Ασφάλεια ιδιωτικών ψηφιακών τηλεφωνικών κέντρων

Η παραβίαση των ιδιωτικών ψηφιακών συστημάτων τηλεφωνικών κέντρων μπορεί να πραγματοποιηθεί από κακόβουλη επέμβαση εξωτερικών φορέων (hackers), οι οποίοι δρομολογούν μέσω του τηλεφωνικού κέντρου κλήσεις προς χώρες του εξωτερικού με υψηλή χρέωση. Η εν λόγω αυξημένη κίνηση συνήθως πραγματοποιείται εκτός ωραρίων λειτουργίας της επιχείρησής σας και σε σύντομο χρόνο.
 
Επισημαίνουμε ότι η παραβίαση αυτή πραγματοποιείται μέσω του τηλεφωνικού κέντρου και είναι ανεξάρτητη από τον πάροχο τηλεφωνίας.
 
Την ευθύνη για την υποστήριξη και προστασία του εξοπλισμού PBX έναντι οποιασδήποτε απειλής κατά της ασφάλειας ή καταχρηστικής εκμετάλλευσης του συστήματος έχει ο κάτοχος και χρήστης του εξοπλισμού.

• Θα πρέπει να επιλέξετε και να εφαρμόσετε μεθόδους προστασίας του υλικού εξοπλισμού, με σκοπό να εμποδίζεται η μη εξουσιοδοτημένη πρόσβαση σε τηλέφωνα και εγκαταστάσεις PBX. Όπου, για παράδειγμα, είναι εφικτό το σύστημα PBX θα πρέπει να εγκαθίσταται σε δωμάτιο που κλειδώνει, με περιορισμένη πρόσβαση.
   

• Για να προστατέψετε τα κρίσιμης σημασίας μηχανήματα και εξαρτήματα μπορείτε να χρησιμοποιείτε anti-tamper εργαλεία, τα οποία αποτρέπουν από μη εξουσιοδοτημένη παρέμβαση.
   

• Περιοδικά θα πρέπει να πραγματοποιείτε ελέγχους ακεραιότητας (integrity checks) ώστε να εξασφαλίζεται ότι δεν έχει γίνει μη εξουσιοδοτημένη παρέμβαση στα μηχανήματα και εξαρτήματα.

• Θα πρέπει να εξασφαλίσετε ότι σε κανονικές συνθήκες δεν θα επιτρέπεται η εξ’ αποστάσεως πρόσβαση για σκοπούς συντήρησης, εκτός αν υπάρχει σημαντική ανάγκη πρόσβασης χωρίς επιτήρηση. Όπου είναι εφικτό, ζητήστε τη συμμετοχή του τοπικού προσωπικού για το άνοιγμα θυρών (ports) προκειμένου να πραγματοποιηθούν εργασίες συντήρησης εξ’ αποστάσεως.
   

• Κατά την απομακρυσμένη διαχείριση θα πρέπει να εξασφαλίσετε ότι υλοποιείται μια μέθοδος η οποία παρέχει μεγάλο επίπεδο ασφάλειας με προτίμηση σε τύπου Intranet-vpn connection και όχι μέσω κάποιου κοινού ή δημόσιου δικτύου και κοινών πορτών όπως και με τερματικά που θα χρησιμοποιούνται αποκλειστικά για το ρόλο αυτό και όχι ως συμπληρωματικά.
   

• Εγκαταστήστε ισχυρούς μηχανισμούς επαλήθευσης ταυτότητας δύο παραγόντων (Two Factor Authentication - 2FA) για τις θύρες εξ’ αποστάσεως συντήρησης. Συστήματα που βασίζονται στη χρήση smart-cards ή κωδικών πρόσβασης μιας χρήσης πέραν των συμβατικών λειτουργιών σύνδεσης/κωδικού, καθιστούν πολύ πιο δύσκολη την παραβίαση της ασφάλειας του συστήματός σας από οποιεσδήποτε εξωτερικές επιθέσεις.
   

• Φυλάσσετε τα τερματικά συντήρησης σε χώρο περιορισμένης πρόσβασης, ο οποίος, για παράδειγμα, να μπορεί να κλειδώνει.
   

• Όπου είναι εφικτό, απενεργοποιείτε τις λειτουργίες συντήρησης όταν αυτές δεν χρειάζονται, όπως Μη Λειτουργία λόγω Συντήρησης (Maintenance-Out-of-Service (MOS)), ιδιότητα δοκιμής γραμμής (Line Testing capability).

