Атаки

[aleksandr]

В логах 3CX System обнаружены не санкционированные попытки подключения к станции и совершение вызовов со следующих IP адресов:
41.239.173.158
80.86.174.4
217.116.128.31
Вызовы пытались сделать на номера:
+900441296857116
800441420389125
Занес их в черные списки.

Вот попытка вызова:
02:48:12.305 [CM500002]: Unidentified incoming call. Review INVITE and adjust source identification:
INVITE sip:[email protected] SIP/2.0
Via: SIP/2.0/UDP 80.86.174.4;branch=z9hG4bKjgvXbpOdPml2;rport=5060
Max-Forwards: 70
Contact:
To:
From: "unknown";tag=3RNGAU0h0i
Call-ID: X464eCIimato1YAGZHFd
CSeq: 101 INVITE
Allow: INVITE, ACK, CANCEL, BYE
User-Agent: Unknown
Content-Length: 0

внешний IP компьютера с 3CX заменен на 233.233.233.233

Вот здесь собирают информацию об IP аресах с которых пытаются подключиться к чужим Атс и номера на которые пытаются звонить
http://www.networksystemssolutions.eu/voipblocklist.php
Кстати, На этой странице есть те IP адреса с которых пытались сделать вызовы через нашу 3CX Атс.

В 3CX System есть раздел черных списков, хорошо бы там сделать дополнительные опции - Запретить подключение со всех IP адресов, кроме .... (далее IP адреса с которых разрