Tietoturvasuosituksia VoIPjärjestelmien ylläpidosta Voice over Internet Protocol 1
Sisältö 1 Tiivistelmä 3 2 Miksi järjestelmät pitää suojata? 1. VoIP-järjestelmien ja -päätelaitteiden porttiskannaus sekä vaihteiden alanumeroihin kohdistuva verkkotiedustelu 2. VoIP-järjestelmiin ja -päätelaitteisiin kohdistuvat tietomurrot 3 3 3 Verkkoturvallisuus Palomuurit Salasanat VPN Hallintayhteydet Ohjelmistokorjaukset Käyttämättä jääneet palvelut WLAN VoIP-tietoturva Salasanat Päätelaitevarkauksiin varautuminen ja reagoiminen Päätelaitteiden ja järjestelmien käytöstä poistaminen Hallintarajapinnat Käyttämättä jääneet palvelut Ohjelmistokorjaukset Puhelunestot VoIP-liittymien etäkäyttö Tietoturvan testaus VoIP-palvelun suojaaminen palomuurilla Etäkäyttäjien yhteydet VoIP-vaihteeseen Yhteys palveluntarjoajan verkkoon Etähallintayhteydet Sovelluspalomuurit (ALG, SBC) Puhelunestot ja saldorajoitukset Puhelunestot Saldorajoitukset Yhtäaikaisten puheluiden määrän rajoittaminen Soittokäyttäytymisen seuranta 7 Lyhenneluettelo 10
Viestintävirasto VoIP-tietoturvavinkkejä Tietoturvasuosituksia VoIP-järjestelmien ylläpidosta 1 Tiivistelmä Tämä ohje on laadittu Viestintäviraston VoIP-vaihteiden väärinkäytökset -työryhmässä yhdessä palveluntarjoajien kanssa. Suositukseen on kirjattu hyväksi havaittuja käytäntöjä VoIP-palvelun tietoturvallisuuden osalta. Ohje on tarkoitettu yrityksien VoIP-järjestelmistä vastaaville. VoIP-järjestelmällä tarkoitetaan tässä ohjeessa yrityksen VoIP-tekniikkaa (Voice over Internet Protocol) tukevia puhelinvaihteita ja muita järjestelmiä, kuten videoneuvottelulaitteistoja ja pikaviestintäjärjestelmiä. Järjestelmät on syytä suojata vaikka niitä ei olisi kytketty suoraan internetiin. Ohje koskee myös perinteisiä puhelinvaihteita, joihin on kytketty VoIP-kortti tai jotka on kytketty VoIP-kykyiseen yhdyskäytävään. Ohje soveltuu osittain myös muihin perinteisiin puhelinvaihteisiin mm. ohjelmistokorjausten ja järjestelmän ylläpitoyhteyksien sekä niissä käytettävien salasanojen osalta. Myös estojen käyttö on tärkeää etenkin, mikäli vaihde mahdollistaa yrityksen ulkopuolelta tulevien puheluiden uudelleenohjauksen yleiseen puhelinverkkoon. Tässä ohjeessa esitetyt tietoturvatoimet kattavat asiakkaan tiloihin asennetun VoIP-järjestelmän asetukset, menetelmiä palveluun kohdistuvien hyökkäyksien torjumiseksi ja ennalta ehkäisevät keinot onnistuneesta hyökkäyksestä asiakkaalle aiheutuneiden vahinkojen pienentämiseksi. 2 Miksi järjestelmät pitää suojata? Rikolliset etsivät heikosti suojattuja tietokoneita, VoIP-järjestelmiä ja -päätelaitteita. Kaikkien internetiin yhteydessä olevien tietokoneiden ja verkkojen tietoturva on syytä varmistaa uusimmilla firmware- ja ohjelmistopäivityksillä, vahvoilla salasanoilla, tietoturvaohjelmilla, palomuureilla sekä tarpeettomien palvelujen poistamisella. Nämä samat neuvot koskevat myös VoIP-järjestelmien ja päätelaitteiden ylläpitoa. Ennen VoIP-järjestelmän käyttöönottoa ja mahdollista yhdistämistä internetiin, yrityksen tulee varmistaa, että järjestelmä on suojattu haitallisia hyökkäyksiä vastaan. Tietoturvasta on huolehdittava tämän jälkeenkin jatkuvasti. Suojaamattomat järjestelmät ja päätelaitteet ovat hyvin alttiita väärinkäytöksille. Huonosti