[AsteriskBrasil] Ajuda com brute force

Segunda Maio 30 03:12:23 BRT 2011

   Pelo que eu pude detectar, analisando algumas tentativas de invasÃµes:
   1) Os ataques sempre partem de IPs de fora do paÃs. Acredito que pelo
custo e facilidade de se locar algo fora. Existem tambÃ©m o menor risco do
responsÃ¡vel ser identificado e punido.
   2) Todas as tentativas de ataque se dÃ£o com ramais de logins numÃ©ricos.
Eles comeÃ§am testando 0000 e vÃ£o atÃ© 9999. Se vocÃª usar login de ramal
alfanumÃ©rico, quebra as pernas deles.
   3) As combinaÃ§Ãµes de senhas sÃ£o ridiculamente fÃ¡ceis. Se o ramal usar uma
senha de 8 dÃgitos, alfanumÃ©rico, dificilmente serÃ¡ hackeado.
   4) Os ataques sÃ£o feitos em 2 etapas: primeiro testa-se usuÃ¡rio e senha,
sem mandar chamadas. Depois, de posse de usuÃ¡rio e senha vÃ¡lidos, manda-se a
chamada. Assim, fica menos evidente as falhas no CDR.
   5) Quanto aos dispositivos, alguÃ©m sugeriu bloquear por invÃ¡lidos. PorÃ©m,
pelo menos aqui na minha anÃ¡lise, sÃ£o a minoria. Boa parte deles vem
identificado como softphone Eyebeam.
   Como jÃ¡ foi amplamente discutido, o fail2ban Ã© uma alternativa barata e
viÃ¡vel. Meu receio Ã© que, como ele analisa os logs do Asterisk, pode causar
perda de performance pro servidor em questÃ£o.

2011/4/20 Jose Eduardo Constantino Mazolini <jose.mazolini em fnis.com.br>

> Eu falei sobre isso com conexÃ£o TCP olhando syn.
>
> E analisando string do pacote udp, mas estava usando mikrotik que adiciona
> o ip em uma tabela.
>
> Acho que o que a mikrotik faz o iptables faz, mas nÃ£o sei exatamente como.
>
> TambÃ©m modifiquei a resposta do asterisk para ser senha invalida para
> devices inexistentes.
>
>
>
> *From:* asteriskbrasil-bounces em listas.asteriskbrasil.org [mailto:
> asteriskbrasil-bounces em listas.asteriskbrasil.org] *On Behalf Of *Thiago
> Bruni Tawil
> *Sent:* terÃ§a-feira, 19 de abril de 2011 18:51
>
> *To:* asteriskbrasil em listas.asteriskbrasil.org
> *Subject:* Re: [AsteriskBrasil] Ajuda com brute force
>
>
>
> O fail2ban possuÃ esse recurso, mas ele nÃ£o analisa pacotes e sim o arquivo
> de log do asterisk. Voce pode inclusive determinar quanto tempo vai durar o
> DROP...
> AbraÃ§os
>
> No dia 19 de Abr de 2011 15:29, "Alexandre Ricardo Souza Silva" <
> alexandre em componentizar.com.br> escreveu:
> > Thiago,
> >
> > tem uma outra maneira de fazer este bloqueo com Iptables e um analisador
> de pacotes, onde se vc tiver um x numero de tentativas em segundos vc
> bloqueia o Ip de origem, eu vi alguma coisa parecida aqui no forum, nao me
> lembro muito bem a ferramenta usada, se eu lembrar informo aqui a todos.
> >
> >
> >
> > AbraÃ§o
> >
> >
> > Alexandre
> > ----- Original Message -----
> > From: Thiago Bruni Tawil
> > To: asteriskbrasil em listas.asteriskbrasil.org
> > Sent: Tuesday, April 19, 2011 7:59 AM
> > Subject: Re: [AsteriskBrasil] Ajuda com brute force
> >
> >
> > Cara, a melhor alternativa que eu encontrei ate hj Ã© o fail2ban.... nÃ£o
> eh tÃ£o complicado de entender e funciona muito bem... abraÃ§os...
> >
> > Em 18/04/2011 19:34, "Renan NÃ³brega" <renandesouz4 em gmail.com> escreveu:
> > > Creio que a essa altura do campeonato o problema tenha sido resolvido.
> Uma
> > > boa opÃ§Ã£o momentÃ¢nea Ã© bloquear o IP invasor no firewall via iptables.
> Taca
> > > um DROP nele que para na hora.
> > >
> > > 2011/4/18 Wesley MAX WIFI TELECOM <xcyberlan em hotmail.com>
> > >
> > >> nÃ£o percebi que tinha feito isso tem com apagar da lista nÃ£o
> > >>
> > >> ------------------------------
> > >> From: jmbq em bol.com.br
> > >> Date: Mon, 18 Apr 2011 08:49:33 -0300
> > >>
> > >> To: asteriskbrasil em listas.asteriskbrasil.org
> > >> Subject: Re: [AsteriskBrasil] Ajuda com brute force
> > >>
> > >>
> > >> Como falado anteriormente, utilize o fail2ban.
