तारांकन सुरक्षा

आप के लिए शुभ दिन, हैबर के निवासी।
ऐसा हुआ कि मैंने "सूचना सुरक्षा" विषय पर एक दूरस्थ शिक्षा पाठ्यक्रम लिया, जिसके अंत में मेरे स्नातक कार्य की रक्षा करना आवश्यक था। मैंने इस काम के लिए विषय के रूप में "तारांकन सुरक्षा" को चुना, इस विषय पर बहुत सारे लेख और प्रकाशन लिखे गए हैं, लेकिन मेरी राय में वे या तो पूर्ण नहीं हैं, या इस विषय को पूरी तरह से कवर नहीं करते हैं, या इस मुद्दे की प्रासंगिकता का कोई संकेत नहीं है। मैंने एक दस्तावेज में "सब कुछ" एकत्र करने की स्वतंत्रता ली, जिसके परिणामस्वरूप अंतिम काम हुआ। उन्होंने खुद का सफलतापूर्वक बचाव किया, एक डिप्लोमा प्राप्त किया - इस काम को समुदाय के साथ साझा करने का फैसला किया।


1. तारांकन आईपी-पीबीएक्स से जुड़े जोखिम

हर कोई जानता है कि सूचना प्रौद्योगिकी के युग में, हमलावरों (हैकर्स) की कार्रवाई संगठनों को भारी नुकसान पहुंचाती है। एक नियम के रूप में, सबसे दर्दनाक हमले संगठन को नुकसान पहुंचाने या धन की सीधी चोरी करने के उद्देश्य से हैं। इस तथ्य के बावजूद कि तारांकन एक कंप्यूटर प्लेटफ़ॉर्म पर आधारित टेलीफोन एक्सचेंज है, लेकिन इस तथ्य के कारण कि संचार चैनल इंटरनेट के माध्यम से जाते हैं (कुछ सिस्टम सेवाएं बाहरी दुनिया के लिए खुली हैं), हैकर्स सिस्टम में अनधिकृत पहुंच प्राप्त करने में सक्षम हैं।
आईपी ​​टेलीफोनी समाधानों के लिए सुरक्षा प्रणाली का निर्माण करते समय, इसमें शामिल जोखिमों के बारे में जानकारी होना आवश्यक है। सामान्य तौर पर, उन्हें निम्नानुसार प्रतिष्ठित किया जा सकता है:
1. सामग्री की गोपनीयता और विरूपण का उल्लंघन। अवरोधन सत्र।
2. आईपी-टेलीफोनी की तैनाती के दौरान दिखाई देने वाली कमजोरियों के माध्यम से संगठन के नेटवर्क में प्रवेश।
3. बिगड़ती सेवाओं (डॉस हमलों) के उद्देश्य से कार्रवाई।
4. पुनर्विक्रय यातायात (टोल-फ्रॉड)।
पैसा बनाने के लिए हैशिंग ट्रैफ़िक हैकर्स के लिए सबसे सुविधाजनक तरीकों में से एक है। स्टेशन को हैक करना और महंगे अंतरराष्ट्रीय गंतव्यों पर कॉल भेजना, हैकर को अपने इलेक्ट्रॉनिक पर्स के लिए एक निश्चित इनाम मिलता है, फिर उन्हें नकद दिया जाता है और वास्तविक धन प्राप्त होता है। अधिक विस्तार से एक विशिष्ट यातायात पुनर्विकास योजना पर विचार करें।
एक हैकर है जो ट्रैफिक को रीसेलिंग करके पैसा कमाना चाहता है। वह ड्रेन ट्रैफिक एक्सचेंज में जाता है, रजिस्टर करता है और कुछ नंबरों का पूल प्राप्त करता है जो भविष्य में उसकी पहचान कर सकता है। फिर, कुछ नकली सर्वरों के माध्यम से, आईपी-एटीसी सर्वरों की खोज की जाती है और, अगर यह पता चलता है, तो हैक किया जाता है। इसके अलावा, संख्याएं उन नंबरों पर जाना शुरू कर देती हैं जो हैकर को नाली यातायात विनिमय में प्रदान किए गए थे। कॉल का भुगतान किया जाता है। मान लीजिए कि एक कॉल की कीमत 10 रूबल है। (ऑपरेटर को पीड़ित का भुगतान)। कॉल को आमतौर पर विदेशों (आमतौर पर क्यूबा, ​​फिलिस्तीन, रोमानिया, लातविया, आदि) में भेजा जाता है, उन देशों में जहां साइबर अपराध पर ध्यान नहीं दिया जाता है, जहां इस तरह का व्यवसाय करने का अवसर है। और इसलिए विक्टिम ओएस (दूरसंचार ऑपरेटर) को प्रति मिनट 10 रूबल का भुगतान करता है। ओएस ओएमटी (अंतरराष्ट्रीय यातायात के ऑपरेटर) के माध्यम से अंतरराष्ट्रीय लाइनों में जाता है, जिससे वह 8 रूबल के क्षेत्र में भुगतान करता है। प्रति मिनट, फिर OMT एक स्थानीय ऑपरेटर (क्यूबा, ​​फिलिस्तीन, आदि) को एक कॉल भेजता है, जो आवाज यातायात के "धोने" में लगा हुआ है और उसे 6 रूबल का भुगतान करता है। प्रति मिनट, यह ऑपरेटर शेयर में है और वह पैसे को निम्नानुसार वितरित करता है - पैसे का कुछ हिस्सा सेवाओं के लिए भुगतान में जाता है (इसलिए बोलने के लिए, इस राशि को कमाता है - अपने खाते में छोड़ देता है), और धन का सम्मान नाली यातायात को भेजा जाता है जहां हैकर पंजीकृत होता है । इसके अलावा, एक्सचेंज, खुद को एक रूबल छोड़कर, हैकर को दो भुगतान करता है। दृश्यमान, चित्र 1 में दिखाया गया है।
चित्र 1। वीओआइपी यातायात पुनर्विक्रय योजना


