Post on 13-Jun-2015
description
transcript
Implementando Seguridad en plataformas de software libre
Elastix
JUAN OLIVA @jroliva
A que me dedico ?Proyectos de Voz sobre IP con ELASTIXServicios de Ethical Hacking
CertificacionesECE, ESM, dCAA, C|EH , CPTE, BNS, OSEH, LPIC-1, Novell CLA
Instructor / TrainingELASTIX 101, ECE, ESM, LPIC-1Cursos de Ethical HackingEthical hacking para VoIP , Callcenter
Y cuando tengo tiempo mantengo un blog :
http://jroliva.wordpress.com
Qué es Elastix ?
Elastix es una solución de comunicaciones unificadas que incluye:
•IPPBX – Central telefonica IP PBX
•Servicio de correo electrónico
•Fax
•Mensajería instantánea
•Mensajería unificada
Qué es Elastix ?
● Elastix es software libre, desarrollado en Ecuador, licenciado bajo GPL versión 2
● Esto quiere decir que se puede copiar, distribuir y modificar el software libremente.
● No existen versiones cerradas ni doble licenciamiento.
● Elastix puede ser descargado sin costo alguno.
● Se distribuye a nivel mundial como una distribución en una imagen ISO y soporta arquitecturas 32 bits, 64 bits , ARM
● Es basado en Web y permite su acceso a la interfaz de administración desde cualquier punto y Cualquier sistema operativo.
Qué es Elastix ?
Visión a nivel de arquitectura de software
•Sistema Operativo - Linux Centos 5.9
•PBX IP - Asterisk 1.8
•Servidor web - Apache
•Servidor de base de datos - Mysql
•Servicio SMTP – Postfix
•PHP V5.X y componentes
Qué es Elastix ?
Visión a nivel de arquitectura de software
•Sistema de gestión de PBX ASTERISK - Freepbx
•Servicio de mensajería instantánea - Openfire
•Sistema de CRM - Vtiger
Qué es Elastix ?
En donde lo encontramos ?
Central PBX IP
En donde lo encontramos ?
En donde lo encontramos ?
Central PBX IPCon anexos
Remotos/extendidos
En donde lo encontramos ?
CallCenter
En donde lo encontramos ?
- Sistema para venta de tráfico- PBX en la nube o Hosted PBX
Posicionamiento en la red con Elastix
sss
Elastix con IP Pública + estática
sss
Elastix en la nube
Identificando vectores de ataques en Elastix .....
Ataques Externos !!
Externos / Desde Internet
Vectores de ataque en Elastix
Linux - Password Cracking al servicio SSH- Revelación de configuración via SNMP
Asterisk
- Ennumeración de entidades SIP- SIP Brute broce attack a entidades SIP- Conexiones AMI
Externos / Desde Internet
Vectores de ataque en Elastix
Aplicaciones Web
- SQL inyección- Cross Site Scripting o XSS- Exploits
Ataques internos !!
Internos / Desde la red LAN
Vectores de ataque en Elastix
- Arp poisoning- Captura de trafico de voz
Y los que nos hacemos nosotros
Implementando seguridad en Elastix
Así como hay ataques tambien existen muchos mecanismos de seguridad ......
Modulo de FirewallSirve para el manejo de puertos y servicios, la interface genera un conjunto de reglas basadas en iptables
Seguridad en Elastix
Uso de fail2ban para SSH y AsteriskEs posible asegurar completamente el servicio SSH y el servicio SIP de ASTERISK , detectando y bloqueando proactivamente ataques con Fail2ban
Seguridad en Elastix
Tuneles SSHSe suele utilizar para trasportar un protocolo determinado a través de una red que, en condiciones normales, no lo aceptaría, por ejemplo ingresar a la interfase web de Elastix, con solo tener habierto el puerto del servicio SSH y loguearse correctamente a este servicio.
Seguridad en Elastix
Aseguramiento de comunicaciones con TLSTLS (Transport Layer Security). Seguridad de la capa de transporte, es un protocolo criptográfico que permiten realizar comunicaciones seguras a través de la red de Internet.
Seguridad en Elastix
Aseguramiento de comunicaciones con SRTPEl Secure Real-time Transport Protocol (o SRTP) proporciona cifrado, a nivel de RTP, evitando el ensamblaje del audio de las comunicaciones (por ejemplo con Wireshark)
Seguridad en Elastix
Red Privadas Virtuales - VPNPermite implementar una capa adicional de seguridad, a las conexiones remotas sobre todo de extensiones o troncales VoIP , en modo Roadwarrior o Net – to Net
Seguridad en Elastix
Sistemas IDS e IPSSnort, es un programa muy flexible y a la vez complejo, provee un, alto nivel de personalización,Análisis de paquetes,Diferentes modos de ejecución,Base de reglas de alto alcance,Diferente tipos de almacenamiento
Seguridad en Elastix
Implementando seguridad en Elastix
DEMO
Protegiendo SSH con Fai2ban
Implementando seguridad en Elastix
DEMO
Protegiendo ASTERISK y SIP con Fai2ban
Implementando seguridad en Elastix
DEMO
Detectando ataques hacia Elastix usando SNORT como IDS
Instalación de Snort en Elastix
URL: http://jroliva.wordpress.com/
Y LO MEJOR ....
TODO DE LO QUE HEMOS HABLADO ...
ES :
Gracias !!
Juan OlivaConsultor en VoIP y Ethical HackingECE®, dCAA®, C|EH™, C)PTE™, OSEH, BNS, LPIC-1™, Novell CLA®
Correo : joliva@silcom.com.pegtalk : jroliva@gmail.comTwiter : @jrolivaBlog : http://jroliva.wordpress.com/