一體化手段破解VoIP安全難題
加入技術(shù)交流群
VoIP在企業(yè)通信中的應用范圍越來(lái)越廣，已經(jīng)深入到了企業(yè)的各個(gè)管理流程，除了費用的節省之外，整合式的通訊能力直接提升了企業(yè)運營(yíng)效率。企業(yè)在部署VoIP系統時(shí)，除了對服務(wù)質(zhì)量等問(wèn)題的關(guān)注外，對安全問(wèn)題最為重視。VoIP所面臨的一系列安全隱患，實(shí)際上是互聯(lián)網(wǎng)絡(luò )上存在的若干安全問(wèn)題的延續。只有很好地解決了網(wǎng)絡(luò )的安全問(wèn)題，同時(shí)配合VoIP產(chǎn)品本身的一些安全認證機制，基于VoIP的應用才能夠在企業(yè)中持久穩定地發(fā)揮作用，并成為解決企業(yè)話(huà)音通信需求的有效方法。
預先防范更重要
預先防范是解決網(wǎng)絡(luò )安全問(wèn)題的最好辦法，這也適用于VoIP。雖然這是一個(gè)老生常談的話(huà)題，但是很多企業(yè)卻沒(méi)有在部署VoIP系統時(shí)給予安全問(wèn)題足夠的重視，尤其是亞太地區更為明顯。有市場(chǎng)研究機構調查表明，目前亞太地區的服務(wù)供應商在VoIP安全性方面的支出遠遠落后于美國和歐洲，并且這一差距未來(lái)還將會(huì )進(jìn)一步加大，預計2008年亞太區在該方面的支出約為1.7億美元，而亞太以外其他地區的總支出將超過(guò)3.7億美元。這充分說(shuō)明了當前亞太區在VoIP安全意識方面的欠缺。
上海貝爾阿爾卡特業(yè)務(wù)通信公司高級經(jīng)理顧均卓認為：“為了保證企業(yè)VoIP的安全，用戶(hù)在選擇VoIP系統時(shí)，應該選用已經(jīng)內置了安全保護的系統?！彼M(jìn)一步說(shuō)明VoIP安全威脅主要來(lái)自于網(wǎng)絡(luò )的病毒和黑客對數據網(wǎng)絡(luò )的各種攻擊以及網(wǎng)絡(luò )的硬件設備自身出現的問(wèn)題。一般來(lái)說(shuō)，面向語(yǔ)音通信服務(wù)器的網(wǎng)絡(luò )攻擊，主要通過(guò)遠端維護的方式進(jìn)入，從網(wǎng)絡(luò )攻擊的角度看，主要通過(guò)Telnet方式接入。造成的危害有：影響話(huà)音質(zhì)量、語(yǔ)音系統和應用的連接中斷等，最嚴重時(shí)會(huì )出現因為數據網(wǎng)絡(luò )的阻塞和中斷，導致語(yǔ)音網(wǎng)絡(luò )出現通信故障。
Juniper網(wǎng)絡(luò )公司中國區系統工程師梁小東也認為企業(yè)在部署VoIP系統的時(shí)候，也應該設定相應的一體化安全防護手段。
企業(yè)VoIP實(shí)質(zhì)上只是IP網(wǎng)絡(luò )上的一種應用，和電子郵件、Web瀏覽等類(lèi)似。如今典型的企業(yè)IP電話(huà)系統其基本要素包括：呼叫控制服務(wù)器；VoIP客戶(hù)機；VoIP網(wǎng)關(guān)。所以理論上說(shuō)VoIP系統和其他網(wǎng)絡(luò )數據應用一樣容易遭到攻擊。面臨的一系列潛在威脅包括：拒絕服務(wù)攻擊、病毒、蠕蟲(chóng)、特洛伊木馬、數據包嗅探、垃圾郵件和網(wǎng)絡(luò )釣魚(yú)等。
就目前來(lái)看，業(yè)界很少有關(guān)于VoIP系統受到大規模攻擊的報道，不過(guò)這并不代表著(zhù)VoIP系統比其他網(wǎng)絡(luò )應用更加安全。實(shí)際上，這種情況的發(fā)生很大程度上是和VoIP系統本身標準化程度不足，各個(gè)廠(chǎng)商之間設備互通性差聯(lián)系在一起的。VoIP的非標準化雖然增加了企業(yè)的使用成本，但是卻“意外”地加大了黑客入侵的難度。但是這并不意味著(zhù)企業(yè)可以削減在VoIP安全上的投資，這是因為隨著(zhù)VoIP使用范圍的不斷擴大，VoIP標準化也隨之增強。
梁小東對《中國電子報》記者說(shuō)：“已經(jīng)出現了針對目前流行的VoIP通信協(xié)議SIP的攻擊方式，可以讓企業(yè)的VoIP通話(huà)中斷?！?/FONT>
