Cloud Expo Europe
28.11.17 - 29.11.17
In Frankfurt

Data Centre World
28.11.17 - 29.11.17
In Frankfurt

IT-Tage 2017
11.12.17 - 14.12.17
In Frankfurt, Messe Kap Europa

Net.Law.S 2018
20.02.18 - 21.02.18
In Nürnberg, Messezentrum

CESIS 2018
20.02.18 - 21.02.18
In München

Best PracticeBei der Migration von ISDN zur IP-Telefonie stellt sich sehr schnell die Frage, wie sicher IP-Telefonie ist, beziehungsweise was zu tun ist, um eine hohe Sicherheit zu erzielen.

QSC erläutert die fünf wichtigsten Maßnahmen, die Unternehmen bei der Ablösung des klassischen ISDN-Anschlusses berücksichtigen sollten. Optimaler Ansatzpunkt, um eine hohe IT-Sicherheit im Unternehmen zu erlangen, ist das Risikomanagement. Gängige Normen wie die ISO 31000 und ISO 27000 besagen, dass die Geschäftsleitung die Risiken identifizieren, analysieren und bewerten muss. Ist die Kombination aus Eintrittswahrscheinlichkeit und potenziellem Schaden einer Sicherheitslücke hinreichend groß, sollten Unternehmen Maßnahmen entwickeln und umsetzen, um zu akzeptablen Kosten ein vertretbares Restrisiko zu erreichen.

Am Anfang steht eine Ist-Analyse des bereits vorhandenen IP-Kommunikationsnetzwerks, um den tatsächlichen Schutzbedarf beim Umstieg von ISDN zur IP-Telefonie zu klären. Einen guten Leitfaden für das weitere Vorgehen und die Entwicklung des IT-Sicherheitsplans im Rahmen des Risikomanagements liefert der BSI-IT-Grundschutzkatalog.

Die Kommunikations- beziehungsweise die Informationssicherheit lässt sich mit zwei Begriffen näher beschreiben: Safety umfasst die Betriebssicherheit im Sinne der Verfügbarkeit sowie Schadensvermeidung und bei Security geht es um die Informationssicherheit und damit um Anforderungen wie Integrität, Authentizität und Vertraulichkeit der Kommunikation. Safety und Security lassen sich mit den folgenden fünf Best Practices spürbar verbessern.

  1. Betriebssicherheit gewährleisten. Alle Systemkomponenten der IT-Telefonie-Infrastruktur sollten im Detail aufeinander abgestimmt sein und es empfiehlt sich, ein umfassendes System- und Change-Management zu etablieren, damit im Notfall eine schnelle Reaktion sichergestellt ist. Ziel ist es, mit geeigneten organisatorischen und technischen Maßnahmen die Ausfallwahrscheinlichkeit zu reduzieren. Ist eine hohe oder gar sehr hohe Verfügbarkeit erforderlich, lässt sich das Ausfallrisiko durch eine redundante Auslegung von SIP-Trunk (dem Session-Initiation-Protocol-Anschluss), IP-Standortanbindung und TK-Anlage weiter senken.
     
  2. Finanzielle Schäden vermeiden. Die gefährlichsten Sicherheitslücken entstehen durch schlecht gesicherte TK-Anlagen beziehungsweise SIP-Trunks – insbesondere dadurch, dass voreingestellte Passwörter nicht geändert oder schwache Passwörter gewählt wurden. Damit können Hacker Zugang zu TK-Anlagen erhalten und hohe Telefonkosten durch Verbindungen zu ausländischen Servicenummern verursachen. Die einfachsten Maßnahmen bestehen darin, Auslandsrufnummern weitgehend zu sperren, regelmäßige Betriebssystem-Updates der TK-Anlage durchzuführen und sichere Administrationspasswörter zu etablieren. Darüber hinaus kann es erforderlich sein, spezifische Gefahrenmuster zu überwachen und Schwellenwerte zu implementieren sowie unerwartete Ereignisse sofort zu melden.
     
  3. Sprach- und Datennetz trennen. Im Voice-over-IP-Umfeld empfiehlt es sich, zusätzlich zur Implementierung von Firewalls und anderen standardmäßigen IT-Sicherheitsmaßnahmen, den Sprach- und Datenverkehr zu separieren. Im Netzwerk eines Unternehmens erfolgt dies am besten auf Layer 2 per VLAN (Virtual Local Area Network)-Technologie im Ethernet-Switch. In Unternehmen mit einem sehr hohen Schutzbedarf können die Sprach- und Datennetze auch physikalisch getrennt werden.
     
