Voorkom misbruik • Sip trunk en ISDN – Gamma Communications
30 augustus 2021 09:49
1 uw telefooncentrale.
2 waarom worden PBX-en misbruikt?
4.1 inbreken op de onderhoudstoegang van de PBX
4.4 automatische telefoniste
4.5 doorschakelen
4.7 DISA (Direct Inward Service Access)
5.4 fysieke toegang
5.5 onderhoudstoegang
5.6 voicemail
1 uw telefooncentrale
Een telefooncentrale, ook wel PBX of PABX genoemd (Private -Access- Branch Exchange), is een essentieel onderdeel van uw organisatie. Samen met een dean sip trunk of een dean isdn lijn zorgt de telefooncentrale ervoor dat u telefonisch bereikbaar bent voor de buitenwereld. Het is daarom van groot belang om ervoor te zorgen dat de continuïteit van uw PBX gegarandeerd is en dat er geen misbruik door derden van kan worden gemaakt.
In dit document wordt ingegaan op verschillende manieren waarop kwaadwillende trachten toegang te krijgen tot uw PBX en op de maatregelen die u kunt nemen om u daartegen te beschermen.
Dit voorkomt dat u geconfronteerd wordt met onverwachte kosten door misbruik, met het openbaar raken van vertrouwelijke informatie of zelfs met het uitvallen van uw telefooncentrale.
Indien u gebruik maakt van dean cloud telefonie, raadpleeg dan het document "veilig bellen met dean cloud telefonie".
Voor kwaadwillende zijn er meerdere redenen om een PBX te misbruiken, waaronder:
Bij deze vorm van misbruik verkrijgt een hacker toegang tot de PBX en worden telefoonnummers doorgeschakeld naar dure internationale nummers. Indien nu het doorgeschakelde (Nederlandse) nummer wordt gebeld, wordt de oproep doorgeschakeld naar het dure internationale nummer. De getroffen PBX wordt vervolgens door kwaadwillende of door malafide belhuizen gebruikt om "gratis" naar deze nummers te kunnen bellen. De schade kan oplopen tot vele duizenden euro's.
Bij deze vorm van misbruik opent een crimineel (al dan niet via een stroman) een 0900 nummer of een buitenlands "premium" nummer. Indien dit dure nummer wordt gebeld, ontvangt de malafide eigenaar van het nummer voor elke minuut dat er wordt gebeld een geldbedrag. Dit bedrag kan oplopen tot wel € 0,70 per minuut, terwijl de beller (de eigenaar van de getroffen telefooncentrale) tot wel € 1,00 kan betalen. De malafide nummerhouder laat zoveel mogelijk PBX-en hacken en laat deze zoveel mogelijk bellen naar zijn 0900 nummer. Ook hier kan schade oplopen tot vele duizenden euro's.
Moderne PBX-en zijn bij tal van bedrijven, van klein tot groot, te vinden. Sommige functies van PBX-en bieden mogelijkheden voor kwaadwillende om in te breken, zoals:
Direct Inward System Access (DISA) – hiermee kunnen medewerkers die niet op kantoor werken via de PBX van hun bedrijf bellen
Moderne telefooncentrales beschikken vaak ook over Voice over IP (IP staat voor Internet Protocol) en ze zijn daarom ook vaak op het internet aangesloten, hetzij om te kunnen bellen via een SIP Trunk, hetzij voor onderhoud op afstand.
Elke PBX beschikt over een toegang voor systeemonderhoud waarmee technici de PBX kunnen onderhouden en instellingen kunnen wijzigen. Dit kan vaak zowel op afstand als op locatie gebeuren. De meeste PBX-en beschikken over toegangsbeveiliging in de vorm van een wachtwoord, pincode, terugbelsysteem of een combinatie hiervan. Indien de PBX-hacker toegang weet te verkrijgen, kan hij het systeem zodanig configureren dat het kan worden gebruikt voor de hiervoor genoemde vormen van misbruik.
Moderne telefooncentrales zijn vrijwel altijd Voice over IP (VoIP) telefooncentrales. Er kunnen IP-telefoons op aangesloten worden. Deze IP-telefoons worden via een "account" dat bestaat uit een gebruikersnaam en een wachtwoord aangesloten op de VoIP centrale. Kwaadwillende proberen de beschikking te krijgen over de accountgegevens van IP-telefoons om op die manier de controle te krijgen over de telefoon en vervolgens te kunnen bellen naar dure bestemmingen of 0900 nummers.
