По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Также, как и системы электронной почты, системы VoIP телефонии есть практически у каждой компании. Это могут быть простые облачные АТС, арендуемые у провайдера или собственные выделенные под IP-АТС серверные мощности, но среда, по которой передаётся сигнализация и пользовательский трафик данных систем один – Интернет. Это делает систему VoIP телефонии одной из самых востребованных злоумышленниками целей, ведь получив к ней доступ, открывается масса возможностей для извлечения прибыли или нанесения другого ущерба. Если Вы банально откроете логи своего межсетевого экрана и поищите запросы, поступающие извне, то наверняка увидите, что тысячи сканеров каждую секунду пробуют узнать какие сервисы работают на вашем внешнем адресе. И даже если этот адрес никак не связан с IP-телефонией, то вы всё равно там увидите запросы, связанные с VoIP. Это говорит о том, что злоумышленники очень хотят найти уязвимые системы телефонии и знают как проэксплуатировать выявленную брешь. В этой статье разберём какой профит получают хакеры, взломавшие VoIP систему, основные методы атак и протоколы, на которые они направлены. Чего хотят плохие парни? Как только Ваша систему IP-телефонии будет зарегистрирована в сети VoIP провайдера – вы сможете позвонить в любой уголок мира - на мобильный телефон в Тайване, на такософон в одной из красных будок Лондона и даже на декадно-шаговую АТС в музее Франкфурта-на-Майне! Что сделает злоумышленник, получивший такую возможность? – Воспользуется ею за Ваш счёт! В большинстве плачевно известных случаев, получая доступ к системе по средствам какой-либо уязвимости, злоумышленники делают следующее: совершают дорогостоящие звонки на дальние расстояния (long-distance calls); перепродают возможность звонка третьим лицам, не подозревающим, что услуга предоставляется на украденных мощностях звонят на номера с премиум обслуживанием, зарабатывая кэшбэк на свой счёт Существует провайдеры телефонных номеров с премиум обслуживанием (international premium rate number - IPRN). Это такие номера, звонки на которые, происходят очень часто и со всего мира. Например, номера для технической поддержки, прогноза погоды, сервисы для взрослых. Провайдеры таких номеров платят часть прибыли тому, кто гонит на них трафик - генератору звонков (call generator). В некоторых случаях провайдер осознанно участвует в мошеннической схеме, а иногда и вовсе не подозревает, что платит кэшбэк злоумышленникам за трафик, сгенерированный на "угнанных" мощностях. В конечном итоге и провайдеры и call generator'ы остаются в выигрыше, а платить приходится тому кого взломали. Всё вышеописанное подпадает под одно определение, которому в английской литературе дали название - toll fraud. На русский язык это можно перевести как неправомочные действия и несанкционированное пользование чужими ресурсами телефонной связи. Злоумышленникам также может быть интересно вывести вашу систему телефонии из строя, устроив атаку типа DoS (Denial of service) - отказ в обслуживании, хотя это случается реже toll fraud'а. Нам известны случаи, когда целый ботнет из серверов FreePBX начинал забрасывать IP-АТС заказчика "мусорными" вызовами, в результате чего на какое-то время, пользоваться системой стало просто невозможно. Техническая реализация Согласно исследованию IBM наиболее атакуемыми VoIP протоколами являются SIP, SCCP и H.255. Самым распространённым VoIP протоколом на сегодняшний день является SIP, поэтому и большинство атак осуществляется именно на этот протокол. Всё начинается с поиска сервера для проведения атаки. Протокол SIP использует стандартный порт 5060, поэтому первое, что сделает потенциальный злоумышленник – это отправит SIP-запрос на данный порт, чтобы посмотреть какой придет ответ. Как правило, для поиска SIP-сервиса используются стандартные запросы INVITE, REGISTER или OPTIONS. Хорошей практикой является перенос SIP-сервиса со стандартного порта на какой-нибудь другой. Таким образом мы можем увести сервис из-под удара. Ещё лучше – ограничить доступ к этому порту только для доверенного списка IP-адресов. Однако, иногда такой возможности просто нет. Для изначального установления