Avaya-IPT安全解决方案

Avaya-IPT安全解决方案Avaya的设计理念语音与数据融合给通信带来全新的世界的同时安全性提高到了一个重要的日程，Avaya在设计IPT的同时，安全已经做为一项重要的基础技术与融合的概念同时推出。

传统语音基础设施和数据基础设施所面临的安全威胁传统的语音基础设施，例如PBX来说，安全威胁以话费欺诈为主，而造成话费欺诈的主要原因包括：﹡粗心的用户暴露了长途直拨的验证代码﹡自动拨号功能按钮中的用户编程验证代码﹡语音邮件密码泄漏﹡配置错误的远程访问、语音邮件访问和自动话务员访问权限﹡未及时清除已经离开公司的员工账户传统语音基础设施中还存在线路窃听、通过远程拨号维护调制解调器进行非法接入、对PABX的物理接触等，但由于传统的语音设备技术上的私有性和封闭性，对传统语音设备的攻击远小于数据网络中的攻击。

网络协议的开放性，技术上的易掌握性，目前数据网络上存在着大量的安全攻击和威胁，例如：﹡拒绝服务攻击– SYN Flood，Flood Ping、IP碎片攻击、Finger of death等；﹡病毒攻击–邮件蠕虫、特洛伊木马等﹡操作系统安全漏洞–大部分黑客都是通过OS的安全漏洞获取超级用户访问权﹡端口扫描–获取网络服务和拓扑图，目前从互联网上均可以下载到端口扫描的工具﹡交换机、路由器、防火墙– SNMP V1本身存在安全弱点，超级权限用户访问等﹡数据拦截/窃听–交换式网络上的中间人攻击，IP欺骗，SnifferIP 语音通讯所面临的安全威胁由于IP Telephony的语音服务器和网关均部署在IP网络平台上，因此会面临原来传统的语音和数据基础设施合二为一的安全威胁，这些威胁将严重影响IP 语音系统的正常运行，包括：–端口扫描/拒绝服务攻击(DoS)从网络攻击的方法和产生的破坏效果来看，DoS算是一种既简单又有效的攻击方式。

攻击者向服务器发送相当多数量的带有虚假地址的服务请求，但因为所包含的回复地址是虚假的，服务器将等不到回传的消息，直至所有的资源被耗尽。

VoIP技术已经有很多知名的端口，像1719、1720、5060等。

还有一些端口是产品本身需要用于远端管理或是私有信息传递的用途，总之是要比普通的某个简单的数据应用多。

只要是攻击者的PC和这些应用端口在同一网段，就可以通过简单的扫描工具，如X-Way之类的共享软件来获得更详细的信息。

最近报道的一个安全漏洞是由NISCC(UKNationalInfrastructure SecurityCo-ordi-nationCenter)提出，测试结果表明：―市场上很多采用H.323协议的VoIP系统在H.245建立过程中都存在漏洞，容易在1720端口上受到DoS的攻击，导致从而系统的不稳定甚至瘫痪‖。

– OS漏洞和病毒攻击目前IP Telephony最常用的话音建立和控制信令是H.323和SIP协议。

尽管它们之间有若干区别，但总体上都是一套开放的协议体系。

设备厂家都会有独立的组件来承载包括IP终端登陆注册、关守和信令接续。

这些产品有的采用WindowsNT的操作系统，也有的是基于Linux或VxWorks。

越是开放的操作系统，也就越容易受到病毒和恶意攻击的影响。

尤其是某些设备需要提供基于Web的管理界面的时候，都会有机会采用Microsoft IIS或Apache来提供服务，而这些应用都是在产品出厂的时候已经安装在设备当中，无法保证是最新版本或是承诺已经弥补了某些安全漏洞。

–由于网络管理漏洞以及通过分组窃听泄漏验证代码造成话费欺诈话费欺诈的问题在传统语音设备上同样存在，最简单的方式就是通过一根普通模拟话机线上又并接了多个电话，将会出现电话盗打的问题。

尽管IP话机没办法通过并线的方式来打电话，但通过窃取使用者IP电话的登陆密码同样能够获得话机的权限。

通常在IP话机首次登陆到系统时，会要求提示输入各人的分机号码和密码；很多采用了VoIP的企业为了方便员工远程/移动办公，都会在分配一个桌面电话的同时，再分配一个虚拟的IP电话，并授予密码和拨号权限。

这样，即使员工出差或是在家办公情况下，都可以利用VPN方式接入到公司的局域网中，然后运行电脑中的IP软件电话接听或拨打市话，如同在公司里办公一样。

当密码流失之后，任何人都可以用自己的软电话登陆成为别人的分机号码；如果获得的权限是可以自由拨打国内甚至国际长途号码，将会给企业带来巨大的损失且很难追查。

– IP语音Sniffer模拟话机存在并线窃听的问题，当企业用户使用了数字话机之后，由于都是厂家私有的协议，很难通过简单的手段来侦听。

但在IP环境下，这个问题又被提了出来。

一个典型的IP语音呼叫需要信令和媒体流两个建立的步骤，RTP/RTCP是在基于包的网络上传输等时话音信息的协议。

由于协议本身是开放的，即使是一小段的媒体流都可以被重放出来而不需要前后信息的关联。

如果有人在数据网络上通过Sniffer的方式记录所有信息并通过软件加以重放，会引起员工对话音通信的信任危机。

S8700/S8500/8300 媒体服务器均采用专业的硬件设备及Linux操作系统，Avaya Communication Manager核心软件运行在该操作系统上提供呼叫处理功能。

