über 1000 Fehlzugriffe aus dem Internet

[Marc H.]

Hallo Leute,

ich habe hier ein System auf dem seit ein paar Tagen über 1000 Falschanmeldungen pro Tag auflaufen.

Das sieht dann so aus:



Und das sind die Meldungen:



Es ist über lange Zeit immer der gleiche User-Agent.

Der hier kommt auch häufiger: Avaya[space]IP[space]Phone[space]1120E

Nun die Fragen:

Wie geht ihr damit um?

Und, kann ich irgendwo im Log einsehen mit welchen Daten die den Zugriff versuchen?

Danke schon mal.

Gruß,
Marc

 

[bitn2]

Das sind Anmeldeversuche auf Port 5060. So lange die geblockt werden ist erstmal alles gut. Was man machen kann, so lange keine externen Telefone per STUN angemeldet sind, ist den Port auf den SIP Anbeiter in der Firewall begrenzen.

 

[wallymgbh]

Hallo,

das Problem hatten wir auch. Auch über Port 5001 kamen ständig Angriffe. Das ist nicht primär ein Problem der 3CX sondern von jeder PBX sobald Ports offen sind. Das kann Dir überall passieren auch in einem Rechenzentrum. Uns ist es damals auch bei 3CX selber passiert. Da man da aber nichts ändern kann sind wir schnell wieder weg von Hosted by 3cx.

Wir haben alle Ports geändert. Also SIP, den GUI Port (5001), den 3CX Tunnel. Erst danach war Schluß und nun ist Ruhe. des Weiteren haben wir noch weitere Vorkehrungen getroffen wie z.B. die Trusted IP Methode die unser Provider anbietet. Wenn nicht erforderlich kann Du in der 3CX auch die Authentifizierung über fremde Netzwerke abschalten. Dann darf man sich garnicht auf der 3CX anmelden wenn man nicht aus dem selben Netz wie die 3CX PBX selber kommt selbst wenn die Zugangsdaten stimmen würden.

Hacker oder Script Kiddies versuchen halt mit automatisierten Scripts offene Standart Ports zu finden. 5060 ist zum Beispiel einer davon. Finden die einen wird versucht da rein zu kommen. Nicht Standart Ports werden meist jedoch nicht gescannt da dies pro IP zu lange dauern würde.

 

[bitn2]

Das sinnvollste ist es die Firewall entsprechend restriktiv einzustellen und nicht wild die Ports zu ändern. Früher oder später werden auch die entdeckt und das "Problem" ist das selbe. Bei uns sind die meisten Anlagen auf https 443 oder 5001. Je nach Anwendungsfall entsprechend auf bestimmte Netze beschränkt oder halt nicht. Entsprechend sichere Passwörter verwenden und man braucht sich nicht so einen Kopf machen. Port 5060 auf das Netz des Anbieters begrenzen, zumindest so lange keine Telefone per STUN genutzt werden (sollte man eh nicht mehr brauchen). Den Tunnelport entsprechend auch mit einem sicheren Passwort versehen und alles ist gut.

 

[Patrick_Bitblade]

Das sinnvollste ist es die Firewall entsprechend restriktiv einzustellen und nicht wild die Ports zu ändern. Früher oder später werden auch die entdeckt und das "Problem" ist das selbe. Bei uns sind die meisten Anlagen auf https 443 oder 5001. Je nach Anwendungsfall entsprechend auf bestimmte Netze beschränkt oder halt nicht. Entsprechend sichere Passwörter verwenden und man braucht sich nicht so einen Kopf machen. Port 5060 auf das Netz des Anbieters begrenzen, zumindest so lange keine Telefone per STUN genutzt werden (sollte man eh nicht mehr brauchen). Den Tunnelport entsprechend auch mit einem sicheren Passwort versehen und alles ist gut.

Wiederum kann es nicht sein, dass eine IPs 100-150 Anfragen durchführen...dies auf hunderten/tausenden Anlagen gleichzeit.
Nur weil die Sperr-Schwelle viel zu hoch eingestellt ist und selbst nicht angepasst werden kann.

 

[voipsonic-graz]

Ich hatte das auch bei mehren Anlagen auf Port 5060. Nun verwende ich überall nicht mehr 5060, sondern einen anderen und ich hab nirgendwo mehr diese Fehlanmeldungen.