соединения в SIP используется метод “тройного рукопожатия” , начинающийся с запроса INVITE, который подтверждается ответом 200 OK. Однако, если этот ответ от вызывающей стороны не получен, то соединение не устанавливается. Если наблюдается много таких незаконченных соединений за коротких промежуток времени, то это может быть признаком того, что против сервера идёт DoS-атака. Кстати, точно таким же образом, злоумышленник может провести атаку против легитимного устройства пользователя, чтобы сбросить его регистрацию на сервере и зарегистрироваться самому. Существует также метод “флуда” запросами REGISTER. Для этого злоумышленник должен знать параметры зарегистрированного устройства, регистрацию которого он хочет сбросить, подделать заголовок Contact в SIP пакете и отправить много (достаточно раз в 15 секунд) запросов REGISTER на сервер. Такой метод называется Registration-hijacking. Эти атаки возможны благодаря тому, что протокол SIP передает информацию в открытом виде, а значит атакующий может её собрать, модифицировать и воспроизвести. Помимо этого, в протоколе SIP не предусмотрено проверки целостности сообщений, поэтому атаки с модифицированной информацией и воспроизведенными пакетами не детектируются. Злоумышленникам совсем не обязательно перехватывать ваш трафик, чтобы вытащить запросы регистраций легитимных пользователей, потом модифицировать их и подсовывать обратно серверу. После обнаружения открытого SIP-порта, можно просто устроить перебор зарегистрированных внутренних номеров, например, от 10 до 9999. Ответ от сервера на запрос регистрации по такой схеме будет однозначно свидетельствовать о том, какие номера есть на IP-АТС, а каких там нет. Например, я могу отправить запрос на регистрацию с номера 2526 с неправильным паролем. Если на сервере зарегистрирован такой номер, то я получу ответ, что пароль неверен (Wrong Password), а если нет – то сообщение о том, что номер не найден (Not Found). Собрав список зарегистрированных номеров можно потом применить против них метод перебора паролей и получить доступ к внутреннему номеру легитимного пользователя. Другой неприятные метод атаки на VoIP позволяет прослушивать ваши телефонные разговоры. Для этого необходимо перехватить сигнальную информацию и соответствующие медиа потоки определенного соединения. Медиа потоки, которые как раз и содержат пакеты с голосом, обычно передаются по UDP с использованием протокола RTP. Захватив достаточное количество пакетов, можно декодировать RTP поток, а затем сделать из них простой аудио файл, который и будет содержать голос. Сделать это можно с помощью программы Wireshark. Мы рассказали про базовые методы проведения атак на VoIP системы. В следующих статьях, мы обязательно расскажем как защититься от каждого типа атаки, как выявить признаки атак и какие инструменты можно для этого использовать.
Корпоративная сеть – это структурная сеть какой-либо организации, главной целью которой является создание эффективной внутренней и внешней работы этой организации. По сути это взаимосвязанная совокупность локальных сетей под влиянием глобальной сети. Пользователями данной сети являются исключительно сотрудники данной организации. Часто корпоративная сеть включает в себя также офисы, отделения, подразделения и иные структуры организации в различных городах и странах.
p>
Организация объединенной корпоративной сети
Локальные корпоративные сети каждого отделения связаны друг с другом опорной (транспортной) сетью. При масштабной организации, когда отделения и офисы компании находятся в разных городах и странах, в качестве опорных сетей могут использоваться уже существующие глобальные сети передачи данных, а именно сети Интернет. Основной обмен данных осуществляется в локальных сетях, а опорная сеть предназначена для согласования проектных результатов, получаемых в разных офисах организации. Этому способствует иерархическая структура сети, тем самым снижая трафик в каналах передачи данных.
Канал передачи данных включает в себя опорную транспортную сеть в роли линии связи для обмена данными между отделениями, оконечную аппаратуру приема-передачи данных, коммутационное оборудование на маршруте передачи данных.
