Les meilleures pratiques pour la sécurité de la VoIP
Protégez vos communications professionnelles contre les menaces et assurez une disponibilité maximale grâce aux solutions innovantes de Yeastar
Acheter ou louer son standard téléphonique ?
#standard téléphonique #PABX #IPBX # standard interne #standard externe #location #achat
Au cours de l’année dernière, l’industrie de la VoIP a subi une perte de 50 milliards de dollars américains en raison de la fraude et des attaques liées à la VoIP. Lorsque les menaces deviennent imprévisibles et que les risques liés au travail à distance augmentent, la sécurité est essentielle. Le piratage de la VoIP et les attaques peuvent provenir d’Internet ou des lignes téléphoniques, exploitant des vulnérabilités et exposant finalement votre organisation à la fraude tarifaire et au vol d’informations confidentielles.
Alors, comment pouvez-vous protéger votre système PBX essentiel pour l’entreprise contre les menaces potentielles du réseau et les malversations internes ?
6 Types de vulnérabilités et d'attaques VoIP courantes
Pour éviter les violations de sécurité dans votre système téléphonique VoIP PBX, il est important de comprendre les vulnérabilités potentielles et les types courants de cyberattaques.
Vulnérabilités potentielles de la sécurité PBX
- Identifiants et mots de passe faibles ou volés
- Portes dérobées et vulnérabilités des applications
- Mauvaise gestion des accès
- Connexions non cryptées
- Violations de données causées par des erreurs humaines
Types courants de cyberattaques et menaces pour la sécurité VoIP
- Fraude tarifaire
- Action : Passer des appels internationaux depuis votre réseau VoIP, à vos frais.
- Objectif : Générer un volume élevé d’appels internationaux vers des numéros à tarif premium, puis collecter les revenus.
- Reconnaissance
- Action : Rassembler toutes les informations possibles sur la cible avant de lancer une attaque réelle.
- Objectif : Identifier les vulnérabilités et les faiblesses, puis créer une exploitation réussie.
- Déni de service (DoS)
- Action : Inonder un serveur avec un nombre écrasant de requêtes et utiliser toute sa bande passante.
- Objectif : Empêcher les utilisateurs d’accéder aux services ou sites en ligne connectés.
- Usurpation d’identité
- Action : Se faire passer pour une personne ou une entreprise de confiance pour les victimes.
- Objectif : Accéder à des informations personnelles ou voler des données.
- Homme du milieu
- Action : Écouter la communication entre deux cibles.
- Objectif : Voler des données sensibles, telles que des identifiants de connexion, des détails de compte et des numéros de carte de crédit.
- Spam sur Internet Telephony (SPIT)
- Action : Appels et messages vocaux automatisés non sollicités sur VoIP vers des téléphones connectés à Internet.
- Objectif : Tromper la victime pour qu’elle réponde ou écoute un appel automatisé pour des frais d’appel international élevés.
Comment sécuriser votre système téléphonique VoIP ?
La complexité et la variété des cyberattaques augmentent constamment, avec différents types d’attaques pour différents objectifs malveillants. Bien que les mesures de contre-attaque diffèrent selon le type d’attaque, de bonnes politiques de sécurité aident à atténuer les risques. Dans de nombreux cas, le meilleur moyen de protéger un système téléphonique PBX est de mettre en œuvre une solution de sécurité multi-niveaux. Cela signifie que vous devez déployer plusieurs mesures de défense pour protéger les points vulnérables de votre système téléphonique. Chaque couche augmente la protection globale et continue d’offrir une défense du système même lorsqu’une des couches est compromise.
Voici quelques bonnes pratiques qui peuvent être utilisées pour construire une protection multi-niveaux pour votre système téléphonique VoIP.
1. Gardez votre PBX et vos points de terminaison SIP à jour
Une version de firmware ou de logiciel à jour agit comme un couvercle protecteur pour protéger votre PBX ou vos points de terminaison SIP contre les menaces de sécurité. En général, la version la plus récente est souvent la plus sécurisée, car les bogues et autres vulnérabilités sont découverts et corrigés. De plus, avec l’évolution de la technologie, certaines fonctionnalités de sécurité critiques ou couches de protection ne sont prises en charge que dans la dernière version.
