Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
Легенды и мифы безопасности  VoIP Гурзов Константин Руководитель отдела поддержки продаж
VoIP   -  лакомый кусочек! VoIP Доступ в сеть предприятия Управление вызовами (фрод) Искажение и подмена информации Прослу...
Компоненты  VoIP- инфраструктуры Сегмент  VoIP –  это объединенный ЛВС ряд специализированных платформ и сетевых устройств...
Все угрозы ЛВС актуальны и в  VoIP <ul><li>Пароли по умолчанию </li></ul><ul><li>Веб-интерфейсы управления </li></ul><ul><...
<ul><li>Пароли по умолчанию </li></ul>Известные угрозы– прежние способы борьбы Примеры рассчитанных метрик на основе &quot...
<ul><li>Оконечные устройства </li></ul><ul><ul><li>Стандартный  PIN- код для  CISCO IP PHONE -  « **#* » </li></ul></ul><u...
<ul><li>Веб-интерфейсы управления </li></ul><ul><ul><li>SQL Injection </li></ul></ul><ul><ul><li>С ross Site Scripting </l...
<ul><li>CISCO Call Manager </li></ul><ul><ul><li>CVE-2010-3039 повышение привилегий </li></ul></ul><ul><ul><li>CVE-2007-46...
Известные угрозы – прежние способы борьбы <ul><li>Уязвимости программного обеспечения </li></ul>Выполнение произвольного к...
Известные угрозы – прежние способы борьбы <ul><li>Уязвимости программного обеспечения </li></ul>Отказ в обслуживании  в  C...
<ul><li>Недоступность и ограничение сервисов </li></ul><ul><ul><li>Веб-интерфейсы с наличием уязвимостей </li></ul></ul><u...
<ul><li>Прослушивание трафика </li></ul><ul><ul><li>Слабозащищенные  Wireless -сети </li></ul></ul><ul><ul><li>Реализация ...
Примеры реальных атак <ul><li>Перепродажа трафика </li></ul><ul><li>Прослушивание переговоров </li></ul><ul><li>Захват кор...
Перепродажа трафика (фрод) IP PBX 1 – IP PBX  клиента компании «А» IP PBX 2 – IP PBX  злоумышленника <ul><li>Отсутствие сп...
Перепродажа трафика (фрод) – действия нарушителя <ul><li>Сканирует сеть и находит  IP PBX 1. </li></ul><ul><li>Обеспечивае...
Перепродажа трафика (фрод) – можно избежать если бы <ul><li>оператор : </li></ul><ul><li>настроил списки доступа на внешни...
Прослушивание переговоров <ul><li>Использование  Wireless- сетей </li></ul><ul><li>Слабые алгоритмы шифрования </li></ul><...
Захват корпоративной сети <ul><li>Отсутствие управления изменениями </li></ul>
Захват корпоративной сети – действия нарушителя <ul><li>Получает доступ к корпоративной сети через  Wi-Fi </li></ul><ul><l...
Выводы <ul><li>Инфраструктура  VoIP  подвержена тем же самым угрозам ИБ ,  что и обычная корпоративная ЛВС </li></ul><ul><...
Советы по создание безопасной инфраструктуры <ul><li>Совет 1: организуйте у себя в  VoIP -инф-ре контроль изменений и конт...
Спасибо за внимание! Вопросы? Гурзов Константин [email_address]
Upcoming SlideShare
Loading in …5
×

Positive Hack Days. Гурзов. Легенды и мифы безопасности VOIP

3,618 views

Published on

Интегрированные услуги операторов связи и технологии Unified Communications обещают быструю окупаемость и серьезные удобства. Однако практика показывает, что сервисы VOIP и IPPBX могут доставить массу проблем, прежде всего связных с информационной безопасностью и фродом. С какими проблемами информационная безопасность компании можно столкнуться при использовании Unified Communications? Взломать VOIP/PBX/MGW за 60 секунд: возможно ли? Планируется обсуждение эффективных методов обеспечения безопасности Unified Communications.