Первая задача для организации объединенной корпоративной сети –каналы связи. Есть несколько вариантов организации каналов связи между отделениями:
Собственный физический канал связи
VPN
В первом варианте каналы строятся между отделениями. Это может быть медный кабель, коаксиал, оптический кабель, радиосвязь и прочее.
К достоинствам данного метода можно отнести:
Гибкость (при предъявляемых требованиях канал возможно развернуть)
Контроль и безопасность
Из недостатков:
Развертывание
Обслуживание
Приемлемо для небольших расстояний – для организации связи между отделениями в других городах и странах лучше воспользоваться уже существующими сетями, а прокладка кабелей будет актуальна лишь в пределах небольшой территории, ограниченной несколькими километрами, или, например, между соседними зданиями.
Во втором варианте организации используются уже существующая глобальная сеть обмена данными между отделениями - поверх существующей сети организуется VPN.
Существуют 2 метода организации единой объединенной корпоративной сети организации через VPN:
С помощью использования интернет-провайдера;
С помощью использования собственного оборудования.
В первом случае, если главный офис и отделения организации подключены к сети Интернет через 1-ого интернет-провайдера, то, при наличии у него услуги VPN, можно рассчитывать на аренду выделенных линий (в том числе высокоскоростных) у интернет-провайдера.
Достоинства данного метода:
Простота в использовании, так как обслуживание полностью возлагается на провайдера
Универсальный размер канала – скорость передачи не может быть ниже заявленной
Недостатки данного метода:
Бесконтрольность - организация не несет ответственность за оборудование, которое находится на стороне провайдера
Дороговизна - при большой удаленности отделений друг от друга стоимость аренды каналов может значительно возрасти
Во втором случае, если отделения организации располагаются в разных странах и не могут пользоваться услугами одного провайдера, возможно, придется организовывать объединение отделений на основе собственного оборудования.
Достоинства данного метода:
Низкая стоимость – деньги организации расходуются только на оплату Интернета
Способность справиться с ростом масштабов деятельности
Недостатки данного метода:
Скорость–передача данных может варьироваться
Некоторые интернет-провайдеры так же могут предоставлять не только транспортные услуги корпоративным пользователям, но и информационные, как, например, услуги хостинга, переноса собственных серверов, веб-сайтов и баз данных организаций на территории провайдера, который будет осуществлять их обслуживание и эффективную работу, а также обеспечивать быстрый доступ к ним. Распространение облачных сервисов усиливает эту тенденцию. Использование облачной инфраструктуры для корпоративной сети будет подробнее раскрыто в следующих разделах.
В данной статье будет рассматриваться вариант организации корпоративной сети c соединениями между разными отделениями посредством собственных VPN-шлюзов. Это также поможет для дальнейшего доступа к облачной инфраструктуре.
Технологии VPN
Такие технологии VPN-туннелирования как OpenVPN, L2TP/IPse защищают узлы корпоративной сети посредствам связи.
PPTP – протокол, который создает соединение с компьютером посредством специального туннеля в стандартной сети. Главным его минусом является слабая защищенность – он может быть быстро взломан как для хороших намерений (например, государства), так и для плохих (например, кибератаки). Тем не менее, главными плюсами является ни что иное как отсутствие необходимости установки дополнительного ПО, а также высока скорость работы.
L2TP/IPsec – протокол, который в компьютерных сетях используется как туннельный, нужен для поддержки частный сетей. Главным достоинством по сравнение с предыдущим протоколом является его высокая защищенность. Но из этого вытекает главным недостаток – слабая скорость: сначала создается IPsec-туннель, затем данные передаются через L2TP.
OpenVPN – протокол, использующий для защиты соединений такие методы как «точка-точка» и «сайт-сайт». Решение использует OpenSSL библиотеку для обеспечения шифрования, которая имеет в составе такие криптографические алгоритмы, как 3DES, AES, RC5 и Blowfish.
