Newsgroup: it.comp.reti.locali
Titolo: Info intrusione

Salve a tutti, qualche tempo fa mi si ï¿œ rotto il router. Ho comprato un 
Atlantis, l'ho configurato attivando il firewall il risultato ï¿œ che la 
rete casalinga sembra "piazza grande", cioï¿œ sembra che sia facilissimo 
aggirare questo firewall.
Ecco un po di log del mio server con asterisk:
[Jan 17 08:18:09] NOTICE[9048] chan_sip.c: Registration from 
'"9996"<sip:99...@62.94.xxx.xxx>' failed for '218.249.230.130' - No 
matching peer found
[Jan 17 08:18:09] NOTICE[9048] chan_sip.c: Registration from 
'"9997"<sip:99...@62.94.xxx.xxx>' failed for '218.249.230.130' - No 
matching peer found
[Jan 17 08:18:09] NOTICE[9048] chan_sip.c: Registration from 
'"9998"<sip:99...@62.94.xxx.xxx>' failed for '218.249.230.130' - No 
matching peer found
[Jan 17 08:18:09] NOTICE[9048] chan_sip.c: Registration from 
'"9999"<sip:99...@62.94.xxx.xxx>' failed for '218.249.230.130' - No 
matching peer found
[Jan 17 08:18:09] NOTICE[9048] chan_sip.c: Registration from 
'"10000"<sip:10...@62.94.xxx.xxx>' failed for '218.249.230.130' - No 
matching peer found
Quello che non capisco come fanno ad aggirare questo firewall cosï¿œ 
facilmente, in oltre avendo un server virtuale su aruba e facendo un 
porta scan delle porte queste risultano chiuse. Avate idea su come 
posso arginare il problema?
Grazie

> '"9996"<sip:99...@62.94.xxx.xxx>' failed for '218.249.230.130' - No
guarda che quel "sip" nelle entries del log non si riferisce alla
"Società Idroelettrica Piemontese" antesignana della attuale
Telecom ma ad altro, ed il fatto che il portscan non rilevi nulla
significa poco, visto che, di norma, gli scanners online lavorano
soltanto su TCP; se vuoi toglierti qualche curiosità, prova ad
usare un motore di ricerca e cercare "SIPvicious" leggendo le
pagine risultanti, forse avrai una qualche illuminazione :)

Scriveva ObiWan martedì, 18/01/2011:

Ok ma con questo tool faccio un test di sicurezza del mio centralino 
telefonico ma prima di arrivare al server sip c'è un firewall e viene 
saltato a piedi pari. Questo tool lo permette?

Dopo dura riflessione, ObiWan ha scritto :

Ho fatto la prova è proprio quel programma a fare le richieste il 
firewall non tenta neanche di fermarlo e iptable viene superato.
Come posso protegermi?

 Questo tool lo permette ?
Una domanda, secondo te, il firewall posto "di fronte" al tuo
centralino SIP *blocca* il traffico VoIP :) ? Se, come penso
non lo fa (altrimenti non funzionerebbe nulla) e se il tuo PBX
non č stato adeguatamente configurato, nulla vieta ad un
malintenzionato di usare un tool come SIPvicious (ma ce
ne sono altri ben piů "pericolosi") per sfondarti il PBX ed
una volta entrato ... trovarsi sulla tua rete libero di fare
tutto quello che vuole

 tutto quello che vuole
... o, nel *migliore* dei casi, usare il tuo PBX per fare delle
bellissime telefonate "a sbafo" o per inviare dello spam :P

 Come posso protegermi?
Inizia leggendoti questo
http://idefix.net/~koos/irregular.php/irregular-20090205/witnessing-an-attack-on-an-asterisk-server
:)


http://idefix.net/~koos/irregular.php/irregular-20090205/witnessing-an-attack-on-an-asterisk-server
E magari continua con questo
http://www.teamforrest.com/blog/171/asterisk-no-matching-peer-found-block/
anche se, a quanto ho capito, non hai un sistema
Linux (o un DD-WRT) posto di fronte al tuo VoIP
che possa usare uno script di quel genere per
bloccare i tentativi di bruteforcing

> ne sono altri ben piï¿œ "pericolosi") per sfondarti il PBX ed

Infatti mi hanno fregato 20 euro, l'unica cosa ï¿œ che ho registrato 
l'audio e i numeri di telefono che hanno fatto.