2. Défendez-vous contre les menaces de sécurité réseau
Le réseau de votre organisation est la première ligne de défense contre la cybercriminalité. Si un hacker accède au réseau de votre organisation qui prend en charge les communications VoIP, cela peut entraîner des attaques par déni de service (DoS) ou des diminutions significatives de la qualité de service (QoS). Pour éviter cela, vous devez éviter d’exposer l’intranet du PBX au public et bloquer les accès non autorisés.
Meilleure pratique 1 :
Évitez le port forwarding
Dans le but d’offrir un accès à distance aux utilisateurs distants et mobiles, la plupart des fournisseurs de PBX sur site recommandent le port forwarding. Mais ce n’est pas une bonne idée du tout.
Essentiellement, le port forwarding associe un port externe de votre adresse IP publique au PBX qui se trouve dans votre réseau local privé (LAN). Cela expose votre PBX sur Internet et entraîne des risques potentiels, car des hackers pourraient pénétrer votre réseau par le port redirigé. En fait, le piratage via le port forwarding a été le moyen le plus courant pour les hackers de lancer des attaques.
Vous aurez besoin d’un moyen plus sûr de maintenir l’accès à distance pour les fonctionnalités nécessaires tout en évitant d’utiliser le port forwarding qui expose votre réseau local.
Pour résoudre ce dilemme, vous pourriez tirer parti de services de tunneling comme Yeastar Linkus Cloud Service Pro (LCS Pro) ou Remote Access Service (RAS). Doté d’une technologie cloud de qualité industrielle et de systèmes de cryptage, le service de tunneling Yeastar crée un moyen sécurisé pour l’accès SIP à distance du PBX et pour les communications professionnelles. Il évite non seulement le port forwarding du PBX, mais renforce également la sécurité du système grâce à un contrôle des autorisations granulaire. Vous pouvez décider quelles adresses IP et quels comptes d’extension sont autorisés à accéder à votre PBX à distance via le service, ainsi que les services du PBX autorisés pour l’accès à distance.
Meilleure pratique 2 :
Bloquez l’accès non autorisé à votre PBX
Empêcher l’accès non désiré et non autorisé à votre PBX peut réduire considérablement le risque de piratage de votre système. C’est une étape cruciale pour prévenir le piratage téléphonique et atténuer les dommages potentiels et les pertes financières pour votre entreprise.
a. Programme de liste de blocage des IP anti-hacking global
Le système téléphonique Yeastar P-Series est équipé d’un programme de liste de blocage des IP anti-hacking global, qui enregistre de manière centralisée un large éventail d’adresses IP bloquées par les PBX Yeastar dans le monde entier et suspectées d’activités malveillantes ou d’attaques.
La liste de blocage des IP est partagée entre tous les PBX Yeastar et est mise à jour régulièrement chaque semaine pour intégrer les adresses IP malveillantes récemment découvertes. Grâce à la liste de blocage des IP anti-hacking global, toutes les connexions à votre PBX provenant d’adresses IP figurant sur la liste seront rejetées.
b. Restreindre l’accès système depuis des pays ou régions spécifiques
Si vous constatez une augmentation des attaques sur votre PBX en provenance d’un pays ou d’une région particulière, vous pouvez utiliser des restrictions géographiques (également connues sous le nom de geo-blocking) pour empêcher les visiteurs de certaines zones géographiques d’accéder au PBX. En vérifiant l’adresse IP d’un visiteur par rapport à la base de données du PBX, l’accès non autorisé peut être refusé.
c. Restreindre l’accès système avec des règles de pare-feu
Le système téléphonique Yeastar P-Series dispose de règles de pare-feu intégrées qui n’acceptent que le trafic de confiance. Vous pouvez également créer des règles de pare-feu sur votre PBX pour autoriser ou bloquer le trafic en fonction d’adresses IP/domaines, de ports et d’adresses MAC spécifiques. Ce faisant, tout accès suspect qui pourrait contribuer à la fraude ou à la perte d’appels sera automatiquement bloqué.
Pour prévenir les tentatives de connexion massives ou les attaques par force brute, vous pouvez également utiliser la fonction de défense IP-Auto-Defense intégrée du PBX pour définir le nombre autorisé de paquets IP dans un intervalle de temps donné. Si une adresse IP envoie un nombre de paquets IP dépassant la limite, le système bloquera automatiquement l’adresse IP.