suojatun ja yleiseen puhelinverkon kytketyn järjestelmän tai päätelaitteen kautta voidaan välittää luvatta puheluja esimerkiksi kalliisiin palvelunumeroihin tai ulkomaille. Tästä voi aiheutua todella suuria kuluja järjestelmää käyttävälle yritykselle. Suomessa tapahtuneissa väärinkäytöksissä vahingot ovat olleet jopa kymmeniä tuhansia euroja pelkästään yhden viikonlopun ajalta. Alla on kuvattu lyhyesti palveluntarjoajien havaintojen perusteella yleisimmät VoIP-järjestelmiin ja päätelaitteisiin liittyvät tietoturvauhat: 1. VoIP-järjestelmien ja -päätelaitteiden porttiskannaus sekä vaihteiden alanumeroihin kohdistuva verkkotiedustelu Rikolliset etsivät jatkuvasti internetistä suojaamattomia VoIP-järjestelmiä ja -päätelaitteita. VoIP-vaihteiden alanumeroavaruuksiin tehdään myös kohdennettuja verkkotiedusteluja. Rikolliset tekevät näitä tiedusteluja löytääkseen mahdollisia hyökkäyskohteita, mutta jo pelkkä verkkotiedustelu voi aiheuttaa haittoja, kuten puhelimen turhaa soimista tai jumiutumista. 3
Verkkotiedustelu mahdollistaa myös esim. puhelimiin tai puhelinvastaajiin roskapostina lähetetyt ääniviestit SPIT (Spam over Internet Telephony), mutta tästä ei ole toistaiseksi Suomessa juurikaan havaintoja. 2. VoIP-järjestelmiin ja -päätelaitteisiin kohdistuvat tietomurrot Löydettyään sopivia kohteita, rikolliset aloittavat murtoyritykset. Internetistä löytyy lukuisia ohjelmia, joilla hyökkäyksiä voi tehdä systemaattisesti ja automaattisesti. Hyökkääjän tavoitteena voi olla esimerkiksi käyttäjätilitietojen kalastelu tai päätelaitteen tai järjestelmän kaappaaminen. Molemmissa tilanteissa hyökkääjä voi tämän jälkeen ohjata omaa liikennettään järjestelmän kautta yleiseen puhelinverkkoon. Käytettäessä VoIP-ohjelmistoja internetin yli etenkin suojaamattomissa WLAN-verkoissa, yrityksen on hyvä huomioida myös riski liikenteen salakuunteluun, jolloin sekä käyttäjän tilitiedot että puheluiden sisältö on vaarassa paljastua mahdollisille hyökkääjille. 3 Verkkoturvallisuus Mikäli tietoliikenneverkko tai päätelaite on yhteydessä internetiin, se on syytä suojata. Ohessa on muutamia perusasioita tietoturvasta huolehtimisesta. Palomuurit VoIP-järjestelmät ja -päätelaitteet on syytä suojata palomuurilla. Palomuurilla yritys voi torjua verkkotiedustelu- ja tietomurtoyrityksiä. Aihetta on käsitelty tarkemmin luvussa. Salasanat Järjestelmän oletussalasana tulee vaihtaa heti. Vaihtamattomat oletussalasanat ovat helppo kohde hyökkäyksille. Jos järjestelmän käyttäjät valitsevat itse salasanansa ja PIN-tunnuksensa, heidän tulisi välttää liian ilmeisiä tai helposti arvattavissa olevia salasanoja (esim. käyttäjätunnus, yrityksen nimi, auton rekisteritunnus jne.). Myöskään PIN-tunnukset 1111 tai 123 eivät ole suositeltavia. Vahva salasana on vähintään merkkiä pitkä, mieluiten 12 tai enemmän ei sisällä käyttäjätunnusta, oikeaa nimeä tai yrityksen nimeä ei sisällä kokonaista sanaa tai muodostuu ainakin kahdesta erillisestä sanasta, kuten bonsaipuunhoito tai tietovoipsana sisältää isoja ja pieniä kirjaimia, numeroita ja päätelaitteen tuesta riippuen myös erikoismerkkejä esimerkiksi Tieto2voip.Sana poikkeaa huomattavasti entisistä salasanoistasi Tämäntyyppiset salasanat torjuvat paremmin sanakirjahyökkäyksiä, joissa