V.3 MESURES DE SECURISATION DE LA SOLUTION
DEPLOYEE
Etant donné que la solution VoIP
implémentée est une application de plus dans le réseau
existant et qu'elle est exposée aux attaques diverses, telles que nous
énumérer au chapitre III, il était important d'envisager
des mesures de sécurisation du serveur qui hébergera cette
application.
Pour ce faire, dans la section qui suit nous allons
présenter certaines recommandations techniques proposant des mesures de
sécurisation de la solution, une fois mise en place.
Les recommandations techniques à mettre en place sont les
suivantes :
1) la protection physique du serveur
Le serveur doit être installé dans la salle
informatique et bénéficier du même niveau de
sécurité (alarme, anti-incendie, surveillance, etc.) que d'autres
serveurs.
2) La redondance des composants critiques
Cette solution est coûteuse, mais nécessaire
lorsque la criticité de l'infrastructure VoIP exige une forte
disponibilité et/ou un rétablissement rapide en cas de panne. Les
équipements critiques seront donc dupliqués et des
mécanismes de partage de charge seront mis en place. Des tests
réguliers doivent en outre être réalisés, afin de
contrôler les procédures de basculement et le bon fonctionnement
des appareils redondants.
3) Consolider et sécuriser le système
d'exploitation du serveur
La sécurité du réseau voix implique
à la fois celle des systèmes d'exploitation et des applications
qui le composent. Consolider les systèmes d'exploitation est
indispensable, nécessaire et obligatoire. Les ports et les services
inutiles seront désactivés. Les systèmes seront mis
à jour régulièrement pour corriger les
vulnérabilités, et les permissions sur les registres
appliquées, etc.
4) Segmentation du réseau en VLAN
Les trafics voix et données transiteront sur des
réseaux distincts, des Virtual Local Area Network seront mis en place
sur les commutateurs. Les différents flux de voix seront ainsi
sécurisés, ce qui empêchera une personne connectée
sur le réseau de données d'écouter le trafic voix. Les
Switchs assureront en outre, la gestion des ACL (Access Control Lists = Listes
de Contrôle d'Accès) et interdiront le port monitoring et les
ports non-actifs seront désactivés.
118
5) Placer les équipements derrière le
pare-feu
Les firewalls seront configurés en amont des serveurs,
pour éviter le déni de service, et sur les segments critiques.
Ils ne contrôleront que les flux des VLANs qui sont bien restreints aux
protocoles de la VoIP. Les pare-feu supporteront à la fois les
protocoles SIP (Session Initiation Protocol) et les protocoles H.323.
6) Crypter les communications de bout en
bout
Le cryptage concerner les flux de signalisation
(chargés de mettre en relation l'appelant et l'appelé) et
média (transport de l'information). Ainsi le chiffrement de la voix peut
s'appuyer soit sur le protocole TLS (Transport Layer Security), DTLS (Datagram
TLS) ou SRTP (Secure RTP). Une entreprise peut également décider
de recourir à IPSec. Les communications externes peuvent aussi
être acheminées via des tunnels VPN.
7) Monitoring du trafic voix
La surveillance du réseau avec des Sniffers et des IDS
permettra de détecter le trafic anormal et les tentatives d'intrusion.
L'analyse des logs pourra en outre révéler des attaques en brute
force, des appels frauduleux (de nuit, vers des numéros surtaxés,
etc.). Tandis que des pics du trafic voix traduiront des spams vocaux (voice
spam).
Toutefois, le risque zéro n'existe pas et les solutions
de sécurité applicables à la VoIP peuvent s'avérer
à la fois complexes et coûteuses à mettre en oeuvre.
L'entreprise devra donc arbitrer entre criticité, coût et niveau
de risque jugé acceptable.
| 