Indien uw PBX beschikt over een voicemail systeem, dan zijn de individuele voicemailboxen vaak ook van buiten uw organisatie toegankelijk voor medewerkers. Ze kunnen dan bijvoorbeeld nieuw binnengekomen berichten beluisteren, hun begroeting aanpassen of hun toestelnummer doorschakelen. Dit laatste is met name weer interessant voor PBX-hackers. Zij kunnen het toestel bijvoorbeeld weer omleiden naar een duur 0900 nummer of naar dure internationale bestemmingen. Door nu naar het betreffende toestel te bellen kunnen zij kosteloos bellen naar 0900 nummers of dure internationale bestemmingen.
Net als bij voicemailsystemen is het soms mogelijk om via de Automatische Telefoniste (ook wel Interactive Voice Response systeem genoemd) een buitenlijn te kunnen kiezen. Zo kunnen PBX-hackers die inbellen op een automatische telefonistedienst vervolgens extern bellen en uw organisatie op kosten jagen.
PBX-hackers, die bijvoorbeeld via de onderhoudstoegang inbreken op de PBX kunnen deze opnieuw configureren. Ze kunnen bijvoorbeeld een toestelnummer doorschakelen naar een internationaal of premium tarief-nummer. Een andere mogelijkheid is dat kwaadwillende medewerkers een toestelnummer (meestal 's avonds of in het weekend of tijdens de vakantie) doorschakelen naar een internationaal of premium tariefnummer.
Social engineering is het onder valse voorwendselen verkrijgen van informatie of privileges om misbruik te plegen. PBX-hackers bellen bijvoorbeeld een nummer binnen een bedrijf en vragen om weer te worden doorverbonden naar de telefoniste. Daarbij ziet de telefoniste de oproep als een intern gesprek en kan ze worden overgehaald hulp te bieden bij het kiezen van een internationaal nummer. Ook kunnen medewerkers worden overgehaald toegangscodes en pincodes af te geven, bijvoorbeeld door een PBX-hacker die zich voordoet als een onderhoudstechnicus. Met deze informatie kan de hacker toegang verkrijgen tot de PBX.
Dit is een functie waarmee medewerkers die niet op kantoor werken via de PBX van hun bedrijf kunnen bellen. Kwaadwillende kunnen van deze functie gebruikmaken om te bellen naar internationale of premium ratenummers.
Het beveiligen van uw PBX start met het aanwijzen van een 'eigenaar' die eindverantwoordelijk is voor de beveiliging van het PBX-systeem. Dit is vooral van belang wanneer de verantwoordelijkheid voor beveiliging onduidelijk is. Wie is bijvoorbeeld verantwoordelijk voor fraudepreventie wanneer de PBX niet in het bezit is van de organisatie maar bijvoorbeeld wordt geleased? Of wanneer het onderhoud wordt uitgevoerd door een externe partij. De ervaring leert dat bij misbruik iedereen verwachtte dat een ander verantwoordelijk is.
Een zeer effectieve basismaatregel om misbruik tegen te gaan is om dié functies die niet per sé nodig zijn (bijvoorbeeld bellen naar 0900 nummer en mogelijk internationale nummers) uit te schakelen of te blokkeren en de toegang te vergrendelen om er zeker van te zijn dat deze diensten niet opnieuw ingeschakeld kunnen worden zonder toestemming van de systeemeigenaar.
Ook door de volgende algemene regels toe te passen kunt u het risico op misbruik aanmerkelijk verkleinen:
Schakel niet-toegewezen toestellen uit. Maak gebruik van periodieke controles om ongebruikte toestellen in kaart te brengen en uit te schakelen;
Beperk de doorschakelvoorziening systeem breed. Zorg dat er alleen naar interne nummers kan worden; doorgeschakeld en indien extern doorschakelen toch wordt toegestaan, dat dit niet kan naar 0900 nummers en internationale nummers;
Zet buiten normale kantoortijden uw PBX-systeem in de nachtstand en zorg dat er in de nachtstand niet naar internationale nummers gebeld kan worden.
