安全是VoIP部署的先决条件

申请免费试用、咨询电话：400-8352-114

我们可以设想，如果是一个可用性高达100%的应用，应用的安全保障也坚如磐石，成本也在不断下降，而且用户从来不抱怨。而且在每次升级时，即使从不同的厂商购买具有各种新特性的软件和设备，用户也能立即接受，并且几乎不需要任何培训。那这究竟是什么应用呢？这就是您的电话系统。

而VoIP却存在潜在的威胁，有可能打破电话系统多年来的宁静，并且使电话系统也受到IT环境中业已存在的安全威胁。

这并不是说我们的POTS（普通老式电话服务）是坚不可摧的。传统的电话系统也经常受到各式各样的入侵，但却没有人能够侵入POTS并使用免费的长途电话服务。这些电话黑客的目的是访问那些连接在电话系统上的计算机。但现在，他们再也不需要POTS了，因为随着Internet的普及，一切都变得更简单了。

因此，即便出现了SoBig或Klez病毒的各种变体，并且导致网络故障，用户仍然可以用老式电话将这一紧急事态通报给相关人员。但如果用的是VoIP，用户可能根本无法进行联系，因为VoIP的基础设施也会受到攻击，也会成为无数黑客"施展才华"的乐园。VoIP的安全性不能简单地用"重要"这两个字来描述。安全性对于VoIP来说就是一切。IDC的分析师Steven Harris用非常简洁的语言总结出的结论是："安全是VoIP部署的先决条件。"
考虑到VoIP在很大程度是是构建于Linux或Windows之上的一种技术，而且使用Web应用服务器，运行在IP网络上，而且在有些时候使用浏览器作为一种手机替代方案，因此这一有关安全性的先决条件将是很难做到的。Gartner宣称，在2005年约有四分之三的安全攻击会发生在应用层。如果您认为VoIP应用不会成为病毒攻击的热点，那么您就错了。

去年，Edwin Mier用Cisco公司和Avaya公司的VoIP产品为Network World进行了一次测试，他得出的结论是：尽管安全是"可能"得到保障的，但实施的过程过于复杂，而且对每家厂商的产品必须实施不同的安全解决方案，因此只有最勇敢和最聪明的公司才有能力广泛部署VoIP应用。他认为，那些有勇无谋的公司只能成为攻击的众矢之的。

那么，在这种情况下，任何有理智的IT经理都应当拒绝VoIP，但为什么又有那么多的人甘冒风险去尝试这项技术呢？事实上，多数的首席财务官都非常喜欢VoIP。根据IDC的报告，即使最一般的VoIP项目也能够为企业节省至少20%的电信支出。对于那些每月要支出数百万美元电话费的企业来说，这样的成本节省规模可谓是相当诱人的。

然而，仅仅诱人就能解决所有的问题吗？Solutionary公司首席技术官Mike Hrabik是一名安全风险管理专家，他指出，企业的IT经理必须清楚，VoIP系统和应用服务器一样，都需要经常添加新的安全补丁。然而，他警告说，许多VoIP厂商的反应速度极慢，通常要等到30天之后才能为其部署的OEM系统实施安全补丁，这样，即使在IT部门的职责范围内进行了必要的补丁更新，电话系统仍然是相当脆弱的。

Hrabik自己的公司也使用VoIP来提供内部通讯，并且连接到了一些分公司。他认为虽然节省的成本让人感到欣慰，但使用VoIP的最主要原因还是提供生产效率更高的应用，如集成语音邮件和电子邮件，让用户能够通过任何设备获得信息，例如蜂窝电话、PDA或其它设备。对于那些拥有大型现场销售和支持部门的企业来说，这类应用可以对销售额产生巨大的贡献，其意义远远大于节省下来的电信成本。

由于能够节省大量的成本并可以极大地推动生产力，许多企业都认为即使冒风险也是值得的，因而义无反顾地选择了VoIP。Network General 公司是一家总部设在圣荷塞的网络管理和分析企业，该公司的产品经理Jim Vale指出，要想设计出安全的VoIP，必须遵从几条基本的原则。首先，在将任何设备连接到网络上之前，必须对网络和VoIP设备进行全面的弱点分析。其次，对VoIP流量进行分区管理，这样做既可以隔离出安全问题，也能够使特定的分区享受到语音应用流协议所提供的各种优势。此外，还要在IP流量中应用服务质量规则，确保流数据的优先权。如果发生呼叫丢失或话音性能失真，则表明有可能出现了安全问题。最后，对VoIP网络实施全面的监视。

如果实施VoIP的目的只是为了省钱，那么这种风险就不值得冒。如果在省钱的同时还能够获得一项强大的应用，那么倒是值得非常谨慎地尝试一下。但千万不要走得太远。

来源：CCW