用老辦法解決新問(wèn)題
VoIP面臨的安全威脅類(lèi)型和大多數互聯(lián)網(wǎng)應用一樣，所以從這個(gè)角度來(lái)說(shuō)，人們可以把防護其他應用安全的措施轉移到VoIP系統中來(lái)。比如在IP傳輸層使用防火墻，用IPS/IDS解決方案進(jìn)行更深入的分析，使用應用程序或者協(xié)議分析器等。
可喜的是目前流行的防火墻在最新的發(fā)布版本中都有VoIP功能。這對VoIP安全程度的提高大有幫助。當然，要保障VoIP的安全，僅僅把原來(lái)的安全措施遷移過(guò)來(lái)還不夠，需要針對VoIP自身的特點(diǎn)進(jìn)行優(yōu)化。{{分頁(yè)}}
普遍意義上說(shuō)為了企業(yè)VoIP系統的安全，可以采取下面幾種手段：保護賬戶(hù)安全，在建立和升級賬戶(hù)過(guò)程中，為用戶(hù)提供的資源應當通過(guò)具有可靠的認證機制的加密隧道進(jìn)行；保護網(wǎng)絡(luò )安全，最好讓語(yǔ)音適配器能夠與已有的防火墻/路由器保持同步；保護呼叫安全，挑選包含VPN功能的設備；保證服務(wù)鏈的安全。
對于如何解決VoIP的安全問(wèn)題，專(zhuān)業(yè)廠(chǎng)商也推出了自己的解決方案。
阿爾卡特朗訊的IP語(yǔ)音通信系統——OmniPCX
Enterprise交換機已經(jīng)內置了安全防護系統。主要采用如下手段：削減Linux標準版操作系統中與IP語(yǔ)音通信無(wú)關(guān)的部分(非必要部分)，把500M源代碼削減至70M；縮減Linux分布式系統所需的TCP端口；采用可適應的Linux應用程序；加入掃描軟件；對OmniPCX
Enterprise通信服務(wù)器的訪(fǎng)問(wèn)采用可信的ssh、sftp、scp機制，用來(lái)替代telnet、ftp、rcp等。
Juniper推出的防火墻則利用對通訊協(xié)議的分析來(lái)識別應用，把行為管理和安全問(wèn)題聯(lián)合進(jìn)行處理。
目前VoIP還有向統一通信發(fā)展的趨勢，多種通信方式的整合也在一定程度上增加了安全風(fēng)險。廠(chǎng)商應當為未來(lái)可能發(fā)生的風(fēng)險早做準備，根據統一通訊整合式通信的特點(diǎn)，針對其不同的應用，開(kāi)發(fā)出有針對性的安全防護機制。
平衡安全與性能
VoIP的安全問(wèn)題確實(shí)值得重視，但是由于VoIP是一種語(yǔ)音通信方式，對業(yè)務(wù)的實(shí)時(shí)性要求非常高，企業(yè)在加強VoIP系統安全時(shí)要注意平衡安全與性能之間的關(guān)系。
通常意義上，為了達到和PSTN相媲美的語(yǔ)音通話(huà)質(zhì)量，VoIP單向流量的時(shí)延不得超過(guò)150毫秒，否則用戶(hù)體驗將會(huì )異常糟糕。一般來(lái)說(shuō)語(yǔ)音編碼可能占用30毫秒的時(shí)間，橫跨長(cháng)距離在公共IP網(wǎng)絡(luò )上傳送的語(yǔ)音呼叫可能占用長(cháng)達100毫秒、甚至125毫秒的時(shí)間。在這種情況下，如果防火墻、加密和入侵防御等安全措施帶來(lái)的時(shí)延過(guò)多的話(huà)，必然會(huì )大大影響客戶(hù)的使用體驗。
已經(jīng)有很多企業(yè)對VoIP的通話(huà)質(zhì)量進(jìn)行了抱怨，認為其和PSTN無(wú)法相比，而且還有回音出現，這大大影響企業(yè)部署VoIP系統的積極性。所以很難想象一個(gè)影響VoIP使用體驗的安全系統能夠得到客戶(hù)的歡迎，這一問(wèn)題值得致力于VoIP安全的企業(yè)去高度重視，找到有效的解決手段。
除了要平衡安全與性能之間的關(guān)系之外，值得注意的是安全是一整套體系。網(wǎng)絡(luò )安全不是一個(gè)點(diǎn)的概念，而是一個(gè)面的概念，要采用一個(gè)整體的安全防范體系。VoIP系統的安全不能和其他網(wǎng)絡(luò )應用互相割裂開(kāi)來(lái)，要對他們進(jìn)行綜合考慮，并且注意整體的投資收益問(wèn)題。
評論