Esquema general. Pasos de ataque y respuesta de Denwa UC

Transcripción

1 Seguridad en Denwa

2 En este documento brindamos una guía de configuración de DENWA enfocada principalmente a un aspecto muy importante y en muchos casos desestimado, la seguridad. Si bien el tema abordado es muy amplio de cubrir, brindamos las explicaciones y configuraciones necesarias para realizar una configuración óptima. Esquema general La siguiente imágen nos muestra todos los bloques que un atacante tiene que atravesar desde el momento que intenta realizar un ataque contra Denwa hasta que logra realizar una llamada no permitida. Asimismo se explicará luego como realizar las configuraciones de todos estos bloques para que de ningún modo el atacante logre su cometido. Pasos de ataque y respuesta de Denwa UC PRIMER PASO: El atacante como primer paso intentará esnifear el tráfico perteneciente a esa red, intentando obtener información que luego pueda utilizar en su ataque. Denwa contraresta este tipo de ataques permitiendo utilizar VPN para su conexión con el mundo exterior. Es muy importante conocer las herramientas que nos brinda DENWA a la hora de conectarnos

3 con otros dispositivos o equipos en una red insegura (como lo es la red de Internet). Para esto tenemos la posibilidad de utilizar a DENWA como un cliente VPN y conectarlo con su contraparte servidor para así cifrar todas las comunicaciones entre estos dos puntos y obtener un alto grado de seguridad con una configuración simple. Esta configuración se realiza desde: configuracion --> redes --> clientes VPN Se recomienda la configuración de esta funcionalidad en los escenarios que lo permitan El appliance PREMIUM adiciona la posibilidad de configurar servidores VPN. Esta herramienta brinda un valor agregado a la solución y es deseable para cualquier instalación. La configuración se realiza desde : configuracion --> denwa premium --> servicios SEGUNDO PASO: El paso necesario por un atacante, es conocer con la mayor exactitud posible los servicios que el equipo atacado posee y luego de esto poder encontrar vulnerabilidades en los mismos para poder explorarlas. DENWA contraresta este tipo de ataques con una herramienta muy importante denominada "escaneo

4 de puertos" que nos permite bloquear este tipo de ataques. La herramienta de escaneo de puertos nos permite bloquear ataques de este tipo de manera automática, DENWA está constantemente chequeando posibles escaneos de puertos sobre el equipo, al detectar esto el sistema automáticamente bloquea la IP que está intentando realizar este posible ataque creando una nueva regla en el Firewall. La única manera que esta regla sea quitada del firewall es que un administrador autorizado la quite de manera manual. LA configuración se realiza desde: configuración --> redes --> firewall Es indispensable el uso de esta herramienta TERCER PASO: El atacante luego de haber encontrado el puerto 5060 abierto en el equipo atacado, puede suponer con un alto grado de seguridad que en ese equipo hay disponible una central telefónica. Por lo

5 tanto, para avanzar con su ataque procederá a intentar hacerce con una cuenta dentro del equipo (usuario y password válidos). Este tipo de ataques son realizados en su mayoría por fuerza bruta, con intentos de registro con usuarios y passwords aleatorios hasta dar con uno válido. Denwa contraresta este tipo de ataques con otra herramienta muy importante denominada "intentos fallidos", con la cual es posible bloquear este tipo de ataques. La herramienta "intentos fallidos" ofrece la posibilidad de bloquear este tipo de ataques automaticamente. DENWA constantemente chequea y guarda un registro de intentos de registro junto con la IP que intenta realizar el registro, si se encuentran 5 (cinco) intentos de registros fallidos con la misma IP, al detectar esto el sistema automáticamente bloquea la IP que está intentando realizar este posible ataque creando una nueva regla en el Firewall. La única manera que esta regla sea quitada del firewall es que un administrador autorizado la quite de manera manual. LA configuración se realiza desde: configuración --> redes --> firewall Es indispensable el uso de esta herramienta Además de esta herramienta es importante controlar de manera exausiva el nivel de complejidad de los

