intensificazione del 12290: autenticazione fallita

[Gino Saccioni]

Buonasera. Notavo la ciclica intensificazione dell'evento 12290. Allora sono andato ad ispezionare gli IP di provenienza con il WHOIS. Sono da un pò di giorni sempre gli stessi (host nelle Filippine). Quello che non capisco è perchè l'antihacking non li blocchi a oltranza. Mi spiego: l'intervallo di tempo della black-list è settato (non da oggi) a 259200 secondi, che sono 3 giorni, al terzo tentativo fallito. Invece vedo nel loggato che il tentativo si è verificato per esempio alle 18.42 e l'IP viene messo in blacklist fino alle 18.57, che sono solo 15 minuti. Come mai?

 

[MarcelloL_3CX]

Ciao Gino,
l'intervallo di blacklist è applicato sulla porta SIP.
L'intervallo di 900 secondi (i 15 minuti che riporti) sono invece quelli che vengono applicati dal centralino per autenticazioni 3CX sulla porta https e questo è un valore fisso non gestibile da interfaccia.
E' volutamente limitato a 900s per fare in modo che eventuali errori in buona fede (un utente che sbaglia pswd per errore) blocchi indefinitamente l'IP dell'interno ufficio.
E' comunque importante (e per questo segnalato sulla pagina Utenti) che tutti gli utenti usino pswd webclient sicure e complesse.
Se vuoi alzare ulteriormente il livello di sicurezza, puoi limitare l'accesso alla Console ai soli IP noti e affidabili e, se il centralino è on-premise, bloccare qeugli IP direttamente sul firewall aziendale.

 

[Gino Saccioni]

ciao Marcello, grazie. Sì avevo intuito che il comportamento fosse default e non modificabile. Resta che l'ha perfettamente "intuito" anche il sistema ostile. Fa un solo tentativo per evitare il blocco, alterna 2 IP diversi (stesso hosting) e li ripete a distanza di circa 15 minuti, appunto alternandoli. Naturalmente la password è moooolto robusta. Però tu mi insegni che nulla di quello che è online è inattaccabile, basta avere tempo e risorse computazionali. Io intanto vado a porre quei 2 IP ostinati in black-list permanente sul centralino.