Керування безпекою
Цей переклад зроблено автоматично і ще не вичитано. Читати англійську версію
Софтсвіч — це мішень, бо кожен дзвінок, який він пропускає, коштує грошей. Зловмисники сканують мережу в пошуках відкритих SIP-портів, підбирають паролі акаунтів і використовують викрадені облікові дані до вебінтерфейсу, щоб змінити маршрутизацію або додати кредит. FlySIP захищає комутатор на кількох рівнях: хто може до нього дістатися, хто може увійти, які дзвінки приймаються і якої шкоди може завдати один скомпрометований акаунт. Жодного рівня окремо не достатньо; разом вони обмежують наслідки зламу.
Як це працює
Розділ «Як це працює»- Мережевий доступ. IP Firewall у System Management дозволяє або забороняє адреси джерела для кожного сервісу: веб, SIP, SSH, база даних і TFTP. Зовнішній фаєрвол перед комутатором поглинає флуд і сканування портів. Дивіться Налаштування фаєрвола.
- Вхід до вебінтерфейсу. Кожен співробітник отримує власного веб-користувача з Access Level (рівень доступу), який обмежує, що він може відкривати й змінювати. Самі облікові записи захищають політики паролів, багатофакторна автентифікація та Allowed Hosts (дозволені хости). Дивіться нижче.
- SIP-автентифікація. Пристрої реєструються з SIP-обліковими даними акаунта. Позначте Separate VoIP Login and VoIP password (окремі VoIP-логін і VoIP-пароль) в акаунті, щоб дати йому SIP-облікові дані, відмінні від його логіну до вебінтерфейсу, — тоді витік одного пароля не розкриє інший. Транки ідентифікуються правилами автентифікації, які поєднують IP-адресу джерела з CLI або CLD.
- Обмеження дзвінків. Max Sessions (максимум сеансів) і Max Calls Per Second (максимум дзвінків за секунду) в акаунті, Capacity (ємність) і Max CPS у підключенні вендора, а також баланс із його Credit Limit (кредитний ліміт) обмежують, скільки може витратити один акаунт, перш ніж ви це помітите.
- Топологія. З медіа-реле RTP проходить через комутатор, тож клієнти й вендори бачать лише адресу комутатора, але ніколи — адреси одне одного.
- Аудит. Tools & Debugs → Audit Logs записує, хто входив, звідки і що змінював. Дивіться Журнали аудиту.
Вхід до вебінтерфейсу
Розділ «Вхід до вебінтерфейсу»| Захист | Де | Що робить |
|---|---|---|
| Політики паролів | System Management → Password Policies | Min Length (мінімальна довжина), Password Content (вміст пароля: Letters and Digits, Letters, Digits або Any Characters), Expires, days (термін дії, днів), Block Idle In, days (блокувати неактивних через, днів) і Change on First Login (змінити під час першого входу). Вбудована політика Default вимагає 7 літер і цифр, робить паролі недійсними через 90 днів, блокує облікові записи, неактивні 90 днів, і примушує змінити пароль під час першого входу. Її не можна редагувати; додайте власну політику й позначте її як Default, щоб застосовувати до нових об’єктів. Клієнти, акаунти й вендори мають поле Password Policy (політика паролів) |
| Багатофакторна автентифікація | MFA у системних параметрах вебінтерфейсу або Security Settings (налаштування безпеки) середовища в Environments | E-Mail Token надсилає одноразовий код e-mail, Google Authenticator запитує код із застосунку. Перевірений браузер вважається довіреним 90 днів. Скиньте MFA користувача кнопкою Reset MFA Configuration (скинути конфігурацію MFA) на вкладці Web Access Control (контроль вебдоступу) користувача |
| Allowed Hosts | Вкладка Web Access Control веб-користувача або My Preferences (мої налаштування) | Список IP-адрес через кому, з яких користувач може входити. Any, типове значення, дозволяє будь-яку адресу |
| HTTPS | System Management → SSL Management | Довірений сертифікат для панелі та API, наприклад безкоштовний сертифікат Let’s Encrypt. Дивіться Встановлення SSL-сертифіката |
Ключові поняття
Розділ «Ключові поняття»- Firewall rule (правило фаєрвола) — правило дозволу або заборони для IP-адрес джерела, яке керується з панелі й застосовується на комутаторі.
- Web user (веб-користувач) — додатковий вхід до панелі з власним рівнем доступу.
- Authentication Rule (правило автентифікації) — правило, яке визначає акаунт для вхідного дзвінка за IP-адресою джерела, CLI, набраним номером або іншими SIP-полями замість пароля.
- Capacity — максимальна кількість одночасних дзвінків підключення або акаунта.
- Media relay (медіа-реле) — комутатор пропускає RTP дзвінка через себе, а не дає кінцевим пристроям обмінюватися ним напряму.
Типові сценарії
Розділ «Типові сценарії»Співробітники працюють зі змінних адрес
Розділ «Співробітники працюють зі змінних адрес»Allowed Hosts і правила фаєрвола потребують фіксованих адрес. Розгорніть власний VPN-сервер, дайте співробітникам підключатися через нього й дозвольте для Web, SSH і DB лише адресу VPN. Для решти ввімкніть MFA.
Стався витік SIP-пароля акаунта
Розділ «Стався витік SIP-пароля акаунта»Зловмисник може дзвонити лише так швидко й стільки, скільки дозволяє акаунт. Тримайте Max Sessions і Max Calls Per Second близькими до реального використання клієнта, а передплачені баланси й кредитні ліміти — невеликими. Потім змініть SIP-пароль і перевірте CDR акаунта.
Транк автентифікується лише за CLI
Розділ «Транк автентифікується лише за CLI»Будь-хто, хто надсилає цей CLI з будь-якої адреси, тарифікується на рахунок транку. Додайте IP-адресу транку до правила автентифікації. DID від вендора приймайте лише з адрес цього вендора.
Телефонні картки та ваучери
Розділ «Телефонні картки та ваучери»Проти коротких кодів працює підбір. Використовуйте довгі PIN-коди для акаунтів телефонних карток і довгі номери ваучерів.