Fraud в телефонии

В этой заметке я хочу систематизировать имеющуюся у меня информацию о проблемах нелигитимного доступа к телефонной связи.

Как известно, желание попользоваться чем нибудь не потратив на это ни копейки практически является чертой любого человека. У одних это пристрастие стоит во главе всех действий, у других же оно практически нивелировано человеческой моралью до такой степени, что они утверждают полное отсутствие подобных желаний. Ну это больше вопрос психологии, а мы рассмотрим как подобное желание реализуется на сетях ip-телефонии.

Итак основной целью злоумышленника является использование технических средств жертвы для получения максимальной прибыли в кратчайшие сроки. Для достижения этой цели злоумышленнику нужно решить как минимум две задачи - техническую и коммерческую. Технически необходимо получить доступ к возможности передачи телефонного трафика через оборудование жертвы. Коммерчески нужно выстроить схему получения платы за пропущенный трафик. Коммерческая сторона дела для меня до сих пор остается не до конца прозрачной, хотя некоторые кулуарные беседы в основном с пострадавшими от подобной деятельности наталкивают на определенные мысли. Давайте рассмотрим как все организуется технически. 

Как показывает практика существует два сценария возможной атаки. Первый сценарий направлен на получение доступа к оборудованию оператора связи. Второй сценарий подразумевает доступ к оборудованию оконечного пользователя и пропуск трафика через его технические средства. Под доступом здесь нужно понимать не возможность конфигурации оборудования, а возможность использования технических средств в качестве транзитного узла для пропуска трафика. Фактически перечень уязвимостей идентичен как для клиентского оборудования, так и для оборудования операторского класса и в подавляющем большинстве случаев уязвимостями можно воспользоваться, потому что обслуживающий персонал не озаботился вопросами защиты.

Итак вот перечень наиболее часто встречающихся проблем:

• DISA, auto attendant (автосекретарь), IVR. При настройке данных сервисов оставляется возможность совершить вызов путем набора внешнего по отношению к системе номера в процессе прослушивания приветственных сообщений. Нормальное поведение, когда система позволяет донабором попасть на определенный внутренний номер сотрудника или группу дозвона, но если остается возможность донабрать номер ТФоП вот этим и пользуются злоумышленники.
• Кража или подбор учетных записей. Кража sip-аккаунта непосредственно у конечного пользователя на мой взгляд довольно экзотический вариант, поскольку зачастую пользователь ip-pbx не знает своего пароля для регистрации оконечного устройства. Однако методы социальной инженерии могут быть применены к обслуживающему персоналу, например от имени вышестоящей компании-оператора. Подбор же возможен и следы его постоянно встречаются, стоит только "выставить" интерфейс sip устройства в публичную сеть. Ежедневно будут фиксироваться как попытки совершить вызов, так и попытки пройти регистрацию с различными учетными данными, очень похоже на bruteforce.
• Получение доступа к БД оператора связи, получение доступа к оконечным ip pbx или её БД. Здесь применяются как атаки по словарю так и социальная инженерия, возможны так же неправомочные действия обслуживающего персонала и банальные ошибки в конфигурации (регистрация без пароля с логином 100, существование дефолтных пар логин/пароль и т.п.). 

Описав проблемы можно перейти к практическим рекомендациям по противостоянию угрозам.
Банальные вещи, которые сразу должны приходить на ум при реализации систем защиты:

• Регулярная смена регистрационных данных, причем желательно, чтобы производилась проверка сложности пароля и блокировка различного рода qwerty последовательностей.
• При настройке оконечных ip-pbx необходимо разработать политики доступа к дальней связи для различных групп сотрудников. Например, телефону в общем холле не нужно выдавать возможность совершать вызовы на любое направление кроме внутренних номеров сотрудников и спецслужб. Или сотрудникам бухгалтерии врятли нужно постоянно звонить в Сомали или Буркина Фасо.
• Блокирование экзотики и дорогих направлений. Опять же на этапе инсталляции необходимо решить нужно ли сотрудникам компании иметь возможность совершить вызов на спутниковые телефоны или на premium направления в странах Балтии.

Из периодических мероприятий можно выделить следующие:

• отслеживание уязвимостей, обнаруженных в используемом ПО (linux, windows, asterisk, freeswith и т.д.) и применение критически важных обновлений. 
• если ваша система постоянно реконфигурируется, внедряется новый функционал, подключаются новые функции, необходимо производить сканирование автоматическими средствами на предмет выявления уязвимостей (sip сканеры, системы выявления уязвимостей).

Из технических средств, которые можно использовать для минимизации рисков можно отметить следующие технологии:

• GEO-ip скрининг. Для каждого источника voip вызова определяется принадлежность его к географическому региону и если он не является разрешенным к вызову можно применить различные сценарии обработки, от простой блокировки до создания ответного потока вызовов.
• Анализ cdr в реальном времени или очень близком к реальному, построение профиля абонента, алармы при превышении пороговых значений. Система мониторинга на основании cdr строит профиль типичных вызовов для определенного абонента. Например, номер 12345 никогда не звонит на междугородние направления и не совершает вызовов в нерабочее время. При выявлении активности которая не характерна для абонента возможна его блокировка, карантин или другие методы реакции.
• Для противодействия различного рода сканерам можно использовать утилиты типа fail2ban для автоматической блокировки сетевого адреса с которого был превышен порог, например попыток sip регистрации. Как развитие этой идеи возможна установка sbc (session border controller), которые позволяют не только выявлять сканирование сети, но и противостоять ddos атакам, производить polycing пользователей и т.д. Про функционал sbc можно написать целую книгу. 

Надеюсь, что краткое изложение моего опыта борьбы с описанными угрозами будет полезным.