ホワイト ペーパーCisco IOS Firewall の SIP 拡張機能によるセキュア ユニファイド コミュニケーションの実現シスコ ユニファイド コミュニケーションの完全性および可用性の向上 概要多くの企業ではユニファイド コミュニケーション（単一ネットワーク インフラストラクチャ上でのデータ、音声、および映像の統合）を利用することで、通信コストを大幅に削減すると同時に、従業員の生産性とモビリティを高めることに成功しています。ユニファイド コミュニケーション システムを保護してサービスの可用性とシステムの完全性を維持することは、このようなユニファイド コミュニケーションの利点を実現する上で非常に重要です。シスコではシステムの保護を強化するため、シスコ ユニファイド コミュニケーションのすべてのアプリケーションとシステムに複数のセキュリティ対策を導入することを推奨しています。ユニファイド コミュニケーション システムの主要な構成要素には、エンドポイント、コール制御、アプリケーション、そしておそらく最も重要な統合型 IP ネットワーク インフラストラクチャの 4 つがあります。ルータをベースにしたシスコのセキュリティ ソリューションは、これら 4 つの構成要素のセキュリティ保護を可能にし、セキュアなユニファイド コミュニケーション アーキテクチャを構築する際の安定した基盤として機能します。Cisco IOS® Firewall では、ユニファイド コミュニケーションの構成要素の完全性と可用性を維持するのに役立つシステムのセキュリティとポリシー制御機能が利用できます。 利点シスコのセキュア ユニファイド コミュニケーションには、次のような利点があります。
SIPSession Initiation Protocol（SIP）は、1 人または複数の参加者とのセッションの確立、変更、および切断を行うアプリケーション層の制御（シグナリング）プロトコルです。これらのセッションには、インターネット電話、マルチメディア配信、およびマルチメディア会議などが含まれます。SIP は HTTP に類似した、要求/応答型のトランザクション プロトコルです。各トランザクションは、サーバで特定のメソッド（機能）を呼び出す要求と、1 つまたは複数の応答で構成されます。 SIP ではプロキシ サーバを使用し、ユーザの現在位置への要求のルーティング、サービスを使用するユーザの認証と許可、プロバイダーの呼ルーティング ポリシーの実行、およびユーザへの各種機能の提供を行います。SIP は異なる複数のトランスポート プロトコル上で動作します。 Cisco IOS Firewall による音声セキュリティの強化Cisco IOS Firewall の SIP 保護は Cisco IOS Firewall の拡張機能で、RFC 3261 に準拠した SIP トラフィックの検査と制御を行うことができます。この SIP 保護機能は、重要なシステム リソースの脆弱性を悪用する際に使用される不正な SIP シグナリングや要求が、有効な SIP エンドポイントや呼制御リソースに悪影響を及ぼさないようにします。不正パケット（プロトコル ファジングともいう）はユニファイド コミュニケーション システムを悪用する代表的な手段です。Cisco IOS Firewall では、これらの不正パケットをフィルタリングし、システムの悪用を効果的に防ぎます。 Cisco IOS Firewall の SIP 検査はプロトコル適合性の検査だけでなく、きめ細かなアプリケーション ポリシーの適用にも役立ちます。Cisco IOS Firewall の SIP 検査には、許可されたサービスだけを使用できるようにする各種ツールが用意されています。また、さまざまなフィルタリング オプションを使用して、ネットワーク アドレスだけでなく、ユーザや電話番号に基づいてポリシーを適用することができます。このように、Cisco IOS Firewall の SIP 検査はユニファイド コミュニケーションに完全に対応したセキュリティ プラットフォームとして利用できます。 Cisco IOS Firewall の SIP 保護は、SIP の各種セキュリティ要件に対応し、以下の方法でシスコ ユニファイド コミュニケーション製品ラインの新機能のサポートを向上させます。
Cisco IOS Firewall の SIP 保護は、次の方法を使用して DoS 攻撃を防ぎます。DoS 攻撃によってリソースが枯渇すると、ユニファイド コミュニケーションの音声システムが中断してしまう可能性があります。
SIP アプリケーションおよび検査制御では、SIP アプリケーションのアクティビティをきめ細かに制御できます（表 1）。 表 1 SIP アプリケーションおよび検査制御による SIP アプリケーション アクティビティの詳細な制御
図 1 は、セキュア ユニファイド コミュニケーションで、推奨されるマルチレイヤ アーキテクチャを示しています。 
図 1 シスコが推奨する、セキュア ユニファイド コミュニケーションのマルチレイヤ アーキテクチャ 構成例以下の構成例は、Cisco IOS Firewall がユニファイド コミュニケーションの構成要素（Cisco Unified Communications Manager、Cisco Unified Border Element、およびエンドポイントなど）を保護する上で重要な役割を果たしています。 構成 1：SIP トランク ベース接続これはサービス プロバイダーの SIP トランクを使用してリモート ブランチ サイトへのアクセスを提供する標準的な構成です（図 2）。Cisco Unified Border Element は、サービス プロバイダーが提供する SIP トランク サービスを使用して、本社サイトにある Cisco Unified Communications Manager との SIP トランク連動を提供します。ブランチ サイト（Cisco IP Phone を使用）は Cisco IOS Firewall で保護されています。これにより、リモート サイトはサービス プロバイダー ネットワークに安全に接続することができます。 
図 2 SIP トランクベース接続の構成 構成 2：企業の在宅勤務者用の構成この構成例は、VPN トンネルを介した本社と企業の在宅勤務者サイトとの接続を示しています。ベースとなる伝送路には WAN（専用線またはインターネット接続）が使用されています。リモート側の電話機は本社の Communications Manager に登録します。ただし、信頼できない WAN 接続からリモート サイトを保護するために、Cisco IOS Firewall で本社のユニファイド コミュニケーション リソースと電話機間の通信を保護できるようになっています。  図 3 企業の在宅勤務者用の構成 まとめCisco IOS Firewall の SIP 検査および制御は、データ ネットワーク、ユニファイド コミュニケーション インフラストラクチャのリソース（Cisco Unified Communications Manager や Cisco Unified Communications Manager Express など）、および IP テレフォニーのエンドポイントとリソース（IP フォン、Cisco Unity®、および Cisco TelePresence リソースなど）の保護に役立つきめ細かなネットワーク トラフィック保護機能を備えています。これらのリソースの保護を強化することで、音声およびデータ リソースの信頼性、パフォーマンス、およびセキュリティを確保し、さまざまなビジネス ニーズに対応できる実効性のある環境を実現できます。 関連情報Voice-over-IP（VoIP）システムの保護に関する NIST 勧告（英語） シスコのセキュアなユニファイド コミュニケーション Cisco IOS Firewall |
||||||||||||||||||
 |
Guest
Cisco IOS Firewall の SIP 拡張機能によるセキュア ユニファイド コミュニケーションの実現