• Πολλά πακέτα λογισμικού χρησιμοποιούν κωδικούς εντοπισμού σφαλμάτων για προστασία κατά των σφαλμάτων μετάδοσης ή ανάγνωσης/εγγραφής στο δίσκο. Οι συμβατικοί κωδικοί εντοπισμού σφαλμάτων όπως τα αθροίσματα ελέγχου (checksums) ή τα cyclical redundancy checks (CRC) δεν επαρκούν για την εξασφάλιση του εντοπισμού μη εξουσιοδοτημένων παρεμβάσεων. Θα πρέπει να εξασφαλίσετε ότι χρησιμοποιούνται ισχυροί μηχανισμοί εντοπισμού σφαλμάτων βασισμένοι στην κρυπτογράφηση. Αυτές οι μέθοδοι χρησιμοποιούν αλγορίθμους κρυπτογράφησης που εγγυώνται τον εντοπισμό ακόμα και περιστατικών single bit modification.
   

• Ελέγξτε για ευπρόσβλητα σημεία ικανά να προκαλέσουν crash-restart. Αν υπάρχουν, αναπτύξτε και τεκμηριώστε διαδικασίες restart που εξαλείφουν τα ευπρόσβλητα σημεία. Αυτές μπορεί να απαιτούν ψυχρή εκκίνηση (πλήρη διακοπή λειτουργίας, απενεργοποίηση του hardware και στη συνέχεια επανεκκίνηση) σε περίπτωση crash του συστήματος.
   

• Αν στο λογισμικό βρεθούν ενσωματωμένοι κωδικοί πρόσβασης, μελετήστε την περίπτωση μικρής τροποποίησης της σχετικής λειτουργικής μονάδας ανάγνωσης για να τους αντικαταστήσετε. Αν χρειάζεται, ο κωδικός πρόσβασης μπορεί να δοθεί σε εξουσιοδοτημένο προσωπικό του κατασκευαστή.

Η επιλογή των κωδικών πρόσβασης (passwords) θα πρέπει να γίνεται βάσει αυστηρών κανόνων. Συνιστώνται οι παρακάτω κανόνες:

• Οι κωδικοί θα πρέπει να αποτελούνται από τουλάχιστον 8 αλφαριθμητικούς χαρακτήρες.

• Οι κωδικοί θα πρέπει να περιλαμβάνουν τουλάχιστον έναν μη αριθμητικό χαρακτήρα (γράμμα της αλφαβήτου) και έναν αριθμό.

• Ο κωδικός πρόσβασης δεν θα πρέπει να είναι ίδιος με το όνομα χρήστη (userID).

• Ο κωδικός δεν θα πρέπει να περιέχει περισσότερους από δύο ίδιους διαδοχικούς χαρακτήρες.

Οι χρήστες θα πρέπει να μπορούν να αλλάζουν τον κωδικό τους αφού συνδεθούν.

• Τα ευπρόσβλητα σημεία μπορούν να ελαχιστοποιηθούν αν το Attendant Console συνδεθεί στο PBX με διαφορετική υλική και/ή ηλεκτρική μέθοδο πέραν των τηλεφωνικών οργάνων.
   

• Αν το Attendant Console είναι συνδεδεμένο με το PBX με τον ίδιο τρόπο όπως τα τηλέφωνα, τα ευπρόσβλητα σημεία μπορούν να ελαττωθούν υλοποιώντας κάποια διαδικασία ρύθμισης των παραμέτρων των γραμμών. Μια τέτοια διαδικασία μπορεί να μειώσει τα ευπρόσβλητα σημεία απαιτώντας ειδική ρύθμιση των παραμέτρων μιας γραμμής προκειμένου αυτή να μπορεί να χρησιμοποιηθεί με έναν Attendant Console. Αν υπάρχει τέτοια απαίτηση ρύθμισης, ένα τηλεφωνικό όργανο δε θα μπορεί εύκολα να αντικατασταθεί με κάποιο Attendant Console παρέχοντας πρόσβαση σε λειτουργίες διαχείρισης.

Βεβαιωθείτε ότι οι λειτουργίες που θα μπορούσαν να χρησιμοποιηθούν αθέμιτα για μη εξουσιοδοτημένες ενέργειες παραμένουν απενεργοποιημένες (όταν δεν είναι πραγματικά απαραίτητη η χρήση τους):

1. Return Call/ Camp-On/ Caller-ID Blocking

2. Υπηρεσία συνδιάσκεψης/ Call Park

3. Εκτροπή κλήσεων κυρίως προς διεθνής προορισμούς ή υπηρεσίες υψηλής χρέωσης (αστρολογικές προβλέψεις, «ροζ» γραμμές, γραμμές παρέας κτλ) που ξεκινούν με το πρόθεμα 901*, 909* ή πενταψήφιοι αριθμοί που ξεκινούν με το πρόθεμα 54* ή 19*.