automaattinen järjestelmä yrittää kirjautua sisään käyttämällä yleisimmistä salasanoista koostuvaa listaa, esim.123, pa33word, jne. VPN Salattu VPN-verkko (Virtual Private Network) tarjoaa mahdollisuuden etäkäyttäjille (esim. kotona työskenteleville) turvallisen verkon käyttöön. Verkkoon pääsee salasanalla ja liikenne on salattua, joten kukaan ei voi seurata tai kaapata käyttäjän tietoja. Mikäli etäkäyttäjät saavat yhteyden yrityksen sisäverkkoon VPN:n kautta, palomuurin säännöstöt voidaan määritellä selvästi turvallisemmiksi. Hallintayhteydet Laitteet, joihin on mahdollista ottaa hallintayhteys oman verkon ulkopuolelta, tulee suojata palomuurilla ja niihin tulee voida kirjautua vain VPN-verkon kautta. Hyökkääjien on helppo havaita suojaamattomat hallintaportit. Ohjelmistokorjaukset Järjestelmät pidetään ajan tasalla ohjelmistokorjausten avulla. Uusia järjestelmähaavoittuvuuksia löytyy viikoittain, joten korjaukset ovat tärkeitä. Käyttämättä jääneet palvelut Käyttämättömät palvelut tulee kytkeä pois käytöstä väärinkäytön estämiseksi. Tällaisia voivat olla laitteesta riippuen esimerkiksi FTP- tai HTTP-palvelimet. WLAN Jos käyttäjillä on pääsy langattomaan lähiverkkoon, tulee varmistaa, että käytössä on riittävän vahva käyttäjien tunnistus ja liikenteen salausjärjestelmä (esim. WPA2), joka estää liikenteen salakuuntelun sekä ulkopuolisten pääsyn verkkoon. 1) 1) Lisätietoja: http://www.cert.fi/ohjeet/2002/p_.html
Helppoudesta kannattaa tinkiä hyvän tietoturvatason saavuttamiseksi. Järjestelmien etäkäyttö (kuten VoIP-puhelimien etäkäyttö kotona työskennellessä) tuo mukanaan uusia ja joustavia työskentelytapoja. Etäkäyttö tuo mukanaan uusia mahdollisuuksia yrityksen viestintään, mutta toisaalta etäkäyttöön liittyy myös tietoturvariskejä. Jokaisen yrityksen on etsittävä itselleen sopiva toimintatapa. VoIP-tietoturva Useimmiten puhelinjärjestelmiin hyökätään ansaitsemismielessä. Tyypillisesti rikolliset pyrkivät kaappaamaan puhelinjärjestelmiä, kuten vaihteita ja ohjaamaan niiden kautta ulkomaanpuheluita tai puheluita perustamaansa kalliiseen palvelunumeroon järjestelmän haltijan kustannuksella. Kummassakin tapauksessa lopputulos on sama: hyökkäyksen kohteen puhelinlasku kasvaa ja rikolliset hyötyvät taloudellisesti. Hyökkääjän tarkoituksena voi olla myös yrityksen salakuuntelu tai viestinnän estäminen palvelunestohyökkäyksen avulla. Jotta yrityksen VoIP-järjestelmä olisi mahdollisimman tietoturvallinen, yrityksen tulee varmistaa, että verkon perustietoturva on kunnossa. Lisäksi yrityksen tulee kiinnittää huomiota VoIP-järjestelmän ja -päätelaitteiden tietoturvaan. Nämä ovat usein täysiverisiä tietoliikenneyhteyksillä varustettuja tietokoneita, joten jokaisen laitteen tietoturvasta on huolehdittava samalla tavalla kuin esimerkiksi pöytätietokoneen tietoturvasta. Alla on kuvattu muutamia oleellisia tietoturvakysymyksiä: Salasanat Varmista tietoturva VoIP-laitteissa, jotka sisältävät konfigurointirajapinnan. Näitä ovat esimerkiksi VoIPvaihteet, -puhelimet ja -sovittimet. Luku 3 sisältää salasanoihin ja PIN-koodeihin liittyviä neuvoja. On suositeltavaa, että käyttäjiltä vaaditaan vahvan salasanan käyttöä VoIP-puhelimissa sekä salasanansa vaihtamista säännöllisesti. Tämä onnistuu, kun VoIP-vaihde