Обеспечение безопасности SIP - История изменений

AZykov в 14:43, 30 мая 2025

2025-05-30T14:43:22Z

← Предыдущая версия		Версия от 14:43, 30 мая 2025
Строка 8:		Строка 8:
	Приведенную ниже таблицу можно использовать в качестве чек-листа по проверке и настройке средств безопасности.		Приведенную ниже таблицу можно использовать в качестве чек-листа по проверке и настройке средств безопасности.

	В данной таблице, однако, приведены только методы, которые могут быть ~~осуществлены~~ средствами самой платформы. Следует обратить внимание на обеспечение безопасности сред, на которых платформа исполняется, так как несанкционированный доступ к среде исполнения позволяет обойти большинство ограничений и средств безопасности, описанных ниже.		В данной таблице, однако, приведены только методы, которые могут быть реализованы средствами самой платформы. Следует обратить внимание на обеспечение безопасности сред, на которых платформа исполняется, так как несанкционированный доступ к среде исполнения позволяет обойти большинство ограничений и средств безопасности, описанных ниже.
	{\| class="wikitable"		{\| class="wikitable"
	\|+Методы обеспечения безопасности		\|+Методы обеспечения безопасности

AZykov в 14:43, 30 мая 2025

2025-05-30T14:43:07Z

← Предыдущая версия		Версия от 14:43, 30 мая 2025
Строка 6:		Строка 6:

	= Обзор мер обеспечения безопасности =		= Обзор мер обеспечения безопасности =
	Приведенную ниже таблицу можно использовать в качестве чек-листа по проверке и настройке безопасности.		Приведенную ниже таблицу можно использовать в качестве чек-листа по проверке и настройке средств безопасности.

	В данной таблице, однако, приведены только методы, которые могут быть осуществлены средствами самой платформы. Следует обратить внимание на обеспечение безопасности сред, на которых платформа исполняется, так как несанкционированный доступ к среде исполнения позволяет обойти большинство ограничений и средств безопасности, описанных ниже.		В данной таблице, однако, приведены только методы, которые могут быть осуществлены средствами самой платформы. Следует обратить внимание на обеспечение безопасности сред, на которых платформа исполняется, так как несанкционированный доступ к среде исполнения позволяет обойти большинство ограничений и средств безопасности, описанных ниже.

AZykov: /* Обзор мер обеспечения безопасности */

2025-05-30T14:42:56Z

Обзор мер обеспечения безопасности

← Предыдущая версия		Версия от 14:42, 30 мая 2025
Строка 6:		Строка 6:

	= Обзор мер обеспечения безопасности =		= Обзор мер обеспечения безопасности =
	Приведенную таблицу можно использовать в качестве чек-листа по проверке и настройке безопасности.		Приведенную ниже таблицу можно использовать в качестве чек-листа по проверке и настройке безопасности.

	В данной таблице, однако, приведены только методы, которые могут быть осуществлены средствами самой платформы. Следует обратить внимание на обеспечение безопасности сред, на которых платформа исполняется, так как несанкционированный доступ к среде исполнения позволяет обойти большинство ограничений и средств безопасности, описанных ниже.		В данной таблице, однако, приведены только методы, которые могут быть осуществлены средствами самой платформы. Следует обратить внимание на обеспечение безопасности сред, на которых платформа исполняется, так как несанкционированный доступ к среде исполнения позволяет обойти большинство ограничений и средств безопасности, описанных ниже.

AZykov в 14:41, 30 мая 2025

2025-05-30T14:41:16Z

← Предыдущая версия		Версия от 14:41, 30 мая 2025
Строка 37:		Строка 37:
	\|Шифрование медиа-трафика*		\|Шифрование медиа-трафика*
	\|Платформа позволяет использовать протокол SRTP для шифрования медиа-трафика. Однако, использование зашифрованного медиа-трафика в публичных сетях ограничивается законом.		\|Платформа позволяет использовать протокол SRTP для шифрования медиа-трафика. Однако, использование зашифрованного медиа-трафика в публичных сетях ограничивается законом.
	\|-
	~~\|Парольные политики~~
	\|
	\|-		\|-
	\|Использование отдельных серверов для обслуживания внешних подключений		\|Использование отдельных серверов для обслуживания внешних подключений

