Меры безопасности в сфере телефонной связи. Часть 2.
Сетевая безопасность.
При использовании IP-АТС, как аппаратной, так и программной, например Asterisk, а также ip-оборудования, необходимо особое внимание уделить сетевой безопасности. Сеть и сетевая инфраструктура у каждой организации своя. Наибольшую пользу принесут рекомендации, индивидуально разработанные для каждой конкретной организации. Поэтому ниже сформулированы только общие правила в области безопасности сети.
- Большинство взломанных IP-АТС — это IP-АТС, которые были установлены на внешнем ip-адресе. Поэтому IP-АТС и SIP-оборудование не должны иметь внешнего ip-адреса, если в этом нет острой необходимости.
- Естественно, даже если IP-оборудование располагается за NAT, то на маршрутизаторе (роутере) при использовании NAT не должен быть осуществлен проброс портов (Port Forwarding) на Ip-адреса IP-АТС и/или SIP-оборудования.
- Маршрутизатор (роутер) должен быть защищен от взлома. Это убережет не только IP-АТС и SIP-оборудование, но и всю локальную сеть. Необходимо принять меры защиты в соответствии с рекомендациями производителя маршрутизатора. Например запрет на управление маршрутизатором из интернет через web-интрефейс, telnet и др.
Организационные меры.
- Применение пин-кода для IP-телефонии по телефону доступа.
При использовании IP-телефонии по телефону доступа необходимо отказаться от авторизации по АОН и применять пин-код, причем желательно сложный. Или применять обе технологии авторизации одновременно (АОН+пин-код). - Обеспечить конфиденциальность информации, имеющей отношение к телефонной связи. К конфиденциальной информации в частности относится:
— уникальные коды идентификации, предоставленные операторами ip-телефонии, необходимые для регистрации в их системе связи;
— логин-пароль к личному кабинету абонента на web-сайте оператора связи;
— логины-пароли доступа к интерфейсу для настроек АТС, телефонного и сетевого оборудования и т.п. - У сотрудника, ответственного за телефонную связь в организации, должно быть четкое понимание корпоративной телефонной инфраструктуры. Например, должны быть ответы на вопросы: какие договора на оказание услуг связи заключены у организации, какие есть абонентские линии и к какому телефонному оборудованию они подключены, какие sim-карты подключены в рамках договора корпоративной мобильной связи, какие номера за кем из сотрудников закреплены, кто отвечает за хранение не используемых sim-карт и т.п.
- Запретить физический доступ сторонних лиц к АТС и к определенным видам телефонного оборудования. Идеально, если данное оборудование находиться в серверной, и доступ к нему есть только у ответственного системного администратора и другого строго ограниченного круга лиц.
- Регламент работ, полномочия лиц, обслуживающих телефонное оборудование, должны быть по возможности максимально подробно прописаны юридически. Например, в должностной инструкции системного администратора.
Предыдущие статьи данной рубрики:
Кража денежных средств через телефонную связь.
Кража через телефонную связь. Как такое может быть?
Уязвимости проводной телефонной связи.
Уязвимости мобильной связи.
Уязвимости IP-телефонии по телефону доступа.
Уязвимости VoIP-телефонии.
Меры безопасности в сфере телефонной связи. Часть 1.
