WHITE PAPER BEZPIECZEŃSTWO KOMUNIKACJI VOIP

WHITE PAPER BEZPIECZEŃSTWO KOMUNIKACJI VOIP 1

TELEFONIA INTERNETOWA A KWESTIE BEZPIECZEŃSTWA Choć technologia Voice over IP jest obecna na rynku od kilku lat, dopiero ostatnio telefonia internetowa znacząco zyskała na znaczeniu. Do wzrostu popularności tej technologii przyczyniły się wysoki poziom jej zaawansowania oraz niŝsze koszty z nią związane, jak równieŝ integracja funkcjonalności systemów telefonicznych i informatycznych. Niestety pojawienie się telefonii internetowej pociąga za sobą moŝliwość wykorzystywania luk występujących na poziomie protokołu i samej aplikacji. To z kolei sprawia, Ŝe nieuniknione jest wprowadzenie do systemu zabezpieczeń chroniących zasoby telefoniczne i informatyczne. Zabezpieczenie systemu telefonicznego wiąŝe się z komplikacjami znacznie większymi niŝ zabezpieczenie systemu informatycznego. Ze względu na liczbę i róŝnorodność moŝliwych ataków oraz zastosowanie zintegrowanych środków komunikacji konieczna jest dedykowana polityka bezpieczeństwa. Oprócz ataków typu Denial of Service, które mogą prowadzić do zablokowania dostępu do serwerów bądź terminali telefonicznych, system telefonii IP musi radzić sobie z wieloma innymi zagroŝeniami, takimi jak fałszowanie toŝsamości w spamie czy wykorzystywanie luk oprogramowania bądź protokołu. Co więcej, integracja systemu informatycznego i telefonicznego oznacza konieczność podwójnych zabezpieczeń: Zabezpieczenie systemu telefonicznego Zabezpieczenie dostępu do systemu informatycznego z systemu telefonicznego Polityka bezpieczeństwa dla systemu telefonii internetowej moŝe się opierać na dobrych praktykach infrastruktury sieciowej bądź na zastosowaniu odpowiedniego zabezpieczenia sprzętowego. Jako uzupełnienie dzielenia sieci, firewall VoIP zapewnia dodatkowy poziom zabezpieczenia dla skanowania na poziomie protokołu i aplikacji. Zarządzanie lukami jest teraz integralną częścią urządzeń wielofunkcyjnych. Aktualnie dystrybutorzy rozwiązań do zabezpieczania sieci, chcąc nadąŝyć za rozwojem zagroŝeń, muszą stale wprowadzać do swoich urządzeń nowe metody ochrony. LUKI SYSTEMU VOIP NiezaleŜnie od luk wynikających z połączenia systemu telefonii IP i systemu informatycznego juŝ luki dotyczące wyłącznie Voice over IP dotykają znacznej części systemu (np. dostępność) i jego elementów fizycznych (serwery i terminale). 2

Luki te moŝna podzielić na 6 grup: Spam telefoniczny Dostępność systemu telefonicznego Poufność wymienianych danych Fałszowanie toŝsamości Błędy aplikacji serwera Błędy aplikacji na terminalach SPAM TELEFONICZNY Jedno z głównych zagroŝeń związanych z usługą Voice over IP to spam telefoniczny, zwany teŝ SPIT (Spam Over Internet Telephony). ZagroŜenie to nie dotyka prawdopodobnie samych zasobów systemu telefonii IP, ale ma bezpośredni wpływ na wydajność pracy uŝytkowników, którzy padają ofiarą takich wiadomości. AngaŜowanie uŝytkownika w niechcianą/nieplanowaną rozmowę telefoniczną (z informacjami reklamowymi lub targetowanymi) odrywa go od pracy. Telefony takie porównać moŝna z niechcianą pocztą elektroniczną (spam). Takie wiadomości e-mail uwaŝane są za uciąŝliwe. W przypadku telefonów uciąŝliwość ta rośnie, gdyŝ nie da się takich wiadomości przeoczyć. Telefoniczne kampanie spamowe nie są jeszcze powszechne, ale ich liczba będzie przypuszczalnie rosnąć proporcjonalnie do wzrostu popularności telefonii IP. DOSTĘPNOŚĆ Dostępność systemu jest jednym z wiodących czynników ryzyka, jako Ŝe ma ona bezpośredni i natychmiastowy wpływ na uŝytkowników końcowych. W przypadku firmy oferującej usługi telefoniczne (np. call center), generowany zysk ma związek z dostępnością systemu telefonicznego, co czyni z dostępności krytyczny czynnik ryzyka. Zidentyfikowano dwa rodzaje luk odnoszących się do dostępności odmowa usługi (denial of service) oraz awaria bądź przeciąŝenie systemu. Podatność na ataki Denial of Service to jedna z głównych wad systemu Voice over IP, połączonego zwykle z Internetem. Tak jak serwer www czy serwer pocztowy, serwer VoIP moŝe ulec atakowi typu Denial of Service, blokującemu moŝliwość zarządzania komunikacją telefoniczną. WyróŜnić moŝna dwa typy ataków Denial of Service: 3