3. Restreindre l'utilisation des appels sortants
Si des hackers obtiennent des identifiants d’extension, ils pourraient exploiter ces extensions pour passer des appels frauduleux à vos dépens. Restreindre l’utilisation des appels sortants peut minimiser la perte financière potentielle pour votre entreprise en cas de fraude.
Meilleure pratique 1 :
Établir des règles pour les appels sortants
a. Différentes règles pour différentes périodes
Les tentatives de piratage se produisent généralement en dehors des heures de bureau, pendant les week-ends et durant les vacances, lorsque le système est moins surveillé. Vous pouvez utiliser la fonctionnalité de condition horaire pour mettre en œuvre différentes règles de restriction des appels entrants ou sortants pour différentes périodes.
b. Permission uniquement pour ceux qui en ont besoin
Vos employés effectuent différentes tâches dans votre entreprise, et tous n’ont pas besoin de passer des appels longue distance ou internationaux. Pensez à configurer différentes routes sortantes pour différents trunks (par exemple, local, longue distance et international) et à attribuer des permissions de route sortante uniquement aux utilisateurs qui en ont besoin.
c. Authentification par mot de passe
Mettez en place un mot de passe pour la route sortante afin d’exiger que les appelants saisissent un code PIN avant de composer. Cela évite la fraude, l’abus ou l’utilisation abusive des appels.
d. Appels internationaux uniquement vers des pays/régions de confiance
Si votre entreprise est engagée dans des affaires internationales, vous pouvez configurer la composition internationale sur le PBX. Cependant, cela expose votre système à la fraude internationale et peut entraîner des pertes financières significatives. Restreignez les codes pays pour permettre les appels sortants internationaux uniquement vers les pays/régions nécessaires.
e. Plafonds de fréquence dans une période donnée
Une fois que les hackers infiltrent votre système téléphonique, ils peuvent facilement accumuler des milliers de dollars en passant de nombreux appels. Il est conseillé de limiter le nombre d’appels sortants que les utilisateurs d’extensions peuvent passer dans un certain laps de temps.
f. Limite d’appels simultanés
Limiter le nombre d’appels sortants simultanés sur les trunks SIP aide à répondre à des exigences de licence ou de facturation spécifiques et empêche les hackers de générer un volume élevé d’appels.
g. Accroche automatique avec minuteur d’appel
Mettez en place des restrictions de durée d’appel sur l’ensemble du système ou sur des utilisateurs d’extension spécifiques pour mettre automatiquement fin aux appels sortants lorsque la limite de temps spécifiée est atteinte.
h. Plafonnement des factures téléphoniques
Contactez votre fournisseur pour limiter le montant du crédit et annuler le rechargement automatique afin de minimiser les pertes causées par la fraude.
4. Renforcez les extensions SIP
Lorsqu’un accès non autorisé est obtenu sur les extensions SIP, le potentiel de perturbation est particulièrement important. Les criminels peuvent exploiter votre système téléphonique pour passer des appels et lancer d’autres attaques malveillantes. L’application d’une politique de mot de passe solide et la mise en place de restrictions sur l’enregistrement des extensions aideront à sécuriser les extensions SIP.
Meilleure pratique 1 :
Prévenir l’enregistrement non autorisé des extensions
Le système téléphonique Yeastar dispose d’une politique de verrouillage de compte intégrée pour empêcher l’accès non autorisé aux comptes d’extension en verrouillant automatiquement les comptes à risque après un certain nombre de tentatives d’enregistrement infructueuses à partir de la même adresse IP.
De plus, plusieurs options sont disponibles pour améliorer la sécurité de l’enregistrement des postes :
- Utiliser des noms et des mots de passe complexes pour l’enregistrement
- Configurer un nom d’authentification complexe complètement différent du nom général par défaut pour l’authentification
- Restreindre l’enregistrement des extensions sur la base des chaînes de l’agent utilisateur
- Restreindre les adresses IP à partir desquelles les extensions peuvent s’enregistrer.
