Joseph Curcio, Avaya公司安全策略與開發副總裁

2004年發生的一起黑客入侵事件仍不斷被人們提起。 一名入侵者侵入一個主要網絡并截獲了許多計算機的編程指令，其中包括那些為美國軍方、NASA 和研究實驗室服務的計算機。《紐約時報》在談到這個事件時稱：“……該案例顯示侵入通過互聯網連接的計算機——甚至包括復雜的公司和政府網絡——是多么的容易，同時也顯示追查肇事者的難度有多么大。”
對于我們這些整天冥思苦想著如何保護機構免遭安全漏洞攻擊的人來說，這一案例也讓我們思考，如何加強防御來應對破壞性日趨嚴重的漏洞攻擊(zero day exploit)。入侵者尋找之前不為人知的漏洞，藉此突破一個機構的防御系統，實施嚴重的破壞。一次成功的攻擊可以癱瘓一個企業，造成業務中斷，以及收入損失。
語音和數據的融合使這一問題更加復雜化。融合帶來了更為智能的通信環境——員工、業務程序和客戶可以在正確的時間連接到正確的人，但同時也要求對新的網絡威脅進行高超的管理。迄今為止，大多數攻擊都是針對數據網絡實施的，但隨著語音應用在 IP 網絡上變得更具戰略意義，它們同樣也會成為攻擊的對象，包括拒絕服務 (DoS)、應用層攻擊、欺騙、trust exploitation 等等。 2005年7 月 14 日的《華爾街日報》報道說，一家廠商的 IP 語音通信軟件存在重要缺陷，可以讓黑客們取得控制權，并進而關閉語音系統，重新定向電話呼叫，竊聽，或者訪問運行該廠商電話軟件的其他計算機。
不過也有好消息——所以不必驚慌。首先，市場上的 IP語音通信話平臺并沒有采用相同的架構。一個平臺的弱點可能在另一個平臺中就沒有。此外，企業可以采用多道防線進行自我保護。現在，大多數通信廠商已經可以提供穩固的安全解決方案，并正在開發更多的解決方案。但企業必須首先意識到，在一個融合的世界里，安全不是簡單的工作，不可能一勞永逸，也不可能依賴單層防御和和單一廠商的解決方案。行業本身也必須聯合起來，提醒客戶防范潛在危險，并開發新的安全解決方案來應對新出現的威脅。
建立安全防線的第一步是要知道能夠做什么。下面是關于融合網絡安全的一些關鍵原則，旨在確保語音應用的安全和保護企業通信的暢通。
在多廠商網絡的每一級保護通信流。由于計算機攻擊變得越來越復雜，如果只是在網絡基礎設施層進行保護，企業會發現，一旦黑客突破第一層防線，他們將處于不設防的狀態。 因此，企業還必須在應用層和統一接入層提供強大的安全性。企業內每個可能受攻擊的脆弱點和應用程序都需要能夠保護自己免受攻擊。
以拒絕服務為例。如果入侵者進入網絡，僅在網絡基礎設施層（例如路由器）提供保護會造成嚴重問題——實際上大多數攻擊都是發生在網絡基礎設施之內。請記住這句古老的諺語：你最脆弱的環節決定了你的強壯程度。也有人這樣說，一個水桶最短的那塊木板決定了這個水桶的盛水量。
最好的策略是多層級的安全保護，即從網絡基礎設施、應用層、直到終端設備，在每一層都提供保護。另外，由于并購、遺留系統等因素，以及企業傾向于采用市場最好的產品和技術進行組合，大多數企業的網絡都是多廠商的。因此，企業要確保在多廠商網絡中也能做好多層級的安全保護。
簡而言之，修復和加固網絡基礎設施是絕對必要的，但僅僅依靠基礎設施來提供保護無異于在同命運開玩笑。新的威脅和攻擊將層出不窮。企業應增加障礙的數量和類型，使攻擊的難度大大增加。
采用開放式而不是專有解決方案。開放標準的主要優點在于，廠商和用戶都能借助業界已經完成的技術來解決安全性問題，從而不斷改進保護等級。同時，開放式方案更適合多廠商環境。只要新的技術和部件也符合行業標準，就可以拿來增加網絡的安全。
