Attacco massivo

[Emanuele_C]

Buongiorno,
sto registrando su tutti gli impianti 3cx dei clienti un tentativo di attacco massimo proveniente sempre dagli stessa classe di indirizzi (diversi tentativi da IP sequenziali).
Allo stato attuale i sistemi di sicurezza reggono grazie anche all'antihacking, ma mi domandavo come è possibile che il tentativo di attacco avvenga su tutti gli impianti contemporaneamente e pur avendo delle porte voip ed rtp non standard. L'antihacking rileva tentativi da "Hello SIP Automated". Qualcuno ha qualche idea?

 

[MarcelloL_3CX]

l'uso di porte non standard di per sè non è una garanzia di sicurezza: un bot ci mette qualche secondo a scansionare le porte aperte di un IP pubblico
Purtroppo registriamo anche noi un aumento notevole dei tentativi accesso fraudolento, ma registriamo anche il successo del modulo antihacking del centralino.

Le contromisure che puoi attuare sono sempre le stesse:
1 - abilitazione della blacklist globale 3CX - viene aggiornata due volte al giorno e quegli IP ci finiranno entro domani
2 - se installazioni on-premise, creazione regole ACL che limitano la connessione ai soli IP noti

 

[Emanuele_C]

Grazie, @MarcelloL_3CX
La Blacklist globale è già abilitata. Ora ho anche modificato in maniera più aggressiva l'antihacking (che sta funzionando già in maniera egregia). L'ACL purtroppo non in tutte le installazioni sono possibili sopratutto in quelle installazioni dove ci sono app che viaggiano all'estero spesso, se non sbaglio quelle si presenterebbero con l'IP pubblico estero a cui i cellulari si connetterebbero all'estero.

 

[MarcelloL_3CX]

le app dall'esterno usano la porta tunnel su protocollo 3CX (default 5090) e non è soggetta ad attacchi SIP.
Le regole ACL le devi fare limitate alla porta SIP (default 5060) che prevede connessioni dai provider (di cui conosci gli IP) e da eventuali telefoni remoti STUN (di cui conosci gli IP)

 

[Emanuele_C]

Vero... l'ACL le stavo pensando solo a livello generale di IP e non a livello di singolo protocollo. Grazie mille @MarcelloL_3CX

 

[Simo1978]

Buongiorno, nella mia installazione vedo tantissimi tentativi di accesso. Nelle versioni precedenti alla 18.0 (Build 908), con le stesse impostazioni, gli IP venivano messi in blacklist.. Adesso non vedo più azioni da parte del firewall e gli ip in balcklist diminuiscono al posto di aumentare. Ho provato anche a mettere impostazioni molto molto restrittive ma niente, nessun ip aggiunto in blacklist

 

[Gino Saccioni]

Buongiorno, nella mia installazione vedo tantissimi tentativi di accesso. Nelle versioni precedenti alla 18.0 (Build 908), con le stesse impostazioni, gli IP venivano messi in blacklist.. Adesso non vedo più azioni da parte del firewall e gli ip in balcklist diminuiscono al posto di aumentare. Ho provato anche a mettere impostazioni molto molto restrittive ma niente, nessun ip aggiunto in blacklist

idem