asetetaan vaatimaan salasanat kaikilta puhelimilta. Väärinkäytösten ja taloudellisten menetysten riski kasvaa huomattavasti, jos yhteenkin puhelimeen jätetään oletussalasana tai heikko salasana, tai jos puhelimessa ei ole lainkaan salasanaa. Päätelaitevarkauksiin varautuminen ja reagoiminen Useimmat VoIP-päätelaitteet ja ohjelmat tallettavat käyttäjän salasanan. Yrityksen tulisi varautua tilanteisiin, joissa on syytä epäillä salasanan joutumista sivullisen haltuun. Esimerkkejä tällaisesta ovat päätelaitevarkaudet ja -katoamiset sekä haittaohjelmatartunnat. Yrityksen tulisikin laatia toimintatavat näiden tilanteiden varalle, ja pitää huolta, että käyttäjän salasana myös käytännössä vaihdetaan aina kun jokin näistä tapahtuu. Päätelaitteiden ja järjestelmien käytöstä poistaminen Yrityksen tulee muistaa poistaa päätelaitteille ja järjestelmiin talletetut salasanat ja muut kriittiset tiedot ennen niiden luovuttamista esim. kierrätykseen tai romutettavaksi. Hallintarajapinnat VoIP-järjestelmät (vaihde, puhelin, jne.) kannattaa suojata yrityksen palomuurilla. Kannattaa muistaa, että jos järjestelmän etähallinta sallitaan, myös hyökkääjä voi saada järjestelmän hallintaansa. Jos järjestelmän etähallinta sallitaan, tulisi se olla mahdollista vain VPNverkon kautta. Käyttämättä jääneet palvelut Kytke VoIP-järjestelmistä pois päältä kaikki käyttämättömät palvelut väärinkäytön estämiseksi. Järjestelmän ominaisuuksia tai palveluita ei siten kannata ottaa käyttöön, jos niille ei ole oikeasti tarvetta yrityksessä. Tällaisia palveluita ovat esimerkiksi puhelinvastaaja ja puheluiden uudelleenohjausmahdollisuus. Liitteessä 1 on esitetty esimerkinomainen tarkistuslista käyttämättä jääneiden palveluiden poiskytkemisestä Asteriskvaihteissa. Ohjelmistokorjaukset Kuten verkkojärjestelmissä (katso luku 3), myös VoIP-komponenteissa esiintyy haavoittuvuuksia, joita korjataan ajoittaisilla ohjelmistopäivityksillä. Yrityksen tuleekin huolehtia, että sen järjestelmiä koskevia päivityksiä seurataan ja tarpeelliset päivitykset asennetaan.
Puhelunestot Puheluille asetettavat estoluokat ovat helppo tapa rajata hyökkäyksistä aiheutuvaa väärinkäytösriskiä. Estopalvelun avulla on mahdollista rajoittaa soittamista maksullisiin palvelunumeroihin ja ulkomaisiin numeroihin. Yrityksen on mahdollista määritellä VoIPjärjestelmään omia estoja, mutta kannattaa muistaa myös palveluntarjoajien tarjoamat estoluokkapalvelut. Aihetta käsitellään tarkemmin luvussa. VoIP-liittymien etäkäyttö VoIP-liittymien etäkäyttö on selkeä tietoturvariski. Jos etäkäyttö päätetään sallia, yhteydet on syytä salata, jotta käyttäjätunnukset, salasanat ja puheluiden sisältö ei päädy vääriin käsiin. Kannattaa myös harkita, kenelle etäkäyttö on syytä sallia. Jos selviä etäkäyttötarpeita ei ole, kannattaa palvelun käyttö rajoittaa omaan toimistoverkkoon. Mahdollinen etäkäyttö onkin syytä rajata vain sitä tarvitseville käyttäjille. Etäkäyttö olisi hyvä sallia vain VPN-yhteyksien kautta. Jos tämä ei ole mahdollista, etäkäyttäjät tulee tunnistaa vahvan salasanan ja mahdollisuuksien mukaan MAC-osoitteen ja kiinteän IP-osoitteen avulla. Tietoturvan testaus Yrityksen on suositeltavaa todentaa VoIP-vaihteen ja palomuurin asetusten oikeellisuus esimerkiksi