Published in: Business
  • Be the first to comment

Positive Hack Days. Гурзов. Легенды и мифы безопасности VOIP

  1. 1. Легенды и мифы безопасности VoIP Гурзов Константин Руководитель отдела поддержки продаж
  2. 2. VoIP - лакомый кусочек! VoIP Доступ в сеть предприятия Управление вызовами (фрод) Искажение и подмена информации Прослушивание вызовов Хищение персональных данных И многое другое…
  3. 3. Компоненты VoIP- инфраструктуры Сегмент VoIP – это объединенный ЛВС ряд специализированных платформ и сетевых устройств , объединение различных сетей и технологий
  4. 4. Все угрозы ЛВС актуальны и в VoIP <ul><li>Пароли по умолчанию </li></ul><ul><li>Веб-интерфейсы управления </li></ul><ul><li>Уязвимости программного обеспечения </li></ul><ul><li>Прослушивание трафика </li></ul><ul><li>Блокирование учетных записей </li></ul>
  5. 5. <ul><li>Пароли по умолчанию </li></ul>Известные угрозы– прежние способы борьбы Примеры рассчитанных метрик на основе &quot;живых&quot; данных при проведении внутренних аудитов ИБ специалистами компании Positive Technologies , 2009 г. Около 50% всех сетевых устройств имеют либо стандартные , либо легко подбираемые пароли
  6. 6. <ul><li>Оконечные устройства </li></ul><ul><ul><li>Стандартный PIN- код для CISCO IP PHONE - « **#* » </li></ul></ul><ul><li>SIP шлюзы </li></ul><ul><ul><li>Стандартный пароль для Asterisk - « admin » влечет : </li></ul></ul><ul><ul><ul><li>Отказ в обслуживании </li></ul></ul></ul><ul><ul><ul><li>Прослушивание </li></ul></ul></ul><ul><ul><ul><li>Нарушение целостности </li></ul></ul></ul><ul><ul><ul><li>Toll Fraud </li></ul></ul></ul>Примеры Перенастройка Зеркалирование Прослушивание
  7. 7. <ul><li>Веб-интерфейсы управления </li></ul><ul><ul><li>SQL Injection </li></ul></ul><ul><ul><li>С ross Site Scripting </li></ul></ul><ul><ul><li>DoS </li></ul></ul><ul><ul><li>И т.д. </li></ul></ul>Известные угрозы – прежние способы борьбы Получение доступа к веб-интерфейсам управления ваших устройств гарантирует успешность атак на эти устройства
  8. 8. <ul><li>CISCO Call Manager </li></ul><ul><ul><li>CVE-2010-3039 повышение привилегий </li></ul></ul><ul><ul><li>CVE-2007-4633 XSS </li></ul></ul><ul><ul><li>CVE-2007-4634 SQL Injection </li></ul></ul><ul><ul><li>CVE-2008-0026 SQL Injection </li></ul></ul><ul><li>Asterisk GUI </li></ul><ul><ul><li>CVE-2008-1390 CVSS Base Score 9,3 </li></ul></ul>Примеры Вероятность обнаружения уязвимостей различной степени риска на основе анализа 5560 сайтов специалистами компании Positive Technologies, 2009 г.
  9. 9. Известные угрозы – прежние способы борьбы <ul><li>Уязвимости программного обеспечения </li></ul>Выполнение произвольного кода из сети в CISCO Call Manager 6 Уязвимость позволяет атакующему выполнить произвольный код
  10. 10. Известные угрозы – прежние способы борьбы <ul><li>Уязвимости программного обеспечения </li></ul>Отказ в обслуживании в CISCO Call Manager 6 Уязвимость позволяет атакующему вызвать отказ в обслуживании
  11. 11. <ul><li>Недоступность и ограничение сервисов </li></ul><ul><ul><li>Веб-интерфейсы с наличием уязвимостей </li></ul></ul><ul><ul><li>Слабая парольная политика </li></ul></ul>Известные угрозы – прежние способы борьбы Любое VoIP -устройство является элементом сети Ethernet, поэтому к нему применимо большинство типов сетевых атак
  12. 12. <ul><li>Прослушивание трафика </li></ul><ul><ul><li>Слабозащищенные Wireless -сети </li></ul></ul><ul><ul><li>Реализация атаки « Man in the middle » </li></ul></ul><ul><ul><li>Десятки специализированных приложений для прослушивания VoIP -телефонии. Например, Cain & Abel ( www.oxid.it ), UCSniff ( http://ucsniff.sourceforge.net ) </li></ul></ul>Известные угрозы – прежние способы борьбы Прослушивание трафика ведет к нарушению конфиденциальности информации и хищению персональных данных