> > >> E mais uma dica, da prÃ³xima vez que postar o log nÃ£o poste o IP do
> > >> servidor.
> > >>
> > >> Boa sorte,
> > >>
> > >> JoÃ£o Marcelo
> > >>
> > >>
> > >> Em 17/04/2011, Ã s 19:25, Wesley MAX WIFI TELECOM escreveu:
> > >>
> > >> Ajuda com brute force estÃ£o tentando logar. em conta sip em meu
> servidor
> > >> ate agora ele nÃ£o deram conta, pois sempre ativo host = meu ip fixo
> mais meu
> > >> log jÃ¡ esta muito grande de tantas tentativas que eles estÃ£o fazendo e
> quero
> > >> bloquear eles serÃ¡ que tem alguma ferramenta para que eu possa
> bloquear
> > >> essas tentativa e deixar meu asterisk mais seguro
> > >>
> > >>
> > >>
> > >>
> > >> Tentativas no LOG
> > >>
> > >>
> > >>
> > >>
> > >> '"30" <sip:30 em 187.28.52.10>' failed for '112.107.3.152' - Peer is not
> > >> supposed to register
> > >> [Apr 17 18:19:44] ERROR[3228] chan_sip.c: Peer '100' is trying to
> register,
> > >> but not configured as host=dynamic
> > >> [Apr 17 18:19:44] NOTICE[3228] chan_sip.c: Registration from '"100" <
> > >> sip:100 em 187.28.52.10>' failed for '65.111.166.219' - Peer is not
> supposed
> > >> to register
> > >> [Apr 17 18:19:44] ERROR[3228] chan_sip.c: Peer '100' is trying to
> register,
> > >> but not configured as host=dynamic
> > >> [Apr 17 18:19:44] NOTICE[3228] chan_sip.c: Registration from '"100" <
> > >> sip:100 em 187.28.52.10>' failed for '65.111.166.219' - Peer is not
> supposed
> > >> to register
> > >> [Apr 17 18:19:44] ERROR[3228] chan_sip.c: Peer '100' is trying to
> register,
> > >> but not configured as host=dynamic
> > >> [Apr 17 18:19:44] NOTICE[3228] chan_sip.c: Registration from '"100" <
> > >> sip:100 em 187.28.52.10>' failed for '65.111.166.219' - Peer is not
> supposed
> > >> to register
> > >> [Apr 17 18:19:44] ERROR[3228] chan_sip.c: Peer '30' is trying to
> register,
> > >> but not configured as host=dynamic
> > >> [Apr 17 18:19:44] NOTICE[3228] chan_sip.c: Registration from '"30" <
> > >> sip:30 em 187.28.52.10>' failed for '112.107.3.152' - Peer is not
> supposed to
> > >> register
> > >> [Apr 17 18:19:44] ERROR[3228] chan_sip.c: Peer '30' is trying
> > >> _______________________________________________
> > >> KHOMP: qualidade em placas de E1, GSM, FXS e FXO para Asterisk.
> > >> - Hardware com alta disponibilidade de recursos e qualidade KHOMP
> > >> - Suporte tÃ©cnico local qualificado e gratuito
> > >> ConheÃ§a a linha completa de produtos KHOMP em www.khomp.com.br
> > >> _______________________________________________
> > >> DIGIVOICE: Lider no mercado de placas para Asterisk
> > >> Ãšnico fabricante com Centro de Treinamento especializado.
> > >> LANÃ‡AMENTO: Channel Bank TDMoE, atÃ© 64 canais FXS / FXO.
> > >> www.digivoice.com.br ou (11)3016-5200.
> > >> ________
> > >> Lista de discussÃµes AsteriskBrasil.org
> > >> AsteriskBrasil em listas.asteriskbrasil.org
> > >> http://listas.asteriskbrasil.org/mailman/listinfo/asteriskbrasil
> > >> ______________________________________________
> > >> Para remover seu email desta lista, basta enviar um email em branco
> para
> > >> asteriskbrasil-unsubscribe em listas.asteriskbrasil.org
> > >>
> > >>
> > >>
> > >> _______________________________________________ KHOMP: qualidade em
> placas
> > >> de E1, GSM, FXS e FXO para Asterisk. - Hardware com alta
> disponibilidade de
> > >> recursos e qualidade KHOMP - Suporte tï¿½cnico local qualificado e
> gratuito
> > >> Conheï¿½a a linha completa de produtos KHOMP em
> www.khomp.com.br_______________________________________________ DIGIVOICE:
> Lider no mercado
> > >> de placas para Asterisk ï¿½nico fabricante com Centro de Treinamento
> > >> especializado. LANï¿½AMENTO: Channel Bank TDMoE, atï¿½ 64 canais FXS /
> FXO.
> > >> www.digivoice.com.br ou (11)3016-5200. ________ Lista de discussï¿½es
> > >> AsteriskBrasil.org AsteriskBrasil em listas.asteriskbrasil.org
> > >>
> http://listas.asteriskbrasil.org/mailman/listinfo/asteriskbrasil______________________________________________Para remover seu email desta
> > >> lista, basta enviar um email em branco para
> > >> asteriskbrasil-unsubscribe em listas.asteriskbrasil.org
> > >>
> > >> _______________________________________________
> > >> KHOMP: qualidade em placas de E1, GSM, FXS e FXO para Asterisk.
