Asterisk sigurnost

Asterisk sigurnost 23.07.2012. u 15:06 · pre 173 meseca #1

Distro Centos 5.6
Asterisk verzija 1.4.39
Vicidial/Goautodial CE 2.1
Asterisk se koristi i za odlazne i dolazne (did broj) pozive preko SIP trunkova.

Konkretno me zanima security od hakerskih upada i zloupotrebe trunkova, sta je najbitnije za zastitu od toga?
Da li je dovoljno samo konfigurisati IPTABELE i zabraniti pristup iz vana svim ip adresama osim odredjenog opsega ili je potrebno jos dodatna podesenja napraviti u konfiguracionim fajlovima. Malo sam guglao i pronasao sam standardne tips and tricks koje je potrebno uraditi kada je u pitanju Asterisk security.
Seven Steps to Better SIP Security with Asterisk

Volio bih da malo prodiskutujemo na ovu temu i razmjenimo iskustva....

Potpis

Re: Asterisk sigurnost 23.07.2012. u 15:44 · pre 173 meseca #2

Ukoliko se preko IPTABELA zabrani pristup iz vana svim IP adresama osim onog opsega IPs od sip provajdera, da li je uopste potrebno onda raditi dodatne sigurnosne postavke u asterisku jer samim zabranama pristupa preko IPs smo onemogucili bilo kakav potencijalni napad na server ili pak grijesim ?

Ustvari nije mi uopste poznata logika po kojoj asterisk's attackers upadaju u sistem?

Potpis

Re: Asterisk sigurnost 23.07.2012. u 18:57 · pre 173 meseca #3

Najcesci 'upadi' su brute force pokusaji registracije ekstenzija (kroz jednostavne ID-eve i password-e) i onda pravljenje sumanutih poziva preko te linije. Ako onemogucis zlonamerne registracije bilo iptables-ima (gde ces da propustis samo ono sto ti je neophodno), bilo recimo Fail2Ban skriptama (koja na osnovu log-a registracija automatski stavlja zlonamernu IP adresu u iptables), bilo kroz sam asterisk (deny i permit opcije kod extenzije), resices se 99% problema.

Ostatak ide na obezbedjivanje ssh i eventualno gui web interface-a (ako ga imas).

Generalno, propusti samo ono sto moras kroz iptables za ssh, web, udp 5060, i bices ok...

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Re: Asterisk sigurnost 16.08.2012. u 13:24 · pre 172 meseca #4

Eh ovako , sa iptabelama sam zabranio pristup svim ip adresama i onda odobrio samo odredjenim. Sad imam problem kod registracije sip trunka. Iako sam cijelom range IP adresa od sip provajdera dozvolio pristup ali opet se ne mogu nakaciti .

Znaci logika je slijedeca kod iptabela .

Code:
iptables -A INPUT -s 77.0.0.0/8 -j ACCEPT // range od sip provajdera, dakle dozvolio sam incoming pristup sa datog opsega
iptables -P INPUT DROP //svim ostalim IP adresama zabrani pristup

Ovo prvo pravilo bi trebalo da znaci da je dozvoljen pristup preko bilo kojeg porta !?

Kada izbrisem drugo pravilo uspjesno se nakaci "105 registered"

Potpis

Re: Asterisk sigurnost 16.08.2012. u 14:30 · pre 172 meseca #5

Hm, zasto 'iptables -P INPUT DROP' ?

Trebalo bi 'iptables -A INPUT -j DROP' posle ove prve linije.

Druga stvar, /8 maska ti je malo preglomazna, ne verujem da taj provajder koristi vise od par fiksnih adresa za svoj servis koje bi trebalo da mozes lako da saznas...

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Re: Asterisk sigurnost 16.08.2012. u 15:05 · pre 172 meseca #6

Ok. Ni sam ne znam zasto :)

setovao sam

iptables -A INPUT 0/0 -j DROP

i sad je sve ok.

Za provajdera, upravo mi je poslao IP adrese koje koristi, nisam ih prije imao pa sam stavio njegov cijeli opseg primjera radi....sad je sve ok.