यह देखते हुए कि निर्देश महंगे चुने गए हैं और कॉल का प्रवाह तीव्र है, हैकर अच्छा लाभ कमाता है। और इस तथ्य के कारण कि कभी-कभी सिस्टम ठीक से संरक्षित नहीं होते हैं, हैकिंग जल्दी और बिना किसी समय-खपत और आर्थिक रूप से महंगी चीजों के साथ होती है - एस्टरिस्क एक "लाल चीर" बन जाता है। खैर, सभी जोड़तोड़ के बाद, पीड़ित को टेलीफोनी द्वारा एक बड़ा बिल (10-100 000 रूबल) प्राप्त होगा।
दुर्भाग्य से, इस प्रकार की समस्याएं हाल ही में अक्सर हुई हैं। इसलिए, कई लोग मानते हैं कि तारांकन प्रणाली एक असुरक्षित प्रणाली है। हालांकि, मैं इस थीसिस को चुनौती देना चाहता हूं। सबसे पहले, अगर हम स्वयं तारांकन की क्षमताओं के बारे में बात करते हैं, तो इसमें सुरक्षा सुनिश्चित करने के लिए बहुत समृद्ध उपकरण हैं। तारांकन उपकरण कई प्रतियोगियों की तुलना में मजबूत हैं। हालांकि, तारांकन चिह्न अक्सर हैक किया जाता है। ऐसा कैसे? ऐसा क्यों? यह इस प्रणाली के व्यवस्थापक के बारे में है। तारांकन सुरक्षा को सक्रिय करने के लिए एक भी टिक नहीं है। Asterisk सुरक्षा कई व्यापक उपायों को अपनाना है, जो एक नियम के रूप में, प्रशासकों के बारे में भूल जाते हैं, जिससे Asterisk को खतरों का सामना करना पड़ता है।

2. आईपी-पीबीएक्स तारांकन के बहुस्तरीय संरक्षण

सामान्य रूप से आईपी-एटीसी समाधान की सुरक्षा के बारे में बोलते हुए, आपको यह समझने की आवश्यकता है कि सुरक्षा केवल एस्टरिस्क की सुरक्षा पर आधारित नहीं है, एस्टरिस्क की सुरक्षा और पर्यावरण को सुनिश्चित करने के लिए भी आवश्यक है।
आईपी-एटीसी सुरक्षा प्रणाली कई स्तरों पर बनाई गई है।
1. नेटवर्क सुरक्षा।
2. नेटवर्क डिजाइन।
3. लॉग विश्लेषण।
4. तारांकन विन्यास।
5. प्रोटेक्शन प्लान कॉल रूटिंग (डायप्लेन)।
6. लिनक्स विन्यास।
7. परिधीय उपकरणों का संरक्षण।
8. प्रशासनिक उपाय।
यदि आप विश्व स्तर पर निर्धारित करते हैं कि सुरक्षा के संदर्भ में तारांकन की समस्या क्या है, तो जैसा कि ऊपर कहा गया है - यह समस्या तारांकन के व्यवस्थापक की क्षमता नहीं है।
इस तथ्य के कारण कि "बॉक्स समाधान" हैं - स्थापित और यह काम किया, हमें उचित सुरक्षा सेटिंग्स और आवश्यक प्रशासक योग्यता के बिना बहुत बड़ी संख्या में स्थापित तारांकन सर्वर मिलते हैं, जिसके परिणामस्वरूप हमें हैक किए गए तारांकन चिह्न, संगठन के वित्तीय संसाधनों की हानि, और तारांकन चिह्न के नाम की छाया मिलती है। या तो अक्षम इंटीग्रेटर ने सर्वर को ठीक से स्थापित नहीं किया और भुगतान के बाद यह गायब हो गया। और ग्राहक बाद में टेलीफोनी द्वारा भारी बिल प्राप्त करता है या ऑपरेटर उनकी दिशाओं को अवरुद्ध करता है।
आइए नौसिखिया तारांकन प्रशासकों द्वारा की गई सामान्य गलतियों को देखें।
1. आंतरिक नंबरों पर कमजोर पासवर्ड (पासवर्ड की कमी, पासवर्ड समान है)।
2. एक फ़ायरवॉल की कमी (IPtables की कमी, या तो iptables बंद हो जाती है, या इसे गलत तरीके से कॉन्फ़िगर किया गया है)।
3. पुराने वितरण और सॉफ़्टवेयर (पुराने सॉफ़्टवेयर में भेद्यताएँ हो सकती हैं। लगातार सिस्टम अपडेट की आवश्यकता होती है। उदाहरण के लिए, trixbox अब समर्थित नहीं है, अद्यतन नहीं है - कमजोरियाँ हैं)।
4. मानक लॉगिन और पासवर्ड (वेब ​​इंटरफ़ेस, एसक्यूएल, उपकरण)।
5. नेटवर्क डिज़ाइन (एस्टरिस्क और बाहरी पते पर इसके साथ काम करने वाले उपकरण, लेकिन बिना सुरक्षा के - यह हैकर्स के लिए एक ख़बर है)।
6. विन्यास में त्रुटियां।
7. सिस्टम पर नियंत्रण का अभाव (सेट और भूल गए, लॉग का कोई नियंत्रण नहीं)।

