هک شدن مرکز تلفن یکی از پرهزینه‌ترین اتفاق‌هایی است که می‌تواند برای یک سازمان بیفتد. مهاجم پس از نفوذ معمولاً تماسهای بین‌المللی و پرهزینه برقرار میکند و صورت‌حساب سنگین آن چند روز بعد به دست شما می‌رسد. خبر خوب این است که بیشتر حملات به سانترال‌های ویپ با چند اقدام ساده و اصولی قابل پیشگیری هستند. در این مقاله ۱۲ روش کاربردی برای امنیت ویپ و جلوگیری از هک مرکز تلفن ایزابل و استریسک را مرور می‌کنیم.
چرا مراکز تلفن ویپ هدف حمله هستند؟
سرورهای ویپ معمولاً به اینترنت متصل‌اند تا ترانک‌ها و کاربران دورکار بتوانند به آن‌ها وصل شوند. ربات‌های خودکار به‌طور مداوم اینترنت را برای یافتن پورت‌های باز پروتکل SIP اسکن می‌کنند و برای داخلیها رمز حدس می‌زنند. هدف معمول آن‌ها «سوءاستفاده از تماس» (Toll Fraud) است؛ یعنی برقراری تماس با شمارههای گران‌قیمت به هزینه شما. علاوه بر این، شنود مکالمات، از کار انداختن سرویس و دسترسی به شبکه داخلی از دیگر خطرهاست.
۱۲ روش برای افزایش امنیت مرکز تلفن ویپ
۱. رمز قوی و یکتا برای هر داخلی
رمزهایی مثل شماره داخلی یا 1234 اولین چیزی است که امتحان می‌شود. برای هر داخلی رمزی طولانی، تصادفی و غیرتکراری تعریف کنید. این رمز را کاربر هرگز تایپ نمی‌کند و فقط یک بار در گوشی تنظیم می‌شود؛ پس دلیلی برای ساده بودن آن وجود ندارد.
۲. پنل مدیریتی را روی اینترنت باز نگذارید
صفحه وب مدیریت ایزابل یا FreePBX فقط باید از شبکه داخلی یا از طریق VPN در دسترس باشد. رمز مدیر را تغییر دهید و برای هر مدیر حساب جداگانه بسازید.
۳. فایروال و محدودسازی IP
اصل طلایی امنیت ویپ این است: فقط IPهایی که باید به سرور وصل شوند اجازه اتصال داشته باشند. پورت SIP را فقط برای IP اپراتور ترانک و دفاتر شعب باز کنید. در هر داخلی هم می‌توانید با تنظیم permit/deny مشخص کنید فقط از شبکه داخلی ثبت شود.
۴. فعال بودن Fail2ban
Fail2ban تلاش‌های ناموفق مکرر برای ثبت داخلی یا ورود به پنل را تشخیص می‌دهد و IP مهاجم را برای مدتی مسدود میکند. در ایزابل این ابزار وجود دارد؛ مطمئن شوید فعال است و برای سرویس‌های SIP و وب تنظیم شده است.
۵. بستن تماسهای ناشناس (Guest)
در تنظیمات SIP، پذیرش تماس از مبدأهای احراز هویت‌نشده را غیرفعال کنید و گزینه‌ای را فعال کنید که در پاسخ به درخواست نامعتبر، وجود یا عدم وجود داخلی را لو ندهد. این کار شناسایی داخلیها توسط مهاجم را دشوار میکند.
۶. محدود کردن مسیرهای خروجی
همه داخلیها به تماس بین‌المللی نیاز ندارند. در Outbound Routes فقط الگوهای شماره‌گیری لازم (شهری، بین‌شهری، موبایل) را مجاز کنید و تماسهای بین‌المللی را یا به‌طور کامل ببندید یا با رمز عبور (PIN) محافظت کنید.
۷. محدودیت تعداد تماس هم‌زمان
برای هر داخلی و هر ترانک سقف تماس هم‌زمان تعیین کنید. اگر داخلی‌ای در اختیار مهاجم قرار بگیرد، این محدودیت خسارت را به حداقل می‌رساند.
۸. VPN برای کاربران دورکار
به‌جای باز کردن پورت SIP برای همه اینترنت، کاربران دورکار و شعب کوچک را از طریق VPN به شبکه داخلی وصل کنید. روترهای میکروتیک برای این کار گزینه‌ای اقتصادی و قابل اعتماد هستند.
