نکات امنیتی تلفن IP؛ راهنمای ایمن‌سازی سیستم VoIP در شبکه سازمانی

نویسنده: superadmin

تاریخ انتشار: 4 نوامبر 2026

زمان مطالعه: 3 دقیقه

دسته‌بندی: دسته‌بندی نشده

نکات امنیتی تلفن IP؛ راهنمای ایمن‌سازی سیستم VoIP در شبکه سازمانی

خلاصه مطلب:

تلفن‌های IP یا IP Phone یکی از اجزای مهم زیرساخت ارتباطی سازمان‌ها هستند که امکان برقراری تماس صوتی را از طریق شبکه‌های مبتنی بر IP فراهم می‌کنند. برخلاف تلفن‌های سنتی، این تجهیزات برای برقراری ارتباط با زیرساخت تلفنی به پروتکل‌های شبکه، سرورهای مدیریت تماس، سرویس‌های احراز هویت و زیرساخت انتقال داده وابسته‌اند. این یکپارچگی با […]

این یکپارچگی با شبکه سازمانی، علاوه بر افزایش انعطاف‌پذیری و قابلیت مدیریت ارتباطات، سطح حمله (Attack Surface) جدیدی نیز ایجاد می‌کند. در صورت پیکربندی نامناسب، به‌روزرسانی‌نشدن Firmware یا ضعف در کنترل دسترسی، مهاجمان می‌توانند از آسیب‌پذیری‌های تلفن‌های IP یا زیرساخت VoIP برای شنود تماس‌ها، سرقت اعتبارنامه‌ها، برقراری تماس‌های غیرمجاز و حتی نفوذ به بخش‌های دیگر شبکه استفاده کنند.

امنیت IP Phone نباید صرفاً به تغییر رمز عبور یا فعال‌سازی رمزنگاری تماس محدود شود. این امنیت باید تمام اجزای زیرساخت، از Endpoint و Voice VLAN گرفته تا IP PBX، Session Border Controller (SBC)، ارتباطات SIP Trunk و پنل‌های مدیریتی را پوشش دهد.

در این راهنما، مهم‌ترین تهدیدهای امنیتی تلفن‌های IP و ۱۲ راهکار عملی برای محافظت از زیرساخت VoIP سازمانی را بررسی می‌کنیم.

چرا امنیت تلفن IP در شبکه سازمانی اهمیت دارد؟

تلفن IP یک Endpoint متصل به شبکه است که برای برقراری ارتباط با سامانه تلفنی سازمان، از نشانی IP، Firmware، تنظیمات شبکه، حساب‌های کاربری و پروتکل‌های ارتباطی استفاده می‌کند.

در بسیاری از معماری‌های سازمانی، این تلفن‌ها مستقیماً یا از طریق سرویس‌های واسط با اجزایی مانند موارد زیر در ارتباط هستند:

IP PBX: سامانه مدیریت و پردازش تماس‌های تلفنی.
Call Manager: مدیریت ثبت‌نام تلفن‌ها و کنترل ارتباطات.
SIP Server: مدیریت سیگنالینگ و برقراری نشست‌های ارتباطی.
SBC: کنترل و محافظت از ارتباطات VoIP در مرز شبکه.
Provisioning Server: توزیع تنظیمات و Firmware تجهیزات.
Voicemail Server: مدیریت پیام‌های صوتی کاربران.

ضعف امنیتی در هر یک از این اجزا می‌تواند امنیت کل سامانه ارتباطی را تحت تأثیر قرار دهد.

برای مثال، اگر اعتبارنامه SIP یک تلفن افشا شود، مهاجم ممکن است بتواند با سوءاستفاده از حساب مربوطه به سامانه تلفنی متصل شود یا تماس‌های غیرمجاز برقرار کند. همچنین یک تلفن آسیب‌پذیر که به شبکه داخلی دسترسی گسترده دارد، ممکن است به نقطه‌ای برای حرکت جانبی مهاجم (Lateral Movement) تبدیل شود.

بنابراین، امنیت تلفن IP باید بخشی از سیاست جامع Network Security سازمان باشد.

رایج‌ترین تهدیدهای امنیتی تلفن IP و VoIP

شناخت تهدیدهای متداول، اولین مرحله برای طراحی یک راهبرد امنیتی مؤثر است.

۱. شنود تماس‌ها (VoIP Eavesdropping)

در صورت انتقال جریان صوتی بدون رمزنگاری مناسب، مهاجمی که به مسیر انتقال ترافیک دسترسی پیدا کند، ممکن است بتواند بسته‌های صوتی را Capture و محتوای مکالمات را استخراج کند.

این مسئله به‌خصوص در شبکه‌هایی که از RTP بدون محافظت استفاده می‌کنند اهمیت دارد.