२.१ नेटवर्क संरक्षण
सिस्टम को तैनात करते समय, फ़ायरवॉल का उपयोग करना महत्वपूर्ण है। लिनक्स में एक शक्तिशाली और लचीला IPTables उपकरण है जो कमांड संचालित है। डिफ़ॉल्ट रूप से, IPTables निम्नानुसार कॉन्फ़िगर किया गया है।
-एक INPUT- एम राज्य -स्टेट स्थापित, संबंधित -j ACCEPT (स्थापित कनेक्शन के लिए पैकेट की अनुमति दें)
-एक इन-आईसी icmp -j ACCEPT (icmp प्रोटोकॉल पैकेट की अनुमति दें)
एक INPUT –i लो -j ACCEPT (लो इंटरफ़ेस से ट्रैफ़िक की अनुमति दें)
-एक INPUT –M स्थिति - NEW -m tcp –p tcp –dport 22 –j ACCEPT (एक नए ssh कनेक्शन की अनुमति दें)
-एक INJUT -J REJECT --reject-with icmp-host-निषिद्ध (अन्य सभी आने वाले कनेक्शनों को प्रतिबंधित करें)
एक फॉरवर्ड -JJECT - अस्वीकार-साथ icmp- मेजबान-निषिद्ध (सभी पारगमन कनेक्शनों को प्रतिबंधित करें)
COMMIT
यह "कॉन्फिगर" परिभाषित करता है - उन कनेक्शनों को अनुमति दें जो हम आरंभ करते हैं, ssh को छोड़कर आने वाले सभी कनेक्शनों को अस्वीकार करें। अगला, हम आपके कार्यों के लिए कॉन्फ़िगर करते हैं। यहाँ विन्यास / / sysconfig / iptables स्थित है। IPTables को कॉन्फ़िगर करने के लिए, समझने की मुख्य बात इस उपकरण का दर्शन है। लिखने के नियमों का सार "श्रृंखला" बनाना है, जिसमें ट्रैफ़िक को कुछ क्लासिफ़ायर (-s स्रोत, -p प्रोटोकॉल, -i इंटरफ़ेस ...) के अनुसार चलाया जाता है, जहाँ ट्रैफ़िक पर कार्रवाई होती है - या तो हम इसे अनुमति देते हैं, या हम इसे प्रतिबंधित करते हैं, या हम इसे दूसरे को अग्रेषित करते हैं। श्रृंखला। यदि ट्रैफ़िक सभी श्रृंखलाओं के माध्यम से चलता है और किसी भी नियम के तहत नहीं आता है - अपरिभाषित ट्रैफ़िक (एक से अधिक क्लासिफ़ायर काम नहीं करता है), ट्रैफ़िक निषिद्ध है। उदाहरण के लिए, आंतरिक नेटवर्क से आईपी फोन और सॉफ्टफ़ोन के लिए तारांकन सर्वर से कनेक्ट करने के लिए, हमें एक नियम लिखने की आवश्यकता है
-एक INPUT- xxx.xxx.xxx.xxx/24-j ACCEPT
इस नियम के साथ, हम नेटवर्क से आने वाले कनेक्शन की अनुमति देते हैं। xxx.xxx.xxx.xxx \ 24। चूंकि पैकेज ऊपर से नीचे तक के नियमों का पालन करता है, इसलिए यह समझना चाहिए कि यह नियम काम करेगा यदि हम इसे प्रतिबंधित नियमों से अधिक लिखते हैं। इस प्रकार, आप फ़ायरवॉल को कॉन्फ़िगर कर सकते हैं ताकि तारांकन केवल उन दिशाओं और केवल उन पैकेजों की सेवा करेगा जिन पर हम जानबूझकर भरोसा करते हैं, और एक हमलावर के लिए सर्वर पर पहुंचना लगभग असंभव होगा। आप फ़ायरवॉल लॉजिक को और अधिक लचीले ढंग से कॉन्फ़िगर कर सकते हैं - हम अपने स्वयं के नियमों के साथ पैकेट के प्रत्येक समूह (व्यवस्थापक, एसआईपी, IAX2 ...) के लिए अपनी खुद की श्रृंखला बनाते हैं, और मुख्य INPUT श्रृंखला में, नियमों के अनुसार, पैकेट को उनकी श्रृंखलाओं में भेजा जाता है, जहां उचित कार्रवाई की जाती है।

२.२ नेटवर्क डिजाइन
सिस्टम को डिज़ाइन और कार्यान्वित करते समय, आपको नेटवर्क डिज़ाइन पर ध्यान देने की आवश्यकता होती है।
अक्सर किसी आवश्यकता के बिना, एस्टेरिस्क अंजीर में दिखाए गए सबसे कमजोर योजना के अनुसार नेटवर्क से जुड़ा होता है। 2।
अंजीर। २। Asterisk बाहरी कनेक्शन योजना अनुशंसित नहीं है

तथ्य यह है कि तारांकन चिह्न इंटरनेट से सुलभ है पूरे सिस्टम के लिए एक बड़ा सुरक्षा जोखिम है। किसी भी कमजोर पासवर्ड या Asterisk स्रोत कोड में किसी भी भेद्यता का उपयोग हमलावरों द्वारा PBX तक अनधिकृत पहुंच प्राप्त करने और Asterisk सर्वर के स्वामित्व वाली कंपनी के खर्च पर कॉल करने के लिए किया जा सकता है। सबसे अच्छी स्थिति में, एक हमलावर सेवा से इनकार कर सकता है।
मजबूत पासवर्ड और नियमित अपडेट, निश्चित रूप से, जोखिम को कम करते हैं। इससे भी मजबूत इसे संरक्षण के विशेष साधनों द्वारा कम किया जा सकता है, अर्थात् - फायरवॉल (एमई)। यदि आप तारांकन के रूप में दिखाए गए तारांकन चिह्न को कनेक्ट करते हैं। 3, फिर सर्वर स्थानीय नेटवर्क की परिधि के पीछे सुरक्षित रूप से बंद हो जाएगा।
अंजीर। एमई का उपयोग करके अनुशंसित तारांकन कनेक्शन योजना

ME Asterisk सर्वर से SIP प्रदाता और डायनेमिक NAT नियमों के माध्यम से वापस जा रहा है। और दूरस्थ कार्यालयों के उपयोगकर्ताओं को जोड़ने की क्षमता एक वीपीएन सुरंग के माध्यम से प्रदान की जाती है। उपयोगकर्ता पहले वीपीएन के माध्यम से एंटरप्राइज़ नेटवर्क से जोड़ता है, और उसके बाद ही, वर्चुअल चैनल के माध्यम से, एस्टरिस्क सर्वर तक। तारांकन अब बाहरी नेटवर्क से दिखाई नहीं देता है, यह हमलावर के लिए उपलब्ध नहीं है।
हम एक और महत्वपूर्ण पहलू पर भी ध्यान देते हैं जो आपको ध्यान देने की आवश्यकता है कि डेटा का पृथक्करण है। वलान के निर्माण के माध्यम से आवाज और डेटा को अलग करना महत्वपूर्ण है। कंप्यूटर, सर्वर, अन्य नेटवर्क उपकरण एक Vlan में होने चाहिए, और दूसरे Vlan में Asterisk (सर्वर स्वयं, गेट, आईपी-फोन ...) के साथ काम करने वाले उपकरण होने चाहिए। ऐसा इसलिए किया जाता है ताकि उपयोगकर्ता स्वयं, साथ ही उपयोगकर्ता मशीनों पर संभावित वायरस, आईपी-एटीसी और इसके विपरीत को नुकसान न पहुंचा सकें। वलन के साथ योजना अंजीर में प्रस्तुत की गई है। 4।