  13. 13. Примеры реальных атак <ul><li>Перепродажа трафика </li></ul><ul><li>Прослушивание переговоров </li></ul><ul><li>Захват корпоративной сети </li></ul>
  14. 14. Перепродажа трафика (фрод) IP PBX 1 – IP PBX клиента компании «А» IP PBX 2 – IP PBX злоумышленника <ul><li>Отсутствие списков доступа на устройствах </li></ul><ul><li>Слабая парольная политика в рамках устройств и ПО </li></ul><ul><li>Низкий уровень защищенности в целом именно VoIP- инфраструктуры </li></ul><ul><li>Биллинг 1 раз в месяц </li></ul>
  15. 15. Перепродажа трафика (фрод) – действия нарушителя <ul><li>Сканирует сеть и находит IP PBX 1. </li></ul><ul><li>Обеспечивает PSTN присоединение IP PBX 2 через IP PBX 1. </li></ul><ul><li>Пробрасывает дорогостоящие МГ/МН вызовы через «А» в PSTN. </li></ul>1 2 3 Оператор «А» неспособен четко разделить зоны ответственности между собой и своим клиентом , поэтому он платит всегда
  16. 16. Перепродажа трафика (фрод) – можно избежать если бы <ul><li>оператор : </li></ul><ul><li>настроил списки доступа на внешних интерфейсах клиентских IP PBX -ов ; </li></ul><ul><li>убедился, что звонки, пришедшие через SIP -транк не маршрутизируются обратно ; </li></ul><ul><li>блокировал МГ/МН вызовы, если они не используются; </li></ul><ul><li>распространил парольную политику и на VoIP- сервисы ; </li></ul><ul><li>предложил своему клиенту услугу анализа защищенности его оборудования. </li></ul>
  17. 17. Прослушивание переговоров <ul><li>Использование Wireless- сетей </li></ul><ul><li>Слабые алгоритмы шифрования </li></ul><ul><li>Отсутствие списков доступа </li></ul><ul><li>Слабая парольная политика </li></ul>
  18. 18. Захват корпоративной сети <ul><li>Отсутствие управления изменениями </li></ul>
  19. 19. Захват корпоративной сети – действия нарушителя <ul><li>Получает доступ к корпоративной сети через Wi-Fi </li></ul><ul><li>Находит в сети по типовому отклику CISCO Call Manager </li></ul><ul><ul><li>использует SQLi, реализующую CVE-2008-0026 </li></ul></ul><ul><ul><li>получает ХЭШи паролей пользователей , эквивалентно запросу </li></ul></ul><ul><ul><li>восстанавливает пароли из ХЭШей </li></ul></ul><ul><li>Один из восстановленных паролей является паролем Admin для всех CISCO КЛВС </li></ul>2 3 <ul><ul><li>runsql select user,password from applicationuser </li></ul></ul>https://www.example.org/ccmuser/personaladdressbookEdit.do?key='+UNION+ALL+SELECT+'','','',user,'',password+from+applicationuser;-- 1 Через VoIP -сервисы возможно захватить всю КЛВС
  20. 20. Выводы <ul><li>Инфраструктура VoIP подвержена тем же самым угрозам ИБ , что и обычная корпоративная ЛВС </li></ul><ul><li>Уязвимости VoIP -сервисов уязвимости КЛВС </li></ul><ul><li>Способы создания защищенной инфраструктуры в VoIP такие же как и в обычной корпоративной ЛВС </li></ul>
  21. 21. Советы по создание безопасной инфраструктуры <ul><li>Совет 1: организуйте у себя в VoIP -инф-ре контроль изменений и контроль обновлений. </li></ul><ul><li>Совет 2: распространите парольную политику на VoIP -сервисы , используйте стойкие крипто алгоритмы. </li></ul><ul><li>Совет 3: используйте систему контроля защищенности и соответствия стандартам для недопущения инцидентов. </li></ul><ul><li>Совет 4: предложите клиентам услуги по мониторингу уровня ИБ их оборудования в качестве VAS . </li></ul><ul><li>Совет 5: смотрите шире на ИБ своей инфраструктуры, ведь ваша IT -инфраструктура не ограничивается рабочими местами и электронной почтой. </li></ul>
  22. 22. Спасибо за внимание! Вопросы? Гурзов Константин [email_address]

×