但真實情況是，當前最普遍的威脅是非常基本的網(wǎng)絡級類型的攻擊。”
Global Knowledge公司Stuart McLeod說，部署VoIP的企業(yè)仍應當意識到UC可能打開的安全裂縫。他說：“安全性的關鍵始終是在黑客與他的目標之間建立盡可能多的障礙層。一旦采用統(tǒng)一通信，我們會失去幾個障礙層。”
例如，Viper Labs主管Jason Ostrom說，UC可能引入在PC上使用軟電話客戶程序，這可能造成麻煩。Viper Labs是專業(yè)從事VoIP安全的廠商—Sipera公司的安全研究機構。著眼于測試企業(yè)VoIP網(wǎng)絡的Ostrom在試驗室中開發(fā)針對VoIP的攻擊，自動化已有的攻擊讓它們變得更復雜。
用于呼叫中心應用的Microsoft Office Communications Server客戶端程序和Cisco Communicator軟電話客戶端程序可能成為發(fā)動攻擊的潛在站點，尤其是來自內(nèi)部人員的攻擊。他說，他們可以通過這些客戶程序入侵數(shù)據(jù)虛擬LAN。因為這些客戶程序提供連接VoIP VLAN的語音收聽服務。
此外，UC應用生存連接到LDAP和Active Directory服務器的語音VLAN上，從而打開暴露數(shù)據(jù)網(wǎng)絡的另一個通道。Ostrom說：“用戶口令和企業(yè)數(shù)據(jù)可以通過語音VLAN來偷竊。”
數(shù)據(jù)安全咨詢機構Cryptography Research總裁兼首席科學家Paul Kocher說，風險評估是做出保護與UC連接的VoIP決定所不可缺少的。他說，UC代表著連接可能造成其他風險，但并不全是緊急風險應用的一系列復雜的集成點。
例如，在UC軟件中，程序可以被配置為觸發(fā)電話呼叫，但這不是個大問題。Kocher說：“存在著潛在的竊聽場景或者應用可能被破壞來撥打錯誤的電話號碼。但是這些并不是讓你為之擔心的問題。”
Ritter說，保護這類網(wǎng)絡是可能的，但越來越大的復雜性意味著更多的企業(yè)單位必須在比獨立VoIP所需要的更高級別上的參與。
不要忽視遵從性因素
遵從性是金融、醫(yī)療保健和支付卡等行業(yè)中的大問題，這些行業(yè)擁有可能影響到VoIP的管理規(guī)定。必須保護UC，防止數(shù)據(jù)泄露。不管數(shù)據(jù)是利用電子郵件發(fā)送的語音郵件、發(fā)送到公司之外的IM，還是保存在硬盤上、包含患者信息的存檔視頻會議。
Ritter說，在UC部署上最成功的企業(yè)是讓安全團隊在規(guī)劃過程的早期就參與進來，但這不是通常的情況。他說：“不幸的是，我們?nèi)园l(fā)現(xiàn)安全團隊通常屬于最后參與規(guī)劃的團隊之一。”
Ritter建議在規(guī)劃UC和VoIP時，及早讓安全團隊和遵從性團隊一起工作。這樣做可以解除更可能是電話專家或一般基礎設施專家的大部分安全責任。法律團隊也應當及早參與規(guī)劃工作。
隨著新技術的采用，VoIP的暴露面將繼續(xù)增長。Nemertes發(fā)現(xiàn)，接受調查的規(guī)劃，面向服務架構的IT經(jīng)理中有46%的人認為，他們還計劃將UC與像CRM或ERP這樣的SOA應用相集成。
Ritter說：“由于這將把UC和VoIP擴展到應用域中，因此增加了另一層復雜性。”盡管存在這種風險，但Nemertes發(fā)現(xiàn)，安全團隊對SOA部署的貢獻最少。
專家們說，也許VoIP安全面臨的最大威脅是許多用戶沒有通盤考慮安全性。
Ostrom說：“我看到的多數(shù)VoIP部署沒有建議實行像強加密、認證和接入控制等最佳實踐來保護VoIP網(wǎng)絡不受其余網(wǎng)絡的影響。”
除此之外，一些企業(yè)沒有意識到它們使用會很容易被篡改的協(xié)議。Avaya公司安全規(guī)劃與戰(zhàn)略高級經(jīng)理Andy Zmolek說：“我看到的最常見的錯誤是在VLAN分配這類事情上采用不安全的協(xié)議。”
Zmolek說：“他們應當使用鏈路層發(fā)現(xiàn)協(xié)議和802.1X認證來確保VLAN分配和訪問控制是安全的。”缺少安全認證，PC可以偽裝成一部電話，接入VoIP VLAN，然后造成一場災難。
他認為，另一個問題與技術無關，而與支持部署技術的團隊內(nèi)的溝通有聯(lián)系。例如，許多客戶發(fā)出包含他們在購買后從來不啟用的特性的RFP（需求方案說明書）。他說：“他們具有加密信令和媒體的能力，但他們很少啟用這種能力。他們可能會說這應當由安全部門來處理，但安全團隊才開始了解如何確保實施所需要的安全性。”
Ostrom說，企業(yè)應當小心，不要理所當然地信任自己的雇員。他發(fā)現(xiàn)，依靠VoIP的企業(yè)中存在錯誤的想法：由于VoIP用戶在內(nèi)部網(wǎng)絡上，而這些用戶是可信任的，因此不存在VoIP安全問題。他說，這是危險的假設。因為如果他們錯了的話，一個擁有網(wǎng)絡訪問權的攻擊者會造成巨大的破壞。
他還說，具有網(wǎng)絡訪問權的用戶可以通過把一臺欺詐便攜機連接在一臺被電話共享的集線器上，搭載在成功的IP電話802.1X認證上進入數(shù)據(jù)網(wǎng)絡。
這部電話認證登錄交換機端口，但此后沒有對每個數(shù)據(jù)包的認證。如果攻擊者與電話用來連接網(wǎng)絡的集線器共享的認證，他就獲得了對VoIP網(wǎng)絡的訪問，并可以發(fā)動竊聽或修改電話呼叫內(nèi)容的中間人攻擊。
“我們開發(fā)了一種證明這種攻擊的概念證明工具。利用這種工具，他們可以以其他電話或VLAN跳轉為目標攻擊數(shù)據(jù)網(wǎng)絡。”O(jiān)strom表示。
Nemertes分析師Irwin Lazar說，企業(yè)對VoIP的主要擔心仍是如何保護基礎數(shù)據(jù)網(wǎng)絡免受像拒絕服務攻擊這樣的影響。
網(wǎng)界網(wǎng)
相關鏈接:
海晏县|
融水|
礼泉县|
竹溪县|
八宿县|
武平县|
诸城市|
陆丰市|
特克斯县|
靖西县|
辽源市|
绩溪县|
丽江市|
桑植县|
诸城市|
睢宁县|
营山县|
城步|
瑞金市|
衡山县|
青岛市|
湄潭县|
龙州县|
南开区|
尚义县|
皋兰县|
互助|
永州市|
久治县|
屯门区|
南陵县|
五大连池市|
玉溪市|
宣汉县|
富裕县|
马关县|
贵溪市|
布拖县|
勃利县|
青州市|
屏东县|