अंजीर। 4. विभिन्न वलान में आवाज और डेटा का पृथक्करण।


2.3 लॉग विश्लेषण
आईपी-एटीसी प्रणाली के संचालन के दौरान, एस्टरिस्क खुद और अन्य एप्लिकेशन अपनी सभी गतिविधियों को लॉग करते हैं। चूंकि लॉग में अधिकृत कार्यों और अनधिकृत कार्यों दोनों पर डेटा होता है, इसलिए घटनाओं के लिए समय-समय पर उनकी समीक्षा करना बहुत महत्वपूर्ण है। कनेक्शन की निगरानी करना, पासवर्ड के चयन को नियंत्रित करना, कई कनेक्शन प्रयासों की निगरानी करना, अनियोजित गतिविधि को नियंत्रित करना आवश्यक है।
तारांकन टूलकिट में लॉग विश्लेषक के रूप में ऐसा उपकरण नहीं है, जो कुछ शर्तों के तहत कनेक्शन पर कुछ कार्रवाई करेगा। एक अनियोजित गतिविधि है, जो एस्टरिस्क सर्वर को हैक करने की संभावना को रोकने के लिए निगरानी करना महत्वपूर्ण है, इन गतिविधियों में से एक है पासवर्ड का चयन (एक शब्दकोश में पासवर्ड की गणना)। तारांकन चिह्न में ऐसा कोई उपकरण नहीं होता है जो ब्रूट फ़ोर्स पासवर्ड को रोक सकता है, और चूँकि यह सुरक्षा में एक महत्वपूर्ण बिंदु है, इसलिए बाहरी Fail2Ban सेवा का उपयोग करने का प्रस्ताव है, जो कई सेवाओं जैसे Asterisk, Apache, ssh, ftp और अन्य के साथ काम कर सकता है। इस सेवा का कार्य एक सिद्धांत पर आधारित है, "डिटेक्ट एंड एलिमिनेट", सेवा लॉग को "पढ़ता है", उनका विश्लेषण करती है और कई लॉगिन प्रयासों का पता लगाने पर, इस कनेक्शन को IPTables स्तर पर ब्लॉक कर देती है। चित्र 5 Fail2Ban सेवा के संचालन को दर्शाता है।
अंजीर। 5. फेल 2 बान के संचालन का सिद्धांत

मैं एक और सिफारिश पर भी ध्यान देना चाहूंगा - यह वांछनीय है कि सिस्टम में घटनाओं के बारे में लॉग (लॉग) दूरस्थ रूप से संग्रहीत किए जाते हैं या लगातार दूरस्थ संसाधन में कॉपी किए जाते हैं। यह इस तथ्य के कारण है कि हमलावर, डिवाइस तक पहुंच प्राप्त करने के लिए, विशेष रूप से आईपी पीबीएक्स में, लॉग फाइलों से सभी घटनाओं को हटाकर अपनी उपस्थिति और अपने कार्यों को छिपाने की कोशिश करता है। यदि लॉग किसी दूरस्थ सर्वर पर भेजे जाते हैं, तो यह उनकी उपस्थिति को छिपाना मुश्किल या असंभव बना देगा।

2.4 तारांकन विन्यास
यह अध्याय Asterisk विन्यास स्तर पर सिस्टम सुरक्षा पर चर्चा करता है। और इसलिए, हमें आईपी-एटीसी की सुरक्षा को बढ़ाने के लिए स्वयं एस्टरिस्क में कॉन्फ़िगर करने की आवश्यकता है।
यदि Asterisk बाहरी पते पर "बैठता है" और IPTables का उपयोग करने का कोई तरीका नहीं है (ऐसी स्थिति जब आपको किसी डिवाइस को डायनेमिक आईपी पते से कनेक्ट करने की आवश्यकता होती है) या vpn का उपयोग नहीं किया जाता है, तो पहली बात यह है कि मानक पैरामीटर 5060 (sip) को किसी में बदलें एक और। इस प्रकार, हम अपने संदेह को कम कर देंगे कि हमारा तारांकन सर्वर इसे आगे हमला नहीं करेगा। आइए बाहर से BruteForce हमले से रक्षा करें।
कैसे करना है? Sip.conf फ़ाइल संपादित करें
[सामान्य]
; बाइंडपोर्ट = 5060 ; मानक पैरामीटर टिप्पणी की।
बाइंडपोर्ट = 9060 ; सुरक्षा कारणों से डिफ़ॉल्ट पोर्ट को दूसरे फ्री पोर्ट में बदलें।
टर्मिनल डिवाइसों पर इंगित करने के लिए मत भूलना जिस पोर्ट को हमने मानक एक में बदल दिया है। चूंकि डिफ़ॉल्ट रूप से, डिवाइस 5060 पोर्ट पर तारांकन चिह्न से कनेक्ट करने का प्रयास करेंगे, और कुछ भी काम नहीं करेगा।
Sip.conf कॉन्फ़िगरेशन स्तर पर सिस्टम सुरक्षा बढ़ाने के लिए हम और क्या कर सकते हैं।
[सामान्य]
हमेशाथुथ्रेज़ = हाँ ; हम सर्वर को संख्या द्वारा गणना से बचाते हैं। यदि मान नहीं है, तो सर्वर विश्वासपूर्वक जवाब देगा कि ऐसा कोई ग्राहक नहीं है, जब तक कि हमलावर मौजूदा ext का अनुमान नहीं लगाता है, तब तक सर्वर जवाब देगा कि पासवर्ड गलत है। इस प्रकार, हमलावर एक आंतरिक संख्या के अस्तित्व के बारे में सीखता है, यह केवल पासवर्ड लेने के लिए रहता है। अगला, बहुत विशिष्ट एक्सटेंशन नंबर के लिए एक पासवर्ड खोज है। हां विकल्प मौजूदा उपयोगकर्ताओं के लिए गैर-मौजूद उपयोगकर्ताओं के समान प्रमाणीकरण अनुरोधों को अस्वीकार करता है। इससे धोखेबाजों के लिए मौजूदा अतिरिक्त का पता लगाना मुश्किल हो जाता है।
allowguest = no ; हम सर्वर को सीधे सिप कॉल मोड, तथाकथित अतिथि कॉल के लिए कनेक्शन पर रोक लगाते हैं, जब आप एक ग्राहक को उसके ई-मेल से कॉल कर सकते हैं।
bindaddr = xxx.xxx.xxx.xxx ; Asterisk sip प्रोटोकॉल का उपयोग करके नेटवर्क कनेक्शन के लिए किस पते पर सुनेगा। यह है यदि सर्वर विभिन्न नेटवर्क से जुड़ा हुआ है, तो यह स्पष्ट रूप से निर्दिष्ट करना बेहतर है कि किस नेटवर्क से सिप स्वीकार करना है।
[1000]
इनकार = 0.0.0.0 / 0.0.0.0 ; हम सभी पते से कनेक्शन को प्रतिबंधित करते हैं
परमिट = xxx.xxx.xxx.xxx / 24 ; हम नेटवर्क से कनेक्शन की अनुमति देते हैं। xxx.xxx.xxx.xxx
secret = bdDfg12312fc ; मजबूत पासवर्ड की आवश्यकता होती है, मानक चीजों के अलावा (एडमिन, एक्सट, 1000, पासवर्ड ...)
कॉल-लिमिट = 2 ; हमने ग्राहक के लिए एक साथ लाइनों की संख्या पर एक सीमा निर्धारित की है।