  4. Vertraulichkeit, Integrität und Authentizität erhöhen. Um die Kommunikationssicherheit und damit die Vertraulichkeit eines SIP-Trunks zu verbessern, empfiehlt sich der Einsatz von SRTP (Secure Real Time Protocol) auf Layer 5 des OSI-Schichtenmodells. Durch eine Kombination von SRTP mit dem auf Layer 4 arbeitenden TLS (Transport Layer Security)-Protokoll kann zusätzlich die Integrität und Authentizität der SIP-Signalisierung gesteigert werden.
     
  5. Sprachdaten verschlüsseln. Bekanntermaßen können die Daten eines ISDN-Anschlusses nicht verschlüsselt werden. In der Welt der IP-Telefonie dagegen ist dies möglich, nämlich mit Hilfe von TLS/SRTP. Verschlüsselt wird dabei die Kommunikation zwischen einem IP-Telefon beziehungsweise einer TK-Anlage und dem IP-Telefonie-Provider – das gilt sowohl für die Signalisierungs- als auch für die Sprachdaten. Damit kann man jeden anderen Teilnehmer im Fest- oder Mobilfunknetz erreichen. In diesem Fall ist jedoch nur die Strecke zum Provider, nicht aber die zu Teilnehmern anderer Provider verschlüsselt. Sind beide Teilnehmer beim gleichen Provider - das gilt beispielsweise auch für ein standortübergreifendes Firmennetzwerk - ist auch die gesamte Kommunikation verschlüsselt.

"Viele Unternehmen sind immer noch der Meinung, dass ISDN-Telefonie sicherer sei als IP-Telefonie. Dieser Mythos lässt sich leicht entkräften", sagt Andreas Steinkopf, Produktmanager IP-Telefonie bei QSC in Köln. "Für die IP-Telefonie steht ein breites Spektrum von in der Praxis bereits bewährten Best Practices bereit, um eine sehr hohe IT-Sicherheit zu erreichen. Zwei Punkte sind dabei besonders zu betonen: Erstens lässt sich mit SIP-Trunk-Sprachanschlüssen eine durchgängigere Redundanz der Telefoniekomponenten erreichen als es mit der ISDN-Technologie möglich war. Und zweitens konnte der ISDN-Sprachverkehr nicht verschlüsselt werden, bei der IP-Telefonie geht das sehr wohl."

www.qsc.de/de

GRID LIST
Oliver Keizers

Integration von Security-Tools - Den Wald vor lauter Bäumen nicht sehen

"Den Wald vor lauter Bäumen nicht sehen" lässt sich gut auf die Situation in vielen…
Tb W190 H80 Crop Int 756f2d2c4f6fbb1774da012155e3a3b1

Apama EagleEye: KI-unterstützte Marktüberwachungslösung

Die Software AG hat Apama EagleEye vorgestellt, ein Marktüberwachungssystem, das eine…
Oliver Bendig

Patentrezept für IT-Security

Es gibt kaum ein Unternehmen, das nicht schon einmal Ziel einer Cyber-Attacke geworden…
Tb W190 H80 Crop Int 60c948299ec6ed8114ef0acdb6b25f11

Neue Clavister-Firewall E10 für den Mittelstand

Der schwedische Hersteller Clavister stellt seine neue Next Generation Firewall E10 NGFW…
Penetrationstest

Penetrationstest ist nicht gleich Penetrationstest

Oftmals werden automatisierte Sicherheitsprüfungen als Penetrationstests bezeichnet. Die…
Tb W190 H80 Crop Int B105883123d2264a138f7eac7750dea8

McAfee integriert „Advanced Analytics“ für optimierte SOC-Effizienz

McAfee stellt neue Endpunkt- und Cloud-Lösungen vor. Diese nutzen die Geschwindigkeit und…
Frische IT-News gefällig?
IT Newsletter Hier bestellen:

Newsletter IT-Management
Strategien verfeinert mit profunden Beiträgen und frischen Analysen

Newsletter IT-Security
Pikante Fachartikel gewürzt mit Shortnews in Whitepaper-Bouquet