- Restreindre les enregistrements multiples sur la même extension
Meilleure pratique 2 :
Renforcer l’authentification forte et le contrôle d’accès granulaire pour la connexion à l’extension
Le système téléphonique Yeastar P-Series dispose d’une politique de verrouillage des comptes intégrée pour empêcher l’accès non autorisé au PBX en verrouillant automatiquement les comptes à risque après avoir atteint le nombre maximum de tentatives de connexion infructueuses. En outre, plusieurs options sont disponibles pour améliorer la sécurité de connexion des postes :
- Authentification à deux facteurs (2FA)
- Authentification unique (SSO)
- Gestion des rôles et des permissions des utilisateurs
Meilleure pratique 3 :
Cryptage de la signalisation SIP et des flux de médias
Le système PBX Yeastar vous offre également la possibilité d’ajouter une couche de chiffrement aux appels téléphoniques et au streaming multimédia des extensions SIP, en utilisant les protocoles internet standard suivants :
- Sécurité de la couche transport (TLS) : Fournit la sécurité et la confidentialité des données entre deux applications communiquant.
- Protocole de transport sécurisé en temps réel (SRTP) : Ajoute des mesures de sécurité supplémentaires, telles que l’authentification des messages et la confidentialité des données.
5. Établir des plans de secours
Bien qu’une large gamme de mesures puisse être prise pour protéger votre PBX, il n’existe aucune sécurité absolue. Si un attaquant réussit à infiltrer votre PBX ou à le faire échouer, vous devez avoir un plan de secours.
Meilleure pratique 1 :
Établir une surveillance en temps réel, une journalisation et des alertes sur les événements système
Tirez parti de l’enregistrement des événements pour surveiller et enregistrer les opérations anormales sur votre PBX, et souscrivez aux événements critiques. Lorsque quelque chose ne va pas, vous pouvez recevoir des notifications en temps utile et trouver rapidement où se situe le problème et élaborer une solution.
Si vous utilisez un système PBX Yeastar, vous pouvez réaliser une surveillance en temps réel sur les deux plateformes suivantes :
- PBX Administrator Portal : gestion d’un seul PBX.
- Yeastar Remote Management : surveillance et gestion centralisées de plusieurs PBX sur site
Meilleure pratique 2 :
Planifier des Sauvegardes automatiques
- Planifiez des sauvegardes régulières. Si votre PBX ne fonctionne pas, vous pouvez le réinitialiser et restaurer les configurations à partir du fichier de sauvegarde pour garantir une récupération rapide.
- Stockez les sauvegardes dans des emplacements externes pour éviter le risque de perte de données en cas de destruction physique ou de vol.
- Appliquez une politique de conservation des sauvegardes. Cela permet de limiter la quantité de données historiques et obsolètes.
Meilleure pratique 3 :
Mettre en œuvre une solution de redondance
a. Mise à chaud du système PBX sur site (matériel et logiciel)
Le système PBX sur site de Yeastar est équipé gratuitement de la fonction mise à chaud, qui vous permet de créer une paire de serveurs miroir et de récupérer immédiatement en cas de panne. Pour déployer la solution, vous avez besoin de deux serveurs PBX identiques, qui doivent être identiques en ce qui concerne les aspects suivants : Modèle de produit, version du micrologiciel et du matériel, configuration du logiciel, paramètres du réseau local (LAN) et installation du matériel.
La configuration de la mise à chaud permet d’obtenir les résultats suivants :
- Récupération automatique rapide de 1 à 10 secondes en cas de défaillance.
- IP virtuelle partagée entre les serveurs PBX actif et de secours, ce qui garantit un basculement complet du système vers le serveur de secours en cas de défaillance du serveur actif, y compris tous les téléphones IP et les intégrations tierces connectés au PBX.
- Notification instantanée par courriel ou par appel lorsqu’un événement de basculement se produit.
b. Haute disponibilité pour le PBX Cloud
La fiabilité n’est pas une caractéristique du cloud, c’est une exigence. Fournis dans un environnement en cluster et gérés par Yeastar, les services Yeastar Cloud PBX se caractérisent par un déploiement redondant à haute disponibilité pour une meilleure reprise après sinistre, ce qui n’est pas le cas pour de nombreux déploiements de cloud à instance unique.
