सुरक्षा Asteriska में सुधार के लिए सात कदम

यदि आप में से किसी ने कभी सोचा है कि एसआईपी टर्मिनलों पर हमलों की संख्या में काफी वृद्धि क्यों हुई है, तो उत्तर सरल होगा: "बचकाना शरारत।" पिछले कुछ महीनों में, Asterisk और SIP टर्मिनलों पर आसानी से हमला करने वाले नए सॉफ़्टवेयर की संख्या में काफी वृद्धि हुई है। कई आसानी से सुलभ नेटवर्क स्कैनर हैं जो एसआईपी उपकरणों का पता लगाते हैं और उन्हें वैध एक्सटेंशन नंबरों के लिए स्कैन करते हैं, और फिर उनके लिए एक पासवर्ड खोजने की कोशिश करते हैं।

अब आप चरणबद्ध तरीके से कदम उठा सकते हैं और अपने एसआईपी होस्ट की सुरक्षा से जुड़ी अधिकांश समस्याओं को तुरंत हल कर सकते हैं।



यह मुझे लगता है कि वीओआईपी समुदाय एक गतिशील सुरक्षा प्रणाली के साथ तारांकन-आधारित समाधानों को एकीकृत करने में रुचि रखता है (सामुदायिक ब्लैकलिस्ट को मंचों में गर्म रूप से चर्चा की जाती है), लेकिन इसका मतलब यह नहीं है कि आपको अपने वीओआईपी बुनियादी ढांचे की सुरक्षा के लिए किसी भी नए कार्यक्रम या समाधान की उम्मीद करनी चाहिए । अपने Asterisk सर्वर को हमलों की बढ़ती संख्या से बचाने के लिए आप अभी से उपाय कर सकते हैं! सुरक्षा के तरीके और साधन पहले से मौजूद हैं - बस उन्हें लागू करें और आप रात में अधिक रात सोएंगे!

पहला कदम
सभी आईपी पते से एसआईपी नेटवर्क से प्रमाणीकरण अनुरोध स्वीकार न करें। ऐसा करने के लिए, प्रत्येक SIP उपयोगकर्ता के लिए IP पतों की सही सबसेट की अनुमति देने के लिए sip.conf कॉन्फ़िगरेशन फ़ाइल में "perm =" और "deny =" विकल्पों का उपयोग करें। जब आप "किसी" ([डिफ़ॉल्ट] अनुभाग में विकल्प) से इनकमिंग कॉल प्राप्त करते हैं, तब भी इन उपयोगकर्ताओं को प्रमाणीकरण की आवश्यकता वाली वस्तुओं का उपयोग करने की अनुमति न दें।

दूसरा कदम
हमेशा sip.conf में विकल्प “alwaysauthreject = yes” सेट करें। यह विकल्प पहली बार एसेट्रिस्क संस्करण 1.2 में पेश किया गया था, लेकिन आज तक इसका "डिफ़ॉल्ट" मूल्य नहीं है। "हां" के विकल्प को सेट करना एक अवैध उपयोगकर्ता नाम और एक अमान्य पासवर्ड दोनों के लिए गलत प्रमाणीकरण को अस्वीकार करना चाहिए, जो हमलावर को एक क्रूर बल के हमले का उपयोग करके मौजूदा विस्तार का पता लगाने से रोकता है।

तीसरा कदम
एसआईपी ऑब्जेक्ट के लिए मजबूत पासवर्ड का उपयोग करें। SIP नेटवर्क हासिल करने में यह कदम शायद सबसे महत्वपूर्ण है। पासवर्ड न बनाएं जो दो शब्दों से मिलकर बना हो, शब्दकोश से शब्द में नंबर 1 को न जोड़ें। यदि आपने देखा कि पासवर्ड चयन के साधन कितने परिष्कृत और बुद्धिमान हैं, तो आप समझेंगे कि आधुनिक प्रोसेसर आसानी से इस तरह के तुच्छ आक्षेप को कैसे दरकिनार कर देते हैं! वर्ण, संख्या और अपरकेस और लोअरकेस अक्षरों का उपयोग करें, और पासवर्ड को कम से कम 12 वर्ण लंबा करें!

