Le best practice di sicurezza VoIP si riducono a pochi controlli: accetta SIP solo da indirizzi IP noti, usa credenziali lunghe e uniche, tieni aggiornati PBX e SBC, cifra segnalazione e media dove puoi e metti un tetto a quanto può spendere ogni trunk. La maggior parte delle perdite sui SIP trunk nasce dalla toll fraud tramite un account debole, non da una cifratura violata.
Quali sono i principali rischi di sicurezza VoIP?
Per un'azienda o un carrier i principali rischi di sicurezza VoIP sono economici, non solo di privacy. In ordine di frequenza con cui costano soldi:
| Minaccia | Cosa succede | Difesa principale |
|---|---|---|
| Toll fraud | Qualcuno usa il tuo PBX o il tuo trunk per fare chiamate costose | Autenticazione per IP, limiti di chiamata, alert |
| Frode revenue share | Le chiamate vengono spinte verso numeri ad alto costo che pagano l'attaccante | Blocco delle destinazioni, tetti di spesa |
| Scansione delle registrazioni | Bot che provano migliaia di coppie interno e password | Regole firewall, rate limiting, ban automatici in stile fail2ban |
| Denial of service | Flood SIP che portano il server a rifiutare le chiamate vere | SBC, rate limit, filtraggio a monte |
| Intercettazione | Le chiamate non cifrate vengono catturate lungo il percorso di rete | TLS per il SIP, SRTP per i media |
| Spoofing del caller ID | I truffatori si spacciano per i tuoi numeri con i tuoi clienti | STIR/SHAKEN dove disponibile, monitoraggio dei numeri |
Lo schema d'attacco dietro le prime due è descritto in toll fraud e violazione dei PBX e in IRSF.
Come si mette in sicurezza un SIP trunk?
Un SIP trunk si mette in sicurezza limitando chi può inviarci traffico e cosa quel traffico può fare. Una checklist pratica:
- Usa l'autenticazione per IP tra la tua piattaforma e il tuo carrier. Accetta e invia traffico solo dagli IP di segnalazione concordati, come in una normale interconnessione SIP.
- Se devi registrarti con una password, usane una lunga e casuale per ogni trunk e per ogni interno, mai il numero dell'interno o una password di default.
- Aggiungi un prefisso tecnico o un tag di account concordato con il carrier, così il traffico estraneo che arriva da un IP autorizzato non ti viene fatturato per errore.
- Limita le destinazioni. Abilita solo i paesi che chiami. Blocca le numerazioni a tariffa maggiorata e satellitari se non ti servono.
- Imposta limiti di canali e CPS su ogni trunk, così una violazione non può occupare centinaia di canali in un colpo. Vedi canali VoIP e CPS.
- Metti un tetto alla spesa. Limiti di credito giornalieri sugli account prepagati trasformano un disastro in una piccola perdita.
Quali regole firewall usare per un SIP trunk?
La regola firewall di base per un SIP trunk è negare tutto di default: apri le porte SIP (5060 UDP/TCP, 5061 per TLS) solo verso gli IP di segnalazione del tuo carrier e le reti dei tuoi utenti, e apri l'intervallo di porte RTP solo quanto serve ai tuoi media. Poi:
- Non esporre su internet il pannello web di amministrazione del PBX. Raggiungilo tramite VPN.
- Banna automaticamente gli IP dopo ripetute registrazioni fallite.
- Scarta le richieste SIP con user agent di scanner noti, ma non affidarti solo a questo.
- Metti un session border controller al bordo se gestisci un carrier o una piattaforma multi-tenant: nasconde la topologia interna, normalizza il SIP e assorbe i flood.
- Disattiva il SIP ALG sui router davanti al PBX. Causa problemi audio e non aggiunge nulla alla sicurezza.
Le chiamate VoIP vanno cifrate?