Denial of Service na poziomie aplikacji wykorzystuje błąd aplikacji w celu jej destabilizacji i zablokowania komunikacji. Denial of Service na poziomie protokołu zuŝywa zasoby sieciowe serwera, uniemoŝliwiając mu w ten sposób zarządzanie komunikacją VoIP. W przypadku systemu telefonii IP istnieje szczególny typ ataku Denial of Service, zwany floodem telefonicznym. Ataki te polegają na zajęciu zasobów, a opierają się na: Registration flooding, kiedy wysyłana jest duŝa liczba Ŝądań, co moŝe mieć wpływ na wydajność pracy serwera; Call request flooding, uruchamianym z jednego lub kilku zarejestrowanych źródeł. W jego wyniku w celu rozpoczęcia rozmowy konieczna jest rejestracja terminala; Call control flooding polegającym na masowym wysyłaniu wiadomości kontrolnych (SIP INFO, NOTIFY, Re-INVITE) po nawiązaniu połączenia. Odporność na błędy w systemie to kwestia, którą moŝna rozwiązać przez zastosowanie systemu równowaŝenia obciąŝenia, który w razie awarii części systemu moŝe zagwarantować ciągłość usługi. System o duŝej odporności na błędy umoŝliwia równieŝ kontrolę ryzyka niedostępności. POUFNOŚĆ Układ przełączania sieci oferuje dobrą ochronę poufności rozmów. Podsłuch rozmowy telefonicznej wymaga dostępu do centrali telefonicznej lub uŝycia specjalistycznego sprzętu. Z drugiej strony transfer rozmowy telefonicznej przez sieć IP taką jak Internet naraŝa poufność komunikacji. Nagrywanie rozmów telefonicznych to kolejne zagroŝenie dla poufności połączeń. MoŜliwe jest dzięki wykorzystaniu tzw. snifferów, analizujących pakiety danych. Ten typ ataku jest potocznie określany jako podsłuch. Być moŝe nie wszystkie rozmowy telefoniczne mają poufną naturę, ale podsłuch rozmów na nawet najbardziej przyziemne tematy moŝe dać komuś dostęp do informacji, które ułatwią inne ataki, w szczególności inŝynierię społeczną. Oprócz tego komunikacja między dwoma oddziałami firmy, jej siedzibą i biurem czy nawet partnerem technologicznym to aktywa, dla których nie wolno ignorować ryzyka naruszenia poufności. Inne typy ataków umoŝliwiają dostęp do danych wraŝliwych w systemie telefonii IP (SQL injection). Na przykład dają moŝliwość uzyskania danych o wszystkich uŝytkownikach zarejestrowanych w systemie. Elektroniczne ksiąŝki telefoniczne moŝna później wielokrotnie wykorzystywać lub odsprzedawać. 4

FAŁSZOWANIE TOśSAMOŚCI Fałszowanie toŝsamości moŝe naraŝać bezpośrednio finanse ofiary takiego ataku. W tym kontekście wyróŝnia się dwa typy zagroŝenia: oszustwo dotyczące ceny rozmowy, oszustwo dotyczące toŝsamości dzwoniącego. Oszustwo dotyczące ceny rozmowy polega na wykorzystaniu ID innego telefonu do połączenia telefonicznego. Koszt takiej rozmowy nie jest wtedy przypisywany osobie, która ją przeprowadziła, a posiadaczowi wspomnianego ID. W ramach tego typu oszustwa, moŝna równieŝ wykonywać połączenia na numery o podwyŝszonej opłacie (np. 0-700). Istnieją równieŝ inne zagroŝenia opierające się na fałszowaniu toŝsamości, takie jak wykorzystanie dowolnego ID telefonicznego do prowadzenia kampanii spamowej przez telefonię IP. Technika ta jeszcze bardziej utrudnia wykrycie osoby odpowiedzialnej za taką kampanię. Inny przykład to podszywanie się pod numer telefonu działu IT firmy celem pozyskania sieciowego ID uŝytkownika. Wachlarz zagroŝeń jest szeroki i moŝe nawet obejmować takie przypadki, jak manipulacja informacjami wymienianymi przez telefonię internetową. Połączenie róŝnych ataków to ostatnie zagroŝenie wykorzystujące fałszowanie toŝsamości. MoŜe być to na przykład połączenie ataków na system telefoniczny i mailowej kampanii phishingowej. UŜytkownik otrzymuje e-mail z prośbą o kontakt telefoniczny i potwierdzenie swoich danych. Osoby padające ofiarą takich ataków, nieświadome istnienia takiej metody phishingu, dzwonią i podają prywatne dane, które mogą zostać wykorzystane w przyszłości. Ten typ fałszowania toŝsamości w systemie telefonicznym zwany jest potocznie vishingiem. SERWER APLIKACJI Infrastruktura telefonii IP budowana jest wokół serwerów aplikacji, które zarządzają całą komunikacją. Jak kaŝda aplikacja, serwery te są podatne na targetowane ataki. Poza atakami typu Denial of Service, atak wirusa na taki serwer moŝe prowadzić do jego niedostępności bądź zamienić go w wektor potencjalnego ataku. Obecność wirusa lub atak DoS w przypadku serwera zarządzającego komunikacją moŝe dotyczyć samej tylko dostępności systemu telefonicznego. JednakŜe bardziej wyrafinowane ataki wirusów takich jak konie trojańskie mogą prowadzić do innych zagroŝeń, np.: rozprzestrzeniania się wirusa w infrastrukturze, 5

ujawnienia ID z bazy danych centrum zarządzającego rozmowami telefonicznymi, wykorzystania przekaźnika do unikania opłat za połączenia, telefonicznych kampanii spamowych. W przypadku serwerów centrali telefonicznych taki atak moŝe umoŝliwić odzyskiwanie minut połączenia telefonicznego. Haker moŝe następnie odsprzedać te minuty na czarnym rynku. Taki typ ataku znany jest jako phreaking. Atak typu SQL injection opiera się na lukach serwerów aplikacji SIP zarządzających bazami danych. Zasada działania jest taka sama jak dla ataków na serwery www. W gruncie rzeczy atak taki polega na przeniesieniu komend SQL w pola nagłówka SIP. MoŜe to prowadzić do usunięcia danych uŝytkownika lub nawet zmusić go do zaakceptowania próśb o rejestrację. Luki na poziomie aplikacji i protokołu stanowią zagroŝenie dla centrów zarządzania telekomunikacją. Wykorzystanie takich luk moŝe zagraŝać reszcie infrastruktury firmy. W momencie włączenia systemu telefonicznego do infrastruktury zarządzanie ryzykiem odnoszącym się do takich luk musi stać się integralną częścią procesu analizy ryzyka. TERMINALE APLIKACJI Terminale telefoniczne w systemie telefonii internetowej składają się z aplikacji oferujących uŝytkownikom cały szereg funkcji, takich jak ksiąŝka telefoniczna, zarządzanie połączeniami telefonicznymi (konferencje, odbieranie drugiego połączenia, wstrzymywanie rozmowy itd.) czy nawet dostęp do poczty głosowej. Terminale te, niezaleŝnie od tego, czy są oparte na sprzęcie czy oprogramowaniu, mają luki na poziomie aplikacji. WyróŜnić moŝna dla nich następujące zagroŝenia: Denial of Sernice, Atak na aplikację. Atak na aplikację wykorzystuje kilka błędów, takich jak: Przepełnienie bufora, Zarządzanie poleceniami wysyłanymi lub odbieranymi przez serwer SIP Proxy, Analiza odpowiedzi DNS, Zarządzanie spreparowanymi wiadomościami ICMP i http. We wszystkich przypadkach, kiedy luka zostanie juŝ wykorzystana, haker moŝe na niezabezpieczonym urządzeniu uruchomić złośliwy program. Przykłady działania takiego złośliwego oprogramowania to: Restartowanie terminala, Przesłanie ksiąŝki adresowej, Wysyłanie spreparowanych wiadomości SIP w celu uruchomienia ataku Denial of Service na serwerze SIP. 6

