Asterisk SIP セキュリティ - 版の履歴

Ryo: 内線番号に対するCONTEXT指定と、SIP-TLSについて追記

2025-04-07T02:27:14Z

内線番号に対するCONTEXT指定と、SIP-TLSについて追記

← 古い版		2025年4月7日 (月) 11:27時点における版
76行目:		76行目:
	とかのように書いてしまいます。<br>		とかのように書いてしまいます。<br>
	==内線番号によって発信規制する==		==内線番号によって発信規制する==
	これはREGISTERされてCIDを騙られると効果はありませんが、特定の内線からのみ外線発信しておくことで若干は効果が期待できます。<br>		これはREGISTERされてCIDを騙られると効果はありませんが、特定の内線からのみ外線発信しておくことで若干は効果が期待できます。
			内線番号によって、発信制限なしと制限付きの CONTEXT を使い分けるようにすれば、CIDの偽装に対処可能です。<br>
	==発信先規制を入れる==		==発信先規制を入れる==
	海外に通話できる番号を禁止してしまいましょう。そうすれば海外に対して発信できないので超高額な電話代の請求をされる可能性は、ぐっと低くなります。<br>		海外に通話できる番号を禁止してしまいましょう。そうすれば海外に対して発信できないので超高額な電話代の請求をされる可能性は、ぐっと低くなります。<br>
	例えば頭が'00'とか'010'に対しては発信させないようにextenで書いてしまいます。ですが、これでは国際通話ができないので不便という場合には「超長いプレフィックス」などを使うとダイヤルできるようにしておくと良いでしょう。<br>		例えば頭が'00'とか'010'に対しては発信させないようにextenで書いてしまいます。ですが、これでは国際通話ができないので不便という場合には「超長いプレフィックス」などを使うとダイヤルできるようにしておくと良いでしょう。<br>
			=SIP-TLSを導入し、高強度のパスワードを組み合わせる=
			インターネット側からの接続をSIP-TLSに制限します。さらに、強度の高いパスワードと組み合わせることで、パスワード攻撃とパスワード漏洩のリスクを低減できます。RTPの暗号化(sRTP化)は必須ではありませんが、検討してください。<br>
	==そもそもの海外発信契約を止める==		==そもそもの海外発信契約を止める==
	キャリアと契約すると黙っていても国際通話ができるようになっていますが、これを止めます。一番安全かもしれません。		キャリアと契約すると黙っていても国際通話ができるようになっていますが、これを止めます。一番安全かもしれません。
	[[Category:セキュリティ]]		[[Category:セキュリティ]]

Takahashi: /* iptablesなどソースIPによるフィルタリング */

2024-08-11T20:05:09Z

iptablesなどソースIPによるフィルタリング

← 古い版		2024年8月12日 (月) 05:05時点における版
19行目:		19行目:
	特定のIPアドレスないしは、レンジからのREGISTERやSIPのセッションしか通さないのであれば、そのIPアドレスに対してのみSIP(5060)とRTP(UDPの10000～20000など)を開きます。<br>		特定のIPアドレスないしは、レンジからのREGISTERやSIPのセッションしか通さないのであれば、そのIPアドレスに対してのみSIP(5060)とRTP(UDPの10000～20000など)を開きます。<br>
	ただしこの方法は「相手」のIPアドレスが明確な場合にのみ使える方法です。<br>		ただしこの方法は「相手」のIPアドレスが明確な場合にのみ使える方法です。<br>
			==PJSIPのACL==
			PJSIPではプロトコルスタック自体がACLを持っています。<br>
			[[Asterisk_pjsip#ACL]]

	==Fail2banを使用する==		==Fail2banを使用する==
	fail2ban はログファイルを検査することにより、iptablesへ登録することでブロックする方式のツールです。SSHへのBruto Forceアタック対策などに使用されますが、Asteriskのログ検査を行うことでSIPをブロックするのにも使用できます。<br>		fail2ban はログファイルを検査することにより、iptablesへ登録することでブロックする方式のツールです。SSHへのBruto Forceアタック対策などに使用されますが、Asteriskのログ検査を行うことでSIPをブロックするのにも使用できます。<br>