Способ объединения локальных сетей разных офисов организации посредством VPN называется «site-to-site VPN», подразумевающий наличие двух устройств, между которыми создается VPN-туннель. Роль этих устройств играет VPN-шлюз. Данный способ соединения является наиболее оптимальным для организации корпоративной сети.
Firewall и VPN-шлюз
Находясь внутри организации, сотрудники часто могут подключиться к незащищенным точкам доступа, что несомненно может повлечь за собой плохие последствия. Удаленный доступ решает эту проблему безопасности и позволяет без проблем устанавливать соединение к корпоративной сети. Для того, чтобы защитить данные пользователей используются вышеназванные протоколы наподобие IPsec и L2TP.
Локальная сеть организации
Выделим основные элементы корпоративной сети:
Рабочие станции
Сетевое оборудование
Серверы
Почтовый сервер
Сервер печати
Сервер базы данных
Файловый сервер
Терминальный сервер (MS Office, 1С, Skype и т.д.)
Web-сервер
Сервер резервного копирования
Другие серверы
Рабочая станция – доступный компьютер с подключенной сетью, открывающий пользователю доступ к ресурсам корпоративной сети. В качестве рабочих станций могут выступать «сетевые компьютеры» (Net PC). Рабочая станция на основе обычного компьютера оснащена собственной операционной системой и набором программных компонентов для выполнения расчетных, графических, инженерных и других работ и может работать как в локальном или сетевом режиме.
Сетевое оборудование – устройство, предназначенное для работы компьютерных сетей. Оно разделяется на активное и пассивное.
Серверы – многопользовательский компьютер, предоставляющий общий доступ другим рабочим станциям к своим системным ресурсам (вычислительным мощностям, базам данных, программному обеспечению, принтерам и т.д.) и распределяющий эти ресурсы. На него может быть установлена своя ОС, на которой возможно функционирование и других сетевых компьютерах.
В зависимости от конечных целей серверы делят на:
Файловые – обеспечивают универсальный доступ к общим данным организации.
Терминальные – создают удаленные сессии заранее установленных на сервере приложений для доступа к ним сотрудников с их рабочих станций по сети предприятия.
Электронной почты – фильтрация, скачивание и обработка на сетевом компьютере.
Резервного копирования – служат для создания резервных копий данных с других серверов.
Печати – служат для совместного доступа к печатному оборудованию.
Базы данных – обслуживают и управляют базой данных.
Web-сервера – для приема и обработки запросов от клиентов к сайту в сети.
Таким образом, общая структура корпоративной сети будет выглядеть так, как представлено на рисунке.
Можно заметить, рабочие станции каждого отдела подключаются к коммутаторам, которые, в свою очередь, подключаются к маршрутизатору с мощным фаерволом (Firewall), а все филиалы соединяются между собой через VPN-шлюз. Филиалы подключаются к центральному офису через выделенный VPN-туннель, тем самым получая доступ к серверам главного офиса.
Все серверы могут быть располагаться на одном физическом сервере посредством виртуализации.
В этой статье мы расскажем как настроить LACP (Link Aggregation Control Protocol) И PAgP (Port Aggregation Protocol), которые носят гордое название EtherChannels - агрегирование каналов.
На самом деле EtherChannel это технология агрегации (объединения) каналов. Это означает, что мы можем объединить несколько линков в один логический, что позволит увеличить пропускную способность между коммутаторами.
Пример использования
Взглянем на схему ниже:
В рамках данной схемы мы имеем серверную инфраструктуру, которая подключена в коммутатору распределения (distribution switch) через свой коммутатор. За коммутатором распределения сидят коммутаторы доступы, за которым расположились пользовательские рабочие станции:
Если мы подключим два коммутатор линком в 1ГБ/сек, то потенциально, мы можем столкнуться с проблемой «бутылочного горлышка», то есть узкого места. Тогда пользователи испытают проблемы с доступом к серверной ферме.
Используя технологию EtherChannel, мы можем объединить до 8 интерфейсов (физических) в один логический линк (агрегация портов, Port-Channel) и трафик будет распределяться между физическими портами равномерно (балансируя нагрузку).
