IP Santral Güvenliği: Yetkisiz Dış Aramaya Karşı Kontrol Listesi

IP santral güvenliği; dahili şifrelerinin güçlü olması, yönetim panelinin internete açık bırakılmaması, dış arama izinlerinin kullanıcıya göre sınırlanması ve arama kayıtlarının düzenli kontrol edilmesiyle sağlanır. Bu önlemlerin çoğu kurulum sırasında birkaç ayarla yapılır ve sonradan ek maliyet gerektirmez. Aşağıda adım adım bir kontrol listesi ve Grandstream UCM santrallerindeki karşılıklarını bulabilirsiniz.

Yetkisiz dış arama (toll fraud) nedir?

İnternete bağlı her cihaz gibi IP santraller de otomatik tarama yapan yazılımların hedefi olabilir. Bu yazılımlar zayıf şifreli bir dahili bulduğunda santrale kayıt olur ve sizin hattınızdan yurtdışına ya da ücretli özel numaralara arama yapar. Buna yetkisiz dış arama ya da İngilizce adıyla toll fraud denir.

Genellikle gece ya da hafta sonu, kimse ofiste yokken olur ve ilk işaret çoğu zaman beklenmedik bir telefon faturasıdır. Sorun belirli bir markaya özgü değildir; analog santrallerdeki uzaktan erişim ve sesli mesaj kutuları da benzer şekilde kötüye kullanılabilir. İyi haber şu ki, aşağıdaki önlemler bu riskin büyük bölümünü ortadan kaldırır.

1. Dahili ve yönetici şifrelerini güçlendirin

En sık rastlanan açık, dahili numarasıyla aynı ya da “1234” gibi basit SIP şifreleridir. Her dahilinin şifresi uzun, rastgele ve diğerlerinden farklı olmalıdır. Kullanıcı bu şifreyi hiçbir zaman ezberlemek zorunda değildir; telefon bir kez ayarlanır.

• Yönetim paneline giriş için varsayılan şifreyi ilk kurulumda değiştirin.
• Panele erişen her kişiye ayrı kullanıcı açın ve yalnızca gereken yetkiyi verin.
• Sesli mesaj kutusu şifrelerini de varsayılan değerde bırakmayın.

Grandstream UCM’de: UCM6300 serisi her cihaza özel rastgele bir varsayılan yönetici şifresiyle gelir. Güvenlik kılavuzuna göre dahililer için rastgele şifre üretme seçeneği, güçlü şifre kuralı, panel kullanıcıları için farklı yetki seviyeleri ve iki aşamalı doğrulama desteği bulunur.

2. Yönetim arayüzünü internete açmayın

Santralin web paneli yalnızca ofis ağından ya da güvenli bir bağlantıdan erişilebilir olmalıdır. Modemde bu panele port yönlendirmesi yapılmışsa kapatın. Uzaktan yönetim gerekiyorsa VPN ya da üreticinin bulut yönetim aracını kullanın.

Grandstream UCM’de: Panel HTTPS üzerinden çalışır, erişim portu değiştirilebilir ve panele girebilecek IP adresleri bir izin listesiyle sınırlanabilir. Art arda hatalı girişte kullanıcı belirli bir süre engellenir. SSH erişimi varsayılan olarak kapalıdır; ihtiyaç yoksa kapalı bırakın.

3. SIP portunu koruyun: IP engelleme ve fail2ban

Uzak dahililer ya da operatör hattı için SIP portunun dışarıya açık olması gerekiyorsa, gelen bağlantıları sınırlayın:

• Operatörünüzün SIP sunucularının IP adreslerini izin listesine alın.
• Çok sayıda hatalı kayıt denemesi yapan IP adreslerini otomatik engelleyin.
• Hizmet vermediğiniz ülkelerden gelen bağlantıları kapatın.

Grandstream UCM’de: Güvenlik ayarları altında üç katman vardır. Fail2ban, belirli sayıda hatalı SIP ya da panel girişi yapan adresi geçici olarak engeller. Statik savunma ile kural tabanlı güvenlik duvarı tanımlanır. Geo-IP erişim kontrolü ise ülke bazında bağlantıya izin verir ya da engeller.

4. Port açmadan uzaktan çalışın

Evden ya da sahadan çalışan kullanıcılar için santrali internete açmak tek yol değildir. VPN ya da üreticinin bulut aracılık hizmeti, port yönlendirmesine gerek bırakmadan uzak dahilileri bağlar.