AZykov в 14:41, 30 мая 2025

2025-05-30T14:41:03Z

← Предыдущая версия		Версия от 14:41, 30 мая 2025
Строка 43:		Строка 43:
	\|Использование отдельных серверов для обслуживания внешних подключений		\|Использование отдельных серверов для обслуживания внешних подключений
	\|Рекомендуется использовать отдельный "фасадный" сервер, обслуживающий внешние подключения. В случае DDOS-атаки, нагрузка будет влиять только на данный сервер, а внутренние клиенты и другие сервисы, обслуживаемые отдельным сервером, могут продолжать работу.		\|Рекомендуется использовать отдельный "фасадный" сервер, обслуживающий внешние подключения. В случае DDOS-атаки, нагрузка будет влиять только на данный сервер, а внутренние клиенты и другие сервисы, обслуживаемые отдельным сервером, могут продолжать работу.
			\|-
			\|Ограничение доступа к реестру учетных записей SIP
			\|Создание отдельной административной роли, которая ограничивает доступ к учетным записям SIP, но рарешает доступ к другим разделом.
	\|}		\|}

Строка 166:		Строка 169:

	Кроме базовых событий, в данный журнал также могут записываться события приложений, если разработчик предусмотрел фиксацию событий безопасности для аудита.		Кроме базовых событий, в данный журнал также могут записываться события приложений, если разработчик предусмотрел фиксацию событий безопасности для аудита.

			= Ограничение доступа к реестру учетных записей SIP =
			Механизм ролей платформы позволяет создать отдельную роль, разрешающую доступ к провайдерам для чтения и модификации, к правилам маршрутизации, но не разрешающую доступ к учетным записям пользователей, а к учетным записями SIP-устройств разрешающую доступ только для чтения.

			Помимо этого, возможна привязка ролей пользователей к динамической модели данных. Там могут ограничиваться доступы к конкретным коллекциям, к конкретным операциям с коллекцией, а также в особо тонких случаях, конкретные операции с конкретными записями в коллекциях.

AZykov: /* Обзор мер обеспечения безопасности */

2025-05-30T14:28:38Z

Обзор мер обеспечения безопасности

← Предыдущая версия		Версия от 14:28, 30 мая 2025
Строка 148:		Строка 148:

	Правила также действуют для автопровровижена. Не каждый, кто может сгенерировать MAC адрес должен иметь возможность скачать конфигурацию для устройства, содержащую пароль учетной записи.		Правила также действуют для автопровровижена. Не каждый, кто может сгенерировать MAC адрес должен иметь возможность скачать конфигурацию для устройства, содержащую пароль учетной записи.

	~~== Динамические фильтры ==~~
	Система блокирует на некоторое время IP-адреса, с которых поступают SIP-запросы, перебирающие учетные данные. Это касается веб-подключений и SIP-регистраций.

	~~В тестах пригодится оставлять незаблокированный адрес.~~

	Рекомендация: добавьте на клиента еще один сетевой интерфейс в той же подсети, либо на сервер и на клиента еще одну подсеть.

	~~Дальнейшие тесты проводите с нового адреса, если иное не указывается.~~

	~~1. Создайте sh-скрипт с выводом в консоль:~~

	* Опрашивающий статический файл (''например index.html'') с дополнительного адреса.
	* Инициирующий с помощью CURL авторизацию (''POST /rest/v1/iam/sessions'') с дополнительного адреса.
	* Запустите скрипт. Убедитесь что авторизация успешно проходит.

	Такие сценарии можно использовать для осуществления нагрузочного тестирования, инициируя исходящие вызовы с помощью API.

	~~Примеры скриптов можете запросить в телеграм канале.~~

	~~2. Скопируйте скрипт под новым именем, укажите неверный пароль.~~

	* Запустите скрипт. Обратите внимание на изменения.
	* Скачайте лог-журнал с микросервиса ws. ''Как выглядят следы отказа?''

	~~3. Скопируйте последний скрипт. Скопируйте строку авторизации с помощью CURL с неверным паролем 100 раз.~~

	* Запустите скрипт. ''Заметьте на все ли запросы приходят ответы? На сколько запросов сервер ответит?''

	~~4. Измените последний скрипт, сделав все неверные пароли разными.~~

	* Запустите скрипт. ''Заметьте на сколько запросов сервер ответит?''
	* Скачайте лог-журнал с микросервиса ws. ''Как выглядят следы отказа и блокировки?''

	~~5. Выполните скрипт из пункта 1.~~

	* Какие изменения наблюдаются? Почему?

	~~6. Опросите API в мастер-домене /rest/v1/master/logicalroles/ws/bannedaddrs~~

	* Обнаружьте заблокированный адрес.
	* Удалите его.
	* Снова выполните скрипт пункта 1.
	* ''Какие изменения наблюдаются?''

	7. Может быть у вас получится запустить множество скриптов с других машин и атаковать сервер с целью вывести его из обслуживания?

	* Добавьте в конфигурацию еще один веб-сервер.
	* Напишите скрипт так, чтобы он давал указанную в параметрах частоту запросов. Используйте для этого вложенные и асинхронные скрипты.
	* Постепенно повышая нагрузку наблюдайте в htop за ростом загрузки процессора. Обратите внимание, как распределяется процессор между процессами. Отфильтруйте в htop список процессов, чтобы остались только ноды системы. Сравните загрузку между нодами ws.