Il 18/01/2011, ObiWan ha detto :

no infatti ho un semplice router, stavo pensando di mettere ipcop su 
una macchina virtuale. Ma devo fare delle prove infatti questa dovebbe 
partire all'avvio del server ubuntu e non so se è possibile.
Comunque grazie delle dritte, se ti capita della documentazione 
mandamela pure

 registrato l'audio e i numeri di telefono che hanno fatto.
bella soddisfazione, magari i numeri sono in (tiro a casaccio)
Romania e tu con la registrazione ed i numeri puoi pulirtici...
i denti <g>
Il discorso � semplice, se NON hai la necessit� di pubblicare
determinate porte, NON farlo, anzi, se non sai come funziona
VoIP e quali porte sia necessario pubblicare, informati oppure
fatti aiutare da qualche amico con le necessarie conoscenze,
inoltre, gi� che ci sei, resetta TUTTE le passwords impostando
le stesse in modo "sicuro" ossia con una lunghezza superiore
ai 10 caratteri ed usando lettere (maiuscole/minuscole), numeri
e segni di interpunzione onde rendere pi� difficile il compito a
chiunque tenti di "craccare" le stesse; alcuni esempi relativi a
passwords decenti sono qui di seguito
M|`zkgB83(9TdWV99LdMZ1(_)Zy;BeD_Rgb"i6E:erLcdq59]*Ckc2(S9\Hhf~s
oqlP5UL'v=81nZrG?H^|ISe+=VbX+v6&{z}Jy#h'M".O:(a&ZW=Po0~mmeCL3d]
axR%iE1r*iO(ax4go^:L*!e@P1Ie;&P?/z+gz`Q~=pV7n#PnK9XP+*wHm4Y8M5w
e spero siano sufficienti a farti capire quale tipo di pass
io intenda con quanto ho scritto sopra; per il resto, visto
che hai parlato di IPCop, ti consiglierei, PRIMA di adottare
una soluzione di dare un'occhiata a PFSense, ho idea che
potresti scoprire delle cose piuttosto interessanti :D

 potresti scoprire delle cose piuttosto interessanti :D
Non ho publicato niente sono circa 4 anni che ho il centralino e non è 
mai succasso niente. Da quando ho cambiato router ho tutti questi 
problemi. Adesso ho arginato disabilitando gli utenti, tanto uso una 
scheda per dirottare le telefonate di casa. La cosa che devo capire ora 
è come si apre quella porta visto che io non l'ho aperta. Ho attivo il 
NAT e ho il presentimento che sia configurato male. Le spiegazioni del 
router non sono chiare devo fare delle prove. Ti risulta che il NAT può 
publicare servizi in modo autonomo? Ti premetto che ho disattivato 
UPNP.
Ciao

 ho tutti questi problemi.
Credo si tratti di un classico PEBKAC, probabilmente il router che
usavi prima non pubblicava "per default" determinate porte, mentre
quello attuale lo fa, baster� configurare il tutto appropriatamente per
risolvere il problema; resta il fatto che dovresti comunque provvedere
ad una corretta configurazione del tuo PBX, ma, giudicando dal tono
del tuo post e da quanto scrivi, dubito lo farai, tutto sommato, meglio
prendersela con chi ti spiega un dato problema che con il problema
stesso, nevvero ?

 stesso, nevvero ?
Scusami se ho dato l'impressione di prendermela con te. Non era mia 
intenzione. Non modifico la configurazione del PBX, per ora, perchè 
voglio prima capire il problema del router, poi quando sono sicuro che 
da internet non si raggiunga il mio pbx abilito gli utenti che avevo 
con i consigli che mi hai dato.