Como evitar os riscos de ataques em telefonia IP
O ponto fundamental da segurança é entender os riscos envolvidos para que os controles adequados e as melhores decisões sobre o seu tratamento possam ser tomadas.
A segurança em sistemas de informação e comunicações é fundamental para o bom funcionamento de organizações de qualquer natureza. O avanço tecnológico vem possibilitando aumento de produtividade, facilidade de acesso a variados serviços e sistemas, além da redução de custos.
Cada vez mais a interdependência entre as tecnologias e as missões das organizações torna vital uma abordagem baseada no risco, principalmente quando há serviços críticos envolvidos, como o serviço de voz, por exemplo, que é essencial para qualquer organização.
Um dos avanços tecnológicos de destaque que resultam em grandes benefícios para as organizações é o uso da telefonia IP, que tira proveito dos recursos de infra-estrutura de rede de dados para possibilitar a redução de custos relacionados à telefonia. Entender os problemas de segurança existentes em telefonia IP e implementá-lo de modo que a sua disponibilidade não seja comprometida, juntamente com a garantia da confidencialidade e integridade das comunicações, é um desafio especial no uso de telefonia IP, principalmente porque parâmetros de qualidade de serviço e segurança devem ser definidos de uma forma equilibrada e de acordo com o ambiente em que está sendo implementado.
Deste modo, conhecer e analisar os riscos que devem ser entendidos e considerados na implementação da telefonia IP em empresas de pequeno, médio e grande porte, medindo as conseqüências e as probabilidades de ocorrência de incidentes associados, é um passo importante na evolução tecnológica nos meios de comunicação das organizações.
Com a análise e avaliação de elementos como ameaças, vulnerabilidades, probabilidades e impactos, é possível fazer com que as oportunidades oriundas da adoção de novas tecnologias sejam maximizadas e se tornem reais. Ao mesmo tempo, há o melhor tratamento na interdependência da organização com a nova tecnologia e dos novos requisitos de segurança que são incorporados naturalmente nas organizações.
Segurança em telefonia IP consiste em proteger todo o tráfego de voz transportado sobre as redes IP contra as principais ameaças que podem comprometer a sua confidencialidade, integridade ou disponibilidade do serviço, variando de vírus, worms, spam e phishing, a escutas telefônicas.
Isto significa que técnicas clássicas de ataques em redes TCP/IP passam a fazer parte do dia-a-dia das organizações que utilizam telefonia IP. Uma das ameaças mais comuns a estes ambientes é a de negação de serviço ou Denial-of-Service (DoS).
Além dos problemas causados por ataques do tipo DoS, por exemplo, a ausência de políticas de segurança específicas para utilização adequada dos recursos de telefonia IP, e a falta de gestão de patches de segurança dos servidores e elementos de rede, são fatores que podem causar problemas de segurança para a organização. Além disso, implementações básicas, equipamentos mal configurados e redes mal projetadas também podem comprometer seriamente a segurança do ambiente de comunicação de telefonia IP.
O ponto fundamental da segurança é entender os riscos envolvidos para que os controles adequados e as melhores decisões sobre o seu tratamento possam ser tomadas. O elemento inicial é o entendimento das ameaças e vulnerabilidades existentes no ambiente de rede IP e as principais implicações de segurança oriundas do uso da telefonia IP.
Uma implantação de telefonia IP com segurança deve considerar uma avaliação de riscos específicos no uso desta tecnologia e implementá-la de tal forma que todos os benefícios provenientes de seu uso possam ser melhores aproveitados pela organização.
* Alessandro Paganuchi é bacharel em ciência da computação (FATEPA, 1995), Especialista em segurança da informação e sistemas de comunicação utilizando tecnologia TCP/IP. Possui as seguintes certificações profissionais em segurança da informação: VoIP Security Professional (VoIP Security Training, LLC), Payment Card Industry Qualified Security Assessor (PCI QSA). No CPqD desde 2001, é consultor em segurança da informação, possuindo experiência em análise de vulnerabilidades, segurança em VoIP, mecanismos de controle de acesso, projeto de segurança em redes, análise de riscos, auditoria de segurança da informação, especificação de requisitos de segurança, elaboração de políticas de segurança e planos de continuidade de negócios. Palestrante em diversos eventos nacionais e internacionais nas áreas de Telecom e SI.
Fonte: ipnews.com.br