4. Κλήσεις συνδιάσκεψης με διεθνείς προορισμούς ή υπηρεσίες υψηλής χρέωσης (αστρολογικές προβλέψεις, «ροζ» γραμμές, γραμμές παρέας κτλ) που ξεκινούν με το πρόθεμα 901*, 909* ή πενταψήφιοι αριθμοί που ξεκινούν με το πρόθεμα 54* ή 19*.

5. Return Call

6. External follow me - diversions to mobiles or other external PSTN destinations

7. Override (Intrude)

8. Silent Monitoring

9. Dial In System Access (DISA)

Για όλες τις λειτουργίες και προορισμούς υψηλής χρέωσης μπορεί να προστεθεί ένα 4digit Pin lock ώστε μόνο εξουσιοδοτημένοι χρήστες που γνωρίζουν τον κωδικό να κάνουν χρήση της συγκεκριμένης υπηρεσίας αποτρέποντας έτσι είτε εσωτερική είτε εξωτερική κακόβουλη χρέωση.

Συχνά, τα Access Codes αντιστοιχίζονται σε συγκεκριμένες λειτουργίες ώστε οι χρήστες που διαθέτουν απλά όργανα (π.χ. παραδοσιακές αναλογικές τηλεφωνικές συσκευές) να μπορούν να έχουν πρόσβαση σε αυτές τις λειτουργίες. Κατά τη διάρκεια του προσδιορισμού των ευπρόσβλητων σημείων λόγω των Access Codes, είναι χρήσιμο να προσδιορίζονται οι λειτουργίες στις οποίες μπορούν ή δεν μπορούν να αντιστοιχιστούν Access Codes. Οι λειτουργίες στις οποίες μπορούν να αντιστοιχιστούν Access Codes καθορίζουν και τον τύπο των γραμμών και των οργάνων μέσω των οποίων μπορεί να παρέχεται πρόσβαση στις λειτουργίες αυτές.

Alarms
Τα alarms προκύπτουν μέσα στο PBX για πολλούς λόγους: βλάβη/αστοχία υλικού, υπέρβαση τιμών κατωφλίου κλπ. Συνήθως χαρακτηρίζονται ως σημαντικά (major) ή δευτερεύοντα (minor) ανάλογα με το αν μια λειτουργία διακόπτεται πλήρως ή συνεχίζει να υφίσταται αλλά με μειωμένες δυνατότητες. Αυτά τα alarms θα πρέπει να εξετάζονται και να αξιολογούνται.
 
Σύστημα καταγραφής στοιχείων κλήσεων
Συνιστάται η χρήση ενός συστήματος καταγραφής στοιχείων των κλήσεων. Το σύστημα αυτό παρέχει αναφορές για τον αριθμό των κλήσεων που πραγματοποιήθηκαν μέσω του PBX, τον προορισμό τους, τη διάρκεια και το κόστος τους, επιτρέποντας έτσι στις επιχειρήσεις να διαχειρίζονται το κόστος των επικοινωνιών και την κίνηση των κλήσεων.
 
Θα πρέπει να σημειωθεί ότι ακόμα και όταν χρησιμοποιείται σύστημα καταγραφής στοιχείων των κλήσεων, η μηνιαία τιμολόγηση πραγματοποιείται από το δίκτυο της Vodafone.
Για την προστασία των επιχειρήσεων από τυχόν παραβιάσεις της ασφάλειας υπάρχουν εργαλεία που συνδυάζουν προηγμένες τεχνολογίες και διαθέτουν λειτουργίες για την παρακολούθηση των PBX και για τον εντοπισμό οποιωνδήποτε μη φυσιολογικών δραστηριοτήτων - π.χ. κάποιας απειλής για την ασφάλεια ή κάποιας ένδειξης κατάχρησης των λειτουργιών του. Αυτά τα εργαλεία ελέγχουν για ενδεχόμενες καταχρηστικές ενέργειες και στέλνουν ένα προειδοποιητικό μήνυμα (mail, sms) στον διαχειριστή του δικτύου, με αναλυτικά στοιχεία για τις κινήσεις των κλήσεων.

Κινήσεις που μπορεί να προκαλέσουν υποψία είναι οι εξής:

• Κλήσεις προς μη αναμενόμενους προορισμούς

• Κλήσεις σε απροσδόκητες χρονικές στιγμές

• Υπερβολικό κόστος κλήσεων εντός μιας δεδομένης περιόδου

• Μη αναμενόμενη δραστηριότητα μεταξύ των γραμμών που υποστηρίζει το PBX [trunk to trunk activity (εκτροπές κλήσεων σε εξωτερικά νούμερα (κινητά ή σταθερά))].