testiohjelmilla (2 (esim. SIPVicious). Useimmiten yrityksen kannattaa varmistaa järjestelmän tietoturva esimerkiksi hyväksymistestauksen yhteydessä ulkoisella auditoinnilla. VoIP-palvelun suojaaminen palomuurilla Oikein konfiguroituna palomuuri suodattaa tehokkaasti saapuvaa ja lähtevää liikennettä. VoIP-alustoihin liittyvien tietoturvahaavoittuvuuksien määrä vähenee, kun sallitaan pääsy ainoastaan luotettaviin IP-osoitteisiin ja palveluihin. VoIP-palvelun tietoturva kannattaakin varmistaa aina palomuurilla. Älä unohda myöskään muita yllämainittuja tietoturvatoimia. Etäkäyttäjien yhteydet VoIP-vaihteeseen Lähtökohtaisesti yrityksen VoIP-vaihteeseen tai yrityksen sisäverkossa oleviin VoIP-päätelaitteisiin ei tule sallia yhteyksiä internetistä. Tämän vuoksi etäkäyttäjien yhteydet VoIP-vaihteeseen tulisi sallia vain VPN-yhteyksien kautta. Mikäli yrityksellä ei ole käytössä VPN-yhteyksiä tai yhteyksien käyttö ei muuten ole mahdollista, on suositeltavaa käyttää vähintään kiinteitä, julkisia IP-osoitteita silloin, kun kyse on pysyvästi etäkäytössä olevista asiakassovelluksista tai alanumeroista (esim. sivukonttorit tai etätyöntekijät). Tällöin pääsy VoIP-vaihteeseen voidaan rajata vain kyseisistä IP-osoitteista yrityksen palomuurilla. Pääsyn avaamista laajoista IP-osoiteavaruuksista tai koko internetistä ei suositella. Yhteys palveluntarjoajan verkkoon VoIP-vaihde liitetään palveluntarjoajan kautta yleiseen puhelinverkkoon. Palveluntarjoajalta kannattaa tiedustella mahdollisuutta VPN-yhteyteen tai muuhun salattuun yhteyteen vaihteen liittämiseksi palveluntarjoajan verkkoon. Usein tällaista ei kuitenkaan ole tarjolla, jolloin vaihteeseen tulee sallia yhteys vain palveluntarjoajan kiinteästä IP-osoitteesta. Etähallintayhteydet Etähallintayhteyden kautta hyökkääjä voi saada vaihteen hallintaansa, joten nämä ovat yritykselle jopa suurempi riski kuin etäkäyttöyhteydet. Etähallinnan tarvetta tulee harkita tarkkaan ennen sen avaamista ja tällöinkin yhteys tulee suojata VPN-yhteydellä. Sovelluspalomuurit (ALG, SBC) Markkinoilla on monia VoIP-palvelua tukevia sovelluspalomuureja. Saatujen kokemusten perusteella näyttää siltä, että yrityksille myytävät tuotteet ovat vasta kehittymässä ja tuotteiden ominaisuuksissa on suuria eroja. Sovelluspalomuureja on osattava käyttää oikein ja pahimmassa tapauksessa ne ovat estäneet koko palvelun toiminnan. Oikein käytettyinä sovelluspalomuurit ovat kuitenkin tietoturvallisempia kuin perinteiset palomuurit. Yrityksen kannattaakin selvittää VoIP-järjestelmän toimittajalta tai palveluntarjoajaltaan yhteensopivat tuotteet ja oikeat asetukset ennen sovelluspalomuurin hankintaa ja käyttöönottoa. Käyttöönotossa kannattaa kysyä apua myös tietoturva-asiantuntijoilta ja palomuurin myyjältä. 2) http://www.voipsa.org/resources/tools.php
Käytön helppoudesta kannattaa tinkiä hyvän tietoturvatason saavuttamiseksi. Esimerkiksi etäkäyttö tuo mukanaan uusia mahdollisuuksia yrityksen viestintään, mutta toisaalta se on myös selvä tietoturvariski. 7
