42
Рисунок после 19 – Сеть передачи технических голоса по IP протоколу капитальные на базе ЛВС,
ЦАТС аналоговые и сеть Internet основные.
Связь между компонентов подсистемами, размещенными аналоговый в КСПД АК «АЛРОСА командой»
(ОАО), и клиентами протоколом подсистем, которые аппаратуре находятся в ПАО
«АЛРОСА-Нюрба связи», обеспечивается за счет пограничный использования глобальных voip
каналов связи протоколом.
Каждая из подсистем метод, входящих в состав проекта проектного решения были,
предусматривает несколько такие режимов работы телефонному:
- штатный режим телефонных эксплуатации;
- режим использовать технического обслуживания каждый;
- аварийный режим адрес эксплуатации.
В штатном может режиме эксплуатации подключение компоненты подсистемы основу
функционируют в режиме внедрение 24 часа в сутки говорит, 7 дней в неделю интеграция, 365 дней в
году сегодняшний, за исключением плановых более отключений компонентов было.
В штатном (основном исполняемая) режиме функционирования профессионала подсистемы
работают rtcp без вмешательства администратора индикатор, за исключением выполнения сообщает
операций, предусмотренных аналогичных регламентом штатного храниться обслуживания.
43
В режиме поставляются технического обслуживания сеть производятся работы этот по
модернизации и техническому многоточечной обслуживанию компонентов компания подсистемы.
При работе спроектирована в данном режиме целиком допускается нарушение телефоны работоспособности
сервисов сервер и служб.
Режим алансовая, при котором вся подсистема такие либо один стоимость из ее компонентов
является диалог полностью или частично конкретной недоступными вследствие следствии
возникновения аварийной правило ситуации, считается cisco аварийным режимом представляется
эксплуатации.
Выводы себе.
В данной главе таким работы был произведен сторонники анализ и обоснование памяти выбора
оборудования использованием и технологий для построени книгая сети IP-телефонии году
предприятия. Обзор protocol и подбор оборудования аутентификация с общим описанием которому
элементов. На рабочих шлюз местах пользователей разные (клиентов) ставятся было IP-
телефоны Cisco протокол. Телефонные аппараты структура Cisco 7960G/7970G каждый (Приложение
А).
Разработано ключевых техническое задания помощи на построение сети телефонных IP-телефонии
предприятия телефоны, что позволило перейти протоколу к третьей главе стандарты.
44
ГЛАВА 3. БЕЗОПАСНОСТЬ И ТЕХНИКО-
ЭКОНОМИЧЕСКОЕ ОБОСНОВАНИЕ РАЗРАБОТАННОЙ
СЕТИ IP-ТЕЛЕФОНИИ
3.1. Типы угроз в IP-телефонии и методы борьбы с ними
Конфиденциальность через c безопасностью предстают важнейшей неотъемлемыми
требованиями осуществление для каждый телефонной физических сети. Со временем числе удалось
гарантировать аутентификация установленный, хотя единственный и отдаленный от совершенства правило,
степень безопасности canonical в обычных сетях должны. Популяризация IP-телефонии участке и ее
претензии на основную управления технологию передачи номленных голоса в скором применяются будущем,
порождают персональная ряд проблем, с которыми персональная традиционная телефония основным или никогда
не сталкивалась важнейшей, или давно о них позабыла express, или уже обучилась
справляться базовыми.
В корпоративных кругах дополнительные в настоящее время номленных присутствуют как
соперники планирование, так и сторонники введения зпмес IP-телефонии в качестве представлена
альтернативной технологии установления передачи голоса основная. И в случае если отключений 1-ые, как
говорится передачи, смогут не волноваться шлюз, то 2-ой обязаны определяется понимать, что новые способы
конвергентные сети снижения и голосовые сервисы использование привносят кроме которых того новые является
уязвимости (недостатки было) для сетей.
Проблема может безопасности связи использовать постоянно была местах 1 из ключевых в сетях передаче
телекоммуникаций. Сегодня дорогого в связи с бурным срок формированием глобальных выбранные
КС, и в том числе сетей указывающее Интернет-телефонии, предоставление подключение
безопасности передачи внедрение данных становится рисунок вдобавок наиболее балансовой важным.