Takatyan: /* SIPのユーザ名/パスワードを、わかりにくくする */

2020-08-05T09:22:47Z

SIPのユーザ名/パスワードを、わかりにくくする

← 古い版		2020年8月5日 (水) 18:22時点における版
37行目:		37行目:
	===ピア名を長くする===		===ピア名を長くする===
	サンプルの設定ファイルでは簡素化のために"内線番号=SIPピア名"という形で記述していますが、これは必ずしもイコールである必要はありません。ここをイコールにしている理由は		サンプルの設定ファイルでは簡素化のために"内線番号=SIPピア名"という形で記述していますが、これは必ずしもイコールである必要はありません。ここをイコールにしている理由は
	exten => _2XX,1,Dial(SIP/${~~EXEN~~})		exten => _2XX,1,Dial(SIP/${EXTEN})
	のように内線番号そのままでSIPピアにダイヤルしたいからです。もし、この利便性を捨ててかまわないのであれば、以下のような記述はアリです。		のように内線番号そのままでSIPピアにダイヤルしたいからです。もし、この利便性を捨ててかまわないのであれば、以下のような記述はアリです。
	---sip.conf---		---sip.conf---
47行目:		47行目:
	---extensions.conf		---extensions.conf
	exten => 201,1,Dial(SIP/4207f1257d2a12cb)		exten => 201,1,Dial(SIP/4207f1257d2a12cb)
	~~内線番号とSIPのピア名の紐付けを行っているのはextenです。なので、extenの中で正しく記述されていれば、SIPのピア~~(ユーザ)名は内線番号と一致している必要はありません。		内線番号とSIPのピア名の紐付けを行っているのはextensions.confです。なので、extensions.confの中で正しく記述されていれば、SIPのピア(ユーザ)名は内線番号と一致している必要はありません。
	===上の応用===		===上の応用===
	上の方法を応用して、「ひみつのフレーズ」を付加することでピア(ユーザ)名を「わかりにくく」することが可能です。ただし、この「ひみつのフレーズ」を知られてしまっては意味がないので注意してください。<br>		上の方法を応用して、「ひみつのフレーズ」を付加することでピア(ユーザ)名を「わかりにくく」することが可能です。ただし、この「ひみつのフレーズ」を知られてしまっては意味がないので注意してください。<br>
60行目:		60行目:
	exten => _201.,1,Dial(SIP/5e8518af331d-${EXTEN})		exten => _201.,1,Dial(SIP/5e8518af331d-${EXTEN})
	このフレーズの部分 5e8518af331d を使うことで、ピア名を長くしてしまうわけです。		このフレーズの部分 5e8518af331d を使うことで、ピア名を長くしてしまうわけです。

	==Asterisk 11の名前付きACLを使う==		==Asterisk 11の名前付きACLを使う==
	Asterisk 11から名前付きACL(Named ACL)が使用可能になっています。これを使うことで、SIPのピア毎にアクセス制御をかけることが可能です。		Asterisk 11から名前付きACL(Named ACL)が使用可能になっています。これを使うことで、SIPのピア毎にアクセス制御をかけることが可能です。

Takahashi: /* 総当たり対策 */

2017-11-24T18:54:00Z

総当たり対策

← 古い版		2017年11月25日 (土) 03:54時点における版
11行目:		11行目:
	SIPのユーザ名、パスワードを総当たりしてくる攻撃の対策方法。<br>		SIPのユーザ名、パスワードを総当たりしてくる攻撃の対策方法。<br>
	総当たりで来るので、対策はそこそこ面倒です。<br>		総当たりで来るので、対策はそこそこ面倒です。<br>
			==SIPポート番号をずらす==
			デフォルトのSIPポートは5060/udpですが、これを別なポート番号にしてください。<br>
			現在よく見られる攻撃は5060を狙い撃ちで来ます。このためSIPポート番号を移動することによって効果的な"逃げ"が行えます。<br>
			ただしSIPポート番号を変更した場合には電話機等のSIPクライアント側も設定変更を行う必要があります(当然ですが)。<br>
	==iptablesなどソースIPによるフィルタリング==		==iptablesなどソースIPによるフィルタリング==
	一般的なセキュリティ対策と同様に通す/通さないIPアドレスが明確な場合には効果的な対策のひとつです。<br>		一般的なセキュリティ対策と同様に通す/通さないIPアドレスが明確な場合には効果的な対策のひとつです。<br>

Takahashi: /* 発信先規制を入れる */

2015-11-05T17:00:30Z

発信先規制を入れる

← 古い版		2015年11月6日 (金) 02:00時点における版
71行目:		71行目:
	海外に通話できる番号を禁止してしまいましょう。そうすれば海外に対して発信できないので超高額な電話代の請求をされる可能性は、ぐっと低くなります。<br>		海外に通話できる番号を禁止してしまいましょう。そうすれば海外に対して発信できないので超高額な電話代の請求をされる可能性は、ぐっと低くなります。<br>
	例えば頭が'00'とか'010'に対しては発信させないようにextenで書いてしまいます。ですが、これでは国際通話ができないので不便という場合には「超長いプレフィックス」などを使うとダイヤルできるようにしておくと良いでしょう。<br>		例えば頭が'00'とか'010'に対しては発信させないようにextenで書いてしまいます。ですが、これでは国際通話ができないので不便という場合には「超長いプレフィックス」などを使うとダイヤルできるようにしておくと良いでしょう。<br>
			==そもそもの海外発信契約を止める==
			キャリアと契約すると黙っていても国際通話ができるようになっていますが、これを止めます。一番安全かもしれません。
	[[Category:セキュリティ]]		[[Category:セキュリティ]]

