3CX Login absichern bzw. IP-Adressen sperren

[LeiLei]

Ich sehe in den Logs immer wieder Anmeldeversuche von Bots. Es sind pro Tag 2-3 verschiedene IP-Adressen (die jeden Tag wechseln) und die ~ 1x pro Stunde einen Anmeldeversuch mit einem anderen Kennwort machen.
Nachdem eben so viel Zeit zwischen den Anmeldeversuchen ist, greift die automatische Blockierung von IP-Adressen nicht.

Wie habt ihr das gelöst?

Nehmt ihr das einfach so zur Kenntnis?
Sperrt ihr die Adressen manuell?
Oder gibts doch einen automatischen Weg?

Danke für eure Rückmeldungen!

 

[bitn2]

Habt ihr externe Telefone angebunden? Wenn nicht den SIP Port auf das Netz des Anbieters begrenzen, dann ist Ruhe.

 

[LeiLei]

Einige User verwenden die 3CX-App am Smartphone.

 

[bitn2]

Das ist egal, das läuft über den Tunnel Port und HTTPS. Es ging mir um Telefone die per STUN zb provisioniert sind. Wenn es das nicht gibt, dann kannst du problemlos den SIP Port auf das Netz deines Providers beschränken.

 

[LeiLei]

Danke für deine Hilfe.

Hab mir jetzt meine Firewall angeschaut. Weiterleitung für SIP beschränke ich jetzt auch schon auf das Netz meines Providers.

Kann ich irgendwo sehen bei der 3CX, auf was (also welchen Port) der Zugriff erfolgt?
Ich vermute fast, dass sich da wer beim Webportal (über https) anmelden möchte (bzw. es versucht).

 

[avraammich_3CX]

hi @LeiLei,

das sind HTTPS attempts.
(443/5001)

 

[LeiLei]

@avraammich_3CX : danke für die Aufklärung!

Gibt es in diesem Fall irgendeine Lösung, dass automatisiert zu blockieren? Z.b. bei mehr als X fehlgeschlagenen Loginversuchen innerhalb X Stunden blockieren?

 

[avraammich_3CX]

Hi @LeiLei,

nein ist Hardcodiert.

Eine IP wird auf die Sperrliste gesetzt, wenn innerhalb eines Zeitraums von 30 Minuten mehr als 10 Versuche (11. Versuch) gibt.

 

[LeiLei]

Alles klar.

Gibts nun irgendeine Handlungsempfehlung?
Auch wenn die Wahrscheinlichkeit für einen erfolgreichen Bruteforce bei einem Versuch pro Stunde äußerst unwahrscheinlich ist, ist es doch irgendwie "lästig".
Ist die einzige Möglichkeit tatsächlich das manuelle Setzen der IP auf die Blacklist?
Wenn ja

 

[avraammich_3CX]

Hi @LeiLei,

Anti Hacking basiert auf SIP nicht auf HTTPS attempts.

Gibts nun irgendeine Handlungsempfehlung?

Ja, starke Passwörter verwenden(keine vorhersehbare).


Auch wenn die Wahrscheinlichkeit für einen erfolgreichen Bruteforce bei einem Versuch pro Stunde äußerst unwahrscheinlich ist, ist es doch irgendwie "lästig".

Anlage läuft auf welche Version/Build Nummer genau?

 

[LeiLei]

Anti Hacking basiert auf SIP nicht auf HTTPS attempts.

Danke für die Aufklärung.

Gibts nun irgendeine Handlungsempfehlung?

Ja, starke Passwörter verwenden(keine vorhersehbare).

Auch wenn die Wahrscheinlichkeit für einen erfolgreichen Bruteforce bei einem Versuch pro Stunde äußerst unwahrscheinlich ist, ist es doch irgendwie "lästig".

Anlage läuft auf welche Version/Build Nummer genau?

18.0 Update 6 (Build 908)
Ich weiß, dass es mittlerweile Update 7 gibt. Aber diese habe/hatte ich (zum Glück noch) nicht installiert.

 

[avraammich_3CX]

Hi @LeiLei,

https://www.3cx.de/blog/v18-update7-alpha/

"Die Ereignisprotokollierung von Passwörtern wurde entfernt"

 

[LeiLei]

Ich deute das so: der Hinweis wird zwar nicht mehr angezeigt - die Zugriffsversuche finden aber weiterhin ungehindert statt. Korrekt, oder?

 

[avraammich_3CX]

Hi @LeiLei,

korrekt