अपने तारांकन की रक्षा के लिए 9 नियम!

अब हर कोई एस्टरिस्क और अन्य पीबीएक्स पर बड़ी संख्या में हमलों के बारे में लिख रहा है। अभ्यास से एक जीवंत उदाहरण - डीपीआरके के साथी हैकर्स ने एस्टरिस्क को प्राप्त करने का प्रबंधन नहीं किया, जो कि एक सरल एएसयूएस राउटर के पीछे है, क्यों - इसके बारे में और बाद में, लेकिन वे इसे क्रैक करने में कामयाब रहे, या यिलिंक टीयूपी -22 आईपी फोन के लिए पासवर्ड उठाएं।

ऐसा करना मुश्किल नहीं था, मानक व्यवस्थापक / व्यवस्थापक पासवर्ड अभी भी बहुत लोकप्रिय हैं। और, जैसा कि अभ्यास ने दिखाया है, यह दसियों हजार रूबल की लागत कर सकता है ...

MyAsterisk टीम के विशेषज्ञों ने 9 नियम बनाए जो हैकर के हमलों से बचने और आपके खाते में धन बचाने में मदद करेंगे।

नियम एक: हमेशा मील के पत्थर और डिवाइस नेटवर्क पर पासवर्ड बदलें। खासकर आईपी फोन, वीओआईपी गेटवे आदि पर।

ग्राहकों के लिए पासवर्ड, प्रवेश, तारांकन प्रबंधक, आदि। कम से कम 12 अक्षर (अक्षर, संख्या, केस परिवर्तन) शामिल होने चाहिए, जटिल लॉगिन और पासवर्ड का उपयोग करें। पहले से ही 15,000 रूबल की लागत के लिए इस सरल नियम का पालन नहीं करना।

नियम दो: गैर-मानक एसआईपी, आईएएक्स, एसएसएच बंदरगाहों का उपयोग करें।

मानक पोर्ट को किसी अन्य में बदलें। यह मानक के विपरीत अधिक होगा - बेहतर।

SIP : पोर्ट को sip फ़ाइल में कॉन्फ़िगर किया गया है । सामान्य अनुभाग में विश्वास करें :
बिंदपोर्ट = 5060 => बिंदपोर्ट = 5172

SSH : नए पोर्ट को सिस्टम पर पहले से खुले बंदरगाहों के साथ संघर्ष नहीं करना चाहिए। उदाहरण के लिए, हम 9321 का उपयोग करेंगे। हम / etc / ssh / sshd_config को संपादित करते हैं

परिवर्तन से पहले # चिह्न हटाएं। पोर्ट 9321
फिर कमांड का उपयोग करके परिवर्तनों को लागू करने के लिए sshd को पुनरारंभ करें:
सेवा sshd पुनरारंभ

IAX : /etc/asterisk/iax.conf पर जाएं
पोर्ट को लाइन में किसी भी मुफ्त में बदलें; बाइंडपोर्ट = 4569
हम कमांड /etc/ininit.d/asterisk पुनरारंभ के साथ तारांकन चिह्न को पुनरारंभ करते हैं

नियम तीन: SSH अनुमतियों वाले उपयोगकर्ता का उपयोग करें।

आपको एक उपयोगकर्ता बनाना चाहिए और उसे SSH के माध्यम से ही अधिकार प्रदान करना चाहिए। उदाहरण के लिए, एक उपयोगकर्ता myasterisk बनाएं और उसके लिए एक पासवर्ड सेट करें। पासवर्ड में केस चेंज के साथ कैरेक्टर, नंबर और अक्षर होने चाहिए।

# useradd myasterisk
# पासवार्ड माइस्टरिस्क

आइए , निम्नलिखित को जोड़ते हुए / etc / ssh / sshd_config को संपादित करें : AllowUsers myasterisk

SSH के माध्यम से Asterisk सर्वर से कनेक्ट करने से रूट उपयोगकर्ता को रोकें: PermitRootLogin no

नियम चार: एक्सटेंशन उपयोगकर्ताओं (इनकार / परमिट) के लिए अनुमत पते सेट करें।

यह सेटिंग केवल विश्वसनीय IP पतों से आंतरिक ग्राहकों को पंजीकृत करने की क्षमता को प्रतिबंधित करती है। प्रत्येक एक्सटेंशन के लिए, हम कई प्रकार के पते या मान्य IP पता निर्दिष्ट करते हैं।