2.5 कॉल प्लान सुरक्षा (डायलन)
अच्छी तरह से लिखे गए डायलप्लान (कॉल रूटिंग प्लान) का उपयोग करने से सुरक्षा में काफी सुधार हो सकता है। पहली चीज़ जो अनुशंसित है, वह है ग्राहकों के अपने रूटिंग नियमों के संदर्भों में अलगाव।
Sip.conf में
[1000]
संदर्भ = from_chef
[1001]
सन्दर्भ = from_it
[1002]
संदर्भ = from_fin
संदर्भों से अलगाव हमें टेलीफोन संचार के लिए ग्राहकों के विभिन्न अधिकारों को देने का अवसर देता है। यह महत्वपूर्ण है, क्योंकि सभी को अंतरराष्ट्रीय स्थलों को कॉल करने की आवश्यकता नहीं है। अगला, हम नियमों को संदर्भों में निर्दिष्ट करते हैं। विस्तार में। conf
[अनुमति देते हैं]
exten => _ X., n, Dial (SIP / ऑपरेटर / $ {EXTEN}) ; हम ऑपरेटर के माध्यम से किसी भी कॉल की अनुमति देते हैं
exten => _ [12] XXX, n, डायल (SIP / $ {EXTEN}) ; हम आंतरिक कनेक्शन की अनुमति देते हैं
[From_chef]
exten => _X।, n, Goto (अनुमति, $ {EXTEN}, 1) ; हम सभी कॉल को संदर्भ के लिए निर्देशित करते हैं [अनुमति]
[From_it]
exten => _9810।, n, Hungup () ; हम अंतरराष्ट्रीय स्थलों को प्रतिबंधित करते हैं
exten => _X।, n, Goto (अनुमति, $ {EXTEN}, 1) ; हम सभी कॉल को संदर्भ के लिए निर्देशित करते हैं [अनुमति]
[From_fin]
exten => _9810।, n, Hungup () ; हम अंतरराष्ट्रीय स्थलों को प्रतिबंधित करते हैं
exten => _989।, n, Hungup () ; हम दिशाओं को सेलुलर दिशाओं तक सीमित करते हैं।
exten => _X।, n, Goto (अनुमति, $ {EXTEN}, 1) ; हम सभी कॉल को संदर्भ के लिए निर्देशित करते हैं [अनुमति]
इस प्रकार, वित्तीय विभाग अंतरराष्ट्रीय स्थलों और मोबाइल गंतव्यों के लिए कॉल निषिद्ध है। यह केवल अंतरराष्ट्रीय स्थलों पर प्रतिबंध लगाता है। खैर, सिर को किसी भी कनेक्शन की अनुमति है।
ई-मेल पर निषिद्ध कॉल के बारे में जानकारी प्राप्त करने के लिए, हम उल्लंघन के बारे में राजकोषीय को तारांकन चिह्न सिखाएंगे। इसके लिए हम एक और संदर्भ [अलार्म] जोड़ते हैं।
[अलार्म]
exten => _9810X।, 1, प्लेबैक (zapresheno) ; हम ग्राहक को सूचित करते हैं कि वह इस दिशा में निषिद्ध है।
exten => _9810X।, n, System (echo "to" $ {EXTEN} "Ext" $ {CALLERID (संख्या)} | मेल -s "8-10 ALARM" it_admin@list.ru) ; अंतर्राष्ट्रीय कॉल होने पर मेल करने के लिए राजकोषीय।
exten => _9810X।, n, Hangup () ; फोन नीचे रख दो।

और हम इस संदर्भ में निषिद्ध कॉल भेजते हैं
[अनुमति देते हैं]
exten => _ X., n, Dial (SIP / ऑपरेटर / $ {EXTEN}) ; हम ऑपरेटर के माध्यम से किसी भी कॉल की अनुमति देते हैं
exten => _ [12] XXX, n, डायल (SIP / $ {EXTEN}) ; हम आंतरिक कनेक्शन की अनुमति देते हैं
[From_chef]
exten => _X।, n, Goto (अनुमति, $ {EXTEN}, 1) ; हम सभी कॉल को संदर्भ के लिए निर्देशित करते हैं [अनुमति]
[From_it]
exten => _9810।, n, Goto (अलार्म, $ {EXTEN}, 1) ; हम संदर्भ के लिए अंतर्राष्ट्रीय कॉल [अलार्म]
exten => _X।, n, Goto (अनुमति, $ {EXTEN}, 1) ; हम सभी कॉल को संदर्भ के लिए निर्देशित करते हैं [अनुमति]
[From_fin]
exten => _9810।, n, Goto (अलार्म, $ {EXTEN}, 1) ; हम संदर्भ के लिए अंतर्राष्ट्रीय कॉल [अलार्म]
exten => _989।, n, Hungup () ; हम दिशाओं को सेलुलर दिशाओं तक सीमित करते हैं।
exten => _X।, n, Goto (अनुमति, $ {EXTEN}) ; हम सभी कॉल को संदर्भ के लिए निर्देशित करते हैं [अनुमति]
इस प्रकार, हम न केवल निषिद्ध दिशाओं को अवरुद्ध करते हैं, बल्कि एक घटना की स्थिति में भी हमें एक संदेश मिलता है जो (ext) के माध्यम से प्राप्त करने की कोशिश कर रहा है। इस प्रकार, समय में हम समझ सकते हैं कि सर्वर हैक किया गया है, न कि जब विशाल संचार बिल आते हैं।
यही कारण है कि तारांकन के लिए अच्छा है, dilplan आपको लचीले ढंग से रूटिंग कॉन्फ़िगर करने की अनुमति देता है। , , , , pin- , IP-ATC. Pin- ip-, permit/deny iptables , , (5060) - , pin-.