चौथा चरण
तारांकन प्रबंधन इंटरफ़ेस (AMI) के पोर्ट को अवरोधित करें। Manager.conf कॉन्फ़िगरेशन फ़ाइल में, केवल विश्वसनीय होस्ट के लिए प्रबंधन इंटरफ़ेस के लिए आने वाले कनेक्शन को कम करने के लिए "परमिट =" और "इनकार =" लाइनों का उपयोग करें। स्ट्रांग पासवर्ड चरण की तरह, कम से कम 12 अक्षरों की लंबाई के साथ जटिल पासवर्ड बनाएं।

पांचवां चरण
एक दावत के लिए एक साथ कॉल की संख्या को दो सत्रों तक सीमित करें (कॉल-लिमिट विकल्प)! इसलिए आप उन स्कैमरों के कार्यों को सीमित करते हैं जो पहले से ही सही उपयोगकर्ता नाम और पासवर्ड उठा चुके हैं। सुनिश्चित करें कि वैध उपयोगकर्ता अपने पासवर्ड को गुप्त रखते हैं, और फ़ोन के SIP मामले पर सीधे पासवर्ड न लिखें! ऐसा होता है!

छठा चरण
सुनिश्चित करें कि उपयोगकर्ता नाम एक्सटेंशन से अलग है। हालांकि, एक एक्सटेंशन नंबर, उदाहरण के लिए, "1234" एक उपयोगकर्ता नाम के साथ समान नाम "1234" के अनुरूप हो सकता है, यह एक एसआईपी उपयोगकर्ता नाम बनाने के लिए सबसे अच्छा है जो उपयोगकर्ता के नेटवर्क कार्ड के मैक पते या उपयोगकर्ता द्वारा मेल खाते और एक्सटेंशन के संयोजन से मेल खाता है। इसे शेल कमांड लाइन से सीधे निम्नानुसार किया जा सकता है:

md5 -s ThePassword5000

सातवां चरण
सुनिश्चित करें कि [डिफ़ॉल्ट] संदर्भ सुरक्षित है। प्रमाणित उपयोगकर्ताओं को एक संदर्भ में प्रवेश करने की अनुमति न दें, जिसमें आप सशुल्क कॉल कर सकते हैं! [डिफ़ॉल्ट] संदर्भ के माध्यम से जाने के लिए केवल सीमित संख्या में कॉल की अनुमति दें (आप काउंटर के रूप में ग्रुप फ़ंक्शन का उपयोग कर सकते हैं)। Sip.conf के [सामान्य] अनुभाग में "allowguest = no" विकल्प सेट करके (यदि आपके पास ऐसी कोई कॉल नहीं है) सभी अनुचित कॉलों को अस्वीकार करें और यह सबसे अच्छा है कि कभी भी किसी भी एंट्री में [डिफ़ॉल्ट], एक को छोड़कर नहीं - हैंगअप

निष्कर्ष
उपरोक्त सात बुनियादी सुरक्षा कदम आपको अधिकांश एस्टरिस्क प्रतिष्ठानों को सुरक्षित करने की अनुमति देते हैं, लेकिन फिर भी ऐसे अन्य चरण हैं जो अधिक जटिल हैं। उदाहरण के लिए, विफलता 2ban उपयोगिता आपको सर्वर पर पंजीकरण प्रयासों की स्थापित सीमा से अधिक होने के बाद अंतिम एसआईपी डिवाइस के लिए सर्वर संसाधनों के उपयोग ("प्रतिबंध") को प्रतिबंधित करने की अनुमति देती है। यह आपके वीओआईपी सिस्टम के लिए एक बहुत ही आवश्यक और उपयोगी सेटअप है।

यदि आप इस बात का उदाहरण देखने में रुचि रखते हैं कि स्कैनिंग, हैकिंग और पासवर्ड अनुमान लगाने की उपयोगिताएँ GUI इंटरफ़ेस के माध्यम से कैसे काम करती हैं, तो आप इस वीडियो क्लिप को देख सकते हैं



बुनियादी सुरक्षा विधियाँ आपको अपने SIP अवसंरचना को ब्रूट फ़ोर्स मेथड के उपयोग से बचाने की अनुमति देती हैं, अर्थात शब्दकोशों की गणना। अधिकांश हमलावर नेटवर्क के बुनियादी ढांचे में टूटने के लिए शक्तिशाली उपकरणों के साथ अक्षम लोग हैं। उनके लिए, ये उन लोगों के लिए आसान पैसे के साधन हैं जिन्होंने एसआईपी बुनियादी ढांचे की सुरक्षा पर ध्यान नहीं दिया। सर्वर पर सबसे स्पष्ट हमलों को रोकने के लिए तारांकन चिह्न में कुछ अंतर्निहित उपकरण होते हैं, लेकिन सुरक्षा के सबसे प्रभावी तरीके अभी भी जटिल उपयोगकर्ता पासवर्ड और अज्ञात सिस्टम उपयोगकर्ता नाम हैं।

डिगियम से जॉन टॉड के लेख का अनुवाद।

MyAsterisk टीम द्वारा जानकारी एकत्र और तैयार की गई थी