Защита IP АТС от внешних атак - История изменений

Oktell Support в 11:59, 24 марта 2014

2014-03-24T11:59:53Z

Peter в 11:39, 25 марта 2013

2013-03-25T11:39:52Z

Peter в 11:39, 25 марта 2013

2013-03-25T11:39:20Z

Peter в 08:43, 24 декабря 2012

2012-12-24T08:43:30Z

Peter в 08:42, 24 декабря 2012

2012-12-24T08:42:07Z

Peter в 08:41, 24 декабря 2012

2012-12-24T08:41:31Z

Peter в 08:41, 24 декабря 2012

2012-12-24T08:41:20Z

Peter в 08:39, 24 декабря 2012

2012-12-24T08:39:53Z

Peter в 08:38, 24 декабря 2012

2012-12-24T08:38:23Z

Peter в 08:38, 24 декабря 2012

2012-12-24T08:38:07Z

@@ Строка 1: / Строка 1: @@
-В данной статье будут разбираться практики атак IP АТС и способы противодействия. Следует иметь в виду, что методики атакующих постоянно совершенствуются, однако мы в рамках данной статьи постараемся отслеживать новые способы атак и давать свои рекомендации. Oktell является очень мощным и гибким инструментом, и с его помощью вы будете надежно защищены при выполнении наших рекомендаций.
+[[Практики|Наверх]]
-−
 __TOC__

← Предыдущая		Версия 11:39, 25 марта 2013
Строка 130:		Строка 130:

	Можно держать сервер на внешнем IP-адресе, можно реализовывать на нем произвольные сервисы, обслуживать все неизвестные звонки, но при этом следует помнить о возможных типах атак и предпринимать ограничения, с ними связанные. Мы рекомендуем выстраивать систему безопасности вокруг АТС по возможности в соответствии с принципом: "разрешить тем, кому можно", а не "запретить тем, кому нельзя".		Можно держать сервер на внешнем IP-адресе, можно реализовывать на нем произвольные сервисы, обслуживать все неизвестные звонки, но при этом следует помнить о возможных типах атак и предпринимать ограничения, с ними связанные. Мы рекомендуем выстраивать систему безопасности вокруг АТС по возможности в соответствии с принципом: "разрешить тем, кому можно", а не "запретить тем, кому нельзя".
−
−	В версиях Oktell начиная с 130130 реализована и по умолчанию включена [[Параметры_АТС#StrongPassword\|проверка сложности паролей]] учетных записей пользователей, а также SIP-телефонов и шлюзов, регистрирующихся на сервере. Система делает невозможным сохранение стандартным способом учетной записи с простым паролем.

	В версиях Oktell начиная с 130130 реализована возможность включения [[Параметры_АТС#PaidNumbers\|автоматической блокировки исходящих звонков на несанкционированные внешние номера]]. Используя ее даже неотфильтрованный в сценарии исходящий вызов не будет пропущен системой, если не удовлетворяет разрешенным условиям. Возможны варианты внесения запрещенных номеров и масок, а также указания разрешенных масок.		В версиях Oktell начиная с 130130 реализована возможность включения [[Параметры_АТС#PaidNumbers\|автоматической блокировки исходящих звонков на несанкционированные внешние номера]]. Используя ее даже неотфильтрованный в сценарии исходящий вызов не будет пропущен системой, если не удовлетворяет разрешенным условиям. Возможны варианты внесения запрещенных номеров и масок, а также указания разрешенных масок.