2.6 Linux
स्वयं एस्टरिस्क और लिनक्स ओएस में ही, ऐसी सेवाएं हैं जो डिफ़ॉल्ट रूप से लॉन्च की जाती हैं, लेकिन उन्हें काम की आवश्यकता नहीं होती है। इसलिए, सिफारिशों में से एक तारांकन और लिनक्स दोनों में अप्रयुक्त सेवाओं (मॉड्यूल) को अक्षम करने की आवश्यकता है।
तारांकन एक बड़ी संख्या में मॉड्यूल लोड करता है, जो सिद्धांत रूप में कभी उपयोगी नहीं हो सकता है - डेटाबेस, चैनल के साथ काम करने के लिए विभिन्न कोडेक्स, कमांड, उपकरण। अनावश्यक मॉड्यूल को अक्षम करने से न केवल मेमोरी खाली हो जाएगी, बल्कि आईपी-एटीसी भी कमज़ोर हो जाएगी। हम जो प्रयास कर रहे हैं। और चूंकि यह किया जा सकता है।
ऑटोलैड = हाँ पैरामीटर /etc/asterisk/modules.conf फ़ाइल में निर्दिष्ट है, जो Asterisk को बूट समय पर / usr / lib / asterisk / मॉड्यूल फ़ोल्डर में स्थित सभी सेवाओं को आरंभ करने और शुरू करने के लिए मजबूर करता है। एक या किसी अन्य अनावश्यक सेवा की शुरुआत को प्रतिबंधित करने के लिए,
/etc/asterisk/modules.conf फ़ाइल noload => chan_gtalk.so में निम्न पंक्तियों को लिखना आवश्यक है ; Gtalk चैनल मॉड्यूल।
noload => app_morsecode.so ; मोर्स कोड में दिए गए स्ट्रिंग का ट्रांसमिशन।
noload => cdr_pgsql.so ; PostgreSQL डेटाबेस में CDR डेटा संग्रहीत करने के लिए एक मॉड्यूल।
और दूसरों पर निर्भर करता है कि कौन से मॉड्यूल की जरूरत है और कौन से नहीं हैं।
इसके अलावा, सीधे लिनक्स में ही, ऐसी सेवाएँ हैं जो भरी हुई हैं, लेकिन संभवतः आईपी-एटीसी के लिए काम करने की आवश्यकता नहीं है - उन्हें अक्षम करना भी उचित है। Chkconfig –list कमांड का उपयोग करके, आप देख सकते हैं कि कौन सी सेवाएँ चल रही हैं और निर्धारित करें कि कौन सी सेवाएँ निरर्थक हैं। मान लीजिए, CentOS 5 में, ब्लूटूथ सेवा डिफ़ॉल्ट रूप से भरी हुई है, तारांकन चिह्न टेलीफोन एक्सचेंज पर इस सेवा की आवश्यकता नहीं है, हम इसे स्टार्टअप से chkconfig ब्लूटूथ ऑफ कमांड के साथ हटा देंगे। हम अन्य अनावश्यक सेवाओं के साथ भी ऐसा ही करेंगे। इन सभी जोड़तोड़ों को बहुत सावधानी और सोच-समझकर किया जाना चाहिए, अन्यथा आप ओएस खुद और तारांकन सर्वर दोनों को "डाल" सकते हैं।
OS और Asterisk को प्रबंधित करने के लिए, IP-ATC व्यवस्थापक को दूरस्थ पहुँच की आवश्यकता होती है। एन्क्रिप्शन (उदाहरण के लिए टेलनेट) के बिना रिमोट एक्सेस के लिए प्रोटोकॉल का उपयोग करने की अनुशंसा नहीं की जाती है, यह एसएसएच (सिक्योर शेल) का उपयोग करने के लिए अनुशंसित है। सर्वर को दूरस्थ रूप से एक्सेस करने के लिए उपयोग की जाने वाली SSH सेवा PBX नियंत्रण केंद्र का मुख्य द्वार है। सुरक्षा स्तर को बढ़ाने के लिए, पीबीएक्स प्रशासक को निम्नलिखित उपाय करने की सलाह दी जाती है।
1. बंदरगाह का परिवर्तन। डिफ़ॉल्ट SSH पोर्ट 22 वां है। कई हैकर्स खुले पोर्ट 22 के साथ सर्वर के लिए इंटरनेट को स्कैन करते हैं, और फिर उन्हें क्रैक करने का प्रयास करते हैं। आपको 1-65535 रेंज में एक अलग पोर्ट के साथ आने की जरूरत है, और इसे ssh को कॉन्फ़िगर करने के लिए पोर्ट निर्देश में निर्दिष्ट करें।
साथ ही, हम सर्वर से कनेक्ट होने पर क्लाइंट में इस पोर्ट को इंगित करना भूल जाते हैं।
2. उन उपयोगकर्ताओं की सूची सूचीबद्ध करें, जिनके पास [AllowUsers] निर्देश में SSH प्रोटोकॉल के माध्यम से सिस्टम तक पहुंच है। इस घटना में कि सिस्टम को कई प्रॉक्सी तक पहुंच प्रदान करना आवश्यक है, उन्हें सूचीबद्ध करें।
3. यह अनुशंसा की जाती है कि आप केवल एसएसएच प्रोटोकॉल संस्करण 2 का
उपयोग करें। 4. सीधे रूट एक्सेस से इनकार करें। यह महत्वपूर्ण रूप से जटिल हो जाएगा और इसके बजाय पासवर्ड ब्रूट बल पर हमला करना असंभव बना देगा, क्योंकि रूट उपयोगकर्ता को सिस्टम तक पहुंच से वंचित कर दिया जाएगा, भले ही उसका सही पासवर्ड दर्ज किया गया हो। रूट एक्सेस प्राप्त करने के लिए sudo सबसिस्टम का उपयोग करें यदि आवश्यक हो और केवल एक अप्रकाशित खाते के तहत रिमोट लॉगिन के बाद।
5. . , , 1 , .
/etc/ssh/sshd_config
Port 30222
AllowUsers ats admin
Protocol 2
PermitRootLogin no
LoginGraceTime 1s
– SSH . SSH , / SSH-, « ».
लिनक्स में एक सार्वजनिक / निजी SSH कुंजी बनाना बहुत सरल है।
1. कंसोल में, ssh-keygen -t rsa दर्ज करें। इस मामले में, RSA एक असममित एन्क्रिप्शन एल्गोरिथ्म है। आप डीएसए (डिजिटल सिग्नेचर एल्गोरिथम) का भी उपयोग कर सकते हैं।
2. अगला, यह कुंजी को बचाने के लिए स्थान निर्दिष्ट करने का प्रस्ताव है। डिफ़ॉल्ट रूप से, यह आपके होम डायरेक्टरी में .ssh फ़ोल्डर है। डिफ़ॉल्ट सेटिंग्स को स्वीकार करने के लिए, बस "एन्टर" दबाएं।
3. अगला, हमें पासफ़्रेज़ में प्रवेश करने के लिए कहा जाता है। यह किसी दूरस्थ होस्ट से कनेक्ट करने के लिए पासफ़्रेज़ नहीं है। यह निजी कुंजी को अनलॉक करने के लिए पासफ़्रेज़ है, इसलिए इससे आपको दूरस्थ सर्वर तक पहुंचने में मदद नहीं मिलेगी, भले ही आपकी निजी कुंजी उस पर संग्रहीत हो। पासफ़्रेज़ दर्ज करना वैकल्पिक है। इसे खाली छोड़ने के लिए, Enter दबाएं।
4. . .ssh, id_rsa id_rsa.pub.
5. /etc/ssh/sshd_config
RSAAuthentication yes
PubkeyAuthentication yes
PasswordAuthentication no
ssh .
6. id_rsa.pub authorized_keys
cat id_rsa.pub >> authorized_keys
7.
chmod 600 authorized_keys
8. id_rsa , SSH.
9. क्लाइंट (पुट्टी) के लिए इस निजी कुंजी को समझने के लिए, इसे (लोड) पुट्टीजन प्रोग्राम के माध्यम से चलाएं। आउटपुट (निजी कुंजी सहेजें) में हमें निजी कुंजी (* .ppk) मिलती है।
10. अब सत्र की कुंजी जोड़ें। हम PuTTY शुरू करते हैं, आवश्यक सत्र लोड करते हैं या कनेक्शन के लिए डेटा दर्ज करते हैं और "एसएसएच - प्रामाणिक" पर जाते हैं, हमारी निजी कुंजी का चयन करें, जिसे "पुट्टीजेन" के प्रसंस्करण के माध्यम से प्राप्त किया गया था।
11. हम मेनू "कनेक्शन - डेटा" पर जाते हैं और फ़ील्ड में "ऑटो-लॉगिन यूज़रनेम" लॉगिन दर्ज करते हैं जिसके तहत कुंजी उत्पन्न होती है।
12. सत्र को सहेजें, /etc/init.d/ssh पुनः लोड सर्वर
13. SSH सेवा को पुनः आरंभ करें। कनेक्ट करें।
इस प्रकार, हमने एसएसएच कनेक्शन की सुरक्षा बढ़ा दी है।