Atak typu Denial of Service uruchamiany na serwerze aplikacji ma na celu zatrzymanie jego pracy. Po takim ataku serwer nie moŝe juŝ zarządzać rozmowami telefonicznymi. TYPY ATAKÓW Istnieją dwie osobne grupy ataków: Ataki na poziomie protokołu oparte na lukach protokołu lub podsłuchu wiadomości, Ataki na poziomie aplikacji, wykorzystujące luki w aplikacjach. Niektóre ataki wykorzystują luki na obu poziomach. Na przykład wiadomość protokołu moŝe zawierać w sobie atak przepełnianie bufora. Ataki na poziomie protokołu pozwalają na przeprowadzenie ataku typu DoS lub naruszenie poufności wymiany informacji. ZagroŜenia związane z fałszowaniem toŝsamości wiąŝą się ogólnie rzecz biorąc z atakami mającymi na celu przejęcie komputera. Atak Registration Hijacking na SIP to dobry przykład ataku na poziomie protokołu. Przejęte dane wykorzystywane są w celu modyfikacji danych rejestracyjnych uŝytkownika. Polega to na powiązaniu zarejestrowanego ID telefonicznego z nowym adresem IP, tj. adresem hakera. PoniŜej znajduje się opis sposobu przeprowadzania takiego ataku: 1. Zablokowanie rejestracji uŝytkownika przez jedną z poniŝszych operacji: Atak DoS na urządzeniu uŝytkownika, Wyrejestrowanie uŝytkownika przez atak innego typu, Generowanie wyścigu rejestracji, w trakcie którego haker wysyła kilka próśb o rejestrację w celu przejęcia miejsca legalnego uŝytkownika. 2. Wysłanie prośby o rejestrację SIP (REGISTER) przez wskazanie w polu kontakt adresu IP hakera. Atak Request Hijacking moŝliwy jest z dwóch powodów: 1. Wiadomości sygnalizacyjne SIP są wysyłane w formie zwykłego tekstu, co umoŝliwia hakerom odzyskanie ich w celu modyfikacji i ponownego odtworzenia. 2. Zastosowanie protokołu nie zapewnia mechanizmu sprawdzania, czy wiadomość ma charakter jednolity. Więcej informacji na ten temat znaleźć moŝna na stronie: http://www.securityfocus.com/infocus/18622 7

Ataki na poziomie aplikacji polegają na wykorzystaniu błędów obecnych w oprogramowaniu. Większość z nich opiera się na zarządzaniu wiadomościami przez aplikacje i skutkuje przepełnieniem bufora. Ataki przepełnienia bufora polegają na transmisji niewłaściwych bądź zbyt duŝych pakietów danych. Istnieje kilka błędów aplikacji łączących się z przepełnieniem bufora: Anomalie w zarządzaniu błędnymi danymi (specjalnie przygotowany pakiet). Aplikacja nie rozpoznaje danych i uruchamia anomalię systemu; Przydział zbyt duŝej strefy pamięci, powodujący załamanie systemu; Delisting PC do wartości zero, powodujący załamanie systemu; Transmisja danych poza wskazaną strefę pamięci. Aplikacja kopiuje otrzymane dane do zbyt małej strefy pamięci. Nadmiar danych staje się wektorem ataku i moŝe być wykorzystany do zdalnego uruchomienia programu. Atak moŝe mieć 5 róŝnych skutków: Restart systemu, który moŝna sklasyfikować jako Denial of Service (CVE 2009-2870), Załamanie systemu, które moŝna sklasyfikować jako Denial of Service (CVE-2007-0648, CVE-2007-1306 et CVE-2007-1693), Zdalne uruchomienie programu (CVE-2007-2293), Pozyskanie danych wraŝliwych, takich jak bazy danych zarejestrowanych uŝytkowników (CVE-2006-4032), Uzyskanie przywilejów w systemie (CVE 2009-2862). Luki na poziomie wiadomości protokołu są wektorami ataków przepełnienia bufora. Tabela poniŝej przedstawia przykłady ataków wykorzystujących takie luki: Wykorzystywana wiadomość SIP-NOTIFY SIP-INVITE SIP-INVITE Odpowiedź DNS Opis Wynik Oznaczenie CVE Denial of Service Flood wiadomościami NOTIFY wskazującymi obecność wiadomości głosowej. MoŜe to prowadzić do floodu serwera po zbyt wielu próbach odsłuchania wiadomości. Ciąg wiadomości INVITE z brakującą nazwą uŝytkownika w polu Request-URI. Seria wiadomości SIP powodujących restart terminala po anomalii statusu stosu SIP w komputerze. Specjalna odpowiedź DNS wskazuje złe zarządzanie tą Denial of Service Restart Uruchomienie programu CAN-2005-2181 CAN-2005-2182 CVE-2007-5583 CVE-2007-4459 CVE-2008-0530 8

