こんにちは。CCアーキテクトマーケティング部のマーゴです。近年会社電話がどんどんIP化に進んでいる一方、IP電話のセキュリティ問題がよく悩まされています。実際IP電話の内線が乗っ取られ、大きな被害を受けた会社もいます。今回IP電話の不正アクセスによる被害を防ぐため何をすれば良いか考えたいと思います。
そもそも何でクラッカーが電話システムを攻撃するの？
クラッカーは使用者のアカウントを不正ログイン出来たら、営業時間外のタイミングを狙って攻撃します。クラッカーは会社のSIP トランクを乗っ取って電話をかけっぱなしや長時間の国際通話をします。クラッカーは自身の電話代を無料にすることや、回線キャリアからの利用料のキャッシュバックを目的として、電話をかけるのです。
通信料は当然クラッカー側ではなく、SIPトランクが乗っ取られた会社が負担になります。
どうやって乗っ取られるのを防ぎますか？
インターネットと繋がる限り、誰でも攻撃対象になる可能性があります。なので、日ごろにセキュリティ対策を講じるのが大事です。PBXや使っているキャリアによって対策が異なりますが、今回基本的な対策を紹介したいと思います。
国際通話できないよう設定
国際電話を利用しない場合は、国際電話をできないように設定すればある程度の被害を減らせます。キャリア回線を契約する際に、国際電話利用の有無を設定できるはずです。ご心配な方は一度契約しているキャリアと確認しておきましょう。 PBXの設定でも国際電話の規制を行うことが可能です。
パソコンやPBXを最新状態に保つ
製品のセキュリティを向上するために、メーカー側が定期的にアップデートやファームウェアの更新を行います。また、古いファームウェアのままにしてしまうと脆弱性を生じる原因となります。特にIP電話の場合はPBXやルーターのファームウェアを常に最新版に保つのが重要です。
常にセキュリティの意識を持つこと
多くの電話システムは攻撃者の IP アドレスをブラックリストに登録するなど、ハッキング防止メカニズムを持っています。しかし、ほとんどのクラッカーは常に同じIPアドレスで攻撃するわけではなく、VPN、プロキシサーバー、TOR 端末のような匿名サービスを使用しながらIPアドレスを隠して攻撃します。なので、ネットワークと接続している限り、
・複雑なパスワードを設定する
・定期的にパスワードを更新する
などを徹底的に守りましょう。
3CXの場合はこういうこともできます
CCAが取り扱っているソフトウェア型IP PBX―3CXには、様々なセキュリティ設定ができます。今回一部の機能を紹介したいと思います。
アウトバウンド ルールを設定する
緩いアウトバウンドルール構成は攻撃されやすいと考えられます。3CXはアウトバウンドごとにルールを設定できます。よりセキュアな構成をするには、国際番号と国内番号をいくつかの発信ルールで区別し、国際番号へのダイヤルのコールルールの制限を最も厳しく設定するのが一つの方法です。
ITU の標準では、通常、国際番号には + または 00 で始まる国コード プレフィックスがあります。 （米国のような国には例外があり、011 で始まります。） したがって、発信ルールのダイヤル プレフィックスで “00”か”+” を使用して国際通話を定義し、ダイヤルできる内線番号を設定することで、許可された内線番号のみが国際通話を許可するように制限できます。（ほとんどの国や地域では、通常、ローカル番号は 0 で始まり、固定長制限があります。）
かけられる国を制限する
セキュリティ設定上にすべての国への通話権限を開放されるのがとてもリスキーです。
3CXは国ごとに電話の発信を制御することができます。国際番号をダイヤルすると、その番号が発信ルールと一致するかどうか、および国コードがセキュリティ設定でダイヤルが許可されているかどうかが検出されます。必要に応じて、電話を掛ける国だけ許可設定を追加したほうが望ましいです。（ただし、一部の国際番号は国際規格以外の番号からダイヤルできることができます。その際に通信キャリアに確認し、適切なルールを調整する必要があります。）
内線のパスワードを複雑にするアラート
3CXは内線のパスワードの複雑性が低い場合警告を管理者に出すことが出来ます。
ブラックリストへの自動登録
3CXは攻撃に使用されたIPアドレスについて、一定期間自動でブラックリストへの登録を行うことが出来ます。また3CX社は、世界中からクラッカーのIPアドレス収集しています。このリストと連携を行うことが可能です。
上記のセキュリティ設定はほんの一部しか過ぎません。3CXはPBXとして様々なセキュリティ対策も可能です。また近々別途の記事でご紹介したいと思います。
最後に
セキュリティの設定だけではなく、3CXは柔軟なソフトウェア型IP PBXです。会社の需要によって自由な設計が可能なので世界中多くの大企業が使用しております。3CXの使い方や操作についてご興味がある方、無料のデモ環境貸出が可能なので、お気軽にお問い合わせください。