而运行在S8700/S8500/8300 媒体服务器的Linux操作系统是经过特别的安全强化设计的：• 强化的Linux操作系统—S8700/S8500/8300采用强化的操作系统，仅仅运行必要的服务；• 入侵检测—S8700/S8500/8300媒体服务器采用标准的安装，可以很好的监控系统和配置的变化，并会产生相应的告警；• Netfilter/IPTables (内核级防火墙) —提供了对运行在服务器上服务的更加增强的安全性接入；• 安全的Telnet (SSH),、FTP (SFTP)、文件拷贝(SCP)和Web (HTTPS) 方式管理—为系统管理和配置提供安全性保障；•不需要使用root身份登录服务器—操作和维护S8700/S8300媒体服务器，均不使用root用户名登录，防止病毒和木马程序的影响Avaya IP语音安全架构设计Avaya在从传统语音向IP Telephony迁移过程中，注意到了融合网络平台的安全性的问题，在进行产品架构、功能设计时均充分考虑到IP网络平台的安全威胁，并进行了全面的优化设计。

Avaya 系统安全优化结构通过从媒体服务器，媒体网关到IP终端的多级安全设计，实现一个立体化的端到端的IP语音安全架构。

S8700媒体服务器放置在单独的安全域在S8710 媒体服务器中，控制信息和语音信息采用不同的承载通道。

对于语音信息的传输，仍然安装于G650媒体网关的相应的IP接口板实现。

控制信息则在S8700 媒体服务器和G650媒体网关中的TN 2312 IPSI板之间的专用网络来传输。

该网络原则上是一个相对独立的网络。

由于将专用的控制网络与开放的数据网络逻辑上进行了隔离，因此S8700媒体服务器不会受到外界网络攻击和病毒的影响强化的Linxu服务器及安全的管理S8710媒体服务器均采用专业的硬件设备及Linux操作系统，Avaya Communication Manager核心软件运行在该操作系统上提供呼叫处理功能。

而运行在S8710媒体服务器的Linux操作系统是经过特别的安全强化设计的：• 强化的Linux操作系统— S8700/S8300采用强化的操作系统，仅仅运行必要的服务；• 入侵检测—S8700/S8300媒体服务器采用标准的安装，可以很好的监控系统和配置的变化，并会产生相应的告警；• Netfilter/IPTables (内核级防火墙) —提供了对运行在服务器上服务的更加增强的安全性接入；• 安全的Telnet (SSH),、FTP (SFTP)、文件拷贝(SCP)和Web (HTTPS) 方式管理—为系统管理和配置提供安全性保障；•不需要使用root身份登录服务器—操作和维护S8700/S8300媒体服务器，均不使用root用户名登录，防止病毒和木马程序的影响预防DoS攻击由于S8710媒体服务器没有直接连接在客户开放的数据网络平台上，它和媒体网关IPSI板卡之间控制信息的传输不会受到外界网络DoS 攻击的影响。

在客户的数据网络平台上部署IP电话，媒体网关上需要配置两个接口卡板：C－LAN和IP媒介处理器板TN2302AP（IP Media Processor）。

它们均通过标准的以太网接口与IP网络连接。

C－LAN板卡主要为媒体服务器和IP电话之间提供IP语音控制信令的连接，提供类似H.323关守的功能，其中包括:﹡H.323/H.225协议, 提供登录、许可及安全校验功能﹡Q931协议，以提供信令控制功能和增值应用﹡H.245协议，用于用户输入指示消息﹡用于IP软件电话和IP电话的CCMS协议而IP媒介处理器板（IP Media Processor）用于时分复用（TDM）总线与IP网络之间音频信息流的转换处理。

该板不具有任何信令处理功能：它只处理音频业务的传输，而呼叫信令的处理由Avaya呼叫处理软件来完成。

由于C－LAN板和IP媒介处理器板（IP Media Processor）才真正连接到客户数据网络平台上，但由于这两快板卡均运行特定的服务，只对相应IP语音TCP/UDP应用进行响应，所以网络当中的病毒和DoS攻击均无法影响到IP 语音系统的可靠运行。

IP语音和普通数据逻辑隔离Avaya 46xx系列IP话机均提供2个以太网端口，一个连接网络交换机，一个可以连接用户PC，与网络交换机连接端口通过802.1Q/p 标准协议，可以实现IP语音和用户PC分布属于不同的VLAN。

划分VLAN是目前保护IP话音系统最为简单有效的方法，可以隔离病毒和简单的攻击。

而且IP语音包会带上第二层和第三层的优先级标记，可以和客户具有QoS支持的数据网络相配合，还将有助于提高话音质量IP信令和RTP媒体流加密部署在客户开放数据网络平台上的Avaya 媒体网关和IP电话，支持IP信令和IP语音流的加密。

Avaya的媒体服务器、媒体网关以及IP终端均支持对RTP语音媒体流进行加密传输。

H.323关守（C－LAN板）和H.323终端在IP语音呼叫信令建立过程中，会对媒体加密进行协商，如果决定对一个呼叫进行加密，它们之间会交换加密的相关关键参数：•使用什么加密算法•使用什么加密密钥RTP媒体流加密可以以下设备之间实施：• IP 终端–媒体网关• IP 终端– IP终端• 媒体网管–媒体网关目前，Avaya IP语音系统中将支持AEA（Avaya私有加密算法）和高级加密标准（AES）。