6 passwords de todos los usuarios y asegurarse que estos tienen una complejidad alta. Esto es también válido para el usuario ADMINISTRADOR, que necesita un password muy complejo para evitar ataques. El password de todos los usuarios del sistema debe responder a una alta complejidad, esto se debe a que de estar configurada de manera incorrecta la herramienta de "escaneo de puertos" e "intentos fallidos", el atacante puede realizar una búsqueda de usuarios y passwords válidos en el equipo. Como este tipo de ataques son por fuerza bruta, los mismos llevan mucho tiempo para dar resultados positivos, excepto que los passwords sean muy simples (ejemplo: usuario 100 password: 100). A la hora de completar el password del usuario denwa indica el nivel de complejidad alcanzado, es recomendado que todos tengan una complejidad ALTA. Se recomienda la correcta configuración de esta herramienta Para cubrir otros tipos de ataques, además de poder realizar un esquema general de seguridad y reglas para los diferentes equipos y tráficos en nuestra red se dispone de una herramienta fundamental a la hora de realizar una nueva configuración de DENWA. Esta herramienta es el Firewall, que nos brinda la posibilidad de configurar todo de una manera gráfica muy intuitiva y simple. Podemos configurar reglas específicas para el tráfico entrante, saliente y que pasa a través de DENWA, la herramienta permite permitir o denegar tráfico de muchas maneras diferentes (servicio, protocolo/puerto especifico, orígen, destino). Solo los administradores pueden configurar el Firewall. Es indispensable la correcta configuración de esta herramienta

7 Herramientas adicionales Premium El equipo premium dispone además de dos herramientas adicionales a las nombradas anteriormente, estas son un Firewall de borde y un SBC (session border controller). Este firewall está disponible en el equipo PREMIUM ya que este es también un router completo. Por esto posee un firewall previo al firewall de Denwa UC. Este firewall permite configurar listas de acceso para permitir y denegar el tráfico que se requiera, tanto entrante como saliente. Se configura desde: configuracion --> denwa premium --> seguridad (listas de acceso) Es indispensable la correcta configuración de esta herramienta

8 Esta herramienta es quizás el mejor aspecto de seguridad y normalización SIP que un equipo de telefonía puede disponer entre sus características. El SBC como su nombre lo indica nos permite hacer un control exausivo de las seciones SIP que se realicen en el equipo. Es de gran ayuda a la hora de mejorar la seguridad ya que el propio SBC descarta el tráfico que no cumple con las reglas básicas del protocolo SIP (tráfico malformado), en Denwa el SBC no permitirá tráfico (puerto 5060) proveniente de otra IP que no sea una de la lista de proveedores que hemos configurado en el equipo. Por otro lado es importante a la hora de adaptar el tráfico de telefonía de un proveedor hacia otro pudiendo realizar manipulación de Hearers de los paquetes SIP. Además controla todo tipo de registros SIP externos. Se recomienda utilizar el SBC en los proveedores. Para configurar un proveedor en denwa con SBC lo único que es necesario es realizar un click en utilizar SBC como se muesta en la siguiente imágen:

9 Luego de nombrar todas estas herramientas y los pasos que el atacante realizó para intentar hacerse con una cuenta en el equipo, es necesario hacer un paréntesis antes de continuar. En el ejemplo de ataque que se está siguiendo estamos suponiendo que todas las herramientas de DENWA están configuradas de una manera incorrecta, para poder seguir con el ejemplo y poder explicar todas las herramientas. De estar configurado correctamente el equipo, el atacante nunca podía haber realizado un escaneo de puertos en busca de servicios en DENWA y nunca hubiera podido hacer un ataque en búsca de un usuario y password válido en el equipo. Dejado esto en claro, seguimos con el ejemplo "suponiendo" que todo esta configurado incorrectamente y el atacante pudo obtener un usuario y un password válidos en el equipo. CUARTO PASO: Intentar realizar llamadas sin costo para el atacante, esto es lo que un atacante de un sistema telefónico búsca. Para esto y ya registrado con el usuario y password que pudo captar de su ataque, realiza llamadas a diferentes destinos. DENWA posee algunos aspectos a configurar para que se controle que usuario puede o no realizar cierto tipo de llamadas. Denwa necesita conocer de algún modo el esquema de red en donde está instalada, por lo que es necesario configurar las redes que denwa debe interpretar como locales. Toda red que no pertenezca a las redes locales será interpretada como una red externa. Esto es muy importante a la hora de la configuración de los usuarios y sus permisos ya que podemos configurar que el usuario no disponga de la posibilidad de realizar

