左丘 2009/01/13

　　VoIP PBX 系統(tǒng)為各種規(guī)模的企業(yè)帶來(lái)了低成本與靈活性。但如同任何基于IP的系統(tǒng)一樣，VoIP PBX也蘊(yùn)含著不容忽視的風(fēng)險(xiǎn)，比如DoS攻擊、隱私泄露和服務(wù)盜用。
　　所幸的是，保護(hù)IP PBX的安全并不一定需要大隊(duì)的安全專(zhuān)家參與。你可以將其它基于IP系統(tǒng)的防護(hù)原理運(yùn)用到VoIP PBX上。仔細(xì)檢驗(yàn)?zāi)愕木W(wǎng)絡(luò)基礎(chǔ)架構(gòu)與電話(huà)系統(tǒng)架構(gòu)，比如部署了多少部VoIP電話(huà)?網(wǎng)絡(luò)規(guī)模有多大?這些統(tǒng)計(jì)都將能幫你做出下一步的判斷。
　　隔離虛擬局域網(wǎng)(VLAN)上的組件是一種保護(hù)企業(yè)網(wǎng)絡(luò)安全的常見(jiàn)方式。許多VoIP電話(huà)都有內(nèi)建交換機(jī)來(lái)建立802.1p/Q中繼到本地交換機(jī)中。802.1p/Q能讓VLAN去分享物理網(wǎng)絡(luò)而不會(huì)造成信息泄露，而中繼則能從數(shù)據(jù)流中分割出語(yǔ)音流。
　　隔離VoIP流量雖然能提高安全系數(shù)，但卻無(wú)法100%阻止入侵。你可以從VLAN中限制訪問(wèn)IP PBX的UDP和TCP端口，在交換機(jī)或路由器上使用訪問(wèn)控制名單，也可以安裝防火墻來(lái)規(guī)避TCP和UDP端口的攻擊，甚至限制訪問(wèn)網(wǎng)絡(luò)的以太網(wǎng)地址。
　　為電話(huà)系統(tǒng)定義獨(dú)立的VLAN也能更好地控制帶寬分配，換言之，通過(guò)提高服務(wù)質(zhì)量(QoS)來(lái)保護(hù)IP PBX遠(yuǎn)離DoS蠕蟲(chóng)攻擊。VoIP并不要求太多的帶寬，但卻對(duì)數(shù)據(jù)丟包和延時(shí)非常敏感，因此提高QoS能夠非常有效地保持攻擊情況下的持續(xù)通話(huà)。
　　對(duì)自動(dòng)分配協(xié)議也需小心，比如LLDP-MED標(biāo)準(zhǔn)或Cisco的CDP標(biāo)準(zhǔn)。這些協(xié)議雖然能簡(jiǎn)化VoIP和VLAN配置上的管理負(fù)擔(dān)，但卻不難被突破。
　　此外，采用防火墻規(guī)則能夠阻擋對(duì)你的IP PBX服務(wù)器、網(wǎng)關(guān)、電話(huà)上的互聯(lián)網(wǎng)訪問(wèn)，同時(shí)你也可以考慮使用會(huì)話(huà)邊界控制器來(lái)分析流量模態(tài)，保護(hù)網(wǎng)絡(luò)不受基于SIP的DoS攻擊干擾。另外在外撥電話(huà)的信號(hào)發(fā)送協(xié)議上進(jìn)行加密，也能有效防止電話(huà)監(jiān)聽(tīng)。

IT專(zhuān)家網(wǎng)