Potpis

Re: Asterisk sigurnost 16.08.2012. u 16:51 · pre 172 meseca #7

Ne prolazi ni nakon sto sam stavio

iptables -A INPUT -s 0/0 -j DROP

ovo mi javlja

Code:

[Aug 16 16:49:09] WARNING[2421]: chan_sip.c:3225 create_addr: No such host: sip.justvoip.com
[Aug 16 16:49:09] WARNING[2421]: chan_sip.c:8291 transmit_register: Probably a DNS error for registration to [email protected], trying REGISTER again (after 20 seconds)

etc/sysconfig/iptables

Code:

-A INPUT -s 195.222.0.0/255.255.0.0 -j ACCEPT
-A INPUT -s 192.168.1.0/255.255.255.0 -j ACCEPT
-A INPUT -s 77.0.0.0/255.0.0.0 -j ACCEPT
-A INPUT -s 77.0.0.0/255.0.0.0 -p udp -m udp --dport 4569 -j ACCEPT
-A INPUT -s 77.0.0.0/255.0.0.0 -p udp -m udp --dport 5060 -j ACCEPT
-A INPUT -s 77.0.0.0/255.0.0.0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -s 77.0.0.0/255.0.0.0 -p udp -m udp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 77.72.169.128 -p udp -m udp --dport 5060 -j ACCEPT
-A INPUT -s 127.0.0.1 -j ACCEPT
-A INPUT -s 89.185.96.0/255.255.255.0 -j ACCEPT
-A INPUT -j DROP
-A INPUT -j LOG --log-prefix "DROP paketi" --log-level 7

Potpis

Re: Asterisk sigurnost 16.08.2012. u 23:25 · pre 172 meseca #8

Nisi dozvolio nigde da ti prodje odgovor za DNS upit od servera, pa ne moze da resolve-uje sip.justvoip.com - deluje mi kao da je to, osim ako ne koristis bas neki DNS iz ovih blokova koje si eksplicitno pustio...

Umesto

Code:
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

stavi

Code:
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Re: Asterisk sigurnost 17.08.2012. u 02:42 · pre 172 meseca #9

Generalno Asterisk server treba izolovati od sveta po mogućnosti (ako ne, valja i promeniti port)... ne pričam ovo samo zbog mogućih security rupa (nisam toliko paranoičan), već zbog punjenja logova nepotrebnim smećem. Asterisk dijagnostika dok neki manijak pokušava da se uloguje je izuzetno dosadan posao. Po mom iskustvu, ono što zaista treba zaštititi su ekstenzije. Potrebno je zaključati svaki SIP uređaj što je više moguće ukoliko postoji i tračak sumnje da će biti dostupni online, ili nekim trećim licima, jer skeneri iz Kine, Palestine i sl. vrebaju te uređaje uz raznorazne default username/passworde, i lako izvuku iz njih sve potrebne podatke, pa se povežu na server bez problema i vrše svoj biznis, dok za sve to vreme izgledaju kao sasvim obični korisnici.

Potpis

A man is smart. People are stupid.

Re: Asterisk sigurnost 17.08.2012. u 08:08 · pre 172 meseca #10

@optix

ni nakon dodavanja gornjeg pravila opet isto, ne prolazi. ? Ne znam sam jos sta da radim. DNS su mi u opsegu 195.222.0.0

Potpis

Re: Asterisk sigurnost 17.08.2012. u 09:38 · pre 172 meseca #11

Ustvari registracija sip trunka prodje ali kod pokusaja reregistracije nekad i po 20 attempta ima da se ponovno nakaci, a nekad prodje nakon dva pokusaja

Code:

[Aug 17 09:35:37] NOTICE[2742]: chan_sip.c:8208 sip_reg_timeout:    -- Registration for '[email protected]' timed out, trying again (Attempt #1)
go*CLI> sip show registry
Host                            Username       Refresh State                Reg.Time
sip.justvoip.com:5060           telebosa4          105 Request Sent         Fri, 17 Aug 2012 09:33:32
[Aug 17 09:35:57] NOTICE[2742]: chan_sip.c:8208 sip_reg_timeout:    -- Registration for '[email protected]' timed out, trying again (Attempt #2)
[Aug 17 09:36:02]   == Parsing '/etc/asterisk/manager.conf': [Aug 17 09:36:02] Found
[Aug 17 09:36:02]   == Manager 'sendcron' logged on from 127.0.0.1
[Aug 17 09:36:02]   == Manager 'sendcron' logged off from 127.0.0.1
[Aug 17 09:36:02]   == Parsing '/etc/asterisk/manager.conf': [Aug 17 09:36:02] Found
[Aug 17 09:36:02]   == Manager 'sendcron' logged on from 127.0.0.1
[Aug 17 09:36:05]   == Manager 'sendcron' logged off from 127.0.0.1
[Aug 17 09:36:07]   == Parsing '/etc/asterisk/manager.conf': [Aug 17 09:36:07] Found
[Aug 17 09:36:07]   == Manager 'sendcron' logged on from 127.0.0.1
[Aug 17 09:36:07]   == Manager 'sendcron' logged off from 127.0.0.1
go*CLI> sip show registry
Host                            Username       Refresh State                Reg.Time
sip.justvoip.com:5060           telebosa4          105 Registered           Fri, 17 Aug 2012 09:36:10
go*CLI> sip show registry
Host                            Username       Refresh State                Reg.Time
sip.justvoip.com:5060           telebosa4          105 Registered           Fri, 17 Aug 2012 09:36:10

Potpis

Re: Asterisk sigurnost 17.08.2012. u 09:50 · pre 172 meseca #12

dodao sam

-A INPUT -s 127.0.0.1 -j ACCEPT //allow all incoming packets destined for the localhost interface to be accepted. This is generally required as many software applications expect to be able to communicate with the localhost adaptor.

i sad zasad radi bez problema s tim da ponekad mi sip show registry izbacuje

Code:

go*CLI> sip show registry
Host                            Username       Refresh State                Reg.Time
sip.justvoip.com:5060           telebosa4          105 Request Sent         Fri, 17 Aug 2012 09:48:35
go*CLI> sip show registry
Host                            Username       Refresh State                Reg.Time
sip.justvoip.com:5060           telebosa4          105 Auth. Sent           Fri, 17 Aug 2012 09:48:35
go*CLI> sip show registry
Host                            Username       Refresh State                Reg.Time
sip.justvoip.com:5060           telebosa4          105 Registered           Fri, 17 Aug 2012 09:50:30
go*CLI> sip show registry
Host                            Username       Refresh State                Reg.Time
sip.justvoip.com:5060           telebosa4          105 Registered           Fri, 17 Aug 2012 09:50:30

Potpis

Re: Asterisk sigurnost 17.08.2012. u 10:31 · pre 172 meseca #13

Ja koliko vidim tu liniju si imao i u /etc/sysconfig/iptables fajlu... ako ti je on uopste bio aktivan kao konfiguracija za iptables.
I da, generalno ta linija je za dobar deo aplikacija potrebna.

To sto izbacuje je ok, posto radi refresh na 105 sekundi.

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Re: Asterisk sigurnost 17.08.2012. u 10:57 · pre 172 meseca #14

Onda je ova gore tvoja kljucna linija bila

Code:
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

s tim da sam dodao i

Code:
iptables -A INPUT -i lo -j ACCEPT

uglavnom sad radi bez problema.

A ovo za reregistraciju , pretpostavlja u sip.conf cu da promjenim defaultexpiry=120 //Default length of incoming/outgoing registration

Code:

[Aug 17 10:51:39] NOTICE[2742]: chan_sip.c:8178 sip_reregister: -- Re-registration for [email protected]
[Aug 17 10:51:39] NOTICE[2742]: chan_sip.c:13779 handle_response_register: Outbound Registration: Expiry for sip.justvoip.com is 120 sec (Scheduling reregistration in 105 s)

Potpis

Re: Asterisk sigurnost 17.08.2012. u 15:34 · pre 172 meseca #15

Obrati paznju da provajder takodje radi podesavanje expire-a za sesije, tako da tvoje podesavanje verovatno nece imati efekta za registracije na remote SIP SBC ;)

Potpis

"99% of your thought process is protecting your self-conceptions,
and 98% of that is wrong."

Forum kao aplikacija na telefonu

Srodne teme