4,657
回編集
差分
→総当たり対策
SIPのユーザ名、パスワードを総当たりしてくる攻撃の対策方法。<br>
総当たりで来るので、対策はそこそこ面倒です。<br>
==SIPポート番号をずらす==
デフォルトのSIPポートは5060/udpですが、これを別なポート番号にしてください。<br>
現在よく見られる攻撃は5060を狙い撃ちで来ます。このためSIPポート番号を移動することによって効果的な"逃げ"が行えます。<br>
ただしSIPポート番号を変更した場合には電話機等のSIPクライアント側も設定変更を行う必要があります(当然ですが)。<br>
==iptablesなどソースIPによるフィルタリング==
一般的なセキュリティ対策と同様に通す/通さないIPアドレスが明確な場合には効果的な対策のひとつです。<br>
特定のIPアドレスないしは、レンジからのREGISTERやSIPのセッションしか通さないのであれば、そのIPアドレスに対してのみSIP(5060)とRTP(UDPの10000～20000など)を開きます。<br>
ただしこの方法は「相手」のIPアドレスが明確な場合にのみ使える方法です。<br>
==Fail2banを使用する==
fail2ban はログファイルを検査することにより、iptablesへ登録することでブロックする方式のツールです。SSHへのBruto Forceアタック対策などに使用されますが、Asteriskのログ検査を行うことでSIPをブロックするのにも使用できます。<br>
→[[SIP-Fail2ban]]
==ドメイン認証を使う==
sip.confのグローバルに以下の設定を追加します。
exten => 201,1,Dial(SIP/4207f1257d2a12cb)
内線番号とSIPのピア名の紐付けを行っているのはextenです。なので、extenの中で正しく記述されていれば、SIPのピア(ユーザ)名は内線番号と一致している必要はありません。
===上の応用===
上の方法を応用して、「ひみつのフレーズ」を付加することでピア(ユーザ)名を「わかりにくく」することが可能です。ただし、この「ひみつのフレーズ」を知られてしまっては意味がないので注意してください。<br>
まず sip.conf はこんな感じ
---sip.conf---
[5e8518af331d-201]
username=5e8518af331d-201
secret=なんちゃら
・
・
次にextensions.confはこんな感じ
exten => _201.,1,Dial(SIP/5e8518af331d-${EXTEN})
このフレーズの部分 5e8518af331d を使うことで、ピア名を長くしてしまうわけです。
==Asterisk 11の名前付きACLを使う==
Asterisk 11から名前付きACL(Named ACL)が使用可能になっています。これを使うことで、SIPのピア毎にアクセス制御をかけることが可能です。
*[[Asterisk 11 名前付きACL]]
=外にかけられないように対策=
勝手に外(外線)に対して発信できないように規制をかけることで、電話を勝手に使われて費用が発生してしまうことを防ぐことができます。<br>
海外に通話できる番号を禁止してしまいましょう。そうすれば海外に対して発信できないので超高額な電話代の請求をされる可能性は、ぐっと低くなります。<br>
例えば頭が'00'とか'010'に対しては発信させないようにextenで書いてしまいます。ですが、これでは国際通話ができないので不便という場合には「超長いプレフィックス」などを使うとダイヤルできるようにしておくと良いでしょう。<br>
==そもそもの海外発信契約を止める==
キャリアと契約すると黙っていても国際通話ができるようになっていますが、これを止めます。一番安全かもしれません。
[[Category:セキュリティ]]