• Εκτροπές σε διεθνείς αριθμούς ή υπηρεσίες υψηλών χρεώσεων. Κυρίως όταν όλες αυτές οι κλήσεις φαίνεται ότι έχουν τον ίδιο καλούμενο αριθμό

• Επαναλαμβανόμενες κλήσεις συνδιάσκεψης με διεθνείς αριθμούς ή υπηρεσίες υψηλών χρεώσεων. Κυρίως όταν όλες αυτές οι κλήσεις φαίνεται ότι έχουν τον ίδιο καλούμενο αριθμό

• Κλήσεις προς υπηρεσίες υψηλών χρεώσεων (αστρολογικές προβλέψεις, «ροζ» γραμμές, γραμμές παρέας κτλ) που συνήθως ξεκινούν με το πρόθεμα 901*, 909* ή πενταψήφιο νούμερο με πρόθεμα 54* ή 19*.

Αυτή η πολιτική αφορά τις ρυθμίσεις του ψηφιακού τηλεφωνικού κέντρου (PBX), τα δεδομένα που διακινούνται μέσω αυτού και τις λειτουργίες συντήρησης και διαχείρισης. Μια Πολιτική Ασφάλειας θα πρέπει να αναφέρει τουλάχιστον τα ακόλουθα:
 

1. Το switch θα δρομολογεί όλες τις κλήσεις μόνο στους εξουσιοδοτημένους προορισμούς στους οποίους απευθύνονται.

2. Το switch θα εμποδίζει τη μη εξουσιοδοτημένη πρόσβαση ή τη μη εξουσιοδοτημένη παρέμβαση στις υφιστάμενες συνδέσεις ή συνδιαλέξεις.

3. Το switch θα εμποδίζει τη μη εξουσιοδοτημένη αποσύνδεση των κλήσεων και θα υποστηρίζει τη θετική αποσύνδεσή τους.

4. Το switch θα εμποδίζει τη μη εξουσιοδοτημένη επιτήρηση ή παραποίηση της βάσης δεδομένων συνδρομητών που υπάρχει στη μνήμη του.

5. Το switch θα περιορίζει τη δυνατότητα χρήσης των πόρων και των λειτουργιών του στους εξουσιοδοτημένους χρήστες και συνδρομητές και θα επιτρέπει μόνο στους εξουσιοδοτημένους χρήστες να τροποποιούν τις ιδιότητες και τα χαρακτηριστικά της βάσης δεδομένων του. Το switch θα καταγράφει όλες τις απόπειρες πρόσβασης μη εξουσιοδοτημένων χρηστών, αλλά και τις απόπειρες των εξουσιοδοτημένων χρηστών να εκτελέσουν λειτουργίες για τις οποίες δεν έχουν εξουσιοδότηση.

6. Το switch θα εφαρμόζει έγκυρες διαδικασίες αναγνώρισης και επαλήθευσης ταυτότητας για τη φυσική πρόσβαση στα υλικά του μέρη και στο λογισμικό του.

7. Το switch θα τηρεί ένα audit trail για όλα τα περιστατικά τα οποία σχετίζονται με την ασφάλεια και σημειώνονται μέσα σε αυτό και οι σχετικές πληροφορίες θα προστατεύονται έναντι μη εξουσιοδοτημένης πρόσβασης, τροποποίησης ή καταστροφής.

8. Το switch θα έχει τη δυνατότητα να ελέγχει την προνομιακή user access στις λειτουργίες του, επιτρέποντας σε κάθε χρήστη να έχει πρόσβαση μόνο στις συγκεκριμένες λειτουργίες που χρειάζεται για την εκτέλεση της εργασίας του.

9. Το switch θα καθορίζει και θα ελέγχει την πρόσβαση στα αντικείμενα του συστήματός του (π.χ. software modules, routing tables, configuration tables).

10. Το switch θα εξασφαλίζει την προστασία του λογισμικού που ρυθμίζει την επιβολή των κανόνων ασφαλείας για το ίδιο από τυχόν εξωτερικές παρεμβολές ή μη εξουσιοδοτημένες παρεμβάσεις.

11. Το switch θα πρέπει να έχει κλειστά όλα τα ελεύθερα Interfaces και ανοιχτό ένα και μοναδικό με προσανατολισμό την τοπική ή απομακρυσμένη παραμετροποίηση.

