Правила безопасности Asterisk

Хоть тема и избитая, и перелопаченная, все-таки, сделаю я заметку для себя так и для читающих эту публикацию.

В связи с ростом популярности IP-АТС Asterisk* участились нападения на эту платформу. Суть атаки сводится к тому, чтобы получить доступ к международной или междугородней связи, чем это грозит обычным пользователям Asterisk, я думаю, не имеет смысла рассказывать. 

Как пострадавший и наблюдатель сего действа, опишу как это выглядит и постараюсь дать небольшие рекомендации по ограждению себя от этой напасти.

Итак, как происходит процесс взлома:

1.  ищется жертва методом сканирования, социальной инженерии или просто на удачу;
2. определяется тип АТС, искомая цель - asterisk( примерно так наш астериск отзывается на специальные команды:
| SIP Device | User Agent | Fingerprint |
-------------------------------------------------------------------------------------------------------------
| ip:5060       | Asterisk      | Asterisk    |
);
3. дальше происходит сканирование екстеншенов, по умолчанию Asterisk дружелюбен и расскажет обо всех екстеншенах, которые не смогут авторизоваться, ответ выглядеть будет так |XXXX| nоauth|;
4.  начинается брутфорс логина и пароля;
5. как только пароль будет подобран, за частую это происходит на ура, так как начинающие администраторы asterisk делают все по шаблону как написано в интернетах, начинается перебор всех возможных направлений, и попыток набора номера;
6. заводится voip гейт с полученным логином и паролем и пропускается бешеный трафик на Кубу, Сомали, Словению, Швецию и т.п..

Итак, правила безопасности:

1. в файле конфигурации sip.conf ставим параметр alwaysauthreject=yes;
2. при настройке пользователей делайте так, чтобы username не совпадал с именем екстеншена;
3. используйте для паролей md5;
4. закройте все порты кроме 5060 и RTP ;
5. воздержитесь от использования сборок asteriska по типу elastix, trixbox они хороши, но не застрахованы от дыр в веб-интерфейсе;
6. контролируйте свой номерной план, будьте в нем уверенны, что он работает так как вы его спроектировали, а не так как вам кажется;
7. следить и выгружать не используемые модули астриска, это не только сохранит вам нервы, но, возможно, в некоторых случаях прибавит производительности системе;
8. сделайте так, чтобы консоль астериска была вам всегда видна, брутфорс увидите сразу, как только он начнется, консоль просто засыпет сообщениями о том, что кто-то пытается подобрать пароль, или перенаправте ее вывод, например, на ваш джабер или аську это будет более эффективнее, как это сделать, я постараюсь описать в будущих статьях;
9. ограничьте доступ к астериску физически и бейте по рукам линейкой всех, кто не имеет права к нему прикасаться. :)