VoIP Honig Topf Bericht 1

Ergebnisse des Honigtopf-Experiments #1

HAAST

HONIG TOPF 1

Übersicht

Telium platzierte eine VoIP-Nebenstellenanlage (mit FreePBX mit Asterisk 14) für einen Zeitraum von 120 Tagen auf einer öffentlichen IP. Teliums SecAst wurde der Telefonanlage hinzugefügt, um alle Angriffe zu verfolgen und die unten dargestellten Daten bereitzustellen. SecAst wurde eingerichtet, um einen Angreifer für den Rest des Experiments zu blockieren, sobald der Angriff aufgezeichnet wurde, sodass jeder Angriff einen neuen (nicht wiederholten) Angriff darstellt.

Der Hauptzweck dieses “Honeypot”-Experiments bestand darin, die Anzahl und Art der Angriffe zu bewerten, die ein Administrator gegen seinen Server erwarten kann, ohne die IP-Adresse des Servers oder Anmeldeinformationen öffentlich zu machen. Der sekundäre Zweck dieses Experiments war es, das Risiko der Offenlegung von Kontoanmeldeinformationen im Internet durch Chat-/Nachrichtenbeiträge zu demonstrieren, da das automatische Abkratzen von SIP-Kontoanmeldeinformationen offensichtlich stattfindet.

Das Experiment gliedert sich in zwei Phasen: In der ersten Phase (Tage 0-60) wurde SecAst eingerichtet, um den Endpunktzugriff nur nach Nordamerika einzuschränken – um die Auswirkungen von GeoFencing zu zeigen. In der zweiten Phase (Tage 61-120) wurde SecAst eingerichtet, um weltweiten Zugriff zu ermöglichen, und eine Reihe gültiger SIP-Anmeldeinformationen wurden in 3 öffentlichen Foren veröffentlicht, die es Benutzern ermöglichten, sich beim Server zu registrieren und Anrufe zu tätigen (die nach 3 Sekunden automatisch beendet wurden).

Auswirkungen von GeoFencing

Das Diagramm rechts zeigt die Anzahl der Angriffe auf die Telefonanlage pro Tag. Beachten Sie, dass geoFencing am 60. Tag deaktiviert wurde, was zu einer erheblichen Zunahme der Angriffshäufigkeit führte.

Angriffskategorien mit GeoFencing

Die Grafik links zeigt die Kategorie der identifizierten Angriffe (d. h. Regel verletzt) während der ersten 60 Tage. Angriffsunterkategorien wurden aufgerollt, um hauptkategorien anzuzeigen. Die meisten Angriffe werden von einem verbotenen geografischen Standort aus erkannt. Innerhalb des zulässigen geografischen Zauns versucht der nächste beliebteste Angriffstyp, sich mit ungültigen Anmeldeinformationen zu registrieren.

Angriffskategorien ohne GeoFencing

Die Grafik rechts zeigt die Kategorie der identifizierten Angriffe (d. h. Regelverletzt) während der 60-Tage-Spanne. Angriffsunterkategorien wurden so aufgerollt, dass nur hauptkategorien angezeigt werden. Die meisten Angriffe werden als Versuch erkannt, sich mit ungültigen Anmeldeinformationen zu registrieren. Beachten Sie jedoch, dass 18 der Angriffe Anmeldeinformationen verwendet wurden, die von Websites vom Typ “Unterstützung” abgekratzt wurden (gefangen durch verdächtige Nutzungsmuster).

Angriffsquellenstandorte

Das Diagramm links zeigt die Anzahl der Angriffe nach geografischem Standort basierend auf der Quell-IP des Angreifers. Beachten Sie, dass sich die Top-Quellländer im Laufe der Zeit verschieben, da organisierte Angreifer Informationen mit verwandten Parteien teilen.

Angriffsintensität nach geographischer Lage

Das Diagramm rechts zeigt eine Karte der geografischen Lage von Angreifern. Eine intensivere rote Farbe, zeigt eine größere Anzahl von Angriffen. Eine grüne Farbe gibt an, dass die Anzahl der Angriffe aus diesem Land die Mindestschwelle nicht überschritten hat (um sich zu registrieren)