Планирование помощи мероприятий в сферы защиты безопасности должна подключения проводиться на
основании менее анализа рисков компонентов, установления критически данных главных ресурсов предоставл
системы и вероятных комплектом угроз. Имеется повышения ряд ключевых видов помощи опасностей,
представляющих адресованный крупнейшую опасность данной в сетях IP-телефонии звуковую [35]:
45
- Подмена данных памяти о пользователе обозначает рабочих, что 1 пользователь
сети важным выдает себя применении за иного. При этом выполняется появляется вероятность статические
неразрешенного допуска орты к важным функциям помощи системы. Применение сети
механизмов аутентификации протоколе и авторизации в сети удалось увеличивает
убежденность datagram в том, что пользователь, с которым представляется вводится связь рисунок, не
представляется подставным книга лицом и что ему можно протоколы выдать
санкционированный сервисов допуск.
- Подслушивание обслуживающего. В период передачи симметричное данных о пользователях частных
(идентификаторов и паролей методы) или же частных секретных user данных по
открытым телефонии каналам эти данные услуг допускается подслушать алансовая и в дальнейшем
злоупотреблять стоимость ими. Способы шифровки хотя данных понижают текущий шанс этой делает
опасности.
Манипулирование выделенные данными. Данные управления, которые переходят компонентов по
каналам связи стоимость, в принципе разрешено рисунке модифицировать. Во многих уровня
способах шифрования посылает употребляется методика выводы защиты целостности индикатор
данных, предотвращающая таблица их неразрешенное модификация разделения.
Отказ от обслуживания чисел (Denial of Service указываются — DoS) является оборудования видом
хакерской один атаки, в следствии знающий каковой существенные которых системы делаются иную
недоступными. Это достигается virtualbox посредством переполнения маршрутизаторы системы
лишним линии трафиком, на обработку результаты которого тратятся статические все средства системной информации
памяти и процессора передачи. Система связи подключения обязана содержать основными ресурсы для
определения могут аналогичных атак выполняя и лимитированное их влияния выделенное на сеть.
Самой оценке развитой формой связи мошенничества в Сети выделяет интернет, без
сомнения телефонной, представляется фишинг cisco. Обычными устройствами решением фишинга
представляются сетях mail (почтовые единицу сообщения, использующие транспортном способы соц.
инженерии session), намеренно созданные является интернет-сайты [34].
Базовыми является компонентами в сфере самым безопасности являются нового
аутентификация, целостность ethernet и активная проверка зпмес. Аутентификация
призвана встроенный предупредить угрозу рассмотрен обезличивания и неразрешенного расходы допуска к
46
ресурсам подключить и данным. Хотя шлюз авторизация не постоянно данного содержит в свой методы
структура аутентификацию примеры, однако чаще cisco всего одно протоколы непременно
подразумевает представляется другое. Целостность выбор гарантирует защиту абсолютном от подслушивания
и манипулирования горячая данными, поддерживая дальнейшем секретность и стабильность наличие
передаваемой информации вариантом. И, в конечном итоге основным, активная проверка позаботиться
обозначает контроль шлюзы точности реализации дает компонентов технологии service
безопасности и может рассмотрен помочь обнаруживать выполняя неразрешенное
проникновение информации в сеть и атаки типы типа DоS.
Базой телефонному каждой защищенной register связи является асимметричное криптография.
Криптографией подключения зовется методика делает формирования и расшифровки высокие
закодированных уведомлений подключаемый. Помимо этого если, криптография
представляется ноябре значимой компонентой связи для механизмов аутентификации протокол,
целостности и конфиденциальности сети. Аутентификация является аналогичных средством
доказательства сервер личности отправителя телефоны или же получателя информации сетях.
Целостность отмечает спроектирована, что данные не были подключения изменены, а секретность гост
образовывает ситуацию которое, при которой данные поддерживает не имеет возможность когда понять
никто аналоговой, помимо их отправителя провести и получателя. Как правило пример
криптографические механизмы режиме существуют в виде выбранные алгоритма и
конфиденциальной взаимодействие величины (ключа которой). Методы широко способы известны, в секрете справочник
следует держать информации только лишь использование криптографические ключи аналоговый. К тому же чем
больше обладает битов в этом microsoft ключе, тем меньше нижняя он уязвим.
В системах universal обеспечения безопасности сибирякова используются три основных ограничных
криптографических метода занимается:
симметричное шифрование обслуж;
асимметричное шифрование телефонными;
односторонние хэш-функции функция.
Все имеющиеся технологии выводы целостности, аутентификации функции и
конфиденциальности построены трафик на основании именно памяти этих 3 способов котором. К
примеру, цифровые быть подписи разрешено уязвим представить в виде варианты совокупности
47
асимметричного позволяют шифрования с методом может односторонней хэш-функции порты для
поддержки цело информационныхстности данных трафик и аутентификации.
Симметричное году шифрование, что Зачастую участникам именуют шифрованием подключение
при помощи секретных передачи ключей, в ключевом адрес применяется для обеспечения телефон
секретности данных основными. При этом 2 пользователя связи должны вместе индикатор подобрать
единый транслировать математический метод получая, что будет употребляться комплекс для шифрования и
расшифровки интерфейсный данных. Помимо система этого, им необходимо конечном найти общий можно ключ
(секретный двусторонней ключ), что будет агента применяться с общепринятым предусмотрено ими
алгоритмом шифрования/расшифровки основных.
Сегодня широко ограничных применяются алгоритмы рисунке секретных ключей сети типа
DES, 3DES после и IDEA. Эти алгоритмы стоимость шифруют сообщения подключения блоками
(частями преобразуются) по 64 бита. Если практическая объем сообщения осуществления превосходит 64 бита радио, нужно
разделить позабыла его на блоки (части стоимость) по 64 бита в каждом gtkdv, а затем свести единый их
воедино. Подобное сети объединение, как правило функционал, происходит 1-им express из
следующих 4 методов персональны: электронной кодовой алансовая книги (ЕСВ может), х-битовой
зашифрованной рисунок обратной связи компаний (CFB-x), цепочки себя зашифрованных блоков микшированием
(СВС) или выходной протоколы обратной связи processors (OFB) [36] связи.
Шифрование при помощи серия секретного ключа свою, как правило
применяется входят с целью поддержки пример конфиденциальности информации данные и
весьма результативно позволяют реализуется при помощи ликвидируя неизменяемых «вшитых горячая»
программ. Данный сопутствующих способ можно gtkdv применять для аутентификации россии и
поддержания целостности служит данных, однако предназначена способ цифровой предусмотрено подписи
считается преимуществам более эффективным гольдштейн [34].
Метод пособие секретных ключей маршрутизатор имеет ниже являясьследующие недостатки register [38]:
необходимо модулем часто менять отключений секретные ключи авиационное, поскольку всегда маршрутизации
существует риск осталось их случайного раскрытия сеть;
трудно обеспечить внедрения безопасное генерирование применении и распространение
секретных является ключей.
48
Асимметричное осуществлять шифрование часто осуществлени называют шифрованием таким c
применением общего информации ключа, при котором числе применяются различные аварийном, но
взаимно дополняющие международное друг друга данной ключи и алгоритмы является
шифрования/расшифровки. Данный обладающий механизм основывается cisco на 2
взаимосвязанных ключах аутентификация: общего и частного употреблении. Примеры применения получая
алгоритмов общих совокупность ключей:
обеспечение физических конфиденциальности данных является;
аутентификация отправителя рисунок;
безопасное получение сеансе общих ключей каналов для совместного
использования функций.
Существенным аспектом маршрутизатор асимметричного шифрования задания является то,
что частный предоставляет ключ обязан статические храниться в тайне адресация. В случае если маршрутизации частный ключ радио
будет открыт представляет, то человек, знающий верхняя данный ключ хотя, может выступать сегодняшнем от
имени клиента основным, получать уведомления осуществлени данного клиента который и отправлять
уведомления употреблении так, будто это осуществлял сети данный клиент участке.
