Безопасность Asterisk

При использовании систем такого уровня необходимо в обязательном порядке использовать сетевой экран (firewall). В linux уже встроен довольно мощный firewall – IPTABLES, но по умолчанию он не производит ни каких препятствий. Для того что бы он начал продуктивно работать его необходимо настроить. Кроме этого существуют и другие программные средства, т.е. основная цель установить и правильно настроить экран для защиты.

При внедрении IP телефонии стоит обратить внимание на схему функционирования сети. Зачастую Asterisk подключают в сеть самым не безопасным способом. Например: не правильное подключение к сети Asterisk

То что Asterisk напрямую доступен из Интернета подвергает его опасности. Т.е. любой не сложный пароль, или уязвимость версии делает Asterisk привлекательной наживкой. В самом лучшем случае взлом злоумышленником повлечет к отказу работы телефонии в худшем большой счет за международные звонки. Регулярные обновления и надежные пароли – не панацея. Снизить риск проникновения можно используя специальный межсетевой экран. Например:

Межсетевой экран пропускает исходящий трафик к SIP провайдеру, обратный трафик фильтрует согласно правилам. А пользователи удаленных офисов могут работать через VPN. Таким образом Asterisk перестает быть виден из Интернета.
Кроме этого есть еще один важный момент. Данные должны быть разделены, необходимо разделить голос и данный с помощью Vlan. Это позволит защитить от вирусов на машинах пользователей и не только. Схема разделения может быть такой:

Во время работы системы IP АТС и самого Asterisk, действия системы записываются в специальные журналы. В данные логи записываются как санкционированные действия так и не санкционированные. Поэтому важно просматривать логи и выявлять возможные инциденты безопасности. Проводить контроль множественных подключений, попыток подбора паролей, внезапной активности и т.п. дабы предотвратить попытку взллома. Для таких целей может быть использовано такое ПО каr Fail2ban, которое может работать с Asterisk, Apache, ssh, и другими сервисами. Принцип работы «найти и отключить», система анализирует сообщения в логах и при попытке взлома или несанкционированного доступа блокирует соединения используя firewall. Принцип работы показан на картинке:

Так же логи необходимо хранить на удаленном сервере, так как если злоумышленник проник на сервер, то первым делом он попытается это скрыть, т.е. удалить свое присутствие из файлов журналов.

Как мы уже говорили ранее, сама система Asterisk имеет настройки, позволяющие защитить её. Благодаря правильной настройке, в каждом конкретном случае они могут отличаться в зависимости от условий использования системы. Таким образом, можно настроить ограничения на сети к которым можно и нельзя подключаться с Asterisk, количества одновременных подключений, отключение перебора номеров, смена стандартного порта и многое другое.

Dialplan — план маршрутизации звонков, при правильном его написании можно увеличить безопасность системы. Данный план позволяет разделить полномочия пользователей. Например: не всем можно звонить на международные направления, или мобильные телефоны, фиксировать попытки использования запрещенных направлений, уведомлять пользователя об ограничениях для него и многое другое.
Данный план очень гибкий, можно очень тонко настроить все ограничения и разрешения, можно настроить звонки только при вводе специального кода. Т.е. можно реализовать практически все возможные пожелания по использованию телефонии.

Asterisk устанавливается на ОС Linux различных дистрибутивов. Как и в Asterisk, ОС имеет возможность настройки для своей защиты. При установке Asterisk запускает множество модулей, которые могут и не использоваться при работе. Такие функции желательно отключать. Не используемые службы есть и в ОС, их также стоит отключить.
Так же для доступа к серверу администратор использует удаленное соединение, которое должно быть настроено со всеми рекомендациями безопасности.
И таких настроек множество, основная задача настроить безопасность для используемых функций.

Оборудование различными способами подключается к системе Asterisk, и что бы оно не стало источником уязвимости, его также необходимо защитить. Для защиты оборудования работающего с Asterisk необходимо:

• Провести обновление ПО устройств
• IP оборудование разместить в отдельном Vlan
• Закрыть устройства сетевым экраном
• Уязвимость оборудования – это web-интерфейс, по возможности необходимо его отключить
• Замена портов

Даже если все будет правильно настроено, то взлом все равно возможен с минимальной вероятностью. Из-за этого, административные мероприятия так же необходимы:

• Если не используются международные звонки –отключить их возможность
• Также можно ограничить счет оператора
• Организация безопасности ПК с сосфтфонами
• Изменения паролей при смене администратора
• Обучение персонала
• Постоянный контроль и аудит