OCS 2007 R2使用中的九個風險評估報告
原創【51CTO獨家特稿】微軟的Microsoft OCS 2007 R2（Office Communications Server 2007 R2）目前得到了廣泛而深入的應用，在使用過程中，提醒大家關注OCS系統的安全問題，正確設置OCS系統，以避免如下的安全風險：
一、網絡拒絕服務攻擊：
拒絕服務攻擊是指攻擊者阻止有效用戶正常使用網絡的行為。通過發起拒絕服務攻擊，攻擊者可以：
◆向正在受到攻擊的網絡中運行的應用程序和服務發送無效數據，干擾它們的正常工作。
◆發送大量通信以造成系統過載，直到系統停止對合理請求作出響應或對合理請求作出響應的速度變得很慢。
◆隱藏攻擊證據。
二、盜取密鑰攻擊：
破解密鑰攻擊是指攻擊者破解密鑰的行為。密鑰是用于加密、解密或驗證機密信息的機密代碼或數字。此密鑰對應于與服務器關聯的證書。攻擊者在成功破解密鑰之后，可以使用此密鑰對已加密的數據進行解密，而數據的發送者對此毫不知情。必須考慮以下兩種在公鑰基礎結構 (PKI) 中使用的機密密鑰：每個證書持有者都擁有的私鑰以及在成功識別身份后使用的會話密鑰（通信雙方交換會話密鑰）。
三、竊聽：
竊聽是指攻擊者獲取對網絡中數據路徑的訪問權并能夠監控和讀取通信內容的行為。這也稱為監聽或窺探。如果通信內容采用純文本形式，則攻擊者在獲取路徑的訪問權之后即可讀取通信內容。例如，通過控制數據路徑上的路由器進行攻擊。Office OCS2007 R2 中有關通信的默認建議做法和設置是，在可信服務器之間使用相互 TLS (MTLS) 并在從客戶端到服務器的通信中使用 TLS，從而使得在給定對話可能受到攻擊的時間段內很難實現這種攻擊。TURN 協議不要求對通信進行加密，其發送的信息由消息完整性保護。盡管信息易受到竊聽攻擊，但也只需通過查看數據包的源地址和目標地址即可直接提取所發送的信息（即 IP 地址和端口）。A/V 邊緣服務可通過檢查消息的消息完整性來確保數據有效，方法是使用從少數幾項（包括從不以明文格式發送的 TURN 密碼）派生的密鑰。
四、IP 地址欺騙：
欺騙攻擊是指攻擊者在未經授權的情況下確定并使用網絡、計算機或網絡組件的 IP 地址的行為。一旦攻擊成功，攻擊者便可以假借 IP 地址通常標識的實體的身份執行操作。在 Office OCS2007 R2 的上下文中，此情況僅在管理員同時執行完以下兩項操作時才會出現：
◆已配置僅支持傳輸控制協議 (TCP) 的連接（建議不要這樣做，因為 TCP 通信未經過加密）。
◆必須將這些連接的 IP 地址標記為受信任的主機。此操作對于傳輸層安全性 (TLS) 連接而言不成問題，這是因為根據定義，這些連接已經過加密。
此預防措施可防止攻擊者在特定連接（例如，雙向 TLS 連接）上實施 IP 地址欺騙攻擊。不過，攻擊者仍可以對 Office OCS使用的 DNS 服務器的地址實施欺騙攻擊。盡管此欺騙攻擊對 Office OCS構成了威脅，但服務器沒有任何辦法來防止此類攻擊。防止此類攻擊需要在 IT 基礎結構和網絡級別采取一些緩解措施。
五、中間人攻擊：
中間人攻擊是指攻擊者在兩個通信用戶不知情的情況下通過其計算機重新路由二者之間的通信的行為。攻擊者可以在將通信內容發送到預期接收人之前監控和讀取通信內容。進行通信的每個用戶在不知情的情況下向攻擊者發送通信內容和接收來自攻擊者的通信內容，還以為自己只是在與預期用戶進行通信。如果攻擊者對 Active Directory 域服務進行修改以將其服務器添加為受信任的服務器，或對域名系統 (DNS) 進行修改以使客戶端通過攻擊者連接到服務器，則會出現此情況。此外，攻擊者可以對兩個客戶端之間的媒體通信實施中間人攻擊，只不過在 Office OCS2007 R2 中，點對點媒體流是通過 SRTP 進行加密的（使用的加密密鑰是由使用 SIP over TLS 的雙方協商的）。類似群聊和 Communicator Web Access 這樣的服務器將使用 HTTPS 來保護 Web 通信。
六、RTP 重播攻擊：
重播攻擊是指出于惡意目的截獲并重新傳輸雙方之間的有效媒體傳輸。通過允許接收人維護已收到的 RTP 數據包的索引并將每個新數據包與索引中已列出的數據包加以比較，安全信號協議連接中使用的 SRTP 可保護傳輸免受重播攻擊。
七、病毒和蠕蟲：
病毒是一個代碼單元，其目的是為了復制其他類似的代碼單元。病毒需要像文件、電子郵件或程序這樣的宿主才能發揮作用。與病毒類似，蠕蟲病毒也是用于復制其他類似代碼單元的代碼單元，而與病毒不同的是它不需要宿主。病毒和蠕蟲病毒主要是在客戶端之間傳送文件期間或從其他用戶發送 URL 時出現。例如，如果您的計算機上存在某種病毒，則該病毒可使用您的身份代表您發送即時消息。
八、垃圾即時消息：
Spim 是主動提供的商業即時消息或狀態訂閱請求。雖然 Spim 本身并不會導致網絡問題，但至少會有些煩人，占用資源和生產時間，而且可能會導致網絡問題。例如，用戶通過發送請求相互發送垃圾消息。用戶可以相互阻止對方來防止出現這種情況，但對于聯盟，如果建立起協作的 Spim 攻擊，則很難防止出現這種情況，除非您禁用聯盟伙伴關系。
九、個人可識別信息泄露
Office OCS2007 R2 可能會通過可以鏈接到個人的公用網絡披露信息。信息類型具體可分為兩大類：增強狀態數據和必需數據。增強狀態數據是一些信息，用戶可以選擇是否通過指向聯盟伙伴的鏈接共享此信息，或選擇是否與組織內的聯系人共享此信息。不與公用 IM 網絡上的用戶共享此數據。組策略和客戶端配置可能會為系統管理員提供一些控制能力。必需數據是對服務器或客戶端進行適當操作所需的數據，它不受客戶端和系統管理的控制。對于路由、狀態維護和信號傳輸而言，此信息是必需的服務器或網絡級別信息。
【51CTO獨家特稿，合作站點轉載請注明原文譯者和出處。】
【編輯推薦】