123
इनकार = 0.0.0.0 / 0.0.0.0
परमिट = 10.10.1.7
परमिट = 10.10.2.1 / 24
जहां 10.10.2.1/24 स्थानीय पते की श्रेणी है, जहां से कनेक्शन किया जाएगा। तारांकन अन्य पते से कनेक्शन स्वीकार नहीं करेगा।

पांचवां नियम: अतिथि कॉल (अतिथि कॉल) और पंजीकरण अक्षम करें

/Etc/asterisk/sip.conf को संपादित करने की आवश्यकता है
Allowguest की जगह = allowguest के साथ हाँ = नहीं; अतिथि कॉल को अनुमति दें या अस्वीकार करें (डिफ़ॉल्ट हाँ है)

यह विकल्प सभी उपयोगकर्ताओं के लिए उपयुक्त नहीं है, कभी-कभी ऐसा होता है कि अतिथि कॉल को मना करना संभव नहीं है।

नियम छह: कॉल सीमाएँ निर्धारित करें

इस घटना में कि आप पहले से ही हैक हो चुके हैं, आपके एक्सटेंशन की सेटिंग में निर्दिष्ट कॉल-लिमिट = 1 लाइन आपको कम पैसे खोने में मदद करेगी। यह लाइन आपके एक्सटेंशन के एक साथ कनेक्शन की संख्या को सीमित करती है।

नियम सात: विभिन्न आउटबाउंड रूटिंग नियमों का उपयोग करें

आलसी न हों और डिफ़ॉल्ट मार्गों का उपयोग करें, जैसे Exten => _X।, 1, Hangup । शहर कोड, मोबाइल ऑपरेटर और अंतर्राष्ट्रीय कोड (यदि कोई हो) के साथ दिशा-निर्देश सख्ती से निर्धारित किए जाने चाहिए, उदाहरण के लिए: 8495XXXXXXX, 8961XXXXXXX, 89XXXXXXXXX , आदि।

नियम आठ: अमान्य पासवर्ड के लिए प्रतिक्रिया अक्षम करें

डिफ़ॉल्ट रूप से, Asterisk एक मौजूदा खाते के लिए एक गलत पासवर्ड के बारे में एक त्रुटि उत्पन्न करता है और दूसरा एक बिना किसी खाते के लिए। पासवर्ड चयन के लिए कई कार्यक्रम हैं, इसलिए हमलावर के लिए सभी छोटे नंबरों की जांच करना और केवल "गलत पासवर्ड" का जवाब देने वाले मौजूदा खातों के लिए पासवर्ड एकत्र करना आसान है। इसे रोकने के लिए, /etc/asterisk/sip.conf फ़ाइल में लाइन बदलें :
alwaysauthreject = alwaysauthreject = नहीं पर हाँ और Asterisk को पुनरारंभ करें।

इस सेटअप के बाद, Asterisk किसी भी अवैध 401 अनधिकृत प्राधिकरणों के लिए समान जवाब देगा और विवरण प्रदान नहीं करेगा।

नियम नौ: Iptables और Fail2ban का उपयोग करें

Fail2ban "127.0.0.1 Wr - गलत पासवर्ड" के लिए फॉर्म के स्ट्रिंग्स को पकड़ने में मदद करता है और "127.0.0.1 ′ के लिए विफल" - पीयर को पंजीकृत नहीं करना चाहिए "। Fail2ban रद्दी SIP ट्रैफ़िक की मात्रा को काफी कम कर सकता है।

हालांकि, कई अप्रिय स्थितियां हैं जिनमें एस्टरिस्क लॉग का विश्लेषण करने से मदद नहीं मिलेगी। उदाहरण के लिए, उस स्थिति में जब कोई हमलावर बिना पहचान डेटा के एक अनुरोध भेजता है, तो संदेश "गलत पासवर्ड" लॉग में कभी नहीं दिखाई देगा।

तथ्य यह है कि तारांकन चिह्न में सभी एसआईपी यूडीपी सिग्नलिंग को एक एकल थ्रेड द्वारा संसाधित किया जाता है। एसआईपी ट्रैफ़िक को संसाधित करना एक संसाधन-गहन प्रक्रिया है, कचरा अनुरोधों के 7-8 मेगाबाइट्स पूरी तरह से प्रोसेसर कोर खाते हैं (उदाहरण के लिए, इंटेल E5335, E5405)। जब कोर पूरी तरह से खाया जाता है, तो उपयोगी एसआईपी ट्रैफ़िक को बदल दिया जाता है - कचरा।

DTMF SIP INFO का उपयोग करके ग्राहकों के लिए काम करना बंद कर देता है। समस्याएं नए कनेक्शन स्थापित करने और मौजूदा कनेक्शन समाप्त करने से शुरू होती हैं। और यह ब्रूट फोर्स रोबोट द्वारा उत्पन्न मुख्य खतरा है।