Sì, ovunque entrambe le parti lo supportino. Usa TLS per la segnalazione SIP e SRTP per la voce, soprattutto per gli utenti remoti su reti pubbliche. Sulle rotte wholesale sii realista: molte interconnessioni tra carrier usano ancora SIP e RTP in chiaro su collegamenti dedicati o whitelist di IP, e la cifratura di solito finisce al primo passaggio tra carrier. La cifratura protegge il contenuto della chiamata; non ferma la toll fraud, per cui servono i controlli descritti sopra.
Come si rileva presto un attacco VoIP?
La maggior parte delle frodi si vede nei record delle chiamate nel giro di minuti, quindi il monitoraggio è il controllo singolo più efficace. Tieni d'occhio:
- Chiamate fuori dall'orario lavorativo, soprattutto di notte e nel fine settimana.
- Nuove destinazioni che non chiami mai, o picchi verso un paese o un blocco di numeri.
- Molte chiamate brevi, o molte chiamate in parallelo da un solo interno.
- Un salto improvviso della spesa oraria rispetto al tuo livello normale.
Imposta alert su questi schemi e blocca in automatico sopra una soglia. Monitoraggio delle rotte con i CDR spiega quali campi seguire, e i carrier usano un sistema di gestione delle frodi per farlo su larga scala. Continua ad applicare gli aggiornamenti: molte violazioni dei PBX sfruttano falle note di vecchie versioni del software.
Sicurezza quando compri rotte wholesale
Quando compri terminazione VoIP wholesale, concorda fin dal primo giorno con il fornitore autenticazione per IP, limiti sulle destinazioni e limiti di credito, e tieni aggiornati i contatti per gli alert antifrode. VoIPMatcher procura e gestisce la rotta per te, quindi queste impostazioni fanno parte dell'attivazione. Richiedi una rotta VoIP e dicci quali destinazioni e limiti ti servono.
Domande frequenti
Il VoIP è sicuro?
Il VoIP può essere sicuro quanto la telefonia tradizionale, ma solo se configurato con cura. Nella maggior parte degli incidenti il punto debole non è il protocollo: sono password deboli, porte SIP aperte, software PBX non aggiornato e assenza di limiti di chiamata. Con restrizioni per IP, cifratura e tetti di spesa il rischio scende molto.
Quale porta usa il SIP?
Il SIP usa di default la porta 5060 per UDP e TCP, e la 5061 per SIP su TLS. I media (RTP) usano un intervallo di porte UDP alte impostato sul PBX o sull'SBC. Spostare il SIP su un'altra porta riduce il rumore delle scansioni automatiche, ma non è una vera protezione: il lavoro lo fanno comunque regole firewall e autenticazione.
Devo disattivare il SIP ALG sul router?
Nella maggior parte dei casi sì. Il SIP ALG è una funzione del router che riscrive i messaggi SIP, e molte implementazioni lo fanno male, causando audio monodirezionale, registrazioni fallite e chiamate cadute. I fornitori VoIP consigliano di solito di disattivarlo e di gestire il NAT sul PBX o sul session border controller.
Un SIP trunk può essere violato?
Sì. Gli attaccanti scansionano internet in cerca di endpoint SIP, indovinano le password degli interni e poi fanno costose chiamate internazionali, di solito di notte o nel fine settimana. Raramente è il SIP trunk in sé a essere violato: l'attaccante entra dal PBX o da un account debole e usa il trunk. Autenticazione per IP e limiti di chiamata bloccano la maggior parte di questi attacchi.
Quali sono le minacce più gravi per la sicurezza VoIP?
Le più comuni sono la toll fraud tramite account PBX violati, la frode internazionale revenue share, gli attacchi denial of service contro i server SIP, l'intercettazione delle chiamate non cifrate e lo spoofing del caller ID rivolto ai tuoi clienti. La toll fraud è quella che fa perdere soldi più in fretta, spesso migliaia in poche ore.
Ti serve una rotta?
Mandaci destinazione, tipo di rotta e tariffa target. Ti rispondiamo con quello che possiamo offrirti.