Wyzwanie/odpowiedź SIP Typ SIP-MIME ICMP-echo request HTTP request SIP-INVITE / SUBSCRIBE / REGISTER wiadomością na terminalach SIP i SCCP. Specjalna wiadomość wyzwanie/odpowiedź moŝe infekować terminale, które zostały juŝ zarejestrowane, bądź które oczekują na rejestrację. Ten typ ataku wymaga sprawdzenia serwera proxy SIP bądź ataku man-in-the-middle. Wiadomość SIP ze specjalnymi danymi MIME wskazuje na anomalię w zarządzaniu kodowaniem danych MIME. Wysyła duŝą wiadomość typu ICMP-echo request wpływającą na terminale SCCP. Wysyła specjalną wiadomość HTTP request wpływającą na terminale SCCP. Wysyła kilka wiadomości typu INVITE, SUBSCRIBE lub REGISTER z róŝnymi polami nazwy uŝytkownika. W oparciu o odpowiedź moŝna sprawdzić, którzy uŝytkownicy są zarejestrowani. Uruchomienie programu Uruchomienie programu Restart Restart Dane wraŝliwe CVE-2008-0531 CVE-2008-0528 CVE-2008-0526 CVE-2008-0527 CVE-2008-3903 Ataki SQL injection dotykają ogólnie serwerów www i HTTP. Choć zasada wysyłania komend SQL jest taka sama, wektor ataku w przypadku SIP opiera się na wykorzystaniu nagłówków wiadomości. Główna luka wynika z faktu, Ŝe nagłówki wiadomości SIP zawierają informacje oparte na tekście. Przykład poniŝej obrazuje strukturę nagłówka w wiadomości SIP-INVITE: INVITE sip:robert@dummy.com SIP/2.0 To: Brown Alice <alice@dummy.com> From: Smith Bob <sip:bob@dummy.com>;tag=76341 CSeq: 2 INVITE Authorization: Digest username="bob", realm="192.168.164.23", algorithm="md5", uri="sip:192.168.164.23", nonce="41352a56632c7b3d382b39e0179ca5f98b9fa03b", response="a6466dce70e7b098d127880584cd57" 9

Contact: <SIP:192.168.166.73:9384>;> Content-Type: application/sdp Ataki SQL injection moŝna uruchomić wykorzystując wiadomości SIP wymagające uwierzytelnienia INVITE, SUBSRCIBE lub REGISTER. Po wysłaniu takiej wiadomości nadawca obliczy wartość pola Autoryzacja w oparciu o informacje rejestracyjne uŝytkownika (identyfikator nazwa uŝytkownika i hasło). Po otrzymaniu wiadomości serwer proxy lub SIP wyciągnie te dane i przeprowadzi zapytanie SQL na tablicy zarejestrowanych uŝytkowników. Serwer odzyska dane korespondujące z informacjami uŝytkownika. Dla podanego wyŝej przykładu, wygenerowane zostałoby następujące zapytanie SQL: Select password from subscriber where username= bob and realm= 195.251.164.23 Jeśli złośliwa komenda SQL zostanie dodana w sekcji nazwa uŝytkownika lub domena pola Autoryzacja, serwer proxy lub SIP włączy tę komendę w zapytanie SQL wysyłaną do bazy danych. Dla poniŝszego przykładu: INVITE sip:robert@dummy.com SIP/2.0 To: Brown Alice <alice@dummy.com> From: Smith Bob <sip:bob@dummy.com>;tag=76341 CSeq: 2 INVITE Authorization: Digest username="bob", realm="192.168.164.23"; drop table subscriber, algorithm="md5", uri="sip:192.168.164.23", nonce="41352a56632c7b3d382b39e0179ca5f98b9fa03b", response="a6466dce70e7b098d127880584cd57" Contact: <SIP:192.168.166.73:9384>;> Content-Type: application/sdp Serwer proxy lub SIP wygeneruje następujące zapytanie SQL: Select password from subscriber where username= bob and realm= 192.168.164.23 ; Drop table subscriber Choć przykład ten jest nieco wyolbrzymiony, oznacza zarejestrowanych uŝytkowników. usunięcie wszystkich Więcej informacji na temat ataków SQL injection znaleźć moŝna pod adresem: http://www.snocer.org/paper/camera-ready_soft_com.pdf 10