तो उन समस्याओं से कैसे निपटें जिनके बारे में लॉग में कोई संदेश नहीं है? बहुत सरल - आपको स्वयं समस्या के बारे में एक संदेश उत्पन्न करने की आवश्यकता है, फिर हमारे काउंटर सिस्टम के बाकी (उदाहरण के लिए, फेल 2बन प्रोग्राम) को अपरिवर्तित छोड़ दिया जा सकता है। ब्रूट बल की एक विशेषता एसआईपी पैकेट प्रति यूनिट समय की एक बड़ी संख्या है।

आप हाल ही में बुलाया iptables मॉड्यूल का उपयोग करके प्रति यूनिट समय पैकेट की संख्या की गणना कर सकते हैं। इंटरनेट पर ऐसे कई उदाहरण हैं कि हाल के मॉड्यूल की मदद से, एक निश्चित से अधिक आवृत्ति के साथ आने वाले पैकेट को छोड़ दिया जाता है। छोड़ने के बजाय, हम अपने अटैक डिटेक्शन सिस्टम (उदाहरण के लिए, विफलता 2बान) के लिए संदेश उत्पन्न करेंगे। इस दृष्टिकोण के अपने फायदे और नुकसान हैं। मुख्य नुकसान यह है कि सिस्टम संसाधनों को प्रसंस्करण संदेशों पर खर्च किया जाएगा, जबकि एक पैकेट को छोड़ना सशर्त रूप से मुफ्त है।

थोड़े अधिक फायदे हैं: हम अपने हमले का पता लगाने वाले सिस्टम की सभी सुविधाओं का लाभ उठा सकते हैं, जैसे कि श्वेतसूची वाले आईपी पते, सभी ज्ञात हमलों का एक समान खाता, और इसी तरह।

सिद्धांत से अभ्यास करने के लिए! कंकालों को iptables नियमों से तैयार करें:

-एक INPUT -p udp --dport 5060 -j SCAMBLOCK
-एक INPUT -p udp --dport 5060 -m हाल ही में --set --name SIP
-एक INPUT -p udp -dport 5060 -m हाल --update --seconds 2 --hitcount 60 --name SIP \
-j लॉग - प्लॉग-उपसर्ग "एसआईपी बाढ़ का पता चला:-

पहला नियम SCAMBLOCK श्रृंखला के खिलाफ हमारे पैकेज की जाँच करता है। ब्लॉक किए गए आईपी पते इस श्रृंखला में संग्रहीत किए जाते हैं, यदि पैकेट इस श्रृंखला के किसी पते से मेल खाता है, तो इसे छोड़ दिया जाता है। यदि पैकेट को नहीं गिराया जाता है, तो दूसरे नियम में इसे एसआईपी नाम के तहत लेखांकन के लिए चिह्नित किया जाता है। तीसरा नियम मानता है कि किसी दिए गए पैकेज में निर्दिष्ट समय (2 सेकंड) में निर्दिष्ट राशि (60) से अधिक है या नहीं।

यदि मात्रा से अधिक नहीं है, तो नियम की अनदेखी की जाती है; यदि पार हो गई है, तो कार्रवाई की जाती है। हमारे मामले में, पैकेट के बारे में विस्तृत जानकारी सिस्टम लॉग को "SIP बाढ़ का पता लगाया:" से शुरू होती है। प्रत्येक स्रोत के लिए पैकेट और समय की संख्या अलग-अलग मानी जाती है। इस प्रकार, यह पता चलता है कि हमने 30 पैकेट प्रति सेकंड के स्तर पर प्रत्येक अनप्लग किए गए आईपी पते से एसआईपी पैकेट प्राप्त करने की गति को सीमित कर दिया है।

मेरे लिए, यह प्रतिबंध आरामदायक है, एक तरफ, सभी क्लाइंट, यहां तक ​​कि सबसे बड़े भी, एक पैकेट को एक आईपी पते से 30 पैकेट / सेकेंड की गति से नीचे भेजते हैं, दूसरी तरफ, 30 पैकेट प्रति सेकंड व्यावहारिक रूप से सिस्टम के संचालन को प्रभावित नहीं करते हैं। यह संभव है कि सर्वर के प्रदर्शन, संख्या और ग्राहकों के प्रकार के आधार पर इस दिशा को एक या दूसरे दिशा में सुधारा जाए।