@@ Строка 35: / Строка 35: @@
 На момент написания статьи (декабрь 2012 г) большинство атак по подбору авторизационных данных совершаются от имени User-Agent "friendly-scanner". В версиях Oktell начиная с 121212 встроена дополнительная защита и пакеты от friendly-scanner игнорируются. Также существует возможность устанавливать фильтр и для других произвольных User-Agent с помощью конфигурационного файла сервера Oktell.
-Для того, чтобы даже при успешном подборе пары логин-пароль защититься от ущерба, необходимо внести соответствующие изменения в настройки сценариев маршрутизации.  Часто АТС в организациях настроены таким образом, чтобы звонок совершаемый через 8, через 0 или через какой-то другой символ, выходил на городские линии, в противном случае номер считается внутренним и маршрутизируется во внутренний номерной план. Такая настройка является типовой и привычной для большинства пользователей России. Именно это и дает возможность атакующим подобрать символ, открывающий выход на городские линии, чтобы потом совершать звонки на короткие и платные номера, международные номера, сервисные номера. Для того, чтобы закрыть атакующим такую возможность, необходимо использовать другой принцип разделения номеров внутреннего номерного плана и номеров, набираемых по линиям операторов связи, а именно маршрутизацию по длине номера. Это позволит исключить возможность выходить на линии операторов связи с короткими номерами, а также с номерами маска которых не соответствует нумерации вашей страны или стран, в которые вы совершаете звонки. Все трехзначные или четырехзначные вызовы должны отправляться только во внутренний номерной план. Принцип разделения маршрутизации вызова на основании длины номера внутренний номерной план и на линии операторов показан на рисунке. В компоненте Меню2 в выражении вычисляется длина номера и в зависимости от её соответствия указанным значениям маршрутизируется на компоненты ''Уведомление2'' (для трехзначных внутренних номеров), на ''Уведомление 3'' (для одиннадцатизначных федеральных номеров) и на ''Уведомление 4 '' (для всех остальных номеров). При необходимости стоит сделать исключение для номеров экстренных служб, например 01, 02, 03, 04, 112.
@@ Строка 42: / Строка 44: @@
-Перед выходом на линии операторов связи полезно по маске отрезать возможность набора любых номеров, кроме тех, на которые разрешено совершать звонки. Например если вы работаете только по России, на городские номера то нужно отклонить номер, если он содержит длину не равную 11 цифрам, если первая цифра отличается от 7 или 8 (по условиям вашего провайдера), а также если первые 4  цифры соответствуют принятой в России маске платных и служебных номеров. В помощь нам нормативный документ Приказ Министерства информационных технологий и связи РФ от 17 ноября 2006 г.N 142 "Об утверждении и введении в действие Российской системы и плана нумерации" (с изменениями от 29 декабря 2008 г.) Согласно нему определены коды и принцип нумерации, действующие в Российской Федерации. Нас в первую очередь в этом документе интересует таблица № 4.
+Перед выходом на линии операторов связи полезно по маске отрезать возможность набора любых номеров, кроме тех, на которые разрешено совершать звонки. Например если вы работаете только по России, на городские номера то нужно отклонить номер, если он содержит длину не равную 11 цифрам, если первая цифра отличается от 7 или 8 (по условиям вашего провайдера), а также если первые 4  цифры соответствуют принятой в России маске платных и служебных номеров. В помощь нам нормативный документ Приказ Министерства информационных технологий и связи РФ от 17 ноября 2006г. N 142 "Об утверждении и введении в действие Российской системы и плана нумерации" (с изменениями от 29 декабря 2008 г.) Согласно нему определены коды и принцип нумерации, действующие в Российской Федерации. Нас в первую очередь в этом документе интересует таблица № 4.
 <pre>
@@ Строка 128: / Строка 130: @@
 Можно держать сервер на внешнем IP-адресе, можно реализовывать на нем произвольные сервисы, обслуживать все неизвестные звонки, но при этом следует помнить о возможных типах атак и предпринимать ограничения, с ними связанные. Мы рекомендуем выстраивать систему безопасности вокруг АТС по возможности в соответствии с принципом: "разрешить тем, кому можно", а не "запретить тем, кому нельзя".
 '''Помните, что любая уязвимость будет рано или поздно найдена атакующей стороной!'''

← Предыдущая		Версия 08:43, 24 декабря 2012
Строка 1:		Строка 1:
−	В данной статье будут разбираться практики атак IP АТС и способы противодействия. Следует иметь в виду, что методики атакующих постоянно совершенствуются, однако мы в рамках данной статьи постараемся отслеживать новые способы атак и давать свои рекомендации. Oktell является очень мощным и гибким инструментом, и ~~мы надеемся, что~~ с его помощью вы будете надежно защищены, при выполнении наших рекомендаций.	+	В данной статье будут разбираться практики атак IP АТС и способы противодействия. Следует иметь в виду, что методики атакующих постоянно совершенствуются, однако мы в рамках данной статьи постараемся отслеживать новые способы атак и давать свои рекомендации. Oktell является очень мощным и гибким инструментом, и с его помощью вы будете надежно защищены при выполнении наших рекомендаций.

← Предыдущая		Версия 08:42, 24 декабря 2012
Строка 1:		Строка 1:
−	В данной статье будут разбираться практики атак IP АТС и способы противодействия. Следует иметь в виду, что методики атакующих постоянно совершенствуются, однако мы в рамках данной статьи постараемся отслеживать новые способы атак и давать свои рекомендации. Oktell является очень мощным и гибким инструментом и мы надеемся, что с его помощью вы будете надежно защищены, при выполнении наших рекомендаций.	+	В данной статье будут разбираться практики атак IP АТС и способы противодействия. Следует иметь в виду, что методики атакующих постоянно совершенствуются, однако мы в рамках данной статьи постараемся отслеживать новые способы атак и давать свои рекомендации. Oktell является очень мощным и гибким инструментом, и мы надеемся, что с его помощью вы будете надежно защищены, при выполнении наших рекомендаций.

