Управление безопасностью

Этот перевод выполнен автоматически и ещё не вычитан. Читать английскую версию

Софтсвич — это мишень, потому что каждый звонок, который он пропускает, стоит денег. Злоумышленники сканируют сеть в поисках открытых SIP-портов, подбирают пароли аккаунтов и используют украденные учётные данные от веб-интерфейса, чтобы изменить маршрутизацию или добавить кредит. FlySIP защищает коммутатор на нескольких уровнях: кто может до него добраться, кто может войти, какие звонки принимаются и какой ущерб может нанести один скомпрометированный аккаунт. Ни одного уровня по отдельности недостаточно; вместе они ограничивают последствия взлома.

Как это работает

Сетевой доступ. IP Firewall в System Management разрешает или запрещает адреса источника для каждого сервиса: веб, SIP, SSH, база данных и TFTP. Внешний фаервол перед коммутатором поглощает флуд и сканирование портов. Смотрите Настройка фаервола.
Вход в веб-интерфейс. Каждый сотрудник получает собственного веб-пользователя с Access Level (уровень доступа), который ограничивает, что он может открывать и менять. Сами учётные записи защищают политики паролей, многофакторная аутентификация и Allowed Hosts (разрешённые хосты). Смотрите ниже.
SIP-аутентификация. Устройства регистрируются с SIP-учётными данными аккаунта. Отметьте Separate VoIP Login and VoIP password (отдельные VoIP-логин и VoIP-пароль) в аккаунте, чтобы дать ему SIP-учётные данные, отличные от его логина в веб-интерфейс, — тогда утечка одного пароля не раскроет другой. Транки идентифицируются правилами аутентификации, которые сочетают IP-адрес источника с CLI или CLD.
Ограничения звонков. Max Sessions (максимум сеансов) и Max Calls Per Second (максимум звонков в секунду) в аккаунте, Capacity (ёмкость) и Max CPS в подключении вендора, а также баланс с его Credit Limit (кредитный лимит) ограничивают, сколько может потратить один аккаунт, прежде чем вы это заметите.
Топология. С медиа-реле RTP проходит через коммутатор, поэтому клиенты и вендоры видят только адрес коммутатора, но никогда — адреса друг друга.
Аудит. Tools & Debugs → Audit Logs записывает, кто входил, откуда и что менял. Смотрите Журналы аудита.

Вход в веб-интерфейс

Защита	Где	Что делает
Политики паролей	System Management → Password Policies	Min Length (минимальная длина), Password Content (содержимое пароля: Letters and Digits, Letters, Digits или Any Characters), Expires, days (срок действия, дней), Block Idle In, days (блокировать неактивных через, дней) и Change on First Login (сменить при первом входе). Встроенная политика Default требует 7 букв и цифр, делает пароли недействительными через 90 дней, блокирует учётные записи, неактивные 90 дней, и заставляет сменить пароль при первом входе. Её нельзя редактировать; добавьте собственную политику и отметьте её как Default, чтобы применять к новым объектам. У клиентов, аккаунтов и вендоров есть поле Password Policy (политика паролей)
Многофакторная аутентификация	MFA в системных параметрах веб-интерфейса или Security Settings (настройки безопасности) среды в Environments	E-Mail Token отправляет одноразовый код по e-mail, Google Authenticator запрашивает код из приложения. Проверенный браузер считается доверенным 90 дней. Сбросьте MFA пользователя кнопкой Reset MFA Configuration (сбросить конфигурацию MFA) на вкладке Web Access Control (контроль веб-доступа) пользователя
Allowed Hosts	Вкладка Web Access Control веб-пользователя или My Preferences (мои настройки)	Список IP-адресов через запятую, с которых пользователь может входить. `Any`, значение по умолчанию, разрешает любой адрес
HTTPS	System Management → SSL Management	Доверенный сертификат для панели и API, например бесплатный сертификат Let’s Encrypt. Смотрите Установка SSL-сертификата

Screenshot "admin-panel/password-policies" has not been generated yet — see scripts/screenshots/screens.yml.

Ключевые понятия

Firewall rule (правило фаервола) — правило разрешения или запрета для IP-адресов источника, которое управляется из панели и применяется на коммутаторе.
Web user (веб-пользователь) — дополнительный вход в панель с собственным уровнем доступа.
Authentication Rule (правило аутентификации) — правило, которое определяет аккаунт для входящего звонка по IP-адресу источника, CLI, набранному номеру или другим SIP-полям вместо пароля.
Capacity — максимальное количество одновременных звонков подключения или аккаунта.
Media relay (медиа-реле) — коммутатор пропускает RTP звонка через себя, а не позволяет конечным устройствам обмениваться им напрямую.

Типичные сценарии

Сотрудники работают с меняющихся адресов

Allowed Hosts и правила фаервола требуют фиксированных адресов. Разверните собственный VPN-сервер, дайте сотрудникам подключаться через него и разрешите для Web, SSH и DB только адрес VPN. Для остального включите MFA.

Произошла утечка SIP-пароля аккаунта

Злоумышленник может звонить только так быстро и столько, сколько позволяет аккаунт. Держите Max Sessions и Max Calls Per Second близкими к реальному использованию клиента, а предоплаченные балансы и кредитные лимиты — небольшими. Затем смените SIP-пароль и проверьте CDR аккаунта.

Транк аутентифицируется только по CLI

Любой, кто отправляет этот CLI с любого адреса, тарифицируется на счёт транка. Добавьте IP-адрес транка в правило аутентификации. DID от вендора принимайте только с адресов этого вендора.

Телефонные карты и ваучеры

Против коротких кодов работает подбор. Используйте длинные PIN-коды для аккаунтов телефонных карт и длинные номера ваучеров.