اطلاعاتی که ممکن است در جریان مکالمات سازمانی افشا شوند عبارت‌اند از:

اطلاعات مالی و تجاری.
اطلاعات مشتریان و قراردادها.
اطلاعات هویتی و محرمانه کارکنان.
اطلاعات دسترسی و اعتبارنامه‌ها.
جزئیات جلسات و مذاکرات سازمانی.

استفاده از SRTP و مدیریت صحیح کلیدهای رمزنگاری، یکی از راهکارهای اصلی محافظت از جریان صوتی است.

۲. کلاهبرداری تلفنی (Toll Fraud)

Toll Fraud به سوءاستفاده از زیرساخت تلفنی سازمان برای برقراری تماس‌های غیرمجاز و معمولاً پرهزینه گفته می‌شود.

در این سناریو، مهاجم ممکن است با استفاده از اعتبارنامه‌های سرقت‌شده SIP، ضعف تنظیمات IP PBX یا سوءاستفاده از حساب‌های کاربری، تماس‌هایی را به مقصدهای غیرمجاز برقرار کند.

پیامدهای احتمالی:

افزایش غیرمنتظره هزینه تماس‌ها.
برقراری تماس با شماره‌های بین‌المللی یا Premium Rate.
سوءاستفاده از اعتبار و خطوط تلفنی سازمان.
اشغال ظرفیت خطوط و اختلال در سرویس تلفنی.

Toll Fraud صرفاً یک مشکل مربوط به خود تلفن نیست و اغلب به ضعف در احراز هویت، Dial Plan و کنترل خروجی تماس‌ها در سامانه تلفنی مرتبط است.

۳. حملات منع سرویس (DoS و DDoS)

حملات Denial of Service با هدف کاهش دسترس‌پذیری سرویس‌های ارتباطی انجام می‌شوند.

در محیط VoIP، مهاجم می‌تواند با ارسال حجم زیادی از درخواست‌های SIP یا ترافیک مخرب به اجزای زیرساخت، منابع پردازشی و ارتباطی سامانه را تحت فشار قرار دهد.

نتایج احتمالی عبارت‌اند از:

اختلال در ثبت‌نام تلفن‌ها (SIP Registration).
شکست در برقراری تماس‌های جدید.
قطع یا اختلال در تماس‌های فعال.
افزایش تأخیر و کاهش کیفیت صوت.
از دسترس خارج شدن IP PBX یا سرویس‌های ارتباطی.

برای مقابله با این تهدیدها باید از Rate Limiting، فیلترینگ ترافیک، کنترل نشست‌ها، Firewall و قابلیت‌های حفاظتی SBC استفاده کرد.

۴. نفوذ به دستگاه و سوءاستفاده از Firmware

تلفن‌های IP دارای Firmware و نرم‌افزارهای داخلی هستند که وظیفه مدیریت ارتباطات، تنظیمات و عملکرد دستگاه را بر عهده دارند.

نسخه‌های قدیمی یا آسیب‌پذیر Firmware ممکن است زمینه سوءاستفاده از دستگاه را فراهم کنند.

در صورت بهره‌برداری موفق از یک آسیب‌پذیری، مهاجم بسته به نوع ضعف و سطح دسترسی حاصل‌شده ممکن است بتواند:

تنظیمات دستگاه را تغییر دهد.
اطلاعات پیکربندی را استخراج کند.
ارتباط دستگاه با سرور تلفنی را دست‌کاری کند.
از تلفن به‌عنوان نقطه‌ای برای دسترسی به بخش‌های دیگر شبکه استفاده کند.

البته امکان اجرای بدافزار روی همه مدل‌های IP Phone یکسان نیست و به معماری، Firmware و قابلیت‌های امنیتی دستگاه بستگی دارد.

۵. سرقت اعتبارنامه‌ها (Credential Theft)

استفاده از رمزهای عبور پیش‌فرض، اعتبارنامه‌های تکراری یا رمزهای ضعیف می‌تواند امنیت حساب‌های SIP و پنل‌های مدیریتی را به خطر بیندازد.

مهاجم پس از دستیابی به اطلاعات احراز هویت ممکن است بتواند:

تلفن غیرمجاز را در سامانه ثبت کند.
تماس‌هایی با هویت کاربر دیگر برقرار کند.
تنظیمات تماس و انتقال تماس را تغییر دهد.
به صندوق صوتی یا پورتال‌های مرتبط دسترسی پیدا کند.
در صورت داشتن دسترسی کافی، پیکربندی سامانه را تغییر دهد.

به همین دلیل مدیریت هویت و اعتبارنامه‌ها باید در سطح Endpoint، سرور و پنل مدیریت اجرا شود.

۱۲ راهکار امنیتی برای محافظت از تلفن‌های IP

برای کاهش سطح حمله و افزایش امنیت زیرساخت VoIP، اقدامات زیر باید در سطح دستگاه، شبکه و سامانه مدیریت تماس اجرا شوند.

