久久成人免费_誰(shuí)的SIP軟交換呼叫中心終端攝像頭正在公網(wǎng)裸奔 - 文章精選

　　SIP安全問(wèn)題一直是整個(gè)IP通信行業(yè)非常重要的話(huà)題。SIP通信平臺更多連接了SIP電話(huà)終端，IP攝像頭，媒體服務(wù)器和計費系統。一旦某個(gè)環(huán)節出現問(wèn)題都可能導致數據泄密，惡意盜打，系統被攻擊等問(wèn)題。特別是現在基于云平臺的呼叫中心和IPPBX越來(lái)越多，一旦平臺癱瘓，整個(gè)業(yè)務(wù)環(huán)境都受到影響。根據前幾年一個(gè)網(wǎng)絡(luò )安全公司的調查數據，大部分的安全問(wèn)題和部署SIP本身相關(guān)。首先，讓我們看看損失了多少錢(qián)。

所有圖片來(lái)自于互聯(lián)網(wǎng)，部分筆者自己制作

　　我們再看看攻擊的手段。攻擊的類(lèi)型包括各個(gè)層級：

　　當然，攻擊者肯定會(huì )從網(wǎng)絡(luò )安全意識最薄弱的用戶(hù)下手。在這個(gè)調查中，中國是幾個(gè)調查國家中最容易被攻擊成功的國家之一，安全意識相當淡薄。難道是人傻錢(qián)多還是安全意識淡薄？還是抱著(zhù)僥幸心理在運行。

　　攻擊者根據網(wǎng)絡(luò )環(huán)境的不同，使用的攻擊手段也不同。即時(shí)非常強悍的網(wǎng)絡(luò )也很難防范一些特別的攻擊手段（TDos，telphone Dos攻擊使用最多）。AT&T都對這些攻擊發(fā)怵。最好不要暴露設備的公網(wǎng)IP地址，使用SBC的拓撲隱藏功能。

　　另外，根據AlbertoDainotti做過(guò)一個(gè)掃描分析，通過(guò)不同的SIP頭和響應機制獲取了多個(gè)國家地區的3百萬(wàn)個(gè)SIP網(wǎng)絡(luò )地址。雖然，這個(gè)報告是幾年前的，但是仍然可以說(shuō)明很多SIP網(wǎng)絡(luò )的安全問(wèn)題，當然，目前的掃描工具更加強大，便捷。比較新的掃描工具具有更快的掃描時(shí)間，準確性和發(fā)送包的方式更加強大快速。

This 12-day scan originated from approximately 3 million distinct IP addresses, and used a heavily coordinated and unusually covert scanning strategy to try to discover and compromise VoIP-related (SIP server) infrastructure.

http://www.caida.org/publications/papers/2012/analysis_slash_zero/analysis_slash_zero.pdf

　　通過(guò)以上所介紹的這些相關(guān)背景。用戶(hù)更應該注意安全方面的問(wèn)題。SBC必須馬上需要考慮的安全解決方案。

　　部署SIP網(wǎng)絡(luò )環(huán)境，首先要考慮部署SBC；部署安全穩定易用的SBC環(huán)境，FreeSBC是“不二”的選擇。---------Mr.Right

　　現在，筆者通過(guò)一些調查報告來(lái)分享目前SIP軟交換，媒體服務(wù)器，SIP終端話(huà)機，IP攝像頭，VOS的部署狀態(tài)。一些軟交換和IPPBX某些處于裸奔狀態(tài)。一些SIP終端和IP攝像頭也充分暴露了其登錄的信息。這些軟交換，IPPBX和SIP終端都發(fā)布在不同國家和地區。這里需要說(shuō)明幾點(diǎn)：

筆者特別對某些敏感IP地址做了屏蔽，如果有暴露，請用戶(hù)或廠(chǎng)家及時(shí)修復。造成任何損失，筆者不承擔任何責任。
數據來(lái)自于第三方安全網(wǎng)絡(luò )工具獲取的數據，非筆者惡意獲取。
數據來(lái)自于實(shí)時(shí)數據，統計數據可能不太準確。
如果需要刪除數據，請及時(shí)聯(lián)系。
數據僅說(shuō)明公開(kāi)的一些技術(shù)參數作為統計數據來(lái)源，不構成入侵系統的依據，筆者不承擔任何法律責任。

　　筆者通過(guò)以下數據對不同地區，不同國家，不同平臺和不同產(chǎn)品的統計數據來(lái)說(shuō)明網(wǎng)絡(luò )安全的重要性，主要是提醒用戶(hù)，增加安全意識。更多關(guān)于SIP技術(shù)方面的內容，關(guān)注siplab：SIP技術(shù)分享實(shí)踐

　　1、Asterisk IP地址，國家，端口等數據信息

　　Asterisk在不同國家和地區使用運營(yíng)商和端口示例。

　　Asterisk使用量發(fā)布：

　　SIP服務(wù)器IP部署狀態(tài)：

　　IP地址：

　　盡管我們一直提醒用戶(hù)，修改SIP端口地址，但是仍然有很多Asterisk用戶(hù)使用5060來(lái)作為SIP的默認端口。端口：

　　還有很多Elastix用戶(hù)在裸奔，雖然這個(gè)項目已經(jīng)關(guān)閉。

　　2、FreeSWITCHIP地址，國家，端口等數據信息

　　FreeSWITCH用戶(hù)主要分布在美國和中國：

　　基于云平臺的FreeSWITCH運營(yíng)商IP地址和運營(yíng)商名稱(chēng)，谷歌和亞馬遜使用量比較多。

　　同樣的問(wèn)題，很多FreeSWITCH也仍然使用5060作為SIP端口來(lái)使用，這樣可能導致很多安全問(wèn)題。

　　使用UDP的用戶(hù)比例比TCP的比例高很多：

　　中國用戶(hù)示例：

　　3、億聯(lián)SIP終端IP地址狀態(tài)

　　Yealink是目前行業(yè)內非常有競爭力的廠(chǎng)家，其銷(xiāo)售的SIP終端話(huà)機遍及全世界。從SIP終端的暴露的地址就可以看出市場(chǎng)發(fā)布情況。美國和南非SIP終端部署量比較高。運營(yíng)商也是比較有名的運營(yíng)商。

　　主要的SIP產(chǎn)品型號發(fā)布包括：

　　4、潮流SIP終端和網(wǎng)關(guān)狀態(tài)分布

　　潮流SIP終端產(chǎn)品和網(wǎng)關(guān)等IP分布情況，主要用戶(hù)是美國和西班牙用戶(hù)。

　　主要的用戶(hù)和產(chǎn)品型號包括UCM和網(wǎng)關(guān)：

　　5、方位IP話(huà)機分布狀態(tài)

　　英國，墨西哥，美國客戶(hù)比較多。運營(yíng)商也非常強悍，有著(zhù)名的BT，沃達豐等。

　　6、IP攝像頭IP地址等狀態(tài)數據

　　基本上都是來(lái)自于中國的攝像頭產(chǎn)品，來(lái)自于中國目前的幾個(gè)大的運營(yíng)商。

　　7、VOSIP部署發(fā)布狀態(tài)

　　很多中國用戶(hù)和國外的用戶(hù)使用VOS來(lái)部署SIP線(xiàn)路等業(yè)務(wù)。VOS2009和3000的用戶(hù)量相對也比較大。中國，美國，香港有非常多的用戶(hù)，阿里巴巴平臺是主要的部署平臺。

　　包括其版本和客戶(hù)信息：

　　VOS3000主要部署在中國，香港，韓國等地方，阿里云，中國移動(dòng)等部署其服務(wù)器。

　　8、WebRTC部署狀態(tài)數據

　　WebRTC和證書(shū)相關(guān)的數據發(fā)布情況，比較驚人的是WebRTC部署用戶(hù)中國和美國比例很高。

　　9、寶利通SIP話(huà)機狀態(tài)分布

　　Poly確實(shí)是大牌公司，其用戶(hù)分布主要集中在美國，巴西，加拿大和中國地區。

　　10、開(kāi)源軟交換KamalioIP地址，端口狀態(tài)

　　Kamailio是目前主流的SIP軟交換，基于kamailio結合Asterisk或者FreeSWITCH媒體服務(wù)器可以開(kāi)發(fā)很多比較大型的企業(yè)應用服務(wù)，包括呼叫中心，IPPBX，WebRTC呼叫等高并發(fā)處理架構。美國，德國和中國具有非常高比例的用戶(hù)量：

　　同樣很多仍然使用5060端口：

　　11 開(kāi)源軟交換Kamalio IP地址，端口狀態(tài)

　　OpenSIPs是開(kāi)源軟交換系統，和kamailio實(shí)現的功能基本類(lèi)似。但是在最近幾年，Kamailio支持了比opensips更多的功能。在美國，中國和巴西，加拿大有很多opensips的用戶(hù)。在中國的部署中，我們看到阿里云仍然是主流的部署平臺。

　　騰訊云部署OpenSIPs的用戶(hù)也很多：

　　總結：

　　筆者針對目前存在的在公網(wǎng)裸奔的SIP軟交換，終端，攝像頭和IP話(huà)機等數據做了分享，提示用戶(hù)在公網(wǎng)部署SIP網(wǎng)絡(luò )需要注意很多安全問(wèn)題，同時(shí)一定要具有非常高的安全控制機制。SBC的拓撲隱藏功能是非常重要的手段之一，外網(wǎng)攻擊者看不到IPPBX/呼叫中心的地址，只能看到外網(wǎng)SBC地址，因此大大增加了安全機制。FreeSBC可以輕松和目前的開(kāi)源媒體服務(wù)器實(shí)現對接支持，實(shí)現拓撲隱藏。具體如何模擬SBC和IPPBX，外網(wǎng)注冊的環(huán)境，讀者可以閱讀：如何搭建一個(gè)完整免費的邊界會(huì )話(huà)控制器(SBC)測試場(chǎng)景

　　特別提醒讀者，在公網(wǎng)環(huán)境中，一些用戶(hù)仍然沒(méi)有對其設備進(jìn)行有效管理，一直使用默認的端口。這些IP地址和端口都是被攻擊對象，因此，提醒用戶(hù)一定要注意公網(wǎng)部署的安全性問(wèn)題，避免用戶(hù)設備在公網(wǎng)裸奔，最后導致不可挽回的損失。

　　參考資料：

　　http://www.caida.org/publications/papers/2012/analysis_slash_zero/analysis_slash_zero.pdf