2.7 परिधीय उपकरणों का संरक्षण
महत्वपूर्ण बिंदुओं में से एक उपकरण की सुरक्षा है जो एक तरह से या दूसरे से तारांकन से जुड़ा हुआ है, ऐसे उपकरण आईपी-फोन, वॉयस-गेट और अन्य हैं। जब तक बाह्य उपकरणों की सुरक्षा नहीं होती है, तब तक आईपी-एटीसी सिस्टम सुरक्षित नहीं हो सकता है। इस उपकरण की सुरक्षा के लिए, कई उपायों को करना प्रस्तावित है:
1. यह उपकरण सॉफ्टवेयर का एक अद्यतन है। इस पहलू का पालन करना महत्वपूर्ण है और एक नए "फर्मवेयर" की स्थिति में, इसे उपयुक्त डिवाइस पर अपडेट करें। अपडेट के माध्यम से कई कमजोरियां तय की जाती हैं।
2. इस बिंदु पर पहले ही चर्चा की जा चुकी है। यदि संभव हो तो, आईपी उपकरण को डेटा से एक अलग वेलन में रखें।
3. एक फ़ायरवॉल के पीछे उपकरण रखें। यह आईपी उपकरण बाहरी आईपी पते देने के लिए अत्यधिक अवांछनीय है।
4. भेद्यता उपकरण का वेब-आधारित इंटरफ़ेस है। वेब-इंटरफ़ेस के माध्यम से उपकरणों को हैकिंग से बचाने के लिए इसे आईपी-फोन के लिए अक्षम करने की सिफारिश की जाती है, क्योंकि यह एक बड़े शब्दार्थ भार को वहन नहीं करता है, या ध्वनि-द्वार के लिए एक मजबूत पासवर्ड सेट करता है।
5. सर्विस पोर्ट में बदलाव। एस्टर्सिक के साथ, यह अनुशंसा की जाती है कि आप आईपी फोन और वीओआइपी-गेट पर 5060 से किसी अन्य को एसआईपी पोर्ट बदलें। जिससे स्कैनिंग के लिए प्रतिरोध बढ़ रहा है।

यदि हम एक सॉफ्टफ़ोन के बारे में बात कर रहे हैं जो कंप्यूटर पर स्थापित है, तो सुरक्षा के बारे में बात करना मुश्किल है। इस मामले में एकमात्र प्रभावी उपाय सीमित संदर्भ है जो निषिद्ध कॉल करने के प्रयास के व्यवस्थापक को सूचित करने की क्षमता के साथ सीमित है।