۱. تغییر اطلاعات ورود پیش‌فرض و مدیریت اعتبارنامه‌ها

اولین اقدام امنیتی پس از راه‌اندازی IP Phone، بررسی و تغییر اعتبارنامه‌های پیش‌فرض است.

بسیاری از تجهیزات دارای حساب‌های مدیریتی یا اطلاعات اولیه ورود هستند که در صورت تغییرنکردن، می‌توانند زمینه دسترسی غیرمجاز را فراهم کنند.

اقدامات پیشنهادی:

تغییر Username و Password پیش‌فرض.
استفاده از رمزهای عبور قوی و منحصربه‌فرد.
عدم استفاده مجدد از یک رمز برای چند دستگاه.
جداسازی اعتبارنامه SIP از حساب مدیریتی دستگاه.
غیرفعال‌کردن حساب‌های غیرضروری.
فعال‌سازی MFA برای پنل مدیریتی، پورتال کاربری و دسترسی‌های راه دور در صورت پشتیبانی.
محدودکردن تعداد تلاش‌های ناموفق ورود.

همچنین بهتر است اعتبارنامه‌های دستگاه‌ها از طریق یک سامانه متمرکز و امن مدیریت شوند تا در صورت تعویض یا مفقودشدن تجهیزات، امکان ابطال دسترسی وجود داشته باشد.

۲. فعال‌سازی رمزنگاری ارتباطات با TLS و SRTP

رمزنگاری یکی از مهم‌ترین لایه‌های امنیتی در زیرساخت VoIP است.

برای محافظت از ارتباطات باید میان دو نوع ترافیک تفاوت قائل شویم:

الف) Signaling Traffic

ترافیک سیگنالینگ وظیفه برقراری، مدیریت و خاتمه تماس را بر عهده دارد.

SIP یکی از پروتکل‌های اصلی این بخش است.

برای محافظت از سیگنالینگ SIP می‌توان از SIP over TLS استفاده کرد. TLS با ایجاد کانال ارتباطی رمزنگاری‌شده، محرمانگی و یکپارچگی پیام‌های سیگنالینگ را در مسیرهای تحت پوشش فراهم می‌کند.

ب) Media Traffic

پس از برقراری تماس، جریان صوتی معمولاً با استفاده از RTP منتقل می‌شود.

برای رمزنگاری و محافظت از این جریان صوتی از SRTP استفاده می‌شود.

SRTP می‌تواند خدمات امنیتی زیر را فراهم کند:

Confidentiality: محرمانگی اطلاعات صوتی.
Authentication: احراز اصالت پیام‌ها.
Integrity: محافظت از یکپارچگی داده‌ها.
Replay Protection: مقابله با بازپخش مجدد بسته‌های ضبط‌شده.

تفاوت پروتکل‌ها:

پروتکل	کاربرد امنیتی
SIP	مدیریت و سیگنالینگ تماس
SIP over TLS	محافظت از ترافیک سیگنالینگ
RTP	انتقال جریان صوتی
SRTP	محافظت رمزنگاری‌شده از جریان صوتی

نکته فنی: فعال‌کردن TLS به‌تنهایی به معنای رمزنگاری صدای تماس نیست. برای محافظت از جریان صوتی، SRTP نیز باید در تجهیزات و مسیر ارتباطی پشتیبانی و به‌درستی مذاکره و پیکربندی شود. همچنین TLS در بسیاری از معماری‌های SIP به‌صورت Hop-by-Hop عمل می‌کند و لزوماً رمزنگاری سرتاسری میان دو کاربر را تضمین نمی‌کند.

در زمان پیاده‌سازی باید اعتبار گواهی‌های دیجیتال، زنجیره اعتماد، تاریخ انقضا و سازگاری نسخه‌های TLS و مجموعه رمزنگاری با تجهیزات بررسی شوند.

۳. جداسازی ترافیک صوتی با Voice VLAN

یکی از راهکارهای مهم در معماری شبکه سازمانی، جداسازی ترافیک صوتی از ترافیک کاربران و سایر تجهیزات است.

برای این کار می‌توان یک Voice VLAN اختصاصی در نظر گرفت.

برای مثال:

نوع شبکه	VLAN	کاربرد
Data VLAN	VLAN 10	کامپیوترهای کاربران
Voice VLAN	VLAN 20	تلفن‌های IP
Server VLAN	VLAN 30	IP PBX و سرورهای ارتباطی
Management VLAN	VLAN 40	مدیریت تجهیزات شبکه

مزایای این طراحی:

محدودکردن ارتباطات غیرضروری میان دستگاه‌ها.
کاهش سطح دسترسی Endpointها.
مدیریت بهتر ترافیک صوتی.
ساده‌تر شدن اعمال سیاست‌های امنیتی.
امکان مانیتورینگ و کنترل مستقل Voice Traffic.

بااین‌حال، VLAN به‌تنهایی یک مرز امنیتی کامل نیست.