Les instances PBX sont déployées en paires primaires et secondaires, c’est-à-dire en mode hot standby, afin de permettre un basculement transparent. Nous tirons également parti de l’équilibrage de charge actif/actif pour garantir une utilisation optimale des ressources entre les serveurs SBC. Ces serveurs sont tous alimentés par Amazon Web Services et situés dans différentes régions du monde, ce qui renforce la résilience de l’ensemble du service. D’autres mécanismes de sécurité intégrés sont en place pour se prémunir contre les attaques malveillantes.
c. Reprise après sinistre
La reprise après sinistre est un aspect crucial de tout système de communication moderne. Il s’agit de la capacité à poursuivre sans problème les services de téléphonie en cas de catastrophe ou d’événement imprévu. Les utilisateurs de PBX Yeastar Software peuvent créer une réplique du PBX dans un site redondant et garantir des services de téléphonie ininterrompus en cas de défaillance du site principal.
La configuration géo-redondante présente les avantages suivants :
- Mise en miroir des données en temps réel sur le site de redondance. Aucune perte de données ni sauvegarde manuelle n’est nécessaire.
- Détection automatique des pannes et repli, garantissant un temps d’arrêt minimal dans les situations critiques telles que les catastrophes naturelles, les pannes de courant ou les pannes de réseau.
- Service SD-WAN intégré pour une mise en réseau sécurisée des serveurs distants ou pour apporter votre propre service VPN.
- Notification instantanée par appel et par courriel en cas de défaillance du serveur PBX ou de basculement automatique.
- Installation très simple
- Peut être combiné avec le PBX Hot Standby (configuration de redondance locale) pour construire un niveau plus élevé de redondance du système
Solutions de sécurité Yeastar pour l'accès à distance au PBX et les communications
Les fournisseurs de PBX ne sont jamais trop prudents en matière de sécurité VoIP. C’est particulièrement vrai lorsqu’il s’agit de l’accès à distance au système. Comment comprendre l’accès à distance ?
D’une part, les clients peuvent demander à pouvoir accéder à leur système téléphonique à distance via l’internet. Ces connexions à distance sont pratiques et souvent nécessaires pour les grands voyageurs, ainsi que pour les sites ou les employés géographiquement dispersés.
D’autre part, les fournisseurs de PBX peuvent avoir besoin d’établir une connexion à distance pour fournir une assistance technique PBX à distance, dépanner les problèmes de réseau et résoudre les problèmes sans avoir à envoyer un technicien sur place.
Comme on le sait, les systèmes sur site sont souvent limités au bureau physique. Traditionnellement, pour accéder à distance aux systèmes sur site, les fournisseurs de PBX doivent passer par des paramètres réseau et serveur PBX délicats, ce qui peut entraîner des risques de sécurité potentiels.
Yeastar cherchait la meilleure solution pour aider les utilisateurs de PBX sur site et logiciels à sécuriser leur accès à distance et à faciliter les configurations, et nous l’avons trouvée. Grâce aux services innovants de tunneling de Yeastar et à l’outil de gestion à distance de Yeastar, la connexion à distance n’est qu’à un clic et ne pose que peu de problèmes de sécurité et d’informatique.
1. Pour les utilisateurs finaux de PBX
Services de tunneling sécurisés pour les communications et la collaboration professionnelles à distance
Défi
Afin d’offrir un accès à distance aux utilisateurs distants et mobiles, la plupart des fournisseurs de PBX sur site recommandent le transfert de port. Mais ce n’est pas du tout une bonne idée. Le transfert de port nécessite des paramètres de serveur et de réseau délicats. Pire encore, il risque d’entraîner des attaques potentielles en ouvrant un port sur le pare-feu, par lequel les acteurs de la menace peuvent facilement prendre le contrôle total du système téléphonique.
Solution
Yeastar fournit un service innovant de tunneling pour les PBX sur site et logiciels Yeastar, vous libérant des risques de transfert de port, de la configuration délicate du serveur et des problèmes de NAT. Vous n’avez donc pas à vous soucier d’exposer votre intranet au public, de perdre du temps sur un déploiement complexe ou de voir une qualité d’appel instable se produire et affecter vos communications professionnelles à distance. De plus, il vous suffit d’un seul clic pour profiter de communications à distance sécurisées et sans souci.
Le service innovant de tunneling est nommé différemment selon les séries de Yeastar PBX
Linkus Cloud Service Pro (LCS Pro) pour les PBX VoIP de la série S
Remote Access Service (RAS) pour le système téléphonique de la série P.
