Астериск - попытки взлома (как посоветуете настроить защиту?)

[BAF]

Всем привет.

Поставил я на бубунту астериск 11,5, прикрутил freepbx 2.11 и все настроил. Не поверите и все работает и на бубунте . Дело в следующем:

Код: Выделить всё

[2013-08-05 13:13:14] NOTICE[2707][C-0000003c] chan_sip.c: Failed to authenticate device 51<sip:51@мой внешний ip>;tag=2bc86a26
[2013-08-05 13:13:15] NOTICE[2707][C-0000003d] chan_sip.c: Failed to authenticate device 51<sip:51@мой внешний ip>;tag=47c28401
[2013-08-05 13:34:36] NOTICE[2707][C-0000003e] chan_sip.c: Failed to authenticate device 150<sip:150@мой внешний ip>;tag=581752be
[2013-08-05 13:34:37] NOTICE[2707][C-0000003f] chan_sip.c: Failed to authenticate device 150<sip:150@мой внешний ip>;tag=3fe1e2b1
[2013-08-05 13:35:08] NOTICE[2707][C-00000040] chan_sip.c: Failed to authenticate device 17<sip:17@мой внешний ip>;tag=12511593
[2013-08-05 13:35:09] NOTICE[2707][C-00000041] chan_sip.c: Failed to authenticate device 17<sip:17@мой внешний ip>;tag=3bf621a4
[2013-08-05 13:57:56] NOTICE[2707][C-00000042] chan_sip.c: Failed to authenticate device 16<sip:16@мой внешний ip>;tag=d5d70969
[2013-08-05 13:57:57] NOTICE[2707][C-00000043] chan_sip.c: Failed to authenticate device 16<sip:16@мой внешний ip>;tag=5e18d151
[2013-08-05 14:21:26] NOTICE[2707][C-0000004f] chan_sip.c: Failed to authenticate device 250<sip:250@мой внешний ip>;tag=dff2b8c8
[2013-08-05 14:21:27] NOTICE[2707][C-00000050] chan_sip.c: Failed to authenticate device 250<sip:250@мой внешний ip>;tag=5ecf9b49
[2013-08-05 14:24:26] NOTICE[2707][C-00000051] chan_sip.c: Failed to authenticate device 14<sip:14@мой внешний ip>;tag=bc5b5c0c
[2013-08-05 14:24:28] NOTICE[2707][C-00000052] chan_sip.c: Failed to authenticate device 14<sip:14@мой внешний ip>;tag=3c85b731
[2013-08-05 14:45:15] NOTICE[2707][C-00000053] chan_sip.c: Failed to authenticate device 400<sip:400@мой внешний ip>;tag=ac8a85fa
[2013-08-05 14:45:16] NOTICE[2707][C-00000054] chan_sip.c: Failed to authenticate device 400<sip:400@мой внешний ip>;tag=9fff85f7
[2013-08-05 15:08:35] NOTICE[2707][C-00000055] chan_sip.c: Failed to authenticate device 500<sip:500@мой внешний ip>;tag=7b3bb1ac
[2013-08-05 15:08:36] NOTICE[2707][C-00000056] chan_sip.c: Failed to authenticate device 500<sip:500@мой внешний ip>;tag=b3d8d681
[2013-08-05 15:16:01] NOTICE[2707][C-00000057] chan_sip.c: Failed to authenticate device 13<sip:13@мой внешний ip>;tag=43c099b4
[2013-08-05 15:16:03] NOTICE[2707][C-00000058] chan_sip.c: Failed to authenticate device 13<sip:13@мой внешний ip>;tag=20128d91
[2013-08-05 15:32:53] NOTICE[2707][C-00000059] chan_sip.c: Failed to authenticate device 600<sip:600@мой внешний ip>;tag=2959f65e
[2013-08-05 15:32:55] NOTICE[2707][C-0000005a] chan_sip.c: Failed to authenticate device 600<sip:600@мой внешний ip>;tag=74c7deb0
[2013-08-05 15:58:19] NOTICE[2707][C-0000005b] chan_sip.c: Failed to authenticate device 8888<sip:8888@мой внешний ip>;tag=5362e120
[2013-08-05 15:58:21] NOTICE[2707][C-0000005c] chan_sip.c: Failed to authenticate device 8888<sip:8888@мой внешний ip>;tag=1ea308b5
[2013-08-05 16:07:33] NOTICE[2707][C-0000005d] chan_sip.c: Failed to authenticate device 51<sip:51@мой внешний ip>;tag=1050a001
[2013-08-05 16:07:35] NOTICE[2707][C-0000005e] chan_sip.c: Failed to authenticate device 51<sip:51@мой внешний ip>;tag=00a1991b
[2013-08-05 16:24:23] NOTICE[2707][C-0000005f] chan_sip.c: Failed to authenticate device 2001<sip:2001@мой внешний ip>;tag=ca0729b7
[2013-08-05 16:24:24] NOTICE[2707][C-00000060] chan_sip.c: Failed to authenticate device 2001<sip:2001@мой внешний ip>;tag=38308594
[2013-08-05 16:49:56] NOTICE[2707][C-00000061] chan_sip.c: Failed to authenticate device 3001<sip:3001@мой внешний ip>;tag=920a16e0
[2013-08-05 16:49:57] NOTICE[2707][C-00000062] chan_sip.c: Failed to authenticate device 3001<sip:3001@мой внешний ip>;tag=4000f76f