برای افزایش امنیت باید روی ارتباط بین VLANها، ACL و Firewall اعمال شود. برای مثال، تلفن‌های IP فقط باید به سرورها و سرویس‌هایی دسترسی داشته باشند که برای عملکردشان ضروری هستند.

در تجهیزاتی که کامپیوتر از طریق پورت عبوری تلفن به شبکه متصل می‌شود، تنظیمات Voice VLAN و احراز هویت دستگاه‌های متصل نیز باید به‌درستی طراحی شوند.

۴. استفاده از Firewall، ACL و Session Border Controller

Firewall باید ترافیک ورودی و خروجی زیرساخت VoIP را براساس سیاست‌های امنیتی مشخص کنترل کند.

بهتر است به‌جای بازکردن گسترده پورت‌ها، فقط ارتباطات ضروری میان Endpointها، Call Manager، سرورها و SIP Trunkها مجاز باشند.

اقدامات مهم عبارت‌اند از:

محدودکردن دسترسی SIP به مبدأهای مجاز.
مسدودکردن ارتباطات غیرضروری میان شبکه‌های مختلف.
اعمال ACL برای کنترل دسترسی به سرویس‌های مدیریتی.
استفاده از Rate Limiting برای کاهش درخواست‌های مشکوک.
فعال‌سازی قابلیت‌های تشخیص و جلوگیری از نفوذ در صورت تناسب با معماری.

در شبکه‌های سازمانی، Session Border Controller یا SBC نیز نقش مهمی در محافظت از مرز ارتباطات VoIP دارد.

SBC می‌تواند براساس قابلیت‌های محصول، نشست‌های SIP را کنترل کند، درخواست‌های غیرمجاز را فیلتر کند، محدودیت‌های ارتباطی اعمال کند و از زیرساخت داخلی در برابر ترافیک نامعتبر محافظت کند.

۵. به‌روزرسانی Firmware و نصب Patchهای امنیتی

Firmware قدیمی ممکن است شامل آسیب‌پذیری‌هایی باشد که در نسخه‌های جدیدتر اصلاح شده‌اند.

بنابراین باید برای تلفن‌های IP و سرورهای مرتبط، برنامه مشخصی برای مدیریت به‌روزرسانی داشته باشیم.

اقدامات پیشنهادی:

بررسی منظم Security Advisoryهای سازنده.
نصب نسخه‌های اصلاح‌شده Firmware.
استفاده از Firmware امضاشده و مورد تأیید سازنده.
آزمایش نسخه جدید در محیط محدود پیش از استقرار گسترده.
تهیه نسخه پشتیبان از تنظیمات.
شناسایی تجهیزات End-of-Life و برنامه‌ریزی برای جایگزینی آن‌ها.

به‌روزرسانی تصادفی و بدون بررسی سازگاری نیز می‌تواند باعث اختلال در Registration یا ارتباط تلفن با Call Manager شود.

به همین دلیل، Firmware Management باید بخشی از فرآیند رسمی Change Management سازمان باشد.

۶. ایمن‌سازی فرآیند Provisioning

تلفن‌های IP برای دریافت تنظیمات اولیه، اطلاعات حساب کاربری و گاهی Firmware از سامانه Provisioning استفاده می‌کنند.

اگر این فرآیند به‌درستی ایمن نشده باشد، مهاجم ممکن است بتواند اطلاعات حساس پیکربندی را مشاهده یا دست‌کاری کند.

برای ایمن‌سازی Provisioning:

از HTTPS و ارتباطات رمزنگاری‌شده در صورت پشتیبانی استفاده کنید.
از فایل‌های پیکربندی امضاشده یا رمزنگاری‌شده در صورت پشتیبانی دستگاه استفاده کنید.
دسترسی به Provisioning Server را محدود کنید.
از قرارگرفتن اطلاعات حساس به‌صورت متن ساده در فایل‌های قابل دسترس جلوگیری کنید.
اصالت Firmware و فایل‌های تنظیمات را بررسی کنید.
از سرویس‌های قدیمی و ناامن برای توزیع تنظیمات استفاده نکنید، مگر در مواردی که راهکار جبرانی مناسب پیاده‌سازی شده باشد.

در برخی سامانه‌های قدیمی از TFTP برای توزیع تنظیمات استفاده می‌شود. TFTP به‌صورت ذاتی رمزنگاری و احراز هویت امن ارائه نمی‌کند؛ بنابراین باید دسترسی آن به شبکه و دستگاه‌های مجاز محدود شود و در صورت امکان از روش امن‌تری استفاده شود.

۷. محدودکردن سرویس‌ها و رابط‌های مدیریتی غیرضروری

هر سرویس فعال و غیرضروری می‌تواند سطح حمله دستگاه را افزایش دهد.

به همین دلیل باید سرویس‌های غیرضروری IP Phone بررسی و غیرفعال شوند.