BEZPIECZEŃSTWO SYSTEMU VOIP Bezpieczeństwo systemu telefonii IP wymaga podjęcia określonych działań pozwalających na bezpieczne i sprawne funkcjonowanie całego systemu telefonicznego. Dlatego poza procedurami i/lub rozwiązaniami przeciwko lukom i zagroŝeniom związanym z systemem telefonii IP, polityka bezpieczeństwa musi uwzględniać równieŝ dostępność systemu telefonicznego i jakość świadczonej usługi. Zabezpieczenia systemu telefonii IP wymagają zastosowania dobrych praktyk sieciowych, takich jak dzielenie [sieci] i zarządzanie jakością usługi. Po takich działaniach poziom bezpieczeństwa moŝna jeszcze poprawić przez zastosowanie rozwiązania do zapobiegania włamaniom bądź zarządzania lukami. DZIELENIE SIECI Dzielenie sieci polega na wydzieleniu w infrastrukturze odrębnych podsieci, z których kaŝda w systemie informatycznym kontroluje jeden z działów. Dzielenie sieci umoŝliwia ograniczenie dostępu między takimi działami oraz zatrzymanie zagroŝenia w podsieci, jeszcze zanim rozprzestrzeni się ono w całej infrastrukturze. Dzielenie sieci musi równieŝ obejmować dostęp do Internetu, co ogranicza dostęp do urządzeń systemu informatycznego z zewnątrz. Zintegrowany system komunikacji wymaga komunikacji między podsieciami. Konfiguracja firewalla umoŝliwia jedynie ruch niezbędny dla takiego systemu komunikacji. W przypadku podsieci, w której pojawiło się juŝ jakieś zagroŝenie, firewall odrzuca niebezpieczny ruch sieciowy, zapobiegając w ten sposób rozprzestrzenianiu się tego zagroŝenia. Zaawansowane funkcje firewalla na pewnych urządzeniach, takie jak zarządzanie VLAN czy transparentny tryb sieci, pozwalają na bardzo elastyczną konfigurację i ograniczają ryzyko uruchomienia w ruchu operacyjnym aplikacji. Przy zastosowaniu VLAN dostęp do odsłuchu na terminalach telefonicznych jest utrudniony i tym samym spada ryzyko podsłuchu. Nowa generacja urządzeń zabezpieczających, znana jako firewalle aplikacji, zapewnia dedykowane funkcje Voice over IP. Urządzenia takie mogą obsługiwać obie formy ruchu dla VoIP: ruch kontrolny i ruch komunikacji telefonicznej (dane). Dlatego teŝ, w zaleŝności od danych przenoszonych przez kanał kontrolny, urządzenia automatycznie konfigurują w czasie rzeczywistym porty komunikacji uŝyte do transmisji głosu. Co więcej, badania prowadzone przez dystrybutorów urządzeń nowej generacji pozwolą wkrótce na dodawanie do systemów Voice over IP innych zabezpieczeń. 11