> > >> - Hardware com alta disponibilidade de recursos e qualidade KHOMP
> > >> - Suporte tÃ©cnico local qualificado e gratuito
> > >> ConheÃ§a a linha completa de produtos KHOMP em www.khomp.com.br
> > >> _______________________________________________
> > >> DIGIVOICE: Lider no mercado de placas para Asterisk
> > >> Ãšnico fabricante com Centro de Treinamento especializado.
> > >> LANÃ‡AMENTO: Channel Bank TDMoE, atÃ© 64 canais FXS / FXO.
> > >> www.digivoice.com.br ou (11)3016-5200.
> > >> ________
> > >> Lista de discussÃµes AsteriskBrasil.org
> > >> AsteriskBrasil em listas.asteriskbrasil.org
> > >> http://listas.asteriskbrasil.org/mailman/listinfo/asteriskbrasil
> > >> ______________________________________________
> > >> Para remover seu email desta lista, basta enviar um email em branco
> para
> > >> asteriskbrasil-unsubscribe em listas.asteriskbrasil.org
> > >>
> > >
> > >
> > >
> > > --
> > > Renan NÃ³brega
> > > +55 83 88177548 , +55 83 81498995
> >
> >
> >
> >
> >
> ------------------------------------------------------------------------------
> >
> >
> > _______________________________________________
> > KHOMP: qualidade em placas de E1, GSM, FXS e FXO para Asterisk.
> > - Hardware com alta disponibilidade de recursos e qualidade KHOMP
> > - Suporte tÃ©cnico local qualificado e gratuito
> > ConheÃ§a a linha completa de produtos KHOMP em www.khomp.com.br
> > _______________________________________________
> > DIGIVOICE: Lider no mercado de placas para Asterisk
> > Ãšnico fabricante com Centro de Treinamento especializado.
> > LANÃ‡AMENTO: Channel Bank TDMoE, atÃ© 64 canais FXS / FXO.
> > www.digivoice.com.br ou (11)3016-5200.
> > ________
> > Lista de discussÃµes AsteriskBrasil.org
> > AsteriskBrasil em listas.asteriskbrasil.org
> > http://listas.asteriskbrasil.org/mailman/listinfo/asteriskbrasil
> > ______________________________________________
> > Para remover seu email desta lista, basta enviar um email em branco para
> asteriskbrasil-unsubscribe em listas.asteriskbrasil.org
>
>
>
> A informaÃ§Ã£o contida nesta mensagem Ã© confidencial e de propriedade da
> Fidelity Processadora e ServiÃ§os S/A. Se vocÃª recebeu este e-mail por
> engano, por favor: (i) apague a mensagem e todas as suas cÃ³pias e anexos;
> (ii) nÃ£o revele, distribua ou utilize a mensagem ou seu conteÃºdo de qualquer
> maneira; e (iii) notifique o remetente imediatamente. Adicionalmente, por
> favor esteja informado de que qualquer mensagem endereÃ§ada ao domÃnio da
> Fidelity estÃ¡ sujeita ao arquivamento e leitura por outros membros da
> companhia, alÃ©m do prÃ³prio destinatÃ¡rio da mensagem. A Fidelity agradece a
> sua colaboraÃ§Ã£o.
>
> The information contained in this message is proprietary and/or
> confidential. If you are not the intended recipient, please: (i) delete the
> message and all copies; (ii) do not disclose, distribute or use the message
> in any manner; and (iii) notify the sender immediately. In addition, please
> be aware that any message addressed to our domain is subject to archiving
> and review by persons other than the intended recipient. Thank you.
>
> _______________________________________________
> KHOMP: qualidade em placas de E1, GSM, FXS e FXO para Asterisk.
> - Hardware com alta disponibilidade de recursos e qualidade KHOMP
> - Suporte tÃ©cnico local qualificado e gratuito
> ConheÃ§a a linha completa de produtos KHOMP em www.khomp.com.br
> _______________________________________________
> DIGIVOICE: Lider no mercado de placas para Asterisk
> Ãšnico fabricante com Centro de Treinamento especializado.
> LANÃ‡AMENTO: Channel Bank TDMoE, atÃ© 64 canais FXS / FXO.
> www.digivoice.com.br ou (11)3016-5200.
> ________
> Lista de discussÃµes AsteriskBrasil.org
> AsteriskBrasil em listas.asteriskbrasil.org
> http://listas.asteriskbrasil.org/mailman/listinfo/asteriskbrasil
> ______________________________________________
> Para remover seu email desta lista, basta enviar um email em branco para
> asteriskbrasil-unsubscribe em listas.asteriskbrasil.org
>
-------------- Próxima Parte ----------
Um anexo em HTML foi limpo...
URL: http://listas.asteriskbrasil.org/pipermail/asteriskbrasil/attachments/20110530/b4cbf4e0/attachment-0001.htm 