نمونه اقدامات:

غیرفعال‌کردن Telnet.
غیرفعال‌کردن سرویس‌های بلااستفاده.
محدودکردن دسترسی Web Interface.
استفاده از HTTPS به‌جای HTTP در صورت پشتیبانی.
محدودکردن SSH به شبکه مدیریت و کاربران مجاز.
غیرفعال‌کردن پروتکل‌های مدیریتی قدیمی و ناامن.
استفاده از SNMPv3 در صورت نیاز به مدیریت و مانیتورینگ مبتنی بر SNMP.

لازم نیست تمام رابط‌های مدیریتی را بدون بررسی غیرفعال کنیم؛ بعضی از آن‌ها برای مدیریت متمرکز یا Provisioning ضروری هستند. هدف، محدودسازی دسترسی و حذف قابلیت‌های واقعاً غیرضروری است.

۸. احراز هویت دستگاه‌ها با 802.1X

در شبکه‌های سازمانی، احراز هویت دستگاه پیش از دسترسی به شبکه اهمیت زیادی دارد.

IEEE 802.1X یک چارچوب کنترل دسترسی مبتنی بر پورت است که امکان احراز هویت دستگاه‌های متصل به سوئیچ را فراهم می‌کند.

در صورت پشتیبانی IP Phone، می‌توان از EAP-TLS و گواهی دیجیتال برای احراز هویت دستگاه استفاده کرد.

در این معماری:

تلفن IP درخواست دسترسی به شبکه را ارسال می‌کند.
سوئیچ شبکه نقش Authenticator را بر عهده می‌گیرد.
درخواست احراز هویت به سرور RADIUS ارسال می‌شود.
پس از اعتبارسنجی، دسترسی مناسب براساس Policy تعیین می‌شود.

این روش کمک می‌کند تنها دستگاه‌های مجاز بتوانند به شبکه سازمان متصل شوند.

در صورت استفاده از تلفن‌هایی که کامپیوتر نیز از طریق آن‌ها به سوئیچ متصل می‌شود، باید قابلیت‌هایی مانند Multi-Domain Authentication و نحوه احراز هویت جداگانه Phone و PC نیز بررسی شوند.

۹. جلوگیری از Toll Fraud با محدودسازی تماس‌ها

برای جلوگیری از سوءاستفاده مالی از سامانه تلفنی، باید سیاست‌های مشخصی برای تماس‌های خروجی تعریف شود.

اقدامات مهم:

محدودکردن تماس‌های بین‌المللی غیرضروری.
مسدودکردن شماره‌های Premium Rate در صورت عدم نیاز سازمان.
تعریف مجوز تماس متناسب با نقش کاربران.
تعیین سقف تماس هم‌زمان برای حساب‌ها و خطوط.
محدودکردن تماس‌های خروجی براساس ساعات کاری، در صورت نیاز.
فعال‌کردن هشدار برای افزایش غیرعادی هزینه تماس.
بررسی Call Detail Record یا CDR.

برای مثال، اگر یک داخلی معمولاً روزانه تعداد محدودی تماس برقرار می‌کند اما ناگهان حجم زیادی تماس بین‌المللی ثبت می‌شود، این رفتار باید به‌عنوان یک رویداد مشکوک بررسی شود.

نکته: محدودیت‌های تماس باید به‌گونه‌ای طراحی شوند که سرویس‌های ضروری سازمان، از جمله تماس‌های اضطراری، مختل نشوند.

۱۰. مانیتورینگ و ثبت رویدادهای امنیتی

بدون Logging و Monitoring مؤثر، شناسایی حملات و بررسی رخدادهای امنیتی دشوار خواهد بود.

سامانه VoIP باید به‌صورت مداوم از نظر رفتارهای غیرعادی بررسی شود.

رویدادهایی که باید پایش شوند:

افزایش غیرعادی SIP Registration Failure.
تلاش‌های مکرر برای ورود ناموفق.
ثبت‌نام تلفن از IPهای ناشناس.
افزایش ناگهانی تعداد تماس‌های خروجی.
تماس با مقصدهای غیرمعمول.
تغییرات غیرمجاز در Dial Plan.
ورود غیرعادی به پنل مدیریتی.
تغییر تنظیمات و فایل‌های Provisioning.

بهتر است Logهای تلفن‌ها، IP PBX، SBC و Firewall در یک سامانه متمرکز مانند SIEM تجمیع شوند.

همچنین هماهنگی زمان تجهیزات با NTP معتبر اهمیت دارد تا ترتیب رخدادها در زمان تحلیل Incident به‌درستی مشخص شود.

۱۱. ایمن‌سازی تلفن‌های راه دور و ارتباطات Hosted VoIP

در سازمان‌هایی که کارکنان از خانه، شعبه‌ها یا موقعیت‌های خارج از دفتر با تلفن IP کار می‌کنند، سطح ریسک ارتباطات افزایش پیدا می‌کند.