ZAPOBIEGANIE WŁAMANIOM Zapobieganie włamaniom wymaga zastosowania urządzenia zabezpieczającego, będącego rozwiązaniem dedykowanym lub wbudowanego w wielofunkcyjnego firewalla. Dla systemów zapobiegania włamaniom wyróŝnić moŝna dwa typy analizy: Analiza sygnatur, umoŝliwiająca identyfikację zagroŝenia i odrzucenie złośliwej wiadomości, Analiza protokołu i zachowania, umoŝliwiająca wykrycie nietypowego zachowania w trakcie wymiany wiadomości. Analiza sygnatur pozwala na wykrycie wirusów, robaków a nawet ataków typu SQL injection. Ta metoda zwalczania nowych ataków i ich wariantów wymaga ciągłej aktualizacji bazy sygnatur wirusów. Niektóre systemy IPS oferują sygnatury generyczne, które wykrywają wszystkie ataki danego typu. Wykorzystując jedną sygnaturę, system IPS moŝe wykryć kilka róŝnych ataków typu SQL injection. Aby tak było, system musi być bardzo odporny na błędy klasyfikacji, co zapewne jest przyczyną, dla której wiele rozwiązań ma osobną sygnaturę dla kaŝdego ataku. Przez to do czasu pojawienia się sygnatury takiego ataku system telefoniczny pozbawiony jest ochrony przed nim. Behawioralna analiza protokołu polega na dokładnej analizie wiadomości protokołu i wykrywaniu nietypowego zachowania. UmoŜliwia to, przede wszystkim, ochronę telefonii IP przed atakami powiązanymi z poleceniami wysyłanymi lub odbieranymi przez SIP, z analizą odpowiedzi DNS oraz ze specjalnymi wiadomościami ICMP i HTTP. ZARZĄDZANIE RYZYKIEM I LUKAMI Zarządzanie lukami aplikacji wymaga ustanowienia odpowiednich procedur. Kontrola luk przeprowadzona w dowolnym momencie wskaŝe urządzenia, dla których luki występują, i być moŝe równieŝ moŝliwe rozwiązania. Tylko te urządzenia będą podatne na inne zagroŝenia w przyszłości, a ustanowienie odpowiednich procedur umoŝliwi wykrycie luk. Skanery pasywne, mogące gromadzić informacje w czasie rzeczywistym na dowolnym urządzeniu generującym ruch, bez ryzyka dla zasobów serwerowych. Z drugiej strony mogą one wykrywać jedynie aktywne urządzenia, a niektóre z tych produktów nie zapamiętują informacji i mogą przeprowadzać w danym momencie tylko jedno skanowanie. System telefonii IP jest wraŝliwy na kilku poziomach płynność komunikacji, dostępność i 12

zarządzanie lukami. Rozwiązanie do wykrywania luk musi gwarantować brak zakłóceń w infrastrukturze. W tym celu administrator systemu musi śledzić strony internetowe dystrybutora danych rozwiązań, aby na bieŝąco mieć informacje na temat dostępnych aktualizacji. MoŜe on równieŝ skorzystać z rozwiązania, które wyszukuje luki automatycznie w oparciu o ruch na aktywnych urządzeniach. PODEJŚCIE NETASQ Firewalle aplikacji, zintegrowane rozwiązania firmy NETASQ, oferują zaawansowane funkcje, odpowiadające aktywnie na problemy związane z telefonią internetową. W kontekście dzielenia sieci, transparentny tryb sieci, zarządzanie VLAN i filtrowanie aplikacji umoŝliwiają dokładniejsze spełnianie potrzeb systemu VoIP. Urządzenia zintegrowane ograniczają wewnętrzne rozprzestrzenianie się potencjalnych zagroŝeń i redukują ryzyko podsłuchu. System IPS firmy NETASQ, dostępny na wszystkich jej urządzeniach zintegrowanych, zapewnia jednocześnie analizę protokołu i analizę behawioralną z ochroną dnia zerowego, łączącą kilka baz sygnatur do ochrony proaktywnej. Silnik IPS firmy NETASQ zapewnia optymalną ochronę przed zagroŝeniami dla systemu telefonii IP, zarówno tymi juŝ znanymi jak i tymi, które dopiero się pojawią. Walczy z lukami w wiadomościach wyzwanie-odpowiedź, zapytaniach DNS czy nawet atakami typu SQL injection. Zarządzanie parametrami QoS to odpowiedź na problemy związane z opóźnieniami i drganiami sieci. Quality of Service (QoS) umoŝliwia redukcję efektów opóźnień i drgań, poprzez gwarancję pasma dla kanału komunikacyjnego VOIP. Usługa wykrywania luk, oferowana w zintegrowanych urządzeniach zabezpieczających firmy NETASQ, łączy zalety skanera aktywnego i pasywnego. Oparta na innowacyjnym silniku, czerpie ona równieŝ ze współpracy z silnikiem IPS, by wykrywać luki występujące na wszystkich aktywnych elementach systemu informatycznego. Precyzyjne raporty, łatwość z jaką wykrywane są potencjalnie naraŝone urządzenia oraz sugestie rozwiązania problemów składają się na skuteczną procedurę zarządzania ryzykiem luk w systemie telefonii internetowej. Więcej informacji znaleźć moŝna na stronie: http://www.netasq.pl 13