Сначала я подумал меня взломали, ведь я на бубунте и внешний адрес моего модема пытается подобрать пароль. Но отснефирив это дело я понял, что адрес не модема, а гребанных палистинцев, украинцев(не всех, а то подумаете еще чего не доброго ))) и т.д. Они шлют мне sip пакет в котором указывают мойже адрес, вот жешь. Бан не сработал, т.к. У меня разрешено 3 попытки, а тут 2, да и не дало бы это результата, фаервол бы их пропускал фсе равно, т.к. Он работает на сетевом, а эта гадасть показывает уровень приложений.

В общем погуглив я нашел что нужно модефицыровать исходники, что бы в лог добавлялся реальный адрес атакующего. Но я хотел бы посоветоваться кто как борится с этой заразой, может есть еще какие способы.

П.С. Астериск 11, а такую дыру так и не устранили, жалко.

[Bluetooth]

А может в фаерволе запретить коннекты с левых адресов?

[BAF]

А может в фаерволе запретить коннекты с левых адресов?

Сегодня взлом идет с этих, завтра с других, после завтра с моего пула,а я делал атс что бы с любой страны можно было звонить и оставаться на связи. Постоянно следить кто ломает не очень то и охото, можно проследить и придется тратить на это время.

[Bluetooth]

А может в фаерволе запретить коннекты с левых адресов?

Сегодня взлом идет с этих, завтра с других, после завтра с моего пула,а я делал атс что бы с любой страны можно было звонить и оставаться на связи. Постоянно следить кто ломает не очень то и охото, можно проследить и придется тратить на это время.

Может, подумаете о том, чтобы подключаться поверх впн?

[BAF]

А может в фаерволе запретить коннекты с левых адресов?

Сегодня взлом идет с этих, завтра с других, после завтра с моего пула,а я делал атс что бы с любой страны можно было звонить и оставаться на связи. Постоянно следить кто ломает не очень то и охото, можно проследить и придется тратить на это время.

Может, подумаете о том, чтобы подключаться поверх впн?

Это чиосто линуксовое решение, т.е. Для опытных. Видимо тут никто не занимается звездочками. Как решу вопрос, то отпишусь что да как.

[nikto]

Посмотрите в сторону fail2ban

[BAF]

Посмотрите в сторону fail2ban

а кому бан то выписывать? Своему шлюзу? А толку? Я же писал, что астер показывает в логах уровень приложений, а iptables на 3 уровне работает.

[noUser]

Сам астериск может надежно блокировать попытки подключения от шлюза? Или такие подключения нужны?

[BAF]

Сам астериск может надежно блокировать попытки подключения от шлюза? Или такие подключения нужны?

Хм, надо почитать можно ли запретить авторизацию с определенного адреса.

[nikto]

Вопрос, у Вас разрешен доступ из вне?
Если нет, смотрите тогда в сторону

#sip.conf
#deny=0.0.0.0/0.0.0.0
#permit=10.150.0.0/255.255.0.0 ;Разрешаем доступ только с этих адресов
#localnet=10.150.0.0/255.255.0.0

[BAF]

Вопрос, у Вас разрешен доступ из вне?
Если нет, смотрите тогда в сторону

#sip.conf
#deny=0.0.0.0/0.0.0.0
#permit=10.150.0.0/255.255.0.0 ;Разрешаем доступ только с этих адресов
#localnet=10.150.0.0/255.255.0.0

Конечно разрешен, кто из моей сети посмеет меня ломать.

[nikto]

Гм, тогда печаль печаль. Делайте список доверенных IP с которых можно подключатся.

P.S. Ой не говорите, кто из Вашей сети. На астерфоруме есть история с циско телефоном который был перепрошит злобными хацкерами и который сам звонил куда им надо =)
тыц видюшка на тюбике

[BAF]

Гм, тогда печаль печаль. Делайте список доверенных IP с которых можно подключатся.

P.S. Ой не говорите, кто из Вашей сети. На астерфоруме есть история с циско телефоном который был перепрошит злобными хацкерами и который сам звонил куда им надо =)
тыц видюшка на тюбике

Такой вариант неприемлем. это костыли.