Office Servers and Services

"La connaissance ne vaut que si elle est partagée" / "An effective Knowledge is a shared one"

Toip et sécurité : recommandations de l’ANSSI

Posted by Teruin laurent sur janvier 27, 2014


Bonjour l’Agence Nationale de Sécurité des Systèmes d’Information vient de publier des recommandations pour la sécurisation des environnements TOIP. Le moins que l’on puisse dire c’est qu’ils n’y vont pas de main morte.

Pas sûr que le côté « Isolation physique totale » soit jouable chez la plupart de nos clients ;-). En tous les cas, ce document a le mérite d’exister et il est plutôt bien fait ;-)

Voici quelques morceaux choisis des Mesures de sécurité d’ordre général

« Isolation physique totale

R3

Si l’analyse de risques a mis en évidence un besoin élevé en disponibilité du système de téléphonie ou en intégrité/confidentialité des communications, une séparation physique totale de l’architecture ToIP par rapport aux infrastructures de données (internes et externes) doit être retenue.

 

Afin d’assurer une sécurité maximale de l’infrastructure de téléphonie sur IP, il est recommandé de pratiquer une isolation complète de celle-ci par rapport aux réseaux de données existants. Ce choix implique que l’infrastructure de téléphonie sur IP ne soit pas connectée à des réseaux de données internes (bureautique, serveur) ou externes (Internet) à l’entreprise/l’administration. Si cette séparation est mise en oeuvre, les échanges de données réalisés entre l’infrastructure de téléphonie et les réseaux de données doivent être effectués à l’aide de procédures organisationnelles documentées (utilisation de médias amovibles, serveurs de mises à jour hors ligne, etc.). Cette séparation doit intervenir à tous les niveaux :

 

– réseau : l’ensemble des équipements réseau utilisés dans l’architecture de téléphonie doit être dédié (commutateurs, routeurs, pare-feux, etc.) ;

– système : l’ensemble des machines utilisées (serveurs et postes de travail) dans l’architecture de téléphonie doit être dédié à ce besoin ; y compris les serveurs hébergeant des machines virtuelles si l’architecture de téléphonie en fait usage ;

– données : l’ensemble des données relatives à l’architecture de téléphonie doit être stocké sur des supports physiques dédiés ; et a pour objectifs :

– d’assurer la très forte disponibilité du service de téléphonie : les équipements qui composent l’architecture de téléphonie n’étant pas mutualisés avec d’autres services, le risque de surcharge est limité ;

– d’assurer la confidentialité et l’intégrité des données relatives à la téléphonie : les données utilisateurs, les communications, les messages vocaux, les configurations ne sont pas accessibles à partir d’équipements qui n’appartiennent pas à l’infrastructure de téléphonie sur IP ;

– de minimiser les risques d’attaques à partir des postes informatique internes : il existe néanmoins des postes informatiques autorisés à se connecter à l’infrastructure de téléphonie, les postes administrateurs et les POPC, dont la sécurisation doit être assurée au même titre qu’un poste bureautique classique (les mesures de sécurisation des POPC sont détaillées dans le paragraphe 6.3.5) ;

– de minimiser les risques d’attaques à partir de sources externes : une infrastructure de ToIP non dédiée à un usage interne est toujours exposée car elle conserve nécessairement un lien avec l’extérieur pour que les communications externes puissent être acheminées. L’absence de raccordement »

 

« Sécurisation des services réseaux

5.4.1 Service DNS

R5

Un service DNS ne doit être mis en œuvre que si cela est réellement nécessaire au fonctionnement de l’infrastructure de téléphonie sur IP. Dans ce cas, il doit être dédié à l’infrastructure de ToIP.

5.4.2 Service DHCP

R6

L’utilisation du service DHCP pour attribuer les adresses IP aux téléphones est acceptable si des mesures de protection complémentaires sont mises en œuvre. En particulier celles qui visent à protéger l’accès au réseau. »

 

« Réseaux d’administration dédiés

R9

Idéalement, utiliser des réseaux d’administration physiquement dédiés pour assurer l’exploitation des équipements de l’infrastructure de ToIP (usage de commutateurs dédiés en particulier), dans tous les cas distincts de ceux employés pour l’administration des réseaux de données. A minima ces réseaux doivent être isolés logiquement (VLAN). »

 

« Interconnexions opérateurs

R32

Pour renforcer la disponibilité du service de téléphonie, raccorder l’infrastructure de ToIP à plusieurs liens opérateurs répartis si possible sur des sites physiques distincts.

R33

Utiliser de préférence des liens TDM pour raccorder l’infrastructure de ToIP à celles des opérateurs.

R34

Si des trunks SIP sont utilisés pour raccorder une architecture de téléphonie aux opérateurs (non recommandé), il est impératif d’utiliser des équipements de sécurité périphériques (SBC/BG par exemple) pour sécuriser les échanges avec l’extérieur et protéger le système d’information. »

 

Le document complet est récupérable à l’adresse suivante : http://www.ssi.gouv.fr/IMG/pdf/NP_securiser_ToIP_NoteTech-v1.pdf

 

 

Laisser un commentaire

Choisissez une méthode de connexion pour poster votre commentaire:

Logo WordPress.com

Vous commentez à l'aide de votre compte WordPress.com. Déconnexion / Changer )

Image Twitter

Vous commentez à l'aide de votre compte Twitter. Déconnexion / Changer )

Photo Facebook

Vous commentez à l'aide de votre compte Facebook. Déconnexion / Changer )

Photo Google+

Vous commentez à l'aide de votre compte Google+. Déconnexion / Changer )

Connexion à %s

 
%d blogueurs aiment cette page :