パケットフィルタリング - 版の履歴

Gima: カテゴリ追加

2010-07-25T14:00:11Z

カテゴリ追加

← 古い版		2010年7月25日 (日) 23:00時点における版
49行目:		49行目:
	*[http://itpro.nikkeibp.co.jp/article/COLUMN/20080926/315503/?ST=ipcom SIPスタックの実装の未熟さを突く攻撃（後編）]		*[http://itpro.nikkeibp.co.jp/article/COLUMN/20080926/315503/?ST=ipcom SIPスタックの実装の未熟さを突く攻撃（後編）]
	*[http://www.voip-info.org/wiki/view/Asterisk+firewall+rules Asterisk firewall rules] ←voip-info.orgの記事。UNIX系OSでのファイアウォールの例		*[http://www.voip-info.org/wiki/view/Asterisk+firewall+rules Asterisk firewall rules] ←voip-info.orgの記事。UNIX系OSでのファイアウォールの例
			[[Category:セキュリティ]]

MR G: ですます調に変更。全体的な内容の見直し

2009-02-25T05:42:45Z

ですます調に変更。全体的な内容の見直し

← 古い版		2009年2月25日 (水) 14:42時点における版
1行目:		1行目:
	=Asteriskとパケットフィルタリング=		=Asteriskとパケットフィルタリング=
	近年、IAX,~~SIPポート宛の攻撃が多くなってきている。~~<BR>		近年、IAX,SIPポート宛の攻撃が多くなってきています。<BR>
	企業内で050番号を使用している場合や拠点間接続をしている場合、外部からの攻撃により、サーバーどころか各電話機までもがダメージを受けるため、<BR>		企業内で050番号を使用している場合や拠点間接続をしている場合、外部からの攻撃により、サーバーどころか各電話機までもがダメージを受けます。<BR>
	~~防衛策を講じる必要が出てきている。~~		また、サーバーを乗っ取られる可能性だけではなく、海外への電話発信の踏み台として使われた場合、法的/金銭的なリスクが発生します。<BR>
			そういったリスクを回避するため、防衛策を講じる必要があります。
	=パケットフィルタリングに対する4つの方針=		=パケットフィルタリングに対する4つの方針=
	~~ガチガチにポートを閉めると、ユーザーからクレームが挙がる事があるので、セキュリティと利便性の両方を考慮し、~~<BR>		ガチガチにセキュリティを高め過ぎると利便性が失われ、ユーザーからクレームが挙がる事があります。<BR>
	~~妥協点を探る必要があるだろう。~~<BR>		セキュリティと利便性の両方を考慮し、妥協点を探る必要があるでしょう。<BR>

	==IP直接指定==		==IP直接指定==
	特定のIPアドレスに限ってSIP/~~IAXポートを開放する。~~		特定のIPアドレスに限ってSIP/IAXポートを開放する方法。<BR>
	;利点~~:基本的にはITSP経由での通信となるので、セキュリティホールを突付かれ難くなる。~~		SIP/IAXのパケットは指定した相手先のみ通信が可能になります。
	;弱点~~:通信先のIPが変わった場合、通信できなくなるのでトラブルに見舞われやすい。(と思う)~~
			===利点===
			基本的にはITSPや許可した相手との通信となるので、セキュリティホールを突付かれ難くなります。

			===弱点===
			通信先のIPが変わった場合、通信できなくなるのでトラブルに遭いやすくなります。<BR>
			拠点間通信の場合、両方とも固定IPアドレスになっている必要があります。

	==サブネット毎に開放==		==サブネット毎に開放==
	サーバー(ITSPなど)が使用しているIPアドレス帯をWhoisゲートウェイなどで確認し、その範囲に限ってSIP/~~IAXポートでの通信を許可するホワイトリスト方式~~		サーバー(ITSPなど)が使用しているIPアドレス帯をWhoisゲートウェイなどで確認し、その範囲に限ってSIP/IAXポートでの通信を許可するホワイトリスト方式となります。
	===利点===		===利点===
	~~基本的にはサーバー(ITSP)経由での通信となるので、セキュリティホールを突付かれ難くなる。~~		基本的にはITSPや許可した相手との通信となるので、セキュリティホールを突付かれ難くなります。
	===弱点===		===弱点===
	*サーバーのIPアドレスが変わった場合、通信できなくなる可能性が高い		サーバーのIPアドレスが変わった場合、通信できなくなる可能性が高くなります。<BR>
	*拠点間通信をしている場合は通信を許可する必要あり		拠点間通信をしている場合は、拠点毎に設定を確認する必要があります。<BR>
	*Re-~~Inviteが出来ない可能性有り~~		Re-Inviteが出来ない可能性があります<BR>
	*障害の切り分けが面倒になる。		障害の切り分けが面倒になります。<BR>
	*IPを一個だけ開けるよりはトラブルになり難い。		IPを一個だけ開けるよりはトラブルになり難いでしょう。<BR>
			==SIP/IAXポート全開==

	==~~SIP/IAXポート全開~~==		===利点===
	~~;利点:サーバー側でIPアドレスを変えても問題なくSIPでの通信が可能~~		サーバー側でIPアドレスを変えても問題なくSIPでの通信が可能です。<BR>
	;弱点:SIP/~~IAXへの攻撃を受ける可能性が高い。セキュリティホールに注意すること~~		IPアドレスの縛りが無いので利便性が高くなります。<BR>
			===弱点===
			SIP/IAXへの攻撃を受ける可能性が高くなります。セキュリティホールに注意しましょう。
	==ノーガード==		==ノーガード==
	~~インターネットからのパケットは全てサーバーに流すようにする。パケットフィルタリングを行わない。~~		インターネットからのパケットは全てサーバーに流すようにします。パケットフィルタリングを行わないやりかたになります。
	;利点~~:管理コストを低く抑えることができる。~~		===利点===
	;弱点:[http://ja.wikipedia.org/wiki/%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%83%BB%E3%83%8E%E3%83%BC%E3%82%AC%E3%83%BC%E3%83%89%E6%88%A6%E6%B3%95 サイバー・ノーガード戦法]~~を取らざるを得ない。~~		管理コストを低く抑えることができます。
			===弱点===
			[http://ja.wikipedia.org/wiki/%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%83%BB%E3%83%8E%E3%83%BC%E3%82%AC%E3%83%BC%E3%83%89%E6%88%A6%E6%B3%95 サイバー・ノーガード戦法]によるセキュリティになります