Puhelunestot ja saldorajoitukset Useimmiten puhelinjärjestelmiin hyökätään ansaitsemismielessä. Tyypillisesti rikolliset pyrkivät kaappaamaan puhelinjärjestelmiä ja ohjaamaan vaihteen kautta ulkomaanpuheluita tai puheluita perustamaansa kalliiseen palvelunumeroon järjestelmän haltijan kustannuksella. Mikäli järjestelmän suojaus pettää, yritykselle aiheutuvaa taloudellista vahinkoa voidaan rajoittaa Puhelunestoilla ja saldorajoituksilla. Yrityksen onkin suositeltavaa ottaa nämä käyttöön omassa VoIP-vaihteessaan sekä sopimalla palveluntarjoajan kanssa. Palveluntarjoajien kyky tarjota yrityskohtaisia rajoituksia kuitenkin vaihtelee ja yritys voi toteuttaa näitä estoja ja rajoituksia joustavimmin omassa vaihteessaan. Yritys voi esimerkiksi määritellä toimistoaikaa tiukemmat rajoitukset esimerkiksi viikonlopuille tai yöajoille. Tämä voi olla tarpeen, sillä suurin osa väärinkäytöksistä tapahtuu viikonloppuisin ja öisin. Yrityksen on mahdollista määritellä rajoituksia, kuten ulkomaanestoja myös käyttäjäkohtaisesti. Huom! Hätäpuheluita ei tule koskaan estää. Puhelunestot Palveluntarjoajien tähän mennessä havaitsemissa väärinkäytöstapauksissa kaapatun vaihteen tai päätelaitteen kautta soitetut puhelut ovat kohdistuneet ulkomaisiin puhelinnumeroihin. Siksi ulkomaanesto on tehokas tapa rajata aiheutuvaa taloudellista vahinkoa. Saldorajoitukset Yrityksen kannattaa tiedustella palveluntarjoajalta sen verkossa puheluille asetettavasta saldorajoituksesta. Saldorajaa ei tällöin voi ylittää, vaikka ulkopuolinen pääsisi käsiksi käyttäjätietoihin. Jotkut palveluntarjoajat voivat lähettää käyttäjälle varoituksia saldorajan saavuttamisesta sähköpostitse. Yhtäaikaisten puheluiden määrän rajoittaminen Yritys voi rajoittaa itse liittymäkohtaista yhtäaikaisten puheluiden määrää. Tämä on suositeltava käytäntö, sillä yritys voi näin rajoittaa riskiä tilanteissa, joissa hyökkääjä on saanut kaapattua yhden tai useamman vaihteen alaliittymän. Palveluntarjoajat rajoittavat yleensä myös vaihteesta vastaanotettavien ja lähtevien puheluiden kokonaismäärää osana vaihdeliittymän tuotteistusta. Soittokäyttäytymisen seuranta Yrityksen on mahdollista seurata soittokäyttäytymistä liittymäkohtaisesti. Tämä auttaa mahdollisten väärinkäytösten havaitsemista ja ongelmien korjaamista. Yrityksen on myös suositeltavaa seurata epäonnistuneita puheluita, sillä näiden avulla voidaan parhaimmassa tapauksessa havaita ja ennaltaehkäistä mahdolliset väärinkäytökset ennen varsinaisen hyväksikäytön alkamista. Yritys voi tiedustella asiasta tarkemmin palveluntarjoajalta. Yrityksen on suositeltavaa sallia omassa vaihteessaan etenkin Euroopan ulkopuolelle vain ne ulkomaansuunnat, joihin yrityksellä on puhelinliikennettä. Yrityksen kannattaa harkita etenkin kalliiden ulkomaansuuntien estämistä. Tämän lisäksi yritys voi sallia muihin maihin soittamisen esimerkiksi erillisellä numeron eteen lisättävällä tunnuksella. Vaihteen ylläpitäjä voi ottaa estot käyttöön jopa käyttäjäkohtaisesti. Tätä onkin syytä harkita, mikäli vain osalla käyttäjistä on tarve soittaa ulkomaille. Osa palveluntarjoajista pystyy selvittämään liittymäkohtaista soittokäyttäytymistä ja kykenee täten myös reagoimaan paremmin mahdollisiin väärinkäytöksiin. Yrityksen onkin hyvä tiedustella asiaa palveluntarjoajalta. Yrityksen on lisäksi hyvä tiedustella palveluntarjoajalta tämän tarjoamia puhelunestoja. Myös tällaiset estot ovat tarpeen siltä varalta, että rikollinen saa yrityksen vaihteen haltuunsa.