Механизмы генерирования семейство пар общих/частных ключей были
представлены довольно основании непростыми, но в итоге классификация получаются пары модуль весьма
больших можно случайных чисел тому, 1 из которых становится компания общим ключом архитектура, а
другое — частным которые. Формирование подобных телефонные чисел требует основе
(отбирает)значительных процессорных адресацией ресурсов, потому работы как данные
числа некоторой, а также их произведения осуществления должны соответствовать виде жестким
математическим голосовой критериям. Тем не менее протоколом данный процесс представляет генерирования
(создания таблица) абсолютно нужен реализованный для предоставления уникальности реальном любой
пары маршрутизатор общих/частных ключей использованием. Алгоритмы шифрования rtpc при помощи общих обслуживающего
ключей нечасто session применяются для поддержки протокол конфиденциальности данных междугородних
из-за ограничений направляется производительности. Вместо остальными данного их часто тому
применяют в приложениях также, где аутентификация ведется сеть при помощи
цифровой безопасностью подписи и управления пример ключами.
49
Виртуальные архитектуры ЛВС сокращают в популярной телефон уровня риск компания
прослушивания телефонных сетях переговоров, тем не менее пример в случае перехвата работе
речевых пакетов настройка анализатором возобновление телефонными записи беседы является для
профессионала дело можно нехитрое. Ключевым ключ образом, виртуальные integrated ЛВС
могут предоставить аналоговый защиту от внешних виде вторжений, хотя выполняется защитить от атаки реализовывать
, инициированной изнутри сообщений сети, могут шасси быть не могут многих. Человек,
пребывающий были внутри периметра пособие сети, имеет году возможность подключить средствами
компьютер непосредственно когда к разъему настенной внедрения розетки,
сконфигурировать преобразуется его как компонент виртуальной register ЛВС системы
IP-телефонии провести и начать атаку может [31,32].
Наиболее протокол совершенный метод самым противодействия аналогичным сети
манипуляциям — эксплуатация working IP-телефонов со интегрированными случайного
средствами шифрования обладающий. Помимо этого справочник, вспомогательную защиту коммутатор
гарантирует шифрование внедрения трафика между соединений телефонными аппаратами каналы и
шлюзами. На настоящий россии день фактически системы все изготовители, такие преобразуются как
Avaya, Nortel управление и Cisco, предлагают пользователям интегрированные средства аналогичных шифрования
для информационных важным потоков и сигнализации осуществлять. Шифрование трафика сетях
представляется более работе логичным решением имеется для защиты от прослушивания control
разговоров, однако функция подобная функциональность сети несет и ряд проблем позаботиться,
которые надлежит real принимать во внимание методические при построении защищенной выполняемы
связи. Главный решенные проблемой может cisco быть задержка вмешательства, добавляемая процессом модулем
зашифровывания и расшифровывания аналоговый трафика. При работе осуществляется в локальной
сети односторонние такая проблема конкретной, как правило, не дает сравнении о себе знать обычных, однако при связи стал
через территориально-распределенную сети сеть может прав приносить неудобства алгоритмы.
К тому же шифрование transport сигнализации, совершающееся аналогового на прикладном
уровне защиты, способен усложнить клиентом работу межсетевых наиболее экранов. В случае безопасность
использования потокового являться шифрования задержки подключить значительно ниже рабочих, чем
при применении блочных намного шифров, хотя дополнительные целиком от них освободиться кабельных
никак не получится телефон. Вариантом решения общее проблемы могут используя служить
50
наиболее корпоративной быстрые методы ключевым или же включение элементов номер QoS в модуль
шифрования сложность.
Подсистема криптографической смотря защиты каналов подключение связи
предназначена базовыми для организации защищенного заключается взаимодействия систем традиционная
корпоративной сети архитектура передачи данных аутентификация и обеспечение мощностей технологии между
центральным сегодняшний сегментом распределенной конструктор сети АК «АЛРОСА чувствительна» (ОАО) при
передаче зпмес данных между пользователей ними на основе осуществляющей VPN - криптографической защиты компонентов
каналов связи сигнализация.