	=外部リンク=		=外部リンク=

MR G: /* サブネット毎に開放 */

2009-02-25T02:35:58Z

サブネット毎に開放

← 古い版		2009年2月25日 (水) 11:35時点における版
12行目:		12行目:

	==サブネット毎に開放==		==サブネット毎に開放==
	~~サーバーが使用しているIPアドレスの使用範囲を絞り、その範囲内に限ってSIP~~/~~IAXポートでの通信を許可する。<BR>~~		サーバー(ITSPなど)が使用しているIPアドレス帯をWhoisゲートウェイなどで確認し、その範囲に限ってSIP/IAXポートでの通信を許可するホワイトリスト方式
	~~ITSPを利用している場合は、Whoisゲートウェイを利用して、ITSPが使用しているIPアドレスの範囲を絞るようにする。~~		===利点===
	~~;利点:~~基本的にはサーバー(ITSP)経由での通信となるので、セキュリティホールを突付かれ難くなる。		基本的にはサーバー(ITSP)経由での通信となるので、セキュリティホールを突付かれ難くなる。
	;弱点:サーバーのIPアドレスが変わった場合、通信できなくなる可能性が高い~~<BR>IPを一個だけ開けるよりかはトラブルになり難い。~~		===弱点===
			*サーバーのIPアドレスが変わった場合、通信できなくなる可能性が高い
			*拠点間通信をしている場合は通信を許可する必要あり
			*Re-Inviteが出来ない可能性有り
			*障害の切り分けが面倒になる。
			*IPを一個だけ開けるよりはトラブルになり難い。

	==SIP/IAXポート全開==		==SIP/IAXポート全開==
	;利点:サーバー側でIPアドレスを変えても問題なくSIPでの通信が可能		;利点:サーバー側でIPアドレスを変えても問題なくSIPでの通信が可能

MR G: 初版ながらも大体書いたので更新は多分無しばーじょん

2008-10-05T14:06:35Z

初版ながらも大体書いたので更新は多分無しばーじょん

新規ページ

=Asteriskとパケットフィルタリング=
近年、IAX,SIPポート宛の攻撃が多くなってきている。 
企業内で050番号を使用している場合や拠点間接続をしている場合、外部からの攻撃により、サーバーどころか各電話機までもがダメージを受けるため、 
防衛策を講じる必要が出てきている。
=パケットフィルタリングに対する4つの方針=
ガチガチにポートを閉めると、ユーザーからクレームが挙がる事があるので、セキュリティと利便性の両方を考慮し、 
妥協点を探る必要があるだろう。 
==IP直接指定==
特定のIPアドレスに限ってSIP/IAXポートを開放する。
;利点:基本的にはITSP経由での通信となるので、セキュリティホールを突付かれ難くなる。
;弱点:通信先のIPが変わった場合、通信できなくなるのでトラブルに見舞われやすい。(と思う)

==サブネット毎に開放==
サーバーが使用しているIPアドレスの使用範囲を絞り、その範囲内に限ってSIP/IAXポートでの通信を許可する。 
ITSPを利用している場合は、Whoisゲートウェイを利用して、ITSPが使用しているIPアドレスの範囲を絞るようにする。
;利点:基本的にはサーバー(ITSP)経由での通信となるので、セキュリティホールを突付かれ難くなる。
;弱点:サーバーのIPアドレスが変わった場合、通信できなくなる可能性が高い IPを一個だけ開けるよりかはトラブルになり難い。
==SIP/IAXポート全開==
;利点:サーバー側でIPアドレスを変えても問題なくSIPでの通信が可能
;弱点:SIP/IAXへの攻撃を受ける可能性が高い。セキュリティホールに注意すること
==ノーガード==
インターネットからのパケットは全てサーバーに流すようにする。パケットフィルタリングを行わない。
;利点:管理コストを低く抑えることができる。
;弱点:[http://ja.wikipedia.org/wiki/%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%83%BB%E3%83%8E%E3%83%BC%E3%82%AC%E3%83%BC%E3%83%89%E6%88%A6%E6%B3%95 サイバー・ノーガード戦法]を取らざるを得ない。

=外部リンク=
*[http://itpro.nikkeibp.co.jp/article/NEWS/20080910/314570 IP電話に無言電話が着信する現象が多発，原因はインターネット上からの不正攻撃]
*[http://www.fusioncom.co.jp/oshirase/20080909_2.html FUSION IP-Phoneへの無言電話多発の対応策について]
*[http://itpro.nikkeibp.co.jp/article/COLUMN/20080827/313505/?ST=ipcom SIPスタックの実装の未熟さを突く攻撃（前編）]
*[http://itpro.nikkeibp.co.jp/article/COLUMN/20080926/315503/?ST=ipcom SIPスタックの実装の未熟さを突く攻撃（後編）]
*[http://www.voip-info.org/wiki/view/Asterisk+firewall+rules Asterisk firewall rules] ←voip-info.orgの記事。UNIX系OSでのファイアウォールの例