Publi-edito
Les entreprises plébiscitent la Voix sur IP, synonyme de réduction de coûts et de fonctions à valeur ajoutée pour l'utilisateur. Cependant, les hackers sont aussi de la partie. Voici un petit guide de survie en 20 conseils.
La Voix sur IP (VoIP) connait un succès massif auprès des entreprises. Premier retour sur investissement : elle permet de ne pas payer les communications téléphoniques (ou en visioconférence) passant intégralement sur le réseau de l'entreprise, y compris vers les filiales à l'étranger.
De plus, elle offre une foule de fonctions évoluées, appréciées par les utilisateurs et les entreprises : transcription textuelle des messages vocaux et réciproquement (y compris par e-mail), sonneries et musiques d'attente personnalisables, reroutage automatique des appels vers un équipement signalant la disponibilité de l'utilisateur, etc. Et le tout, via une interface simple et à la portée de tout utilisateur.
Une application comme les autres, mais très sensible
Comme toute application, la VoIP peut s'intégrer simplement à d'autres applications et annuaire d'entreprise, et se gère facilement. Mais, comme toute application, elle est exposée aux divers risques et menaces informatiques. Certes, la conformité réglementaire oblige les entreprises à rester vigilantes sur divers points et à protéger la confidentialité. Cependant, toute organisation doit se montrer proactive et se prémunir des attaques des hackers et autres pirates du Web et des réseaux.
En effet, les données de la VoIP circulant sur des réseaux sont de facto exposées à tous ces risques et l'information d'entreprise la plus sensible court le risque d'être interceptée. La plupart des risques affectant les réseaux de données menacent potentiellement la VoIP.
En outre d'autres menaces spécifiques existent : espionnage ou enregistrement de conversations, récupération de mots de passe, messageries vocales piratées, usurpation d'identité numérique, intrusion de type “man-in-the-middle” (interception invisible de toutes les communications), attaques de Déni de Service stoppant toute la VoIP de l'entreprise, prise en main illicite de la console de gestion...
D'où l'impérieuse nécessité de sécuriser et superviser minutieusement son réseau de VoIP.
Les 20 tâches incontournables ?
Bien entendu, toute politique de sécurité de la VoIP doit aller de pair avec la sécurité des données réseau. Voici une liste de 20 bonnes pratiques de sécurité que devrait respecter tout déploiement de VoIP. Bien que certaines puissent sembler évidentes, elles ne sont pas toujours respectées.
1 - Isoler le trafic des données du trafic de la voix en déployant deux vLAN ;
2 - Protéger la console d'administration à distance avec un mot de passe digne de ce nom (et ne pas laisser le mot de passe par défaut !) ;
3 - Chiffrer au moins les communications sensibles ;
4 - Utiliser un protocole de sécurisation de session IP (Sips) pour se protéger de l'espionnage et des falsifications ;
5 - Appliquer des protections physiques et logiques : le serveur VoIP doit se trouver à l'abri derrière un pare-feu SIP et un système de prévention contre les intrusions (IPS) ;
6 - Créer des noms d'utilisateurs différents de leur numéro de poste ;
7- Maintenir les systèmes VoIP à jour et appliquer systématiquement les patchs de sécurité ;
8 - Limiter les appels par combiné téléphonique ;
9 - Utiliser le chiffrement pour sécuriser les communications ;
10 - Définir et déployer de robustes politiques de sécurité ;
11 - Utiliser des outils d'analyse du trafic et d'inspection en profondeur des paquets (Deep Paquet Inspection ou DPI) ;12 - Sécuriser proprement les passerelles VoIP ;
13 - Imposer la protection des boites vocales par un code sur 6 chiffres ou via un certificat par équipement ;
14 - Supprimer définitivement tout message vocal à caractère sensible ;
15 - Supprimer les comptes VoIP des employés quittant l'entreprise ;
16 - Limiter le nombre de tentatives de connexion à un compte VoIP ;
17 - Restreindre le type d'appels autorisés sur le réseau et définir des périodes d'utilisation de la VoIP;
18 - Proscrire les appels internationaux par défaut;
19 - Mettre en place des campagnes de sensibilisation à la sécurité pour les employés ;
20 - Demander à tous les employés de signaler immédiatement tout ce qui leur semble étrange ou peu habituel.
Ces quelques mesures devraient déjà prémunir l'entreprise d'un grand nombre d'attaques qui ont encore cours sur les réseaux, souvent avec succès.
Suivez DELL sur Linkedin
Suivez DELL sur Twitter
