Primmer Gábor előadásának prezentációja ami a Gloster telekom Kft Nagyvállalati Tűzfalak szakmai nap rendezvényen hangzott el 2015.11.19-én.

1. Biztonságos vállalati
kollaboráció
Primmer Gábor
vezető rendszermérnök
Gloster telekom Kft.

2. A collaboráció kilépett az „telephelyről”
…és bárhol használható

3. … de a collaborációt is meg kell védeni!

4. Miért van szükség védelemre?
• Céges környezetben érzékeny információk mozognak
• SIP áthívás költséget jelent
• Fontos az üzletmenet folytonosság

5. Hol van szükség védelemre?
kintről érkező
támadások
belső irányból
érkező
támadások
Meg kell védeni a voice hálózatot…

6. Mi védi a hálózatot a külső irányokból?

7. Miért Cisco ASA?

8. ASA által támogatott szolgáltatások
Telefonok VPN
koncentrátoraként
működik
MRA határvédelmi
eszközeként
Phone proxy Social Miner (Chat,
Facebook) proxy

9. Telefonok ssl vpn-en keresztül
• A telefonokat be lehet regisztráltatni távolról, vpn-en keresztül.
• Autentikáció módja lehet user/password vagy certifikáció alapú
• Certifikációnál önaláírt nem használható, csak publikus

10. VPN beállítása
Call Managerben létre kell hozni, illetve be kell állítani az alábbiakat:
-VPN Profilt
-VPN Groupot
-VPN Gatewayt (ASA)
-VPN Feature Configuraton
Common Phone Profile Configuration létrehozása ahol a VPN groupot és
Profilt meg kell adni.
A telefonokat először inside hálózaton kell a Call Managerre csatlakoztatni!
SSL vpn konfiguráció a ASA-ban

11. Cisco MRA
Csak erős idegzetűeknek!

12. Mit tud a Cisco MRA?
Jabberek távoli
regisztrációja VPN
nélkül
Akár messiging and
presence mode-ban
Akár voice access
mode-ban
Tényleges mobilitás
Mobil device
inside/outside
networkből
MRA képes asztali
telefonok
beregisztrálására
vpn nélkül

13. MRA (Mobile Remote Access) egyszerűen
• Egy szerver inside zonába (vagy clouster)
• Egy a dmzbe (vagy clouster)
• SRV recordok a dns szolgáltatóhoz
• Tűzfalszabályok, és NAT reflection
• Hozzáillesztés a jelenlegi UC rendszerhez
• Konfigurálás
InternetUC

14. NAT reflection
Belső DNSben a VCS címe nem a 10.0.10.0/24-es tartományból hanem a
64.100.0.10
nat (inside,DMZ) source static obj-10.0.30.2 interface destination static
obj-64.100.0.10 obj-10.0.10.2
8.2 és előtte:
access-list IN-DMZ-INTERFACE extended permit ip host 10.0.30.2 host
64.100.0.10
static (inside,DMZ) interface access-list IN-DMZ-INTERFACE
access-list DMZ-IN-INTERFACE extended permit ip host 10.0.10.2 host
10.0.10.1
static (DMZ,inside) 64.100.0.10 access-list DMZ-IN-INTERFACE

15. Phone proxy
Már nem használatos,
csak régi típusú telefonok esetében jelenthet megoldást.

16. Expressway E/C
TURN Server inside zona
Csak HTTPs és TURNs
protokolon érhető el
JABBER GUEST

17. UCCX remote elérések

18. SocialMiner Chat
Adatforgalom HTTPs protokolon
Custom API vagy HTML tag
UCCX riportokban megjelenik

19. Social Miner social media
• Csatlakozás a céges Facebook és Twitter oldalhoz
• Közösségi hálón keresztüli kapcsolattartás
• Riportolható válasz
• ASA oldalról csak szabálylista, csak el kell érni a szerverről a
weboldalakat
• Figyelni kell az url filteringre

20. Voice és ASA (1)
• Eddig jellemzően tűzfal megkerülésével csatlakozik a a sip szolgáltató
a voice hálózathoz
• ACL szűrés az interfacen
• Külön IP szolgáltatói hálózat

21. • SIP vizsgálat kihagyás
• Ismeri az RFC szabványokat
• SIP: Session Initiation Protocol, RFC 3261
• SDP: Session Description Protocol, RFC 2327
• Az ASA-n átfolyó SIP adatfolyam monitorozható
• Hibakeresési lehetőségek
Voice és ASA (2)

22. Belső támadások
• A behatoló fizikálisan az inside zonába kerül
• BYOD elterjedésével előtérbe került

23. Jellemző belső támadási formák
Lehallgatás
Másnak adja
ki magát
Üzletmenet
akadályozás

24. • Port tükrözés
• DHCP Snooping
• SIP kliens üzemeltetése
• A lista bővül…
Belső támadások jellemző technológiája

25. • Cisco CNF file
• Midcall signaling tiltása
• MAC autentikáció a call
manageren
• 3rd party telefonok esetében
digest user
• SRTP
• SIPs protokoll
• Port security
• Nem használt PC portok tiltása
• Nem használt switch portok
tiltása
Megoldások belső támadások ellen

26. De a biztonsági kockázat bentről is érkezhet

27. A biztonság ára/értéke

28. Összefoglalva
Cisco ASA kollaborációs szolgáltatásai
• Cisco MRA
• SSL VPN IP telefonok alá
• Phone Proxy, Social Moner
Jellemző külsős és belsős támadások
• Port tükrözés
• DHCP snooping
• SiP kliens beregisztrálása
Védekezési módszerek
• SRTP
• Port tiltás
• MAC autentikáció

29. Köszönöm figyelmet!