7 Lyhenneluettelo ALG Application Layer Gateway FTP File Transfer Protocol HTTP Hypertext Transfer Protocol IP Internet Protocol IP-PBX IP Private Branch Exchange MAC Media Access Control PIN Personal Identification Number SBC Session Border Controller SIP Session Initiation Protocol VoIP Voice over IP VPN Virtual Private Network WLAN Wireless Local Area Network WPA2 Wi-Fi Protected Access versio 2 Liite 1: Esimerkki tarpeettomien palveluiden poiskytkemisestä Asterisk-vaihteissa Kuten luvussa on todettu, VoIP-vaihteesta tulee kytkeä pois päältä kaikki sellaiset palvelut, joille ei ole oikeasti tarvetta yrityksessä. Näin saadaan vähennettyä mahdollisien haavoittuvuuksien määrää ja siten myös väärinkäytösriskiä. Uudemmissa Asterisk-vaihteissa monet palvelut eivät ole oletusarvoisesti päällä. Asia on kuitenkin aina syytä tarkistaa ennen vaihteen käyttöönottoa. Tätä tarkistusta varten alla on kuvattu esimerkinomainen version 1..2.x pohjalta laadittu tarkistuslista asetuksista, jotka on syytä tarkistaa. On kuitenkin tärkeää muistaa, että alla esitetty lista ei ole välttämättä kattava. Tarkistettavien palveluiden lista, komennot sekä tiedostonnimet voivat muuttua uusien ohjelmistoversioiden myötä, joten päälle jätettävät palvelut on aina syytä arvioida itse. Asterisk asentaa asetustiedostot oletusarvoisesti kansioon / etc/asterisk. asterisk.conf Maxcalls-parametri määrittää sallittujen yhtäaikaisten puheluiden maksimimäärän. Kun raja ylittyy, soittaja saa takaisin vastauksen 0 Temporarily Unavailable. Sopiva arvo riippuu yrityksen puhelinliikenteen määrästä, mutta usein sopivana arvona on pidetty lukua 10. Vaihdetta ei ole hyvä pyörittää root-käyttäjätunnuksella ja se onkin syytä vaihtaa kohdista runuser ja rungroup. Muista tarkistaa, että uudella tunnuksella (esim. asterisk) on tarvittavat luku- ja kirjoitusoikeudet. dundi.conf Aseta bindaddr=127.0.0.1. Näin vaihde ei kuuntele turhaan porttia 20, jos DUNDi-ominaisuutta ei haluta käyttää. Ominaisuuden voi kytkeä pois päältä myös modules. conf:sta. parametrillä noload => pbx_dundi.so. iax.conf Aseta bindaddr=127.0.0.1, jos IAX:ia ei haluta käyttää. IAXi-ominaisuuden voi kytkeä pois päältä myös modules. conf:sta. parametrillä noload => chan_iax2.so. mgcp.conf, gtalk.conf, jingle.conf, ooh323.conf, skinny.conf ja http.conf Myös nämä palvelut on syytä käydä läpi samoin kuin edellä on esitetty DUNDin ja IAX:n osalta. manager.conf Hallintarajapinnan kautta hallitaan koko vaihdetta, joten on tärkeätä suojata se mahdollisimman hyvin. Aseta bindaddr=127.0.0.1. tai vaihtoehtoisesti pääsyn voi sallia sisäverkon rajapinnasta. Mahdollinen etähallinta on turvallisinta järjestää VPN-tunnelin avulla. sip.conf Quest-toiminto on syytä asettaa pois päältä arvolla allowguest=no. Rekisteröitymiset on myös syytä rajata vain tiettyihin verkkotunnuksiin. Tämä voidaan määritellä parametreillä domain=sip.host.com ja allowexternaldomains=no. Lisäksi kannattaa lisätä rivi: context=noopcontext 9