Indien uw PBX gebruikt maakt van een dean one sip trunk, is het aan te raden gebruik te maken van een door dean one geleverde verbinding. Een dean one verbinding wordt geleverd met een beveiligde router en wordt aangesloten op het beveiligde dean one netwerk. Bijkomend voordeel is dat dean one de kwaliteit van gesprekken via een dean one internetverbinding garandeert. Deze verbinding is bovendien afgeschermd van het publieke internet.
Indien u toch gebruik wenst te maken van een internetverbinding van derden, zorg er dan voor dat uw PBX wordt beschermd door een firewall en dat de router beschermd is met een sterk wachtwoord. Neem voor specifieke firewall regels contact op met uw telecomleverancier of met dean one!
Breng een logische scheiding aan tussen uw data- en telefonienetwerk door bijvoorbeeld gebruik te maken van VLAN's of individuele switches. Hierdoor kan er niet zomaar toegang worden verkregen tot uw telefonie componenten vanuit het reguliere datanetwerk.
De accountgegevens van een IP-telefoon zijn net zo waardevol als een bankpas met pincode. Kwaadwillende kunnen met de combinatie van een gebruikersnaam en een wachtwoord een IP-telefoon aanmelden op uw PBX en zo bellen naar dure bestemmingen of 0900 nummers. Zorg er dus voor dat deze accountgegevens niet in verkeerde handen komen.
Gebruik "sterke" gebruikersnamen en wachtwoorden. Dit zijn bijvoorbeeld combinaties van hoofdletters, kleine letters en speciale tekens zoals !#$& en een wachtwoorden met een minimale lengte van 12 karakters. dean one the business provider for mobile, internet and voice 6
Gebruik Softphones niet op publieke wifinetwerken.
Zorg voor afdoende fysieke beveiligingen om onbevoegde toegang te voorkomen. Voorkom dat onbevoegden toegang hebben tot de ruimte waar de PBX is geplaatst. Waar mogelijk moet de PBX in een afgesloten ruimte met beperkte toegang worden geplaatst.
Zorg dat het standaard-fabriekswachtwoord voor de onderhoudstoegang voor uw type PBX wordt gewijzigd in een sterk wachtwoord en wijzig dit wachtwoord regelmatig;
Zorg dat de onderhoudstoegang na het invoeren van een beperkt aantal foute wachtwoorden wordt geblokkeerd;
Zorg indien mogelijk, dat de onderhoudstoegang na een bepaalde periode van inactiviteit verbreekt;
Indien onderhoudstoegang op afstand via een modem plaats vindt, zorg dan dat dit modem een willekeurig telefoonnummer heeft en geen onderdeel uitmaakt van een reeks van nummers die u bijvoorbeeld op uw website heeft staan. Op deze manier kunnen kwaadwillende lastiger het nummer van het onderhoudsmodem "raden";
Zorg dat de onderhoudstoegang op afstand standaard is geblokkeerd en alleen kan worden vrijgegeven van binnenuit uw organisatie;
Plaats onderhoudsterminals in een afgesloten ruimte die niet voor iedereen toegankelijk is;
Schakel onderhoudsfuncties uit als ze niet vereist zijn.
Om de kwetsbaarheid van het voicemailsysteem te beperken, gaat u als volgt te werk:
Zorg ervoor dat voicemailboxen worden beveiligd met een pincode van bij voorkeur 6 cijfers of meer;
Sta alleen "sterke" pincodes toe, dus geen 0000, 1234 etc.;
Zorg dat de pincodes afwijken van het toestelnummer van de betreffende voicemail box;
Zorg dat toegang tot de voicemail box wordt geblokkeerd na een bepaald aantal foute inlogpogingen;
Deactiveer de doorschakelfunctie in het voicemailsysteem of zorg dat er alleen kan worden doorgeschakeld naar interne nummers.
Zoals eerder aangegeven is het goed een 'eigenaar' aan te wijzen die eindverantwoordelijk is voor de beveiliging van uw PBX. Voer een periodieke beveiligingscontrole uit om er zeker van te zijn dat de ingevoerde beveiligingsmaatregelen functioneren. Wanneer u alle aanbevelingen opvolgt zult u het risico op misbruik aanmerkelijk beperken.