در چنین شرایطی نباید پنل مدیریتی یا سرویس‌های SIP را بدون کنترل مناسب مستقیماً در معرض اینترنت قرار داد.

راهکارهای مناسب بسته به معماری عبارت‌اند از:

استفاده از VPN سازمانی برای اتصال تلفن‌های پشتیبانی‌شده.
استفاده از SBC یا راهکار Secure Remote Access مورد تأیید سازنده.
فعال‌سازی TLS و SRTP در مسیرهای پشتیبانی‌شده.
محدودکردن مبدأهای مجاز ارتباطی.
احراز هویت دستگاه و کاربر.
مانیتورینگ مداوم Registration و تماس‌های راه دور.

در سیستم‌های Hosted VoIP و Cloud PBX نیز باید از ارائه‌دهنده سرویس درباره نحوه رمزنگاری ارتباطات، احراز هویت، کنترل دسترسی مدیریتی، ثبت رویدادها و فرآیند پاسخ‌گویی به رخدادهای امنیتی سؤال شود.

انتخاب VPN یا SBC باید براساس توپولوژی، قابلیت‌های دستگاه و معماری ارائه‌دهنده انجام شود؛ یک راهکار واحد برای تمام محیط‌ها مناسب نیست.

۱۲. آموزش کاربران و مقابله با Vishing

امنیت VoIP فقط به تجهیزات و تنظیمات شبکه وابسته نیست. رفتار کاربران نیز می‌تواند در موفقیت حملات تأثیرگذار باشد.

یکی از تهدیدهای مهم در زیرساخت‌های ارتباطی، Vishing یا Voice Phishing است.

در این روش، مهاجم با استفاده از تماس تلفنی تلاش می‌کند اطلاعات حساس، اعتبارنامه‌ها یا دسترسی سازمانی را از کاربر دریافت کند.

برای کاهش این ریسک:

کاربران نباید رمز عبور یا اطلاعات ورود خود را در اختیار افراد ناشناس قرار دهند.
درخواست‌های غیرمعمول برای تغییر تنظیمات تلفن باید از مسیر رسمی بررسی شوند.
کاربران باید تماس‌های مشکوک و درخواست‌های فوری برای ارائه اطلاعات را گزارش کنند.
رمز عبور صندوق صوتی باید قوی و منحصربه‌فرد باشد.
دسترسی به پیام‌های صوتی حساس باید محدود شود.
کاربران باید با روش‌های گزارش رخدادهای امنیتی آشنا باشند.

آموزش دوره‌ای و اجرای سیاست‌های امنیتی مشخص، احتمال موفقیت مهندسی اجتماعی را کاهش می‌دهد.

نقش QoS در امنیت و کیفیت ارتباطات VoIP

Quality of Service یا QoS یکی از مؤلفه‌های مهم طراحی شبکه برای پشتیبانی از ارتباطات صوتی است.

ترافیک VoIP نسبت به تأخیر (Latency)، نوسان تأخیر (Jitter) و از دست‌رفتن بسته‌ها (Packet Loss) حساس است.

اگر ظرفیت شبکه به‌درستی مدیریت نشود، حتی در شرایطی که ارتباط برقرار است، کیفیت مکالمه کاهش پیدا می‌کند.

QoS با اولویت‌بندی ترافیک صوتی می‌تواند به حفظ کیفیت ارتباط کمک کند.

اقدامات مهم در این بخش:

تعریف سیاست‌های QoS برای ترافیک صوتی.
علامت‌گذاری و مدیریت DSCP.
اختصاص صف‌های مناسب برای Voice Traffic.
مدیریت Congestion در مسیرهای ارتباطی.
کنترل پهنای باند ترافیک غیرضروری.

برای مثال، در بسیاری از پیاده‌سازی‌های سازمانی از DSCP EF برای Voice Media استفاده می‌شود؛ بااین‌حال، مقدار و سیاست نهایی باید براساس طراحی شبکه و هماهنگی میان تجهیزات تعیین شود.

نکته امنیتی مهم: QoS یک مکانیزم دفاعی در برابر DoS یا DDoS نیست. اولویت‌دهی ترافیک صوتی نمی‌تواند به‌تنهایی از مصرف منابع توسط مهاجم جلوگیری کند. همچنین اگر بسته‌های ورودی از دستگاه‌های غیرمجاز بدون کنترل Trust Boundary پذیرفته شوند، مهاجم ممکن است از علامت‌گذاری ترافیک سوءاستفاده کند.

برای مقابله با Flooding باید از فیلترینگ، Rate Limiting، ACL، Firewall و کنترل ظرفیت استفاده کرد.

بنابراین QoS بیشتر به تضمین کیفیت سرویس کمک می‌کند و باید در کنار کنترل‌های امنیتی اجرا شود.