2.8 प्रशासनिक उपाय
यहां तक ​​कि अगर ऊपर वर्णित सभी सिफारिशों का पालन किया जाता है, तो भी सिस्टम को हैक किया जा सकता है - कोई पूर्ण सुरक्षा नहीं है। इसलिए, प्रशासनिक उपाय महत्वपूर्ण हैं। उन पर विचार करें।
1. यदि संगठन को अंतर्राष्ट्रीय कॉल की आवश्यकता नहीं है, तो आप दूरसंचार ऑपरेटर के स्तर पर अंतर्राष्ट्रीय गंतव्यों को अवरुद्ध कर सकते हैं। यदि इस तरह की कॉल बहुत कम हैं, तो आप प्रदाता के साथ इस दिशा की निगरानी के बारे में सहमत हो सकते हैं - बड़ी संख्या में अंतर्राष्ट्रीय गंतव्यों को कॉल करने के मामले में - इन कनेक्शनों को ब्लॉक करें।
2. आप एक सरल लेकिन प्रभावी विधि के लिए भी जा सकते हैं - यह ऑपरेटर स्तर पर संचार के लिए बिल की मात्रा को सीमित करना है। आप टेलीकॉम ऑपरेटर को एक सीमा निर्धारित करने के लिए कह सकते हैं, जिसे हम अपने लिए निर्धारित करते हैं (संचार के लिए औसत मासिक भुगतान + एक निश्चित%), और यदि सीमा पूरी हो जाती है, तो संचार अवरुद्ध हो जाता है। यह उपाय आईपी-एटीसी को तोड़ने के मामले में गहरे माइनस में जाने नहीं देगा।
3. सॉफ्टफ़ोन के साथ कार्यस्थानों का संरक्षण।
4. व्यवस्थापक को बदलते समय पासवर्ड बदलें।
5. कर्मचारियों की जागरूकता बढ़ाना।
6. सबसे महत्वपूर्ण बिंदुओं में से एक - यह मत भूलो कि कोई पूर्ण सुरक्षा नहीं है। नई कमजोरियों, नए जोखिमों के उद्भव, आदि के लिए सिस्टम की निरंतर निगरानी और ऑडिट करना आवश्यक है, और यदि कुछ पाया जाता है, तो इसे सिस्टम की सुरक्षा प्रणाली में ध्यान में रखें। यही है, इस प्रणाली पर लागू करने के लिए "डेमिंग चक्र" की आवश्यकता है।

निष्कर्ष

मुझे उम्मीद है कि इस काम ने थीसिस का खुलासा किया कि, उचित सिस्टम कॉन्फ़िगरेशन के साथ, तारांकन क्षेत्र में बड़ी कार्यक्षमता के साथ तारांकन प्रणाली को सबसे सुरक्षित प्रणालियों में से एक बनाया जा सकता है, और यह प्रणाली प्रमुख विक्रेताओं जैसे कि सिस्को, अवाया, आदि से वाणिज्यिक समाधानों की कार्यक्षमता में नीच नहीं है।
खैर, तथ्य यह है कि आंकड़ों के अनुसार वे तारांकन से अधिक बार हैक करते हैं, इस तथ्य से निर्धारित होता है कि तारांकन चिह्न अन्य प्रणालियों की तुलना में बहुत कम प्रवेश सीमा है। यही है, इंटरनेट पर एक-दो लेख पढ़ने के बाद, एक मलोमिलियन इट-स्पेशलिस्ट, एस्टरिस्क को तैनात कर सकता है, लेकिन चूंकि योग्यता में अभी भी कमी है, सिस्टम, एक नियम के रूप में, काम कर रहा है, लेकिन कमजोर है। और वाणिज्यिक समाधानों की तैनाती के लिए, उनके क्षेत्र के विशेषज्ञों की आवश्यकता होती है जो सुरक्षा के मुद्दों पर उचित ध्यान देते हैं। इस सरल कारण के लिए, तारांकन चिह्न को अधिक बार हैक किया जाता है।

सही ढंग से कॉन्फ़िगर किए जाने पर आईपी-एटीसी तारांकन एक सुरक्षित प्रणाली है।

संदर्भों की सूची

1. मेगेलन जे।, मैडसेन एल।, स्मिथ जे। एस्टरिस्क ™: टेलीफोनी का भविष्य, दूसरा संस्करण। - प्रति। अंग्रेजी से - सेंट पीटर्सबर्ग: प्रतीक-प्लस, 2009. - 656 पी।, बीमार।
2. प्लेटोव एम। एस्टरिस्क और लिनक्स - आईपी-टेलीफोनी [पाठ] / एम का मिशन। प्लाटोव // सिस्टम प्रशासक। -2005, संख्या 31. - एस 12-19।
3. प्लेटोव एम। एस्टरिस्क और लिनक्स: आईपी-टेलीफोनी का मिशन। कार्रवाई 2 [पाठ] / एम। प्लाटोव // सिस्टम प्रशासक। -2005, नंबर 32. - एस 32-38।
4. प्लाटोव एम। एस्टरिस्क और लिनक्स: आईपी-टेलीफोनी का मिशन। कार्रवाई 3 [पाठ] / एम। प्लाटोव // सिस्टम प्रशासक। -2005, संख्या 33. - एस 10-19।
5. तारांकन ज्ञान का आधार [इलेक्ट्रॉनिक संसाधन]। -एक्सेस एक्सेस: asterisk.ru/knowledgebase
6. Voxlink ज्ञानकोष [इलेक्ट्रॉनिक संसाधन]। - एक्सेस मोड: www.voxlink.ru/kb
7. हबर्रब। वीओआईपी नेटवर्क [इलेक्ट्रॉनिक संसाधन] में सुरक्षा। - एक्सेस मोड: habrahabr.ru/post/145206
8. रोसलीकोव ए.वी., सैमसनोव एम। यू।, शिबेवा आई.वी. आईपी ​​टेलीफोनी। -एम ।: इको-ट्रेंड्स, 2003. -252 पीपी।, इल।
9. गोल्डस्टीन बी.एस., पिंचुक ए.वी., सुखोवित्स्की ए.एल. आईपी ​​टेलीफोनी। -एम।: रेडियो और संचार, 2001. -336 पी .: बीमार।
10. सीटफोरम। आईपी ​​टेलीफोनी सुरक्षा - फील्ड स्केच। ए। वेसेलोव [इलेक्ट्रॉनिक संसाधन]। - एक्सेस मोड: citforum.ru/security/articles/ipsec

पुनश्च
इस मुद्दे को समझने के लिए विशेष धन्यवाद Voxlink के सीईओ सर्गेई ग्रुशको और उनके काम के लिए।
मैं समझता हूं कि विषय हैक किया गया है और सभी को सब कुछ पता चल रहा है, लेकिन एक ही समय में, हैक किए गए आईपी स्टेशन छोटे नहीं हो रहे हैं। मुझे उम्मीद है कि लेख किसी के लिए कम से कम उपयोगी होगा।