← Предыдущая		Версия 08:41, 24 декабря 2012
Строка 128:		Строка 128:

	Можно держать сервер на внешнем IP-адресе, можно реализовывать на нем произвольные сервисы, обслуживать все неизвестные звонки, но при этом следует помнить о возможных типах атак и предпринимать ограничения, с ними связанные. Мы рекомендуем выстраивать систему безопасности вокруг АТС по возможности в соответствии с принципом: "разрешить тем, кому можно", а не "запретить тем, кому нельзя".		Можно держать сервер на внешнем IP-адресе, можно реализовывать на нем произвольные сервисы, обслуживать все неизвестные звонки, но при этом следует помнить о возможных типах атак и предпринимать ограничения, с ними связанные. Мы рекомендуем выстраивать систему безопасности вокруг АТС по возможности в соответствии с принципом: "разрешить тем, кому можно", а не "запретить тем, кому нельзя".
		+
	'''Помните, что любая уязвимость будет рано или поздно найдена атакующей стороной!'''		'''Помните, что любая уязвимость будет рано или поздно найдена атакующей стороной!'''

← Предыдущая		Версия 08:41, 24 декабря 2012
Строка 127:		Строка 127:
	В данном случае система не поддалась взлому, так как все звонки снаружи были замкнуты на секретарей. Но то, что все транки были заняты и сервер лишился возможности производить полезную работу - результат неполной защиты. Ограниченное количество транков привело к тому, что число звонков явилось небольшим. Остальные отбивались из-за нехватки транков в шлюзе для неизвестных входящих. Если бы шлюз для приема неизвестных входящих не использовался, атака бы не состоялась вовсе. Если бы в шлюзе для приема неизвестных входящих использовалось 2 транка вместо 40, и шлюз был бы обособленной единицей в карте сети, то работа бы не парализовалась.		В данном случае система не поддалась взлому, так как все звонки снаружи были замкнуты на секретарей. Но то, что все транки были заняты и сервер лишился возможности производить полезную работу - результат неполной защиты. Ограниченное количество транков привело к тому, что число звонков явилось небольшим. Остальные отбивались из-за нехватки транков в шлюзе для неизвестных входящих. Если бы шлюз для приема неизвестных входящих не использовался, атака бы не состоялась вовсе. Если бы в шлюзе для приема неизвестных входящих использовалось 2 транка вместо 40, и шлюз был бы обособленной единицей в карте сети, то работа бы не парализовалась.

−	Можно держать сервер на внешнем IP-адресе, можно реализовывать на нем произвольные сервисы, обслуживать все неизвестные звонки, но при этом следует помнить о возможных типах атак и предпринимать ограничения, с ними связанные. Мы рекомендуем выстраивать систему безопасности вокруг АТС по возможности в соответствии с принципом: "разрешить тем, кому можно", а не "запретить тем, кому нельзя". Помните, что любая уязвимость будет рано или поздно найдена атакующей стороной!	+	Можно держать сервер на внешнем IP-адресе, можно реализовывать на нем произвольные сервисы, обслуживать все неизвестные звонки, но при этом следует помнить о возможных типах атак и предпринимать ограничения, с ними связанные. Мы рекомендуем выстраивать систему безопасности вокруг АТС по возможности в соответствии с принципом: "разрешить тем, кому можно", а не "запретить тем, кому нельзя".
		+	'''Помните, что любая уязвимость будет рано или поздно найдена атакующей стороной!'''

@@ Строка 121: / Строка 121: @@
 :* Не использовать без необходимости шлюз "без регистрации", принимающий все неизвестные входящие. В случае же необходимости, оставлять на нем 1-2 транка (в соответствии с ожидаемым количеством корректных неизвестных звонков).
 :* Поставить в главном сценарии IVR входящей маршрутизации проверку на запрашиваемые внешние номера (CalledID), и рубить левые соединения.
-:* Убедиться, что "неизвестные" звонки снаружи через IVR не могут автоматически попасть наружу на провайдера и дать доступ к ТФОП, минуя операторов.
+:* Убедиться, что "неизвестные" звонки снаружи через IVR не могут автоматически попасть наружу на провайдера и предоставить злоумышленникам доступ к ТФОП, минуя операторов.
 :* По возможности не организовывать бесконечный цикл ожидания при переключениях внешних звонков. Автоматические системы атак не разорвут соединение самостоятельно и будут ждать до упора, занимая транк. Во всяком случае можно оценить кому это нужно, а кто под подозрением.
 :* Убедиться, что все телефоны имеют сложные пароли (на случай, если вдруг начнется атака подбора регистрационных данных).

@@ Строка 98: / Строка 98: @@
 Content-Type: application/sdp
 Content-Length: 524
-</pre
+</pre>
 Благодаря лог-журналу и сервису geo-ip было зафиксировано, что точка отправки - IP-адрес: 91.217.178.194, Страна: Сейшельские острова (SC).

@@ Строка 64: / Строка 64: @@
 </pre>
-Эта таблица показывает какие коды необходимо закрыть, для того чтобы защититься от "своих мошенников" В приведенном примере показан принцип исключения номеров из набора по маске. Так в компоненте Меню3 организовано определение второй, третьей и четвертой цифры набираемого федерального номера, соответствующих коду города, коду мобильного оператора или коду доступа к услуге электросвязи. Возможные значения, набор которых надо ограничить, маршрутизируются на компонент Обрыв связи. Остальные значения маршрутизируются на компонент выхода на внешние городские линии.
+Эта таблица показывает какие коды необходимо закрыть, для того чтобы защититься от "своих мошенников" В приведенном примере показан принцип исключения номеров из набора по маске. Так в компоненте ''Меню 3'' организовано определение второй, третьей и четвертой цифры набираемого федерального номера, соответствующих коду города, коду мобильного оператора или коду доступа к услуге электросвязи. Возможные значения, набор которых надо ограничить, маршрутизируются на компонент ''Обрыв связи''. Остальные значения маршрутизируются на компонент выхода на внешние городские линии.
 [[Файл:2012-12-23 1738.png]]
 Следует иметь в виду, что система Oktell может иметь множество сценариев, каждый из которых может содержать компонент обеспечивающий выход на линии операторов связи. В этом случае логично организовать один сценарий и осуществлять необходимые проверки в нем. При этом из остальных сценариев вместо компонента выхода на линии операторов необходимо организовывать переход в сценарий, осуществляющий проверку набираемого номера на безопасность.
 == Звонок на ваш внешний номер с целью нахождения комбинации для переключения на свой платный номер ==
 Зафиксирован следующий случай. Операторы колцентра стали получать на свои SIP телефоны звонки, у которых CallerName "unknown". Звонки вдруг начали иметь массовый характер. Сбой длился до перезагрузки сервера минут через 20 после начала.
@@ Строка 77: / Строка 82: @@
 Вот пример этого запроса (без SDP)
 :43:53:233 2828 READ -- Transport READ:
- RCV: 994 bytes from 91.217.178.194:5060: UDP interface 192.168.0.8:5060
+RCV: 994 bytes from 91.217.178.194:5060: UDP interface 192.168.0.8:5060
- INVITE sip:84793392818980@89.222.248.82 SIP/2.0
- Via: SIP/2.0/UDP 91.217.178.194;branch=z9hG4bKjgd1d1NPa60j
+INVITE sip:84793392818980@89.222.248.82 SIP/2.0
- From: "unknown" <sip:unknown@91.217.178.194>;tag=Cr2EwJ5d2l
+Via: SIP/2.0/UDP 91.217.178.194;branch=z9hG4bKjgd1d1NPa60j
- To: <sip:84793392818980@89.222.248.82>
+From: "unknown" <sip:unknown@91.217.178.194>;tag=Cr2EwJ5d2l
- CSeq: 101 INVITE
+To: <sip:84793392818980@89.222.248.82>
- Call-ID: aJf946e55db4dKcjt7PGlLfolhxFba0o@91.217.178.194
+CSeq: 101 INVITE
- Contact: <sip:unknown@91.217.178.194>
+Call-ID: aJf946e55db4dKcjt7PGlLfolhxFba0o@91.217.178.194
- User-Agent: mErPefSzRrt0b5XWLjuw
+Contact: <sip:unknown@91.217.178.194>
- Max-Forwards: 70
+User-Agent: mErPefSzRrt0b5XWLjuw
- Allow: INVITE, ACK, CANCEL, BYE
+Max-Forwards: 70
- Content-Type: application/sdp
+Allow: INVITE, ACK, CANCEL, BYE
- Content-Length: 524
+Content-Type: application/sdp
-Благодаря лог-журналу и сервису geo-ip было зафиксировано, что точка отправки - IP-адрес: 91.217.178.194 Страна: Сейшельские острова (SC)
+Благодаря лог-журналу и сервису geo-ip было зафиксировано, что точка отправки - IP-адрес: 91.217.178.194, Страна: Сейшельские острова (SC).
 Обратите внимание на User-Agent. Все запросы имеют разные случайные комбинации символов в качестве User-Agent - это прямым текстом указывает на своеобразную атаку.