Grandstream UCM’de: UCM RemoteConnect, üretici belgelerine göre santrali internete açmadan, statik NAT kuralı ya da VPN tüneli kurmadan uzak kullanıcıların, Wave uygulamasının ve IP telefonların bağlanmasını sağlar. GDMS üzerinden yönetilir; gelişmiş özellikler ücretli plan gerektirir. Altyapıyı tamamen dışarıda tutmak istiyorsanız bulut santral seçeneği de değerlendirilebilir.

5. Dış arama izinlerini kullanıcıya göre sınırlayın

Her dahilinin yurtdışını ya da ücretli özel numaraları araması gerekmez. Dış arama kuralları (outbound route) şehir içi, şehirlerarası, cep telefonu ve uluslararası olarak ayrılmalı, her kullanıcıya yalnızca ihtiyacı olan izin verilmelidir.

• Yurtdışı aramayı sadece gerçekten ihtiyacı olan birkaç dahiliye açın.
• Ücretli özel servis numaralarını (900’lü hatlar gibi) varsayılan olarak kapatın.
• Ortak alanlardaki telefonlardan (lobi, toplantı odası) dış aramayı kısıtlayın.

Grandstream UCM’de: Dış arama kurallarına Internal, Local, National ve International olmak üzere dört yetki seviyesi atanır; dahilinin seviyesi kuralın seviyesine eşit ya da yüksekse arama geçer. Bu seviyeler yalnızca sıralama içindir; hangi kuralın yurtdışını kapsadığını numara desenleri belirler. Ayrıca kurallara kaynak dahili filtresi, kural şifresi ya da PIN grubu eklenebilir ve ülke bazında dış arama engel listesi tanımlanabilir.

6. Mesai dışında dış aramayı kısıtlayın

Yetkisiz aramaların çoğu ofis kapalıyken yapılır. Mesai saatleri dışında yurtdışı ve ücretli aramaları kapatmak, bir açık olsa bile zararı sınırlar. Bu kısıtlama santralin gece modu, zaman koşulları ya da dış arama kuralları üzerinden yapılır; yöntem modele göre değişir. Gece modu ayarlarının genel mantığını santral programlama ve gece modu yazımızda anlattık.

7. Yazılımı güncel tutun

Üreticiler bulunan güvenlik açıklarını yazılım güncellemeleriyle kapatır. Santral, IP telefonlar ve DECT baz istasyonlarının yazılımları belirli aralıklarla kontrol edilmelidir. Güncellemeden önce yapılandırma yedeği alınması gerekir; büyük sürüm geçişlerinin mesai dışında yapılması iş akışını aksatmaz.

8. Sinyal ve sesi şifreleyin: TLS ve SRTP

TLS, santral ile telefon arasındaki kayıt ve arama sinyalini; SRTP ise görüşmenin sesini şifreler. Özellikle ofis dışından bağlanan dahililerde bu iki ayarın açık olması önerilir. Telefonun ve operatör hattının da bu protokolleri desteklemesi gerekir.

Grandstream UCM’de: Güvenlik kılavuzuna göre UCM63xx serisinde TLS varsayılan olarak açıktır. SRTP her dahili için ayrı ayrı kapalı, isteğe bağlı ya da zorunlu olarak ayarlanabilir.

9. Arama kayıtlarını (CDR) düzenli kontrol edin

Santralin arama kayıtları, kimin hangi numarayı ne kadar süre aradığını gösterir. Haftada bir kısa bir göz atmak; gece yapılmış aramaları, tanımadığınız ülke kodlarını ya da olağandışı uzun görüşmeleri erken fark etmenizi sağlar. Fatura gelmeden önce yakalanan bir sorun, şifre değişikliğiyle hemen kapatılabilir.

10. Operatörde limit ve yurtdışı kısıtlaması isteyin

Santral tarafındaki önlemlere ek olarak, SIP hat aldığınız operatörden hat bazında harcama limiti, yurtdışı arama kapatma ya da limit aşımında bildirim isteyebilirsiniz. Bu, santralin dışında ikinci bir güvenlik katmanıdır. Hangi seçeneklerin sunulduğu operatöre göre değişir.

IP santral güvenliği için kısa kontrol listesi

Bu ayarların çoğu santral kurulurken yapılır. Grandstream santralinizin ilk kurulum adımları için Grandstream santral kurulumu yazımıza bakabilirsiniz. Nur İletişim, Grandstream yetkili servisi olarak mevcut UCM santrallerinde güvenlik ayarlarının kontrolünü ve düzenlenmesini Grandstream servis kapsamında yapıyor. Yeni bir sistem arıyorsanız IP santral modellerine göz atabilirsiniz.

Sık Sorulan Sorular