Takahashi: /* SIPのユーザ名/パスワードを、わかりにくくする */

2013-05-17T14:28:57Z

SIPのユーザ名/パスワードを、わかりにくくする

← 古い版		2013年5月17日 (金) 23:28時点における版
56行目:		56行目:
	exten => _201.,1,Dial(SIP/5e8518af331d-${EXTEN})		exten => _201.,1,Dial(SIP/5e8518af331d-${EXTEN})
	このフレーズの部分 5e8518af331d を使うことで、ピア名を長くしてしまうわけです。		このフレーズの部分 5e8518af331d を使うことで、ピア名を長くしてしまうわけです。
			==Asterisk 11の名前付きACLを使う==
			Asterisk 11から名前付きACL(Named ACL)が使用可能になっています。これを使うことで、SIPのピア毎にアクセス制御をかけることが可能です。
			*[[Asterisk 11 名前付きACL]]

	=外にかけられないように対策=		=外にかけられないように対策=

Takahashi: /* Fail2banを使用する */

2010-12-30T01:04:19Z

Fail2banを使用する

← 古い版		2010年12月30日 (木) 10:04時点における版
17行目:		17行目:
	==Fail2banを使用する==		==Fail2banを使用する==
	fail2ban はログファイルを検査することにより、iptablesへ登録することでブロックする方式のツールです。SSHへのBruto Forceアタック対策などに使用されますが、Asteriskのログ検査を行うことでSIPをブロックするのにも使用できます。<br>		fail2ban はログファイルを検査することにより、iptablesへ登録することでブロックする方式のツールです。SSHへのBruto Forceアタック対策などに使用されますが、Asteriskのログ検査を行うことでSIPをブロックするのにも使用できます。<br>
	→[[~~Asterisk~~-~~fail2ban~~]]		→[[SIP-Fail2ban]]

	==ドメイン認証を使う==		==ドメイン認証を使う==

Takahashi: /* iptablesなどソースIPによるフィルタリング */

2010-12-30T01:03:47Z

iptablesなどソースIPによるフィルタリング

← 古い版		2010年12月30日 (木) 10:03時点における版
15行目:		15行目:
	特定のIPアドレスないしは、レンジからのREGISTERやSIPのセッションしか通さないのであれば、そのIPアドレスに対してのみSIP(5060)とRTP(UDPの10000～20000など)を開きます。<br>		特定のIPアドレスないしは、レンジからのREGISTERやSIPのセッションしか通さないのであれば、そのIPアドレスに対してのみSIP(5060)とRTP(UDPの10000～20000など)を開きます。<br>
	ただしこの方法は「相手」のIPアドレスが明確な場合にのみ使える方法です。<br>		ただしこの方法は「相手」のIPアドレスが明確な場合にのみ使える方法です。<br>
			==Fail2banを使用する==
			fail2ban はログファイルを検査することにより、iptablesへ登録することでブロックする方式のツールです。SSHへのBruto Forceアタック対策などに使用されますが、Asteriskのログ検査を行うことでSIPをブロックするのにも使用できます。<br>
			→[[Asterisk-fail2ban]]

	==ドメイン認証を使う==		==ドメイン認証を使う==
	sip.confのグローバルに以下の設定を追加します。		sip.confのグローバルに以下の設定を追加します。

Gima: カテゴリ追加

2010-07-25T14:03:06Z

カテゴリ追加

← 古い版		2010年7月25日 (日) 23:03時点における版
64行目:		64行目:
	海外に通話できる番号を禁止してしまいましょう。そうすれば海外に対して発信できないので超高額な電話代の請求をされる可能性は、ぐっと低くなります。<br>		海外に通話できる番号を禁止してしまいましょう。そうすれば海外に対して発信できないので超高額な電話代の請求をされる可能性は、ぐっと低くなります。<br>
	例えば頭が'00'とか'010'に対しては発信させないようにextenで書いてしまいます。ですが、これでは国際通話ができないので不便という場合には「超長いプレフィックス」などを使うとダイヤルできるようにしておくと良いでしょう。<br>		例えば頭が'00'とか'010'に対しては発信させないようにextenで書いてしまいます。ですが、これでは国際通話ができないので不便という場合には「超長いプレフィックス」などを使うとダイヤルできるようにしておくと良いでしょう。<br>
			[[Category:セキュリティ]]

Takahashi: /* ピア名を長くする */

2010-05-11T13:56:26Z

ピア名を長くする

@@ 40行目: / 40行目: @@
   exten => 201,1,Dial(SIP/4207f1257d2a12cb)
 内線番号とSIPのピア名の紐付けを行っているのはextenです。なので、extenの中で正しく記述されていれば、SIPのピア(ユーザ)名は内線番号と一致している必要はありません。
 =外にかけられないように対策=
 勝手に外(外線)に対して発信できないように規制をかけることで、電話を勝手に使われて費用が発生してしまうことを防ぐことができます。<br>