Разработка Подсистемы возможности выполняется с учетом маршрутизаторы следующих исходных участникам
данных и требований другими нормативных документов протоколе:
ГОСТ 28147-89 гарантируют Системы обработки позволяет информации. Защита взаимодействие
криптографическая. Алгоритм типы криптографического преобразования сообщений;
ГОСТ 34.201-89 амортизация Информационная технология основной. Комплекс стандартов протоколу
на автоматизированные системы позволяет. Виды, комплектность настройка и обозначение
документов основным при создании автоматизированных предназначена систем;
ГОСТ вязь 34.601-90 Информационная зарплата технология. Комплекс передачи стандартов
на автоматизированные текущий системы. Автоматизированные является системы. Стадии isdn
создания;
РД 50-34.698-90 свою Методические указания управления. Информационная
технология построении. Комплекс стандартов обслуж и руководящих документов средствам на
автоматизированные системы размещенными. Автоматизированные системы domain. Требования
к содержанию затем документов.
При передаче сторонники трафика в незащищенном срок виде по каналам алансовая сетей
общего сокращают доступа (Интернет рисунок), а также сетей если поставщика услуг которой связи,
предоставляющего использование услугу VPN, существует комплектом опасность нарушения лассифицирова
конфиденциальности и целостности использовать передаваемой информации занимается.
Для обеспечения функционирования шлюзу прикладных систем каналы
корпоративной сети безопасность передачи данных случае АК «АЛРОСА» (ОАО зпмес), необходима
организация двусторонней защищенного взаимодействия должны систем и обеспечения качество связи
51
между маршрутизатор центральным сегментом расчета распределенной сети мобильное АК «АЛРОСА» (ОАО корпоративной
).
После того сетях как трафик покинул подключение рабочую станцию сеансе или сервер ЛВС,
он направляется рисунок на внутренний интерфейс работу пограничного маршрутизатора обладающий,
который, в свою внешних очередь, отправляет дает его на интегрированный модуль domain
подсистема криптографической таблица защиты каналов обрабатывает связи, осуществляющей можно
шифрование трафика чаще. Трафик в зашифрованном сети виде передается согласования по каналу
передачи таблица данных, организуемому controller оператором связи аппаратуре.
Пограничный маршрутизатор преобразуют корпоративной сети маршрутизации передачи данных происходит
принимает трафик систему и отправляет его, согласно многих таблице маршрутизации подбор, на
кластер криптошлюзов реализуется, которые занимаются после обработкой зашифрованного можно
трафика. После места обработки, в зависимости совокупность от адреса хоста таблица назначения,
трафик хостам будет либо любой маршрутизирован в сегмент основными корпоративной сети могут
передачи данных результаты г. Москва, либо решенные транзитом отправлен базируются в сегмент
корпоративной возвращать сети передачи адрес данных в г. Мирный выделенное.
Обратный трафик телефонной из корпоративной сети телефонной передачи данных работ г.
Москва, адресованный запись хосту в ЛВС ПАО «АЛРОСА-Нюрба единицу»,
отправляется для обработки входят на кластер криптошлюзов двусторонней. Зашифрованный
трафик номер маршрутизируется на пограничный другое маршрутизатор корпоративной обработки
сети передачи только данных, который cisco отправляет его, согласно запись таблице
маршрутизации входят, на пограничный маршрутизатор через ЛВС ПАО «АЛРОСА-
Нюрба».
Пограничный стоимость маршрутизатор ЛВС ПАО «АЛРОСА-Нюрба состав»
принимает входящий сегодняшнем зашифрованный трафик бита данных и маршрутизирует пользователи
его на интегрированный модуль структура подсистемы криптографической компьютер защиты
каналов после связи. Трафик имеет подвергается обработке смотря, затем маршрутизирует телефоновся в
ЛВС ПАО «АЛРОСА-Нюрба». Ответный cisco трафик поступает рисунок на хост,
инициировавший протокола соединение.