	~~''Какие выводы можно сделать?''~~

	~~8. Проведите аналогичные тесты с регистрацией по SIP.~~

	= Ограничение допустимой нагрузки "фасадных" микросервисов =		= Ограничение допустимой нагрузки "фасадных" микросервисов =

AZykov: /* Ограничение допустимой нагрузки "фасадных" микросервисов */

2025-05-30T14:25:12Z

Ограничение допустимой нагрузки "фасадных" микросервисов

← Предыдущая версия		Версия от 14:25, 30 мая 2025
Строка 205:		Строка 205:
	= Ограничение допустимой нагрузки "фасадных" микросервисов =		= Ограничение допустимой нагрузки "фасадных" микросервисов =
	[[Файл:Ограничение количество ядер микросервиса.png\|мини\|Ограничение количество ядер микросервиса]]		[[Файл:Ограничение количество ядер микросервиса.png\|мини\|Ограничение количество ядер микросервиса]]
	В случае, если невозможно выделить отдельный сервер для обслуживания внешних подключений, можно ограничить допустимую нагрузку на конкретные микросервисы, которые обрабатывают внешние SIP-подключения.		В случае, если невозможно выделить отдельный сервер для обслуживания внешних подключений, можно ограничить допустимую нагрузку на конкретные микросервисы, которые обрабатывают внешние SIP-подключения:

			* esg
			* eg
			* autoprovision

	В конфигурации инстанса, можно настроить количество доступных ядер для конкретного микросервиса, что позволит при поступлении большого количества вредоносных запросов, снизить их влияне на другие сервисы платформы.		В конфигурации инстанса, можно настроить количество доступных ядер для конкретного микросервиса, что позволит при поступлении большого количества вредоносных запросов, снизить их влияне на другие сервисы платформы.

			Также, имеет смысл использовать несколько экземпляров микросервисов, разделив между ними аплинки к провайдерам. В таком случае при перегрузке одного из них, остальные продолжат работать.

	= Журналы событий безопасноси =		= Журналы событий безопасноси =

AZykov: /* Журналы событий безопасноси */

2025-05-30T14:24:04Z

Журналы событий безопасноси

← Предыдущая версия		Версия от 14:24, 30 мая 2025
Строка 202:		Строка 202:

	8. Проведите аналогичные тесты с регистрацией по SIP.		8. Проведите аналогичные тесты с регистрацией по SIP.

			= Ограничение допустимой нагрузки "фасадных" микросервисов =
			[[Файл:Ограничение количество ядер микросервиса.png\|мини\|Ограничение количество ядер микросервиса]]
			В случае, если невозможно выделить отдельный сервер для обслуживания внешних подключений, можно ограничить допустимую нагрузку на конкретные микросервисы, которые обрабатывают внешние SIP-подключения.

			В конфигурации инстанса, можно настроить количество доступных ядер для конкретного микросервиса, что позволит при поступлении большого количества вредоносных запросов, снизить их влияне на другие сервисы платформы.

	= Журналы событий безопасноси =		= Журналы событий безопасноси =

AZykov: /* Обзор мер обеспечения безопасности */

2025-05-30T14:21:04Z

Обзор мер обеспечения безопасности

← Предыдущая версия		Версия от 14:21, 30 мая 2025
Строка 42:		Строка 42:
	\|-		\|-
	\|Использование отдельных серверов для обслуживания внешних подключений		\|Использование отдельных серверов для обслуживания внешних подключений
	\|Рекомендуется использовать отдельный сервер, обслуживающий внешние подключения. В случае DDOS-атаки, нагрузка будет влиять только на данный сервер, а внутренние клиенты и другие сервисы, обслуживаемые отдельным сервером, могут продолжать работу.		\|Рекомендуется использовать отдельный "фасадный" сервер, обслуживающий внешние подключения. В случае DDOS-атаки, нагрузка будет влиять только на данный сервер, а внутренние клиенты и другие сервисы, обслуживаемые отдельным сервером, могут продолжать работу.
	\|}		\|}

AZykov: /* Обзор мер обеспечения безопасности */

2025-05-30T14:20:26Z

Обзор мер обеспечения безопасности

← Предыдущая версия		Версия от 14:20, 30 мая 2025
Строка 40:		Строка 40:
	\|Парольные политики		\|Парольные политики
	\|		\|
			\|-
			\|Использование отдельных серверов для обслуживания внешних подключений
			\|Рекомендуется использовать отдельный сервер, обслуживающий внешние подключения. В случае DDOS-атаки, нагрузка будет влиять только на данный сервер, а внутренние клиенты и другие сервисы, обслуживаемые отдельным сервером, могут продолжать работу.
	\|}		\|}