Bundesamt für Sicherheit in der Informationstechnik

M 2.375 Geeignete Auswahl von VoIP-Systemen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Beschaffungsstelle, Leiter IT

Die verschiedenen Hersteller von TK-Produkten bieten zahlreiche Lösungen zur Telefonie an. Neben reinen Geräte für VoIP und für analoge und digitale Telefonie können auch Produkte, die beide Architekturen unterstützen, erworben werden. Beispiele sind TK-Anlagen für leitungsvermittelnde Netze, die über einen IP-Anschluss verfügen und Gateways, die zwischen eine VoIP-Architektur und ein öffentliches, leitungsvermittelndes Telefonnetz geschalten werden können. Für die Auswahl sind neben der Grundfunktionalität, wie der Unterstützung der benötigten Signalisierungs- und Medientransportprotokolle, zahlreiche sicherheitstechnische Aspekte zu berücksichtigen.

Bevor VoIP-Komponenten beschafft werden, muss eine Anforderungsliste erstellt werden, anhand derer die am Markt erhältlichen Produkte bewertet werden. Aufgrund der Bewertung kann dann eine fundierte Kaufentscheidung erfolgen, die sicherstellt, dass das zu beschaffende Produkt im praktischen Betrieb den Anforderungen genügt.

Allgemeine Anforderungen

Nachfolgend werden einige allgemeine Anforderungen aufgelistet, die bei der Beschaffung von VoIP-Endgeräten und der Middleware berücksichtigt werden sollten:

1. Allgemeine Kriterien

  • Soll eine VoIP-Appliance oder eine Lösung, die auf einem Standard-PC betrieben werden kann, beschafft werden?
    In jedem Fall muss das meist komplexe Betriebssystem so konfiguriert werden, dass nur die wirklich benötigten Funktionen aktiviert sind, die Zugriffsrechte restriktiv vergeben und Schwachstellen systematisch beseitigt werden.
  • Unterstützt das Produkt alle benötigten Protokolle?
  • Werden Schulungen von dem Hersteller oder einem unabhängigen Anbieter zu dem Produkt angeboten?
  • Gibt es verlässliche Informationen zur Zuverlässigkeit und Ausfallsicherheit von Hard- und Software?
  • Können die VoIP-Komponenten den Ansprüchen an die Performance gerecht werden?
  • Ist das Produkt nach formalen Methoden, wie den Common Criteria, evaluiert?
  • Ist die VoIP-Komponente interoperabel zu bestehenden Produkten?
  • Unterstützen die VoIP-Komponenten eine sichere Anmeldung und eine sichere Benutzerverwaltung?
  • Enthält die mitgelieferte Produktdokumentation eine genaue Beschreibung aller technischen und administrativen Details?
  • Wird für die VoIP-Komponenten die Möglichkeit des Abschlusses von Wartungsverträgen angeboten? Oft ist der Zugriff auf Updates und Unterstützungsleistungen vom Hersteller nur in Verbindung mit einem gültigen Wartungsvertrag möglich. Können im Rahmen der Wartungsverträge maximale Reaktionszeiten für die Problembehebung festgelegt werden? Bietet der Hersteller einen technischen Kundendienst (Hotline) an, der in der Lage ist, sofort bei Problemen zu helfen?
  • Lässt sich das Produkt einfach installieren, konfigurieren, und administrieren?

2. Protokollierung

Die angebotenen Möglichkeiten zur Protokollierung müssen mindestens die in der Sicherheitsrichtlinie festgelegten Anforderungen erfüllen. Insbesondere sind die folgenden Punkte relevant:

  • Ist der Detailgrad der Protokollierung konfigurierbar?
  • Werden durch die Protokollierung alle relevanten Daten erfasst?
  • Ist der Zugriff auf die Protokolldaten mit einem Zugriffsschutz versehen?
  • Unterstützt das System zentrale Protokollierung? Eine zentrale Protokollierung erleichtert eine gezielte Auswertung der Protokolldaten.
  • Kann die Protokollierung so erfolgen, dass die Bestimmungen des Datenschutzes erfüllt werden können?