۹. به‌روزرسانی منظم
سیستم‌عامل، ماژول‌های مرکز تلفن و فریم‌ور گوشی‌ها را بهروز نگه دارید. بسیاری از نفوذها از آسیب‌پذیری‌های شناخته‌شده‌ای استفاده می‌کنند که مدت‌هاست اصلاح شده‌اند.
۱۰. جداسازی شبکه صوت
با ایجاد VLAN جداگانه برای گوشی‌ها و سرور ویپ، هم امنیت بیشتر می‌شود و هم کیفیت صدا بهتر کنترل می‌شود. در این حالت کاربری که به شبکه داده دسترسی دارد، مستقیماً به گوشی‌ها و سرور دسترسی ندارد.
۱۱. رمزنگاری با TLS و SRTP
اگر داخلیها از بیرون سازمان متصل می‌شوند یا مکالمات حساس دارید، سیگنالینگ را با TLS و صدا را با SRTP رمزنگاری کنید تا امکان شنود از بین برود.
۱۲. پایش گزارش تماس‌ها
گزارش تماس‌ها (CDR) را به‌طور منظم بررسی کنید. تماسهای نیمه‌شب، مقصدهای ناآشنا یا افزایش ناگهانی تعداد تماس‌ها نشانههای اولیه نفوذ هستند. ابزارهای گزارش‌گیری مثل داشبورد گزارش مرکز تماس این بررسی را سریع‌تر و دقیق‌تر می‌کنند.
چک‌لیست سریع امنیت ویپ
| مورد | وضعیت مطلوب |
|---|---|
| رمز داخلیها | طولانی، تصادفی، یکتا |
| پنل مدیریت | فقط از شبکه داخلی یا VPN |
| پورت SIP | فقط برای IPهای مجاز |
| Fail2ban | فعال برای SIP و وب |
| تماس بین‌المللی | بسته یا با PIN |
| بک‌آپ | منظم و خارج از سرور |
اگر مرکز تلفن هک شد چه کنیم؟
- فوراً ترانک‌های خروجی را غیرفعال کنید یا با اپراتور تماس بگیرید تا تماسهای خروجی مسدود شود.
- رمز همه داخلیها، ترانک‌ها و حساب‌های مدیریتی را تغییر دهید.
- گزارش تماس‌ها و لاگ‌ها را بررسی کنید تا مسیر نفوذ مشخص شود.
- آسیب‌پذیری را برطرف کنید و سپس سرویس را با احتیاط فعال کنید.
جمع‌بندی
امنیت ویپ یک تنظیم یک‌باره نیست، بلکه ترکیبی از رمزهای قوی، دسترسی محدود، به‌روزرسانی و پایش مداوم است. با اجرای همین ۱۲ مورد، ریسک بیشتر حملات رایج به حداقل می‌رسد. اگر می‌خواهید امنیت مرکز تلفن فعلی‌تان بررسی شود یا برای نگهداری آن قرارداد داشته باشید، خدمات پشتیبانی اسپان و مقاله چرا امنیت شبکه مهم است؟ را ببینید.
سؤالات متداول
رایجترین روش هک مرکز تلفن ویپ چیست؟
حدس رمز داخلیها از طریق اسکن خودکار پورت SIP و سپس برقراری تماسهای پرهزینه با استفاده از داخلی یا ترانک سازمان.
آیا تغییر پورت 5060 برای امنیت کافی است؟
خیر. تغییر پورت فقط تعداد اسکنهای خودکار را کم میکند و باید همراه با رمز قوی، فایروال و Fail2ban استفاده شود.
چطور بفهمیم مرکز تلفن هک شده است؟
تماسهای خروجی در ساعات غیرکاری، تماس با کشورها یا شمارههای ناآشنا، افزایش ناگهانی هزینه و ثبت داخلیها از IPهای ناشناس از نشانههای رایج نفوذ هستند.
آیا ایزابل امن است؟
ایزابل مثل هر نرمافزار دیگری اگر درست تنظیم و بهروز نگه داشته شود، امنیت مناسبی دارد. بیشتر نفوذها ناشی از تنظیمات پیشفرض و رمزهای ضعیف است، نه خود نرمافزار.