12. Στο PABX θα πρέπει τα extensions να διαθέτουν κωδικούς ενεργοποίησης προφίλ ελεύθερης πρόσβασης σε International calls ή advanced services (conference, intrusion, external-diversion, DISA, κλπ).

13. H δυνατότητα κλήσεων προς διεθνείς προορισμούς να επιτρέπεται σε ελάχιστους χρήστες, ενώ όπου υπάρχουν ανάγκες κλήσεων προς συγκεκριμένους Διεθνείς Προορισμούς - ακόμα και από χρήστες με φραγή Διεθνών Προορισμών - θα πρέπει να γίνεται ενεργοποίηση στο PABX κωδικών συντομευμένης αντιστοίχισης (abbreviation dialing) αυτών των Προορισμών.

14. Σε περίπτωση χρήσης IP-extensions, ιδανική είναι η ύπαρξη ξεχωριστής LAN διασύνδεσης για το IP-phone (εάν αυτό είναι πραγματική συσκευή) από αυτή που χρησιμοποιείται για το PC του χρήστη. Στην περίπτωση κοινής LAN διασύνδεσης (παράλληλης), ή εάν το IP-phone υλοποιείται με s/w στο PC του χρήστη, θεωρείται καθοριστική η ύπαρξη ισχυρών και συνεχώς αναβαθμισμένων λογισμικών antivirus, για την ανίχνευση πιθανών mal-wares. Δεδομένη θεωρείται στην περίπτωση IP-phones functionality και η ύπαρξη και τήρηση όλων των κανόνων ασφαλείας πληροφοριών στο LAN δίκτυο της εταιρίας.

15. Τα συστήματα θα πρέπει να διαθέτουν όλες τις τελευταίες ενημερώσεις ασφαλείας (updates/patches), συμπεριλαμβανομένου του ενσωματωμένου προγράμματος συσκευής (firmware). Μετά την επιτυχή εγκατάσταση των ενημερώσεων, το σύστημα θα πρέπει να ελέγχεται για τυχόν αλλαγές ή επαναφορά των ρυθμίσεων ασφαλείας στις αρχικές τιμές τους.

16. Για την διασφάλιση της σωστής λειτουργίας του συστήματος και της ασφάλειας των δεδομένων θα πρέπει να καταγράφονται τα περιστατικά ασφαλείας (security events/logs) και της διαδρομής ελέγχου (audit trail). Πρέπει επίσης να λαμβάνονται μέτρα για τη διασφάλιση της ακεραιότητας, της εμπιστευτικότητας και της διαθεσιμότητάς τους.

17. Σε περίπτωση ανάγκης απομακρυσμένης χρήσης υπηρεσιών τηλεφωνίας σε υποδομή Ιδιωτικών Τηλεφωνικών Κέντρων τύπου IP-PBX, το οποίο προτείνουμε να αποφεύγεται, ενδείκνυται επιπροσθέτως η χρήση IP-PBX μηχανισμών προστασίας πρόσβασης (IP authentication, Digest authentication) και κωδικοποίησης σύνδεσης (Transport Layer Security, TLS).

• Για τη δημιουργία των προτεινόμενων οδηγιών, έχει ληφθεί υπόψη η ανάλυση που διεξάγεται στο “PBXVulnerabilityAnalysis” από τον οργανισμό NIST (National Institute of Standards & Technology).
   

• Η Vodafone δεν φέρει ευθύνη για τη διαχείριση, συντήρηση και λειτουργία του εξοπλισμού των πελατών και δεν μπορεί να εμποδίσει ή να εντοπίσει οποιαδήποτε προβλήματα ασφαλείας ή καταχρηστικής λειτουργίας τα οποία μπορεί να αντιμετωπίσουν οι πελάτες (προγράμματα malware και dialer, απόπειρες hacking, μη εξουσιοδοτημένη πρόσβαση, μη εξουσιοδοτημένη αποκάλυψη εμπιστευτικών πληροφοριών, ανεπαρκής διαθεσιμότητα).
   

• Η Vodafone  δεν φέρει καμιά ευθύνη στην περίπτωση που κάποιο περιστατικό ασφαλείας υπάρχει ακόμα και στην περίπτωση που οι προτεινόμενες οδηγίες για την εφαρμογή καλών πρακτικών έχουν υλοποιηθεί.
   

• Η  Vodafone ΑΕΕΤ, εφόσον αυτό θεωρηθεί σκόπιμο, μπορεί σε συνεργασία με τον πελάτη να προβεί σε περαιτέρω ελέγχους για ένα συγκεκριμένο περιστατικό και διερεύνηση στα πλαίσια της νομιμότητας.