10 llamadas si no se registró desde una red local, herramienta muy útil en el caso de usuarios que de ningún modo se registrarán desde fuera de la red de la oficina. Es importante la correcta configuración de las redes locales. Esta opción habilita al usuario a poder realizar llamadas cuando está registrado de una red que no pertenece a las redes locales configuradas en el paso anterior. Se recomienda que solo los usuarios que realmente utilicen esta funcionalidad tengan activa esta opción en la configuración del usuario.

11 En esta área es donde se configuran todos los prefijos de llamadas para cada uno de los servicios (Nacionales, Internacionales, Celulares, etc). Por ejemplo para llamadas Internacionales el prefijo sería 00. Configurar esta sección nos permite luego, configurar los servicios permitidos para cada usuario de Denwa permitiendo que pueda o no realizar cierto tipo de llamadas. Se configura desde : Configuración --> servicios de llamadas. Es primordial configurar los servicios de llamadas de manera correcta. IMPORTANTE: Si no se configuran los servicios de llamadas, Denwa no sabrá que tipo de llamada se está queriendo realizar por lo que los servicios de llamadas que configuremos en los usuarios no tendrán ninguna validez y toda llamada será cursada sin importar el destino.

12 La configuración de los servicios de llamadas de los usuarios nos permiten permitirle a cada usuario de manera individual cursar una llamada a un cierto destino o negarle la posibilidad de realizar esta llamada. Se configura desde : usuarios --> ver susuarios -> click en nombre ( pestaña servicios) Se recomienda configurar los servicios de cada usuario haciendo un estudio previo de que función realiza dentro de la estructura de la empresa.

13 Denwa permite configurar diferentes perfiles de usuario para luego utilizarlos en los usuarios que se requieran. Los perfiles de usuario en Denwa permite la configuración de los días en los que aplica, los servicios de usuario que se utilizarán en el perfil y lo más importante desde el punto de vista de la seguridad es que permite la configuración de las rutas de los proveedores aceptadas por este perfil. Por esto, si el perfil de usuario no tiene rutas cargadas, el usuario que posea este perfil no va a poder realizar ninguna llamada hacia el mundo exterior. Es recomendada la correcta configuración de esta herramienta. Es importante la correcta configuración de las diferentes rutas de cada uno de los proveedores dentro de Denwa. Estas rutas con las que, deacuerdo al numero discado, nos permiten cursar las llamadas. Estas rutas deben ser configuradas de la manera mas específica posible para que solamente las llamadas que nosotros realmente deseemos que se cursen por este proveedor sean realizadas, y para no dejar una ruta genérica que pueda ser utilizada por un posible atacante. Ejemplo:

14 Si necesitamos que las llamadas que comienzan con el número 0 y tienen una longitud de 7 dígitos sean cursadas por cierto proveedor, la configuración de la ruta debería ser "0 " (un cero y 6 _ ), una mala configuración (por ejemplo, la ruta simplemente con 0 y prioridad 1 permite que cualquier llamada que comienza con 0 sea cursada por este proveedor). Se recomienda una configuración meticulosa de las rutas de los proveedores. Esta herramienta en Denwa nos permite realizar un control de fraude y con esto poder bloquear cierto tipo de llamadas que resulten sospechosas. Por ejemplo, si una extensión en Denwa genera 10 llamadas en 5 minutos podemos suponer que es un "boot" generando llamadas con el objetivo de realizar daño. Esta herramienta permite controlar estos comportamientos y bloquearlos. Estas son las herramientas que hacen de denwa una solución extremadamente segura en todos sus appliances. Resumiendo, un atacante necesita que se configure de manera incorrecta todos estas herramientas para realizar llamadas sin autorización en un equipo Denwa UC.

15