3. Updates

  • Werden regelmäßig Updates und Patches für das Produkt angeboten? Werden Sicherheitspatches zeitnah nach Bekanntwerden einer Sicherheitslücke angeboten?
  • Können durch eine Aktualisierung der Software auch neuere Versionen der Signalisierungs- und Medientransportprotokolle, in denen Sicherheitsprobleme beseitigt wurden und die zusätzliche Sicherheitsmechanismen bereitstellen, verwendet werden?
  • Berücksichtigen die Updates tiefere Schichten der VoIP-Komponente, wie Updates im Betriebssystem oder Dienste, die nicht in unmittelbaren Zusammenhang zu VoIP stehen? Um bestehende Schwachstellen im Betriebssystem der Appliance oder im IT-System zu beseitigen, sollten diese Bestandteile ebenfalls aktualisiert werden.
  • Werden Updates und Patches so abgesichert, dass ausgeschlossen werden kann, dass bei der Übertragung der Updates diese gegen manipulierte Versionen ausgetauscht werden können?

4. Administration

  • Unterstützen die VoIP-Komponenten sichere Protokolle zur Administration?
  • Können die VoIP-Komponenten so konfiguriert werden, dass die vorgegebenen Sicherheitsziele erreicht werden können?
  • Können wichtige Konfigurationsparameter vor Veränderungen durch Benutzer geschützt werden?
  • Können die VoIP-Komponenten über eine zentral gesteuerte Management-Software administriert werden? Ist die administrative Schnittstelle so gestaltet, dass auf fehlerhafte, unsichere oder inkonsistente Konfigurationen hingewiesen wird oder diese verhindert werden?

5. Verschlüsselung

Um über VoIP verschlüsselt kommunizieren zu können, müssen die beteiligten Geräte entsprechende Funktionalitäten beinhalten. Je nach Schutzbedarf kann aber während der Planung entschieden worden sein, auf eine Verschlüsselung der internen VoIP-Kommunikation zu verzichten. Dennoch sollten auch dann VoIP-Komponenten angeschafft werden, die über die Möglichkeit zur Verschlüsselung verfügen oder bei denen diese nachgerüstet werden kann. Folgende Aspekte sollten berücksichtigt werden:

  • Unterstützen die VoIP-Komponenten die Verschlüsselung der Medientransport- und Signalisierungsinformationen oder kann die Unterstützung nachträglich eingebunden werden?
  • Können die VoIP-Komponenten als VPN-Endpunkte betrieben werden?

Auswahl von Vermittlungssystemen (Middleware)

Telefonie stellt oft einen essentiellen Geschäftsprozess dar. Daher werden unter anderem hohe Anforderungen an die Verfügbarkeit gestellt. Folgende Kriterien sollten bei der Beschaffung berücksichtigt werden:

  • Kann die VoIP-Middleware redundant ausgelegt werden?
  • Bietet der Hersteller gegebenenfalls Hochverfügbarkeitslösungen an?
  • Sollen ein oder mehrere, zentrale Geräte die VoIP-Gesamtfunktionalität bereitstellen oder sollen mehrere einzelne, von einander abhängige Geräte beschafft werden?
    Einzelne, voneinander abhängige Geräte sind zum Beispiel SIP-Registrare, Proxy-Server und Location Server. Systeme, die alle VoIP-Funktionalitäten in einer Gesamtlösung bereitstellen, lassen sich oft leichter konfigurieren. Mehrere, verteilte Systeme können dagegen besser skaliert werden. Da die Administration bei mehreren Geräten oft aufwendiger ist, sind dadurch Fehlkonfigurationen wahrscheinlicher.

Auswahl der aktiven Netzkomponenten

Falls für den Umstieg auf VoIP neue Netzkomponenten wie Switches beschafft werden, müssen diese ebenfalls besondere Voraussetzungen erfüllen. Soll VoIP über ein bestehendes Datennetz genutzt werden, müssen die Geräte VoIP-Pakete erkennen und bevorzugt weiterleiten können. Soll zwischen zwei lokalen Netzen über ein unsicheres Datennetz, wie dem Internet, telefoniert werden können, müssen weitere Anforderungen gestellt werden. Wenn bisher keine Maßnahmen zur Verschlüsselung ergriffen wurden, sollten beispielsweise die am unsicheren Netz angeschlossenen Gateways als VPN-Endpunkte eingesetzt werden können.

Prüffragen:

  • Berücksichtigt die Anforderungsliste Merkmale der IT -Sicherheit zur Erreichung des angestrebten Sicherheitsniveaus?

  • Existiert eine Regelung, um die am Markt erhältlichen Produkte von Hard- und Software gemäß der Anforderungsliste zu bewerten?

  • Existiert eine Regelung, um die Kaufentscheidung anhand der Bewertungsgrundlage durchzuführen?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK