跳到主要內容

PBX 資安威脅全解析：從 Toll Fraud 盜打到 IP-PBX 網路攻擊的防禦指南

作者：

PBX 作為企業電話流量的核心樞紐，長期是攻擊者的高價值目標。從早期 Phreaker 竊聽到現代 IP-PBX 的 VoIP 網路攻擊，一旦被入侵，企業可能在數小時內損失數萬美元的國際長途話費。

Toll Fraud：最古老也最昂貴的 PBX 威脅

Toll Fraud（電話盜打）是攻擊者取得 PBX 控制權後，大量撥打高費率國際電話，帳單由企業承擔。攻擊手法包含：猜測 DISA（Direct Inward System Access）密碼、入侵語音信箱轉接功能，或直接透過預設弱密碼登入管理介面。攻擊往往發生在週末或假日，以延長被發現的時間窗口。傳統類比 PBX 可透過限制國際撥號權限與設定通話時數告警來降低風險；IP-PBX 則需額外封鎖未授權的 SIP 註冊請求。FBI 估計全球企業每年因此損失逾 10 億美元。

IP-PBX 的網路攻擊面：VoIP 層級威脅

現代 IP-PBX（如 Asterisk、FreePBX）將電話流量搬上 IP 網路，同時引入全新攻擊向量。SIP Enumeration 可掃描有效分機號碼；RTP 封包注入可竊聽或竄改通話內容；SIP INVITE Flood 則能癱瘓整個語音服務（VoIP DoS）。更危險的是，攻擊者可將 IP-PBX 作為跳板，橫向滲透進企業內網。Shodan 長期顯示數萬台 Asterisk 系統直接暴露於公網，且使用預設埠 5060。網路隔離與 SBC（Session Border Controller） 是阻擋外部 SIP 攻擊的第一道防線。 

# Asterisk 封鎖暴力破解 SIP 帳號（fail2ban 規則片段）
[asterisk]
enabled  = true
filter   = asterisk
action   = iptables-allports[name=ASTERISK]
logpath  = /var/log/asterisk/messages
maxretry = 5
bantime  = 3600

💡 防禦重點整理

  • 停用 DISA 或強制使用強密碼，避免成為 Toll Fraud 入口點。
  • 部署 SBC 或防火牆，僅允許受信任 IP 發起 SIP 請求。
  • 啟用即時話費告警，設定每日通話金額或分鐘數上限自動斷線。
  • 定期稽核管理介面帳號，移除預設憑證並啟用多因素驗證。

PBX 資安不只是電信問題，更是企業網路安全的一環。及早實施存取控制、網路隔離與異常監控，才能在攻擊者行動之前就切斷威脅鏈。

📚 參考文獻

  1. Asterisk 官方安全文件：Important Security Considerations – Asterisk Docs
  2. FBI / IC3 報告：Voice over IP (VoIP) Fraud — 電話詐欺損失統計與案例說明
  3. SANS Institute：VoIP Security Vulnerabilities（白皮書）

⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件

Labels:

留言

張貼留言