在專有系統中，企業只能聽信單個廠商對安全性的承諾，而廠商所聲明的安全性并沒有像開放系統那樣經過嚴格的測試和認證，這樣企業就會冒風險。在開放環境中，廠商需要符合專門的政府認證標準，必須經過測試以證明它們確實可以實現所宣稱地安全性。開放標準可以讓客戶選擇最佳、最成本有效的安全解決方案，從而最能滿足他們的特定需求。那些囿于單一廠商專有安全系統的企業可能會發現，自己陷入了一種危險的境地，缺乏互通性，無法采用市場上最佳的解決方案。
由于一套完整的安全解決方案需要在接入層、業務應用層、以及網絡基礎設施層都要提供保護，因此開放標準對保護企業通信的安全性至關重要。機構內的每個脆弱點和應用程序都需要能夠保護自己免受攻擊，基于開放標準的多廠商網絡策略在此方面表現最好。
信任那些采用整體性安全性策略并與產業界協作的廠商。安全意識出色的廠商會采用多角度和多側面的方法提供安全產品和解決方案。他們不僅著眼于物理系統中的每個關鍵點，同時還重視系統生命周期內的所有重要階段，并提供相應的方案。所以，企業一定要詢問廠商采用的是什么方法，并評估它們是如何開發和提交安全產品與解決方案的。
例如，在 Avaya，產品安全性是從安全性“最佳實踐”開始的。在我們的解決方案中，有一個內部安全性標準，它從產品規劃開始，經過開發階段，一直持續到產品發布。這包括一份多點檢查清單，涵蓋如系統加固、保密性和完整性等項目。一個解決方案中的所有單元都必須接受審驗，甚至包括產品操作系統的選擇。安全特性在解決方案中無處不在，而不是僅限于高端單元或僅限于特定功能。
媒體加密就是一例。Avaya不僅僅在高端單元和那些需要使用第三方附件的單元提供了媒體加密功能，也不僅僅為點到點呼叫才提供這些功能。試想，如果一層樓的每個電話都是系統上易受攻擊的脆弱點，那么為什么只對主管的電話進行媒體加密呢？另外，企業還要清楚地了解廠商如何應對新的安全風險，例如是否會成立快速響應小組進行評估，與客戶進行溝通以確定是否存在風險，并采取必要的措施應對風險。
有些廠商還提供能夠增強融合網絡安全性的關鍵服務。經驗豐富的廠商可以對安全融合網絡的初始規劃提供幫助，對任務關鍵型 IP語音通信應用的可用性給予特別關注。在系統部署時，應確保所選擇的廠商不僅擁有系統部署的專業技術，還要有幫助企業達到安全目標的能力。一旦網絡投入運營，必須有專家進行安全監控。因此企業應選擇具有相當支持水平的廠商，以滿足業務需求。廠商應能夠安全地對網絡進行遠程維護，并提供全面的管理服務，包括融合網絡上安全功能的監控、故障根源分析以及功能恢復。
無論一家廠商的方法有多完善，任何單一廠商都不可能保護客戶免受所有未來威脅。應對這一挑戰需要整個行業聯合起來并共享信息以幫助教育客戶，并在新威脅和解決方案出現時，提供能夠快速適應新挑戰的防御機制。既然已經有人完成了一件富有成果的工作且做得很好，為什么還要重新做過呢？
對于今天的領先廠商來說，與VOIP 安全聯盟 (VOIPSA) 合作非常重要。這是 VoIP 與安全社區最重要的一個聯盟，專注于提高廠商與客戶的 IP 通信安全意識。另一個行業組織，可信賴計算組織 (TCG)，開發和推廣了一些開放規范，這些規范用在產品中，用于檢查一個計算平臺的完整性，并保護其免受基于軟件的威脅。TCG 提供了一種架構，可幫助企業在同意使用者進入一個網絡之前對其進行驗證，從而將防御水平提升到新的高度。
就整個產業而言，我們還無法做到讓每個企業的網絡及其上的應用都能絕對安全，不受惡意攻擊。已經報道的網絡入侵顯示這些威脅仍很現實。但可以采用措施加強和保護企業通信來防止惡意攻擊。安全性必須貫徹于企業的各個層級，覆蓋網絡基礎設施、通信應用、業務應用，以及用戶終端。開放、基于標準、多廠商解決方案與服務，以及吸納行業最佳實踐，可以幫助企業在復雜的通信環境中獲得更為穩固的系統。如果整個通信框架中都融合了這些重要原則，企業就會擁有一個安全的基礎，進而獲取由新的智能通信時代所帶來的巨大優勢。