Quel est le degré de sécurité de la solution ?
a.Connexion séparée et privée
Protégez votre entreprise des risques potentiels de pénétration du réseau PBX et des problèmes subséquents de fraude au péage, de violation de données et de cyber-attaques. Le service de tunneling Yeastar fournit un serveur de tunneling comme serveur intermédiaire pour la transmission de données entre le PBX et ses terminaux SIP distants. L’adresse IP de votre PBX ne sera pas exposée au public. Toutes les connexions à distance sont directes, secrètes et doublement sécurisées par l’authentification du compte.
b. Cryptage incassable et impénétrable
Toutes les transmissions entre le PBX et le serveur tunnel sont cryptées. Chaque PBX dispose de sa propre clé de cryptage. Même si le serveur de tunneling est détruit par un pirate informatique, il est très difficile de remplacer le service de tunneling et d’obtenir les données de transmission d’origine puisque les données sont cryptées.
c. Autorisation d’accès à distance par service
Le service de tunneling Yeastar offre un contrôle d’accès avancé pour garantir une sécurité accrue. Vous pouvez autoriser ou bloquer l’accès à distance pour l’accès web, l’accès Linkus, les enregistrements SIP, LDAP et API, personnaliser l’autorisation d’accès à distance par poste ou département, et appliquer des restrictions IP pour sécuriser davantage tous les accès à distance.
2. Pour les revendeurs de PBX, les MSP et les fournisseurs d'accès
Surveillance et gestion à distance des appareils
Défi
Lorsqu’il s’agit d’assistance à distance, la plupart des fournisseurs de PBX recommandent d’installer un logiciel de bureau à distance (par exemple AnyDesk et TeamViewer) sur les ordinateurs ou de procéder à une redirection de port pour le PBX, mais ces deux méthodes laissent un port ouvert, qui pourrait être facilement exploité par des pirates informatiques. De plus, des connexions à distance faibles peuvent permettre à des cybercriminels de s’introduire facilement dans la session et d’accéder à l’ordinateur ou au système téléphonique du client.
La solution
Fournie via la plateforme globale de Yeastar Central Management, Yeastar Remote Management permet aux partenaires Yeastar de gérer et de configurer à distance les systèmes PBX Yeastar et les passerelles VoIP des clients en toute sécurité.
Sans transfert de port ni VPN, il offre une connexion à distance cryptée, une surveillance et des alertes à distance 24 heures sur 24 et, plus important encore, des configurations à distance basées sur les autorisations. Lorsqu’un problème est détecté sur les appareils des clients, vous recevez immédiatement des notifications et pouvez prendre des mesures rapides sans sacrifier la sécurité du système.
Quel est le degré de sécurité de la solution ?
a. Connexion à distance de qualité bancaire
Toutes les connexions à distance sont sécurisées par HTTPS et effectuées dans un tunnel SSH crypté afin de minimiser l’exposition au réseau et de protéger au mieux l’intégrité et la confidentialité des données.
b. Authentification bidirectionnelle de la connexion
La connexion des appareils Yeastar distants se fait soit en confirmant l’identifiant Yeastar sur l’appareil du client, soit en vérifiant le code d’authentification unique de la connexion à distance sur l’appareil du client. Les deux méthodes d’authentification nécessitent une confirmation de la part du client, ce qui permet d’éviter les connexions malveillantes et les violations de données sur les appareils Yeastar.
c. Contrôle d’accès basé sur les rôles
Ajoutez des comptes de collègues pour cogérer les appareils des clients. En limitant les permissions des comptes, vous pouvez réaliser une administration granulaire et vous assurer que l’accès aux appareils Yeastar distants est limité aux ingénieurs autorisés uniquement pour les opérations de maintenance.
d. Mécanisme de temporisation de l’accès à distance
Yeastar Remote Management fournit un mécanisme robuste de timeout pour limiter la durée de chaque configuration d’appareil Yeastar à distance, ce qui signifie qu’après la durée configurée, l’URL proposée pour accéder à l’appareil Yeastar à distance deviendra invalide et l’accès sera interrompu.
Réseaux Télécoms
Cloud Infrastructure
Cyber Sécurité
©Tous droits réservés CDX Telecom 2021 | Mentions légales | Conditions générales | Blog
