視頻會議安全：了解您的風(fēng)險
· 數(shù)據(jù)泄漏：黑客可能從視頻會議室盜取其他會議室的IP地址及常用電話號碼。但將會話邊界控制器(SBC)與會話發(fā)起協(xié)議(SIP) 部署在一起，能夠降低數(shù)據(jù)丟失風(fēng)險。
· 呼叫入侵：所有視頻會議系統(tǒng)都具備的自動應(yīng)答特性允許訪問所有呼叫者，包括那些偷偷發(fā)現(xiàn)設(shè)備IP地址的入侵者。但是當(dāng)視頻會議設(shè)備設(shè)置為人工應(yīng)答時，所有呼叫者都必須在登錄會議時發(fā)起公告，由應(yīng)答方控制參加會議的人員。由于視頻會議設(shè)備必須手工開啟，所以將系統(tǒng)設(shè)置為人工應(yīng)答可以保證視頻會議終端安全、防止入侵和信息安全。
評估視頻會議安全狀況
根據(jù)Wainhouse Research高級分析師與合作伙伴Ira Weinstein的觀點，公司通常會選擇自動應(yīng)答特，即使入侵者可以撥號，他們也可能視它為低風(fēng)險漏洞。
啟用自動應(yīng)答完全不需要人工干預(yù)。參與者在約定時間到達(dá)視頻會議或網(wǎng)真會議室，當(dāng)呼叫方連接，屏幕被激活，會議就開始。這是方便，但不安全。尋找漏洞的黑客可能會發(fā)現(xiàn)視頻會議設(shè)備的IP地址。如果這樣，他們就可以利用自動應(yīng)答特性，悄悄訪問設(shè)備進(jìn)而控制攝像頭。
Weinstein說，一個有多個分支辦公地點、且常與伙伴通信的公司可能認(rèn)為只要會議過程的語音或視頻不會暴露保密信息，自動應(yīng)答特性是否開啟并不重要。
公司必須在可訪問性、安全性和經(jīng)濟(jì)性進(jìn)行選擇。對于數(shù)據(jù)泄漏，如果視頻會議系統(tǒng)僅僅暴露會議室電話號碼，那么公司可能會認(rèn)為值得為方便冒險。他的辦公室在特定時間會同時開啟多個視頻會議系統(tǒng)，而且所有系統(tǒng)都會連接公共互聯(lián)網(wǎng)——他之所以選擇這樣做，是因為他更看重是否可以接入。
Nemertes Research副總裁和服務(wù)主管的Irwin Lazar認(rèn)為，一些公司的視頻會議安全標(biāo)準(zhǔn)更高。許多公司肯定希望將會議限定在兩個終端之間，而且他們更傾向于使用加密解決方案。企業(yè)將開始使用第三方的視頻會議安全軟件，包括滲透測試和入侵檢測。
視頻會議安全：評估工具
現(xiàn)在有一些特殊的視頻會議安全評估工具，比如Rapid 7公司設(shè)計的滲透測試應(yīng)用程序Metasploit。這家位于波士頓的公司最近對視頻會議系統(tǒng)執(zhí)行了一次高調(diào)滲透測試。這個應(yīng)用程序有可用于掃描和發(fā)現(xiàn)視頻會議系統(tǒng)漏洞的工具。CEO Mike Tuchen指出，Rapid 7的最新研究發(fā)現(xiàn)，自動應(yīng)答是一個安全漏洞，它可能使入侵者有機(jī)會進(jìn)入連接互聯(lián)網(wǎng)的系統(tǒng)。
另一方面，Weinstein認(rèn)為每個組織都應(yīng)該先考慮在會議室啟用自動應(yīng)答的風(fēng)險，再決定是否禁用這個特性。自動應(yīng)答是一種選擇，就像IT團(tuán)隊需要采取措施保證網(wǎng)絡(luò)安全和個人計算機(jī)一樣，他們還需要保證視頻會議設(shè)備的安全性。Lazar說，如果自動應(yīng)答成為問題，那么使用企業(yè)SBC與SIP的解決方案可以保證呼叫是來自于可靠的呼叫者。
雖然Rapid 7的首席安全官H.D. Moore也認(rèn)同使用IP連接的系統(tǒng)應(yīng)該配置SBC與SIP進(jìn)行訪問控制，但是他同樣建議公司應(yīng)該完全禁用自動應(yīng)答這個特性。Moore使用Metasploit的快速端口掃描工具查找通過IP連接的、視頻會議系統(tǒng)的安全漏洞，他發(fā)現(xiàn)有5,000個不帶保護(hù)措施的視頻會議系統(tǒng)自動應(yīng)答了他的呼叫。所以他可以輕易控制視頻攝像頭、偷偷參加會議。
Lazar認(rèn)為，如果系統(tǒng)連接帶有正確配置會話邊界控制器的SIP中繼，那么Rapid 7端口掃描試驗會大不一樣。但是，許多網(wǎng)絡(luò)管理員可能還未認(rèn)識到SIP對于視頻與語音的作用。SBC可以防止自動應(yīng)答漏洞，但是控制器昂貴，而且還必須配置才能使用SIP，保證視頻會議設(shè)備的安全。
視頻會議安全最佳實踐
1. 使用帶SIP的會議邊界控制器保護(hù)IP視頻設(shè)備。
2. 對用戶進(jìn)行培訓(xùn)，使他們了解視頻會議系統(tǒng)是否受到攻擊。Rapid 7的Tuchen說：“如果看到攝像機(jī)開始轉(zhuǎn)動，那么肯定有人在操縱。如果控制臺或攝像機(jī)指示燈閃動，這表示系統(tǒng)在呼叫之前已經(jīng)在運行?！?
3. 在視頻會議呼叫建立時，將系統(tǒng)呼叫設(shè)置為默認(rèn)的靜音模式。如果有黑客發(fā)起呼叫，那么除非會議室有人打開通話音量，否則他或她不會聽到會議聲音。
4. 注意，視頻會議設(shè)備的自動應(yīng)答特性可能會允許訪客悄悄進(jìn)入會議室。
5. 如果關(guān)閉自動應(yīng)答特性，那么必須安排人手(IT管理員或指派用戶)手工激活系統(tǒng)。這樣雖會有一些麻煩，但是能夠保證不會有人無聲無息，無影無蹤地進(jìn)入會議。
關(guān)注官方微信：DigitalSignage，每周最新鮮、有料的數(shù)字標(biāo)牌行業(yè)動態(tài)推送。
數(shù)字標(biāo)牌網(wǎng)版權(quán)與免責(zé)聲明：
歡迎轉(zhuǎn)載我網(wǎng)所刊信息。
凡本網(wǎng)注明“來源：數(shù)字標(biāo)牌網(wǎng)”的作品為本網(wǎng)原創(chuàng)稿件，媒體轉(zhuǎn)載請注明來源：數(shù)字標(biāo)牌網(wǎng)。
凡本網(wǎng)注明“來源：XXX（非數(shù)字標(biāo)牌網(wǎng)）”的作品，均轉(zhuǎn)載自其它媒體，轉(zhuǎn)載目的在于傳遞更多信息，并不代表本網(wǎng)
贊同其觀點和對其真實性負(fù)責(zé)。