鼎信通達SBC安全策略，給企業(yè)通信加道防火墻

　　為什么需要SBC？

　　Session Border Controller，即會話邊界控制器，現(xiàn)代企業(yè)中基于IP的語音、視頻、會議、融合通信等已廣泛應(yīng)用，通信全IP化更新迭代已是大勢所趨，但同時企業(yè)通信也面臨著新挑戰(zhàn)，比如系統(tǒng)安全、網(wǎng)絡(luò)攻擊防御、跨網(wǎng)NAT穿越、Qos、SIP報文兼容問題等等。

　　因此SBC已經(jīng)逐漸成為NGN和IMS網(wǎng)絡(luò)的標準配置產(chǎn)品，在組網(wǎng)中部署SBC必不可少，可以有效解決NGN業(yè)務(wù)部署中遇到的NAT/FW穿越、安全、互通、QoS等問題，SBC在VoIP中扮演著非常重要的角色，可以實現(xiàn)對VoIP業(yè)務(wù)安全統(tǒng)籌管理，提供有質(zhì)量保障的VoIP服務(wù)以及穩(wěn)定可靠的通信保障。

　　SBC能做什么？

　　網(wǎng)絡(luò)環(huán)境復(fù)雜，核心服務(wù)器直接暴露公網(wǎng)存在極大安全隱患，因此需要在企業(yè)服務(wù)器前端部署一套SBC作為核心服務(wù)器的防火墻，SBC在VoIP業(yè)務(wù)組網(wǎng)中可以提供有很多復(fù)雜業(yè)務(wù)功能，主要以SIP相關(guān)處理以及安全防御兩大塊為主。

　　組網(wǎng)拓撲：

　　功能特性：

　　SBC有哪些安全保障策略？

　　SBC作為會話邊界控制器，重要特性是SIP防火墻，對企業(yè)通信業(yè)務(wù)提供安全保障，包括核心服務(wù)器內(nèi)網(wǎng)拓撲隱藏，防網(wǎng)絡(luò)攻擊，加密通信，畸形報文檢測，流量監(jiān)控等。具體安全性策略如下：

　　系統(tǒng)安全防御（DOS/DDOS攻擊防御）

ICMP-Flood攻擊防御，可以設(shè)置每秒ICMP報文的閥值，超過閥值將會丟棄；
TCP-Flood 攻擊防御，可以設(shè)置每秒ICMP報文的閥值，超過閥值將會丟棄；
TCP-NULL攻擊防御，檢測到TCP不包含任何標志位的數(shù)據(jù)包直接丟棄；
TCP XMAS TREE 攻擊防御，檢測到XMAS標志的數(shù)據(jù)包直接丟棄；

　　IP攻擊防御

　　（1）可以對來源IP或本地端口的數(shù)據(jù)流量以及結(jié)合設(shè)備CPU使用情況設(shè)置攻擊閥值，超過閥值后自動限流或丟棄報文，并記錄日志。

　　SIP攻擊防御

SIP注冊流控，實時監(jiān)控IP和SIP賬戶發(fā)起的注冊頻率，并可自定義閥值，匹配條件攔截、拉黑、限流等操作；
SIP呼叫流控，實時監(jiān)控來源IP和SIP賬戶的呼叫CPAS值，并可自定義閥值，匹配條件攔截、拉黑等操作；

　　SIP規(guī)范檢測

VoIP網(wǎng)絡(luò)環(huán)境復(fù)雜，接入的終端設(shè)備來自于不同廠家，不同的私有協(xié)議標準，導(dǎo)致業(yè)務(wù)互通兼容問題，例如SIP信令方法不一致、SIP消息過大、SIP特殊字段等等，通過SBC的B2BUA原理可以對不太規(guī)范的SIP報文進行規(guī)范化處理，確保可以和其他的通信設(shè)備互相交換，提高業(yè)務(wù)組網(wǎng)的兼容性。
呼叫中也可能因為網(wǎng)絡(luò)原因存在一些異常的SIP報文，SBC自動檢測到畸形報文則直接丟棄，不會轉(zhuǎn)發(fā)給核心服務(wù)器。

　　TLS/SRTP加密