XS4ALL-klanten doelwit SIP-scanning
Klanten van internetprovider XS4ALL zijn al enige weken het doelwit van SIP-scans. Op 11 juli waarschuwde XS4ALL Chief Security Officer Scott McIntyre voor een enorme toename van het aantal SIP-scans. Het zou zelfs het op een na meest gescande doelwit zijn. McIntyre adviseerde klanten dan ook om SIP indien mogelijk te firewallen en de logs goed te monitoren.
SIP, wat staat voor session initiation protocol, wordt onder andere gebruikt voor VoIP. SIP-telefoons laten gebruikers via VoIP bijvoorbeeld bellen. Volgens McIntyre gaat het voornamelijk om SIP OPTIONS scanning, zo laat hij tegenover Security.nl weten. Er zijn verschillende tools beschikbaar, zoals Sipvicious, waarmee één of meerdere SIP-servers zijn te scannen. Aan de hand daarvan kan een aanvaller een database van het soort SIP-apparaten, gebruikte software en andere informatie samenstellen.
Firewall
McIntyre merkt op dat het voorlopig nog alleen om fingerprinting gaat. "Het scannen en verzamelen van gegevens over het type SIP-apparaten dat antwoord op de scans geven." Volgens de CSO zitten er allerlei soorten kwetsbaarheden in SIP-apparaten en dan met name bepaalde Asterisk en Cisco Call Manager producten. "In alle waarschijnlijkheid zijn de mensen die deze scans uitvoeren opzoek naar iets specifieks, maar ik weet niet zeker wat dat is."
"De meeste eindgebruikers kunnen eenvoudig het SIP protocol firewallen als ze een door de provider geleverde SIP-oplossing gebruiken, zoals Internet Bellen van XS4ALL, maar dit wordt lastig als ze hun eigen SIP-server hebben en gebruiken om verbinding te maken met anderen op het internet. Het is nog steeds mogelijk, maar het kost meer tijd", laat McIntyre weten. Sinds 28 juli is het aantal SIP-scans verder toegenomen. Inmiddels worden XS4ALL-klanten door 182 hosts gescand.
Volgens de link http://blog.sipvicious.org/ is het vlot te merken als je SIP-scanning hebt: je bandbreedte neemt drastisch af, al denk ik dat alleen diegenen die videobellen à la Skype dat zullen merken omdat hun videoconnectie vaak wegvalt.
Verder denk ik dat dit een typisch geval gaat worden van ID-fraude; dat men op eenvoudige wijze op jouw kosten gaan bellen naar dure landen (denk aan Nigeria?). Dus ook hier geldt dan weer dat je je zaken goed af moet schermen middels firewall of IP-rules....
Ik draai zelf een stickey honeypot (Labrea) in een klein subnetje en zie daar al een paar weken scans naar poort 5060 voorbij komen. Ook het 'internet storm center' van SANS heeft er wat info over:
http://isc.sans.edu/portgraph.html?_jpg_csimd=1&token=b01fdd8e1509976cc5284900175882ddec2a3f7a&start_month=6&start_day=1&start_year=2010&end_month=7&end_day=30&end_year=2010&port=5060&leftgraph=sources&rightgraph=targets&range=Y&submit=Update
.
.
Heel simpel: als blijkt dat door SIP- cq ID-fraude jouw telefoonkosten drastisch zijn gestegen kun je KPN daar verantwoordelijk voor stellen omdat ze jou niet de gelegenheid hebben gegeven de zaak afdoende te beveiligen, laat staan dat ze daar zelf überhaupt iets aan gedaan hebben.
Wat je hier in ieder geval tegen kunt doen is simpel en vereist weinig kennis:
Zet in je router een ACL die het verkeer tussen jouw PBX en de SIP server van je provider toe laat.
Daar onder zet je nog een rule die standaard al het verkeer van en naar jouw PBX blokkeerd/dropt.
Op deze manier ben je redelijk veilig voor sip hacking. Doorgaans is het genoeg om dit alleen voor het SIP en eventueel IAX protocol te doen TCP/UDP 5060 - 5080 (of wat voor range je ook hebt) RTP is niet interessant om te ACLen omdat er zonder SIP of IAX toch geen sessie opgezet kan worden.
Wees verder gewoon voorzichtig met de poorten die je open zet naar je PBX. SIP en RTP zijn genoeg, ga daarom ook geen andere poorten naar services zoals http, mysql, ssh telnet etc.. open zetten dit maakt het geheel alleen maar exploit gevoeliger en een gehackte PBX gaat je gewoon serieus veel geld kosten.
Heel simpel: als blijkt dat door SIP- cq ID-fraude jouw telefoonkosten drastisch zijn gestegen kun je KPN daar verantwoordelijk voor stellen omdat ze jou niet de gelegenheid hebben gegeven de zaak afdoende te beveiligen, laat staan dat ze daar zelf überhaupt iets aan gedaan hebben.
Daarnaast is de gemiddelde KPN-internet+bellen-klant niet zo technisch onderlegd en dus zal je "de eerste zijn" die er iets over te melden zou hebben.
Het beste is gewoon om je Asterisk zo in te stellen dat je voor je extensions geen dynamische IP-adressen accepteert en voorbij je firewall/NAT-modem vooral niet echt scheutig zijn met "friend" in de extension-configuratie.
Als je inter-Asterisk verkeer hebt, kun je dat ook beter via IAX laten lopen dan via SIP.
.
Het gaat om mensen die een sip server draaien, niet om modems die als sip client ingesteld zijn, dus *dat* gaat je geen hoge rekening opleveren..
Aan de andere kant heb ik geen idee of de meeste providers het nog steeds toelaten om een nieuw sip password aan te vragen online, een wachtwoord laten wijzigen via een gehackte pc en rottigheid uithalen met die voip account gebeurt inmiddels al.
Verder worden accounts niet alleen verkocht aan belhuizen, maar er wordt ook mee gebeld naar internationale "0900" nummers waar de eigenaar van een dergelijk nummer geld mee verdient.
Als laatste zien we dat bedrijven een VoIP PBX aan het netwerk hangen zonder het standaard wachtwoord aan te passen.
Naar mijn mening is een ADSL modem met 2 VOIP/SIP poorten te makkelijk te hacken en kun je hier als eenvoudige gebruiker niet tegen ondernemen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?