कुछ प्रणालियों पर, हिटकाउंट पैरामीटर पर हाल के मॉड्यूल का अंतर्निहित प्रतिबंध बहुत छोटा है, उदाहरण के लिए, CentOS पर, यह प्रतिबंध 20 पैकेट है। यदि आप उपरोक्त कमांड को निष्पादित करने का प्रयास करते हैं, तो आपको निम्न त्रुटि प्राप्त होगी:

iptables-INPUT -p udp --dport 5060 -m हाल --update --seconds 2 --hitcount 60 --name SIP \
-j लॉग - प्लॉग-उपसर्ग "एसआईपी बाढ़ का पता चला:-
iptables: अज्ञात त्रुटि 4294967295
या इस तरह, 64 बिट सिस्टम के लिए:
iptables-INPUT -p udp --dport 5060 -m हाल --update --seconds 2 --hitcount 60 --name SIP \
-j लॉग - प्लॉग-उपसर्ग "एसआईपी बाढ़ का पता चला:-
iptables: अज्ञात त्रुटि 18446744073709551615

आप बूट समय पर मॉड्यूल के लिए हाल ही में विशेष पैरामीटर पास करके अधिकतम सीमा को बदल सकते हैं। ऐसा करने के लिए, फ़ाइल /etc/modprobe.d/ipt.conf बनाएं और उसमें वह पैरामीटर लिखें जिसमें हम रुचि रखते हैं:

विकल्प ipt_recent ip_pkt_list_tot = 60

इस सीमा को बढ़ाते समय सावधान रहें, याद रखें कि इसके साथ नवीनतम पैकेटों को संग्रहीत करने के लिए आवश्यक मेमोरी बढ़ जाती है, साथ ही उन्हें संसाधित करने के लिए आवश्यक प्रोसेसर चक्रों की संख्या भी।

खैर, यह तो है, अब पोर्ट 5060 पर किसी भी बाढ़ का पता हाल ही के आईपीटैब मॉड्यूल का उपयोग करके लगाया जाएगा। एक पता लगाया बाढ़ के बारे में एक संदेश सिस्टम लॉग में भेजा जाएगा जहां हमारा पसंदीदा हमला डिटेक्शन सिस्टम (उदाहरण के लिए, विफल 2बान) इसे देख सकता है। iptables हमें केवल एक सिस्टम लॉग तक सीमित नहीं करता है, आप लॉग कार्रवाई के लिए संदेश के स्तर और सुविधा को निर्दिष्ट कर सकते हैं, और संदेश डेटा को Syslog सेटिंग्स में एक अलग फ़ाइल पर पुनर्निर्देशित कर सकते हैं। SIP बाढ़ संदेश स्वयं इस तरह दिखाई देंगे:

जून 17 23:54:44 sip2 कर्नेल: SIP बाढ़ का पता चला: IN = eth0 OUT = MAC = 00: 21: 5e: db: 15: b8: 00: 0f: 34: f8: 28: 7f: 08: 00 SRC = 184.172.62.3 DST = 192.168.224.217 LEN = 370-24 = 0x00 PREC = 0x00 TTL = 47 ID = 0 DF PROTO = UDP SPT = 5495 DPT = 5000 LEN = 350
जून 17 23:54:44 sip2 कर्नेल: SIP बाढ़ का पता चला: IN = eth0 OUT = MAC = 00: 21: 5e: db: 15: b8: 00: 0f: 34: f8: 28: 7f: 08: 00 SRC = 184.172.62.3 DST = 192.168.224.217 LEN = 369 टीओएस = 0x00 PREC = 0x00 TTL = 47 ID = 0 DF PROTO = UDP SPT = 5495 DPT - 5060 LEN = 349
जून 17 23:54:44 sip2 कर्नेल: SIP बाढ़ का पता चला: IN = eth0 OUT = MAC = 00: 21: 5e: db: 15: b8: 00: 0f: 34: f8: 28:

धन्यवाद, 9 वें नियम के लिए सर्गेई तमकोविच ।

MyAsterisk टीम आपके Sip प्रदाता के साथ केवल आपके IP पते से पंजीकरण करने की संभावना की सिफारिश करती है, जो आपकी औसत लागत के आधार पर प्रति दिन एक खर्च सीमा निर्धारित करती है और यदि आप इसका उपयोग नहीं करते हैं, तो लंबी दूरी और अंतर्राष्ट्रीय कॉल को डिस्कनेक्ट करने या जगह से बाहर जाने के लिए संभव नहीं है। और पिन कोड डालने के बाद MN कॉल करता है।

MyAsterisk टीम से सुरक्षा नियमों का पालन करें, ताकि इस वीडियो का अगला हीरो न बनें!