SBC beveiligen: de basis voor een VoIP-platform onder de Cbw

Wat eisen de regels, en wat niet?

De Cyberbeveiligingswet (Cbw), het Cyberbeveiligingsbesluit (Cbb) en de Regeling cyberbeveiliging EZK noemen de SBC niet. Er staat dus geen lijst met verplichte SBC-instellingen. Wel raakt de SBC meerdere eisen die gelden voor aanbieders van openbare telecomdiensten.

Van regel naar SBC. De rechterkolom is praktische invulling, geen wettelijke eis.

Regel	Wat er staat	Invulling op de SBC
Regeling EZK, art. 5, vierde lid	Segmenteren in netwerken of zones op basis van uw risicoanalyse	Aparte zones voor toegang, kernplatform en beheer
Regeling EZK, art. 6	Sterke authenticatie, voorrechten zoveel mogelijk geïndividualiseerd en beperkt	Persoonlijke beheeraccounts, tweede factor
Regeling EZK, art. 5, tweede lid	Patches binnen een redelijke termijn, afwijking motiveren	Eigen termijn voor dit internetgerichte systeem
Cbb, art. 8, zesde lid	Relevante gebeurtenissen loggen en logbestanden beschermen	Logs naar een centrale server sturen
Cbb, art. 13	Beleid over cryptografie	Vastleggen waar u TLS en SRTP gebruikt

Bent u ook hoster of beheerder? Voor die diensten gelden deze artikelen uit het Cbb en de regeling niet, maar Uitvoeringsverordening (EU) 2024/2690.

Topologie: laat de SBC echt de grens zijn

RFC 5853 beschrijft de SBC als verdediging aan de rand: toegangscontrole, het afschermen van de interne opbouw en bescherming tegen overbelasting. Dat werkt alleen als er geen andere weg langs de SBC is.

• Gebruik gescheiden interfaces voor de buitenkant en de binnenkant.
• Maak softswitch, PBX en database niet rechtstreeks bereikbaar vanaf internet.
• Hang het beheer aan een eigen interface in de beheerzone. Zie MFA en beheertoegang.
• Controleer dat interne hostnamen en IP-adressen niet in SIP-headers naar buiten lekken.

ACL's: standaard dicht

SIP gebruikt standaard poort 5060 en voor TLS poort 5061 (RFC 3261). Die poorten worden op internet voortdurend afgezocht. Een ander poortnummer is daarom geen beveiliging. Werk liever met wat u over de andere kant weet:

• Carriers en SIP-trunks. Sta alleen de afgesproken IP-adressen toe. Liefst filtert u dit al op de router of firewall vóór de SBC, zodat ongewenst verkeer de SBC niet belast.
• Toestellen op wisselende adressen. Hier kan geen vaste lijst. Gebruik limieten en tijdelijke blokkades op basis van mislukte registraties.
• Media. Beperk RTP tot de ingestelde poortreeks.
• Landen. Een geoblokkade helpt soms tegen ruis, maar is geen vervanging van authenticatie.

TLS en SRTP

De regels schrijven geen bepaald protocol voor. Uw cryptografiebeleid bepaalt in welke gevallen u versleutelt (artikel 13 Cbb). Een praktische lijn:

• SIP over TLS voor toestellen en trunks die dat ondersteunen, met controle van certificaten.
• SRTP (RFC 3711) voor media waar dat kan. Worden de sleutels in de signalering uitgewisseld, dan moet die signalering ook versleuteld zijn.
• Geen TLS 1.0 of 1.1. RFC 9325 raadt die versies af en beveelt TLS 1.2 of hoger aan.
• Noteer welke verlopende certificaten op de SBC staan en wie ze vernieuwt.

Meer hierover leest u in cryptografiebeleid voor SIP en TLS.

Limieten en signaleringsregels

Stel limieten in die passen bij het normale verkeer. Meet dat eerst, en kies daarna de waarden. Te strak veroorzaakt zelf een storing.

• Maximaal aantal gelijktijdige gesprekken per trunk of klant.
• Maximaal aantal INVITE's en REGISTER's per seconde per bron.
• Tijdelijke blokkade na herhaalde mislukte aanmeldingen.
• Maximale berichtgrootte en controle op ongeldige SIP-berichten.

Let ook op P-Asserted-Identity. RFC 3325 is bedoeld voor gebruik binnen een vertrouwd domein. Neem deze header daarom niet zomaar over van een bron buiten dat domein. Verwijder of herschrijf hem aan de rand. Voor aanvallen op grote schaal leest u verder bij DDoS op SIP.

Vijf controles voor deze week

1. Scan uw SBC van buitenaf. Staan alleen de bedoelde poorten open?
2. Probeer de beheerinterface te bereiken vanaf een gewoon internetadres. Dat hoort niet te lukken.
3. Controleer de softwareversie tegen de beveiligingsadviezen van uw leverancier.
4. Bel vanaf een testaccount naar uw eigen testlijn met een nummer dat niet bij dat account hoort. Wordt dit tegengehouden?
5. Bekijk of beheerlogins en configuratiewijzigingen op uw centrale logserver binnenkomen.

Leg de uitkomst vast. De eis is dat u maatregelen aantoonbaar toepast (artikel 6 Cbb). Een eerste beeld van de rest van uw beveiliging krijgt u met de gratis zelfscan.

Veelgestelde vragen

Is een SBC verplicht onder de Cbw?

Nee. De regels noemen dit apparaat niet. U moet wel passende maatregelen nemen op basis van uw risicoanalyse. Op een SIP-platform is een SBC een gangbare manier om dat te doen, maar een andere opzet kan ook passend zijn.

Moet al het SIP-verkeer versleuteld zijn?

De regels schrijven dat niet voor. U legt zelf vast wanneer u cryptografie inzet. Niet elke carrier of elk toestel ondersteunt TLS. Noteer die uitzonderingen en waarom ze er zijn.

Mijn SBC draait als dienst bij een leverancier. Wat nu?

Dan hoort deze leverancier in uw beleid voor de toeleveringsketen, en toetst u periodiek of hij aan uw eisen voldoet (artikel 10 Cbb). Spreek af wie patcht en wie logs bewaart. In het portaal kunt u dit 30 dagen gratis vastleggen, zonder betaalgegevens.