En
Hacking
Ético I
vimos las distintas metodologías que podemos seguir para realizar un
test de penetración, además de algunas herramientas para la fase de
footprinting. En Hacking
Ético II
escribí sobre los tipos de herramientas de análisis de código que
podemos utilizar en la fase de Testing del ciclo de vida de
desarrollo seguro de aplicaciones (SSDLC). Y en esta tercera entrega
quiero plasmar la importancia de proteger adecuadamente los servicios
de VoIP haciendo referencia a los ataques que nos podemos encontrar,
además de las herramientas que podemos utilizar para realizar una
prueba de penetración sobre VoIP.
En
primer lugar es importante conocer y ser consciente de los tipos de
ataques que nos podemos encontrar en una infraestructura de voz sobre
IP. En muchas ocasiones suele ser un servicio externalizado y
mantenido por un proveedor que tiene acceso remoto a la centralita de
VoIP, y
que si no exigimos que se cumplan unas medidas de seguridad mínimas,
pueden dejar una puerta trasera a nuestra plataforma de IT, por
ejemplo al
no aplicar correctamente una
política de contraseñas, parches de actualización o simplemente
configuraciones de hardening sobre VoIP. Entre
los ataques más comunes nos podemos encontrar la denegación del
servicio o degradación de la calidad del servicio, el robo de
información interceptando o redirigiendo llamadas, y
el más habitual e invasivo que uno se da cuenta cuando llega la
factura a final de mes que es la realización de llamadas gratuitas,
normalmente llamadas internacionales sin nuestro consentimiento y
conocimiento.
Para
realizar pruebas de penetración sobre sistemas de VoIP podemos
utilizar
la distribución VIPER
VAST,
que es un sistema Linux con un conjunto de herramientas para realizar
análisis y pruebas sobre VoIP, nos
podemos encontrar herramientas como Sipvicious, SIPp, UCSniff, VoIP
Hopper, entre muchas otras.
En
un test de penetración sobre VoIP debemos seguir las mismas fases
que en cualquier otro test de penetración sobre otro servicio, es
decir, en primer lugar realizaremos el footprinting utilizando
herramientas de OSINT como Maltego o Shodan. Posteriormente
seguiremos con las fases de Mapeo de Red y Enumeración, que
utilizando herramientas como Nmap o Hping descubriremos los servicios
de voz sobre IP de la compañía para comenzar a realizar conexiones
hacia los sistemas objetivos. Una
vez obtenido los servicios publicados podríamos utilizar la
herramienta metasploit para intentar obtener los nombres de usuarios
y extensiones telefónicas, esto
lo haremos observando la respuesta a las peticiones SIP como
Register, Invite y Option, es
decir, dependiendo de la respuesta que nos proporcione la centralita
a estos métodos conseguiríamos saber los nombres de usuarios y las
extensiones. Además,
como el servicio
de VoIP depende de otros servicios transversales como TFTP, SNMP,
DHCP y DNS, si
conseguimos acceder a la red interna podríamos utilizar herramientas
como tftpbrute, SNMPSweep, Sivus, etc para obtener mucha más
información sobre la plataforma de VoIP implantada en la
organización. Una
vez obtenida toda la información ya estaríamos en disposición de
aprovechar las vulnerabilidades para realizar el ataque de DoS,
atacar a dispositivos de VoIP concretos como teléfonos IP, realizar
escuchas ayudándonos de herramientas como Cain y Abel, realizar
Fuzzing de VoIP, obtener contraseñas y crackearlas con sipdump y
SIPCrack, manipular la señalización para suplantar el servidor de
VoIP, insertar audio y/o realizar ingeniería social como Vishing
(VoIP Phishing) y SPIT (Spam over Internet Telephony).
Para
proteger un sistema de Voz sobre IP deberíamos comenzar por
segmentar la red de Voz del resto de redes, utilizar mecanismos de
cifrado como SSL y TLS en
la capa de transporte
para la señalización, así como también métodos de cifrados como
SRTP y SRTCP en la capa de aplicación y ZRTP para el intercambio de
claves Diffie-Hellman.
Además
de estos mecanismos de protección se deberían aplicar todas las
medidas de protección que aplican a otras redes “normales” como
la
instalación de
equipos cortafuegos,
sistemas de protección de intrusiones (IDS/IPS), sistemas de gestión
y correlación
de eventos
(SIEM),
etc
Un saludo amigos y
recuerda, la próxima vez que estés hablando por teléfono piensa
que alguien puede estar escuchándote!!
Posts
