Обеспечение безопасности телефонии - История изменений

Oktell Support в 07:13, 17 декабря 2014

2014-12-17T07:13:13Z

Oktell Support в 06:51, 9 июня 2014

2014-06-09T06:51:14Z

Oktell Support в 06:47, 9 июня 2014

2014-06-09T06:47:35Z

Oktell Support в 06:42, 9 июня 2014

2014-06-09T06:42:40Z

Oktell Support в 06:40, 9 июня 2014

2014-06-09T06:40:07Z

Oktell Support в 06:34, 9 июня 2014

2014-06-09T06:34:28Z

Oktell Support в 06:27, 9 июня 2014

2014-06-09T06:27:47Z

Oktell Support в 06:07, 9 июня 2014

2014-06-09T06:07:15Z

Oktell Support в 09:25, 6 июня 2014

2014-06-06T09:25:28Z

Oktell Support в 09:25, 6 июня 2014

2014-06-06T09:25:03Z

← Предыдущая		Версия 07:13, 17 декабря 2014
Строка 1:		Строка 1:
−	[[~~Дополнительно~~\|Наверх]]	+	[[О программе\|Наверх]]

	__TOC__		__TOC__

@@ Строка 57: / Строка 57: @@
   <add key="EnableEmptyAdmin" value="0" />
-* Программный код Oktell содержит возможность автоматической блокировки IP адреса, с которого осуществляется несколько неудачных попыток регистраций. Принцип действия режима автоматической блокировки следующий: При поступлении за 10 секунд более 20 регистрационных пакетов с неверной авторизационной информацией - IP адрес целиком записывается в бан-лист. По истечении срока давности в соответствии с параметром конфигурации происходит автоматическое удаление из бан-листа. При повторном получении неверной авторизационной информации после разбана размещение в бан-листе происходит уже сразу по второму пакету. В серверном лог журнале Exception при этом появляются записи, фиксирующие внесение адресов в бан-лист с указанием причины и адреса. Управление этим режимом производится в конфигурационном файле сервера строчкой:
+* Программный код Oktell содержит возможность автоматической блокировки IP адреса, с которого осуществляется несколько неудачных попыток регистраций. Принцип действия режима автоматической блокировки следующий: При поступлении за 10 секунд более 20 регистрационных пакетов с неверной авторизационной информацией - IP адрес целиком записывается в бан-лист. По истечении срока давности в соответствии с параметром конфигурации происходит автоматическое удаление из бан-листа. При повторном получении неверной авторизационной информации после разблокировки размещение в бан-листе происходит уже сразу по второму пакету. В серверном лог журнале Exception при этом появляются записи, фиксирующие внесение адресов в бан-лист с указанием причины и адреса. Управление этим режимом производится в конфигурационном файле сервера строчкой:
 <pre>
@@ Строка 64: / Строка 64: @@
 - выключено
 - включено и банит до перезагрузки сервера
-NN - период в минутах, после которого производится автоматический разбан
+NN - период в минутах, после которого производится автоматическая разблокировка
 </pre>

@@ Строка 24: / Строка 24: @@
 '''4.''' '''Глупая маршрутизация звонка.''' Некоторые виды атак строятся не на подборе регистрационных данных к аккаунтам sip-телефонов, а на попытках совершить прямой вызов через входящий звонок. Убедитесь, что в IVR-сценариях все входящие звонки будут замкнуты на конечных сотрудниках. Кстати, автоматические боты не умеют самостоятельно разрывать соединения, а значит наличие зацикленности в логике сценариев может привести к парализации работы вашей телефонии.
-'''5.''' '''Доступ к периферийному оборудования.''' Имея доступ к шлюзам (FXO, FXS), роутерам и другому оборудованию, хакер может сделать бэкап конфигурации, в которой хранятся все пароли доступа к вашему серверу. Восстановив бэкап на своем оборудовании ему ничто не помешает начать дозвон на платные направления. Часто это происходит из-за того, что администратор оставил стандартную учетную запись "'''admin'''" - "'''admin'''".  Проблема относится скорее к нежелательной прослушке разговоров, нежели к совершению звонков, но это так или иначе угроза для безопасности вашей системы. Любое оборудование, находящееся на публичном IP-адресе должно иметь сложные пароли.
+'''5.''' '''Доступ к периферийному оборудования.''' Имея доступ к шлюзам (FXO, FXS), роутерам и другому оборудованию, хакер может сделать бэкап конфигурации, в которой хранятся все пароли доступа к вашему серверу. Восстановив бэкап на своем оборудовании ему ничто не помешает начать дозвон на платные направления. Часто это происходит из-за того, что администратор оставил стандартную учетную запись "'''admin'''" - "'''admin'''". Любое оборудование, находящееся на публичном IP-адресе должно иметь сложные пароли.
 '''6.''' Целью атаки может быть временное прекращение работоспособности системы. Это называется DDOS-атакой. Фактически, ищется любой порт вашего сервера, который может отвечать на некоторые запросы. Период между поступлением запросов сокращается до миллисекунд и все ресурсы сервера уходят уже не на работу телефонии, а на ответы сервиса. Решением может быть блокирование данных портов.

@@ Строка 40: / Строка 40: @@
   netstat -anop tcp
-* Выключите службы на вашем сервере, которые не нужны для работы Oktell. Включенные службы, работающие на открытых портах могут быть подвергнуты DDOS-атаке.
+* Выключите службы на вашем сервере, которые не нужны для работы Oktell. Включенные службы, работающие на открытых портах могут быть подвергнуты DDOS-атаке. Проверить какие службы и процессы используются, вы можете также с помощью командной строки.
 * Если вы используете удаленный SQL-сервер, то аналогично закройте удаленный доступ для всех адресов, кроме разрешенных. Также рекомендуется сменить  стандартное имя входа и пароль ('''sa''' и '''AutelService''') в базу данных.

← Предыдущая		Версия 06:40, 9 июня 2014
Строка 26:		Строка 26:
	'''5.''' '''Доступ к периферийному оборудования.''' Имея доступ к шлюзам (FXO, FXS), роутерам и другому оборудованию, хакер может сделать бэкап конфигурации, в которой хранятся все пароли доступа к вашему серверу. Восстановив бэкап на своем оборудовании ему ничто не помешает начать дозвон на платные направления. Часто это происходит из-за того, что администратор оставил стандартную учетную запись "'''admin'''" - "'''admin'''". Проблема относится скорее к нежелательной прослушке разговоров, нежели к совершению звонков, но это так или иначе угроза для безопасности вашей системы. Любое оборудование, находящееся на публичном IP-адресе должно иметь сложные пароли.		'''5.''' '''Доступ к периферийному оборудования.''' Имея доступ к шлюзам (FXO, FXS), роутерам и другому оборудованию, хакер может сделать бэкап конфигурации, в которой хранятся все пароли доступа к вашему серверу. Восстановив бэкап на своем оборудовании ему ничто не помешает начать дозвон на платные направления. Часто это происходит из-за того, что администратор оставил стандартную учетную запись "'''admin'''" - "'''admin'''". Проблема относится скорее к нежелательной прослушке разговоров, нежели к совершению звонков, но это так или иначе угроза для безопасности вашей системы. Любое оборудование, находящееся на публичном IP-адресе должно иметь сложные пароли.

−	'''6.''' Целью атаки может быть временное прекращение работоспособности ~~атаки~~. Это называется DDOS-атакой. Фактически, ищется любой порт вашего сервера, который может отвечать на некоторые запросы. Период между поступлением запросов сокращается до миллисекунд и все ресурсы сервера уходят уже не на работу телефонии, а на ответы сервиса. Решением может быть блокирование данных портов.	+	'''6.''' Целью атаки может быть временное прекращение работоспособности системы. Это называется DDOS-атакой. Фактически, ищется любой порт вашего сервера, который может отвечать на некоторые запросы. Период между поступлением запросов сокращается до миллисекунд и все ресурсы сервера уходят уже не на работу телефонии, а на ответы сервиса. Решением может быть блокирование данных портов.

@@ Строка 160: / Строка 160: @@
 === Административные меры ===
-Запрет межгорода на уровне оператора (если вы не пользуетесь). Спросите вашего оператора связи как он может поспособствовать защите от звонков на международные направления.
+*Узнайте у вашего оператора связи, как он может поспособствовать защите от звонков на международные направления при возможном взломе вашей системы.
-Ограничение по IP на транк. Только с айпи сервера.
-Ограничение на сумму счета или авансовая оплата. Запросите у оператора ограничения по расходу на услуги телефонии. Если идет превышение - пусть блокируют.
+*Если вы не используете международные соединения (а также любые другие платные направления) лучше запретить их на уровне оператора связи.

@@ Строка 141: / Строка 141: @@
 === Настройка периферийного оборудования===
 * Не оставляйте стандартные пароли на всяком оборудовании, доступ к которому может быть получен из внешней сети. Это может быть роутер, NAT-устройство, Firewall и др.
-* К сожалению, веб-интерфейс устройства, в отличии
+* К сожалению, большинство устройств, в отличии от Oktell, не считает количество неудачных попыток входа в свой веб-интерфейс. Поэтому устройство может быть взломано путем перебора паролей. Используя в пароле более 15 знаков, вы значительно уменьшаете шанс взлома вашей системы.

@@ Строка 20: / Строка 20: @@
 '''2.''' '''Имеется доступ к SQL-серверу.''' Если хакер получил доступ к SQL-серверу, фактически он имеет доступ к серверу Oktell. Выполнив несколько запросов, создается пользователь с ролью администратора, а значит и возможно совершение звонков с вашего SIP-сервера.
 '''3.''' '''Получена учетная запись пользователя или устройства.''' Получив учетную запись устройства, хакер регистрирует свой телефон на вашем SIP-сервере и начинает совершать звонки по международным направлениям. Если имеется учетная запись пользователя, то она используется для входа в клиентское приложение и совершение звонков.
 '''4.''' '''Глупая маршрутизация звонка.''' Некоторые виды атак строятся не на подборе регистрационных данных к аккаунтам sip-телефонов, а на попытках совершить прямой вызов через входящий звонок. Убедитесь, что в IVR-сценариях все входящие звонки будут замкнуты на конечных сотрудниках. Кстати, автоматические боты не умеют самостоятельно разрывать соединения, а значит наличие зацикленности в логике сценариев может привести к парализации работы вашей телефонии.
-'''5.''' '''Доступ к периферийному оборудования.''' Имея доступ к шлюзам (FXO, FXS), роутерам и другому оборудованию, хакер может перенаправить трафик через свое оборудование. Часто это происходит из-за того, что администратор оставил стандартную учетную запись "'''admin'''" - "'''admin'''". Проблема относится скорее к нежелательной прослушке разговоров, нежели к совершению звонков, но это так или иначе угроза для безопасности вашей системы. Любое оборудование, находящееся на публичном IP-адресе должно иметь сложные пароли.
+'''5.''' '''Доступ к периферийному оборудования.''' Имея доступ к шлюзам (FXO, FXS), роутерам и другому оборудованию, хакер может сделать бэкап конфигурации, в которой хранятся все пароли доступа к вашему серверу. Восстановив бэкап на своем оборудовании ему ничто не помешает начать дозвон на платные направления. Часто это происходит из-за того, что администратор оставил стандартную учетную запись "'''admin'''" - "'''admin'''".  Проблема относится скорее к нежелательной прослушке разговоров, нежели к совершению звонков, но это так или иначе угроза для безопасности вашей системы. Любое оборудование, находящееся на публичном IP-адресе должно иметь сложные пароли.
@@ Строка 38: / Строка 40: @@
   netstat -anop tcp
-* Если вы используете удаленный SQL-сервер, то аналогично закройте удаленный доступ для всех адресов, кроме разрешенных. Также рекомендуется сменить имя стандартное имя входа в базу данных.
+* Выключите службы на вашем сервере, которые не нужны для работы Oktell. Включенные службы, работающие на открытых портах могут быть подвергнуты DDOS-атаке.
@@ Строка 79: / Строка 83: @@
-* В версиях '''Oktell''' начиная с 130130 реализована возможность включения [[Параметры_АТС#PaidNumbers|автоматической блокировки исходящих звонков на несанкционированные внешние номера]]. Используя ее даже неотфильтрованный в сценарии исходящий вызов не будет пропущен системой, если не удовлетворяет разрешенным условиям. Возможны варианты внесения запрещенных номеров и масок, а также указания разрешенных масок.
+* В версиях '''Oktell''' начиная с 130130 реализована возможность включения [[Параметры_АТС#PaidNumbers|автоматической блокировки исходящих звонков на несанкционированные внешние номера]]. Используя ее, даже неотфильтрованный в сценарии исходящий вызов не будет пропущен системой, если не удовлетворяет разрешенным условиям. Возможны варианты внесения запрещенных номеров и масок, а также указания разрешенных масок.
@@ Строка 93: / Строка 97: @@
 :* Служебный сценарий автодозвона
 :* Любой другой IVR, в который имеется переключение на внешние линии
-В этих сценариях необходимо либо ввести некоторый пароль для совершения международных звонков, либо проводить маршрутизацию в зависимости от пользователей (их ролей, внутреннего номера и т.д.)
+В этих сценариях необходимо либо ввести некоторый пароль (пинкод) для совершения международных звонков, либо проводить маршрутизацию в зависимости от пользователей (их ролей, внутреннего номера и т.д.) При наборе неправильного пинкода, администратор системы должен быть оповещен (например, по email или всплывающим уведомлением) Таким образом, даже если вашу систему взломают, хакеры не смогут совершить звонки, так как не будут знать пинкода. Пока пинкод будет подбираться, администратор системы сможет предпринять соответствующие действия.
 Для того, чтобы даже при успешном подборе пары логин-пароль защититься от ущерба, необходимо внести соответствующие изменения в настройки сценариев маршрутизации. Часто АТС в организациях настроены таким образом, чтобы звонок совершаемый через 8, через 0 или через какой-то другой символ, выходил на городские линии, в противном случае номер считается внутренним и маршрутизируется во внутренний номерной план. Такая настройка является типовой и привычной для большинства пользователей России. Именно это и дает возможность атакующим подобрать символ, открывающий выход на городские линии, чтобы потом совершать звонки на короткие и платные номера, международные номера, сервисные номера. Для того, чтобы закрыть атакующим такую возможность, необходимо использовать другой принцип разделения номеров внутреннего номерного плана и номеров, набираемых по линиям операторов связи, а именно маршрутизацию по длине номера. Это позволит исключить возможность выходить на линии операторов связи с короткими номерами, а также с номерами маска которых не соответствует нумерации вашей страны или стран, в которые вы совершаете звонки. Все трехзначные или четырехзначные вызовы должны отправляться только во внутренний номерной план. Принцип разделения маршрутизации вызова на основании длины номера внутренний номерной план и на линии операторов показан на рисунке.
@@ Строка 132: / Строка 138: @@
 Следует иметь в виду, что система Oktell может иметь множество сценариев, каждый из которых может содержать компонент, обеспечивающий выход на линии операторов связи. В этом случае логично организовать один сценарий и осуществлять необходимые проверки в нем. При этом из остальных сценариев вместо компонента выхода на линии операторов необходимо организовывать переход в сценарий, осуществляющий проверку набираемого номера на безопасность.

← Предыдущая		Версия 09:25, 6 июня 2014
Строка 100:		Строка 100:


−	[[Файл:2012-12-23 1718.png]]	+	[[Файл:2012-12-23 1718.png\|center]]

← Предыдущая		Версия 09:25, 6 июня 2014
Строка 128:		Строка 128:


−	[[Файл:2012-12-23 1738.png]]	+	[[Файл:2012-12-23 1738.png\|center]]