В нашем примере мы объединили 4 (четыре) гигабитных линка между рабочими станциями и серверами в один, с пропускной способностью 4ГБ/сек. Это увеличило общую пропускную способность и добавило отказоустойчивость линков!
Не забывайте про STP (Spanning-tree protocol). В случае агрегации портов, мы исключаем STP петли.
Режимы EtherChannel
Каждый из протоколов LACP или PAgP имеет по 3 режима работы, которые определяют режим его активности (инициализировать ли построение агрегации со своей стороны, или ждать сигнал с удаленной стороны):
LACP Modes: ON, ACTIVE, PASSIVE;
PAgP Modes: ON, DESIRABLE, AUTO;
Давайте посмотрим, в каком из случае будет установлено соединение EtherChannel при различных режимах настройки. Для LACP:
Коммутатор №1
Коммутатор №2
Установится ли EtherChannel?
ON
ON
Да
ACTIVE
ACTIVE/PASSIVE
Да
ON/ACTIVE/PASSIVE
Not configured (off)
Нет
ON
ACTIVE
Нет
PASSIVE/ON
PASSIVE
Нет
Теперь разберемся с PAgP:
Коммутатор №1
Коммутатор №2
Установится ли EtherChannel?
ON
ON
Да
DESIRABLE
DESIRABLE/AUTO
Да
ON/DESIRABLE/AUTO
Not configured (off)
Нет
ON
DESIRABLE
Нет
AUTO / ON
AUTO
Нет
Настройка
Ок, предположим, что порты с Gi0/0 по Gi0/3 буду использованы для агрегации EtherChannel. Лучше всего настроить логический интерфейс (агрегированный) в качестве транка, чтобы пропускать VLAN между коммутаторами.
Поднимаем LACP
В нашем случае switch1 будет активном (Active) режиме, а switch2 будет в пассивном (Passive) режиме.
switch1(config)# interface range Gi0/0 -3 // выбираем диапазон из 4х интерфейсов;
switch1(config-if-range)# channel-protocol lacp // указываем протокол как LACP;
switch1(config-if-range)# channel-group 1 mode active // указываем активный режим;
switch1(config-if-range)# exit
switch1(config)# interface port-channel 1 // конфигурируем логическую сущность как транк;
switch1(config-if)#switchport trunk encapsulation dot1q
switch1(config-if)#switchport mode trunk
switch2(config)# interface range Gi0/0 – 3 // выбираем диапазон из 4х интерфейсов;
switch2(config-if-range)# channel-protocol lacp // указываем протокол как LACP;
switch2(config-if-range)# channel-group 1 mode passive // указываем пассивный режим;
switch2(config-if-range)# exit
switch2(config)# interface port-channel 1 // конфигурируем логическую сущность как транк;
switch2(config-if)#switchport trunk encapsulation dot1q
switch2(config-if)#switchport mode trunk
Поднимаем PAgP
В этом случае switch1 будет Desirable - режиме, а switch2 будет в автоматическом (Auto) режиме.
switch1(config)# interface range Gi0/0 -3 // выбираем диапазон из 4х интерфейсов;
switch1(config-if-range)# channel-group 1 mode desirable // указываем desirable режим;
switch1(config-if-range)# exit
switch1(config)# interface port-channel 1 // конфигурируем логическую сущность как транк;
switch1(config-if)#switchport trunk encapsulation dot1q
switch1(config-if)#switchport mode trunk
switch2(config)# interface range Gi0/0 – 3 // выбираем диапазон из 4х интерфейсов;
switch2(config-if-range)# channel-group 1 mode auto // указываем автоматический режим;
switch2(config-if-range)# exit
switch2(config)# interface port-channel 1 // конфигурируем логическую сущность как транк;
switch2(config-if)#switchport trunk encapsulation dot1q
switch2(config-if)#switchport mode trunk
Полезные команды
Вот некоторые команды, которые могут понадобиться вам в работе с EtherChannel:
show etherchannel summary
show etherchannel 1 port-channel
show interfaces etherchannel