پروتکل‌های مهم در امنیت تلفن IP

برای طراحی و ایمن‌سازی زیرساخت VoIP باید تفاوت نقش پروتکل‌های ارتباطی و امنیتی به‌درستی شناخته شود.

پروتکل	وظیفه	کاربرد در زیرساخت
SIP	مدیریت نشست ارتباطی	آغاز، تغییر و خاتمه تماس
RTP	انتقال جریان صوتی	انتقال بسته‌های صوتی
SRTP	محافظت از رسانه	رمزنگاری و احراز اصالت جریان صوتی
TLS	امنیت لایه انتقال	محافظت از ارتباطات سیگنالینگ
RTCP	کنترل و گزارش وضعیت رسانه	گزارش کیفیت و وضعیت جریان RTP
SRTCP	محافظت از RTCP	حفاظت از پیام‌های کنترلی RTP

نکته مهم این است که SIP و RTP ذاتاً پروتکل‌های رمزنگاری‌شده محسوب نمی‌شوند. برای ایجاد ارتباط امن باید مکانیزم‌های حفاظتی مناسب مانند TLS و SRTP به‌درستی پیکربندی شوند.

امنیت IP Phone در معماری Zero Trust

در معماری Zero Trust، هیچ دستگاه یا کاربری صرفاً به دلیل قرارگرفتن در شبکه داخلی، قابل اعتماد فرض نمی‌شود.

این اصل برای تلفن‌های IP نیز اهمیت دارد.

حتی اگر یک تلفن در Voice VLAN سازمان قرار داشته باشد، نباید دسترسی نامحدود به سایر منابع شبکه داشته باشد.

برای پیاده‌سازی اصول Zero Trust در زیرساخت VoIP می‌توان اقدامات زیر را در نظر گرفت:

احراز هویت مستقل دستگاه و کاربر.
استفاده از گواهی‌های دیجیتال در دستگاه‌های پشتیبانی‌شده.
اعمال دسترسی مبتنی بر نقش و حداقل سطح دسترسی (Least Privilege).
استفاده از 802.1X و NAC برای کنترل اتصال تجهیزات.
جداسازی منطقی شبکه صوتی و سرویس‌های مدیریتی.
بررسی مداوم وضعیت دستگاه و رفتار ارتباطی.
محدودکردن ارتباطات بین Endpointها و سرورها به نیاز واقعی.

برای مثال، یک IP Phone باید تنها به Call Manager، سرویس Provisioning و سایر منابع ضروری دسترسی داشته باشد؛ نه اینکه به تمام سرورهای داخلی سازمان متصل شود.

همچنین باید توجه داشت که Voice VLAN به‌تنهایی معادل Zero Trust نیست. Zero Trust یک مدل جامع کنترل دسترسی و حفاظت از منابع است که هویت، وضعیت دستگاه و سیاست‌های دسترسی را در نظر می‌گیرد.

اشتباهات رایج در تأمین و مدیریت امنیت IP Phone

حتی در شبکه‌های سازمانی مجهز به Firewall و تجهیزات امنیتی پیشرفته، بعضی اشتباهات پیکربندی می‌توانند امنیت ارتباطات را تضعیف کنند.

مهم‌ترین موارد عبارت‌اند از:

اشتباه	پیامد احتمالی	اقدام اصلاحی
باقی‌ماندن رمز پیش‌فرض	دسترسی غیرمجاز	تغییر و مدیریت Credentialها
استفاده از RTP بدون محافظت	احتمال شنود جریان صوتی	استفاده از SRTP
فعال‌بودن Firmware قدیمی	سوءاستفاده از آسیب‌پذیری‌ها	نصب Patch معتبر
قراردادن تمام تجهیزات در یک VLAN	افزایش سطح دسترسی و حرکت جانبی	Segmentation و ACL
دسترسی عمومی به پنل مدیریت	افزایش احتمال نفوذ	محدودسازی IP و استفاده از HTTPS
بازبودن غیرضروری SIP روی اینترنت	افزایش حملات Registration و سوءاستفاده از سرویس	Firewall و SBC
نبود محدودیت تماس خروجی	افزایش ریسک Toll Fraud	Dial Plan و کنترل تماس
نبود Logging متمرکز	تأخیر در شناسایی حمله	SIEM و Monitoring

چک‌لیست امنیت تلفن IP برای مدیران شبکه

پیش از بهره‌برداری یا در جریان ممیزی امنیتی زیرساخت VoIP، موارد زیر باید بررسی شوند:

تمام تلفن‌های IP و نسخه Firmware آن‌ها شناسایی شده‌اند.
رمزهای پیش‌فرض تغییر کرده‌اند.
حساب‌های مدیریتی و SIP به‌درستی مدیریت می‌شوند.
TLS و SRTP در مسیرهای پشتیبانی‌شده فعال هستند.
اعتبار گواهی‌های دیجیتال بررسی می‌شود.
Voice VLAN از شبکه کاربران جدا شده است.
ACL و Firewall برای ترافیک VoIP اعمال شده‌اند.
دسترسی به پنل‌های مدیریتی محدود است.
فرآیند Provisioning ایمن شده است.
Firmware و Patchهای امنیتی به‌روز هستند.
سرویس‌های غیرضروری غیرفعال شده‌اند.
در صورت امکان، احراز هویت 802.1X فعال شده است.
محدودیت‌های تماس و کنترل Toll Fraud تعریف شده‌اند.
Logها در سامانه متمرکز ثبت و بررسی می‌شوند.
دسترسی تلفن‌های راه دور براساس سیاست امنیتی کنترل می‌شود.
کاربران برای تشخیص Vishing و گزارش رخدادها آموزش دیده‌اند.

سؤالات متداول درباره امنیت تلفن IP

آیا تلفن‌های IP از نظر امنیتی آسیب‌پذیر هستند؟

بله. تلفن‌های IP مانند سایر Endpointهای شبکه ممکن است در معرض آسیب‌پذیری Firmware، ضعف در احراز هویت، پیکربندی نامناسب و حملات شبکه‌ای قرار بگیرند. میزان ریسک به مدل دستگاه، نسخه نرم‌افزار، معماری شبکه و کنترل‌های امنیتی بستگی دارد.

تفاوت TLS و SRTP در امنیت VoIP چیست؟

TLS برای محافظت از ارتباطات سیگنالینگ مانند SIP استفاده می‌شود، درحالی‌که SRTP وظیفه محافظت از جریان صوتی مبتنی بر RTP را بر عهده دارد. برای حفاظت مناسب از هر دو بخش ارتباطی، باید هر دو مکانیزم متناسب با قابلیت تجهیزات پیکربندی شوند.

آیا استفاده از Voice VLAN امنیت تلفن‌های IP را تضمین می‌کند؟

خیر. Voice VLAN باعث جداسازی منطقی ترافیک صوتی می‌شود، اما به‌تنهایی کنترل دسترسی کافی ایجاد نمی‌کند. باید با ACL، Firewall، احراز هویت دستگاه و محدودسازی ارتباطات بین شبکه‌ها همراه شود.

آیا برای استفاده از IP Phone در خانه باید VPN فعال باشد؟

استفاده از VPN می‌تواند یک روش مناسب برای ایجاد ارتباط امن باشد، اما تنها راه‌حل نیست. بعضی زیرساخت‌ها از SBC یا راهکارهای اختصاصی Remote Access استفاده می‌کنند. انتخاب روش باید براساس معماری VoIP و قابلیت‌های سازنده انجام شود.

آیا QoS می‌تواند از حملات DoS جلوگیری کند؟

خیر. QoS برای مدیریت اولویت ترافیک و حفظ کیفیت ارتباطات طراحی شده است. برای مقابله با DoS و DDoS باید از مکانیزم‌هایی مانند Rate Limiting، ACL، Firewall و حفاظت از مرز شبکه استفاده شود.

مهم‌ترین اقدام برای جلوگیری از Toll Fraud چیست؟

ترکیبی از احراز هویت قوی، محافظت از SIP، محدودکردن مقصدهای تماس، مدیریت دسترسی کاربران و مانیتورینگ الگوهای تماس ضروری است. هیچ کنترل واحدی به‌تنهایی برای جلوگیری کامل از Toll Fraud کافی نیست.

جمع‌بندی: امنیت IP Phone بخشی از امنیت زیرساخت شبکه است

تلفن IP صرفاً یک ابزار برای برقراری تماس نیست؛ این دستگاه بخشی از زیرساخت ارتباطی و Endpoint متصل به شبکه سازمان محسوب می‌شود.

به همین دلیل، ایمن‌سازی آن باید در چند لایه انجام شود: امنیت دستگاه، احراز هویت، رمزنگاری ارتباطات، تفکیک شبکه، کنترل دسترسی، مدیریت Firmware و مانیتورینگ مستمر.

برای دستیابی به یک زیرساخت VoIP امن، مدیران شبکه باید علاوه بر محافظت از تلفن‌ها، امنیت IP PBX، SBC، SIP Trunk، سامانه Provisioning و سرویس‌های مدیریتی را نیز در طراحی امنیتی خود لحاظ کنند.

در نهایت، پیاده‌سازی صحیح TLS و SRTP، استفاده از Voice VLAN همراه با ACL، احراز هویت دستگاه‌ها، جلوگیری از Toll Fraud و پایش مداوم رویدادها، مجموعه‌ای از کنترل‌های مکمل را برای کاهش ریسک حملات و حفظ محرمانگی، یکپارچگی و دسترس‌پذیری ارتباطات سازمانی فراهم می‌کند.

منابع فنی برای مطالعه بیشتر: