Chráňte svoj Asterisk pred zneužitím!

V poslednom čase bolo na Slovensku zaznamenaných niekoľko pokusov o neoprávnený vstup do telefónnych ústrední s open-source systémom Asterisk a ich zneužitie na nelegálne smerovanie hovorov do rôznych zahraničných destinácií.

Asterisk

Keďže je open-source systém Asterisk medzi zákazníkmi VoIP služieb veľmi obľúbený, radi by sme upozornili na možné riziká zneužitia tohto riešenia a zároveň poskytli niekoľko odporúčaní ako zabrániť možnému zneužitiu ústredne Asterisk.

Je dôležité si uvedomiť, že napriek cenovej výhodnosti, má systém Asterisk aj niekoľko nevýhod. Asterisk je veľmi známym open-source systémom a preto aj drvivá väčšina pokusov o zneužitie telefónnej ústredne na neoprávnené generovanie hovorov je zameraná práve na tento rozšírený systém. Veľkou nevýhodou je tiež uloženie vstupných hesiel do sietí VoIP operátorov v plain-textovej forme. Pre skúseného útočníka, nie je problém tieto vstupné heslá vyhľadať a následne zneužiť.

Zarážajúcou skutočnosťou je, že drvivej väčšine úspešných útokov na ústredne Asterisk sa dalo predísť jednoduchým dodržiavaním základných a všeobecne známych bezpečnostných pravidiel pri práci so sieťou Internet. Zabezpečenie ústrední Asterisk niektorými užívateľmi by sa dalo prirovnať k odparkovaniu luxusného auta v nebezpečnej štvrti so stiahnutými oknami a kľúčmi v zapaľovaní.

Ako teda možno predísť zneužitiu telefónnej ústredne so systémom Asterisk?

  1. Nastavte si firewallovú ochranu pred alebo priamo na ústredni.
  2. Povoľte prístup k ústredni iba z lokálnych sietí alebo z dôveryhodných IP adries. Tento krok sám o sebe zníži možnosť zneužitia Vašej ústredne na minimum.
  3. Nepoužívajte jednoduché vstupné mená a heslá pre prístup do ústredne a pre prístup do Zákazníckej zóny VIPTel. Tieto údaje neposkytujte tretím osobám.
  4. Pravidelne aktualizujte software bezpečnostnými záplatami.
  5. Monitorujte prihlásenia a aktivitu na ústredni z dôvodu možného odcudzenia prihlasovacích údajov bez vášho vedomia. Tieto údaje sa na open-source systémoch Asterisk ukladajú v plain-textovej forme, t.j. sú ľahko čitateľné pre útočníka. Dôsledkom toho môže byť využívanie hlasových služieb tretími osobami na váš účet.
  6. Pravidelne kontrolujte/porovnávajte výpisy hovorov na vašej ústredni s výpisom hovorov u vášho VoIP operátora. Všetci zákazníci služieb VIPTel majú k dispozícii bezplatný výpis hovorov v Zákazníckej zóne na stránke www.viptel.sk. Majte na zreteli, že pri odcudzení prihlasovacích údajov sa hovory vygenerované útočníkom nebudú zobrazovať v databáze vašej ústredne.
  7. V prípade podozrenia z nepovoleného prieniku do ústredne kontaktujte svojho VoIP operátora. Pre zákazníkov služieb VIPTel je k dispozícii linka technickej podpory: 02/2028 2029 alebo e-mail: podpora@viptel.sk

Rovnako ako aj v iných oblastiach života, aj v tomto prípade platí, že bezpečnosť je prvoradá. Vyššie popísané pravidlá bezpečnosti by mali byť úplnou samozrejmosťou, ako napríklad uzamknutie auta po jeho zaparkovaní.



18.04.2013

Pridaj komentár

Vaša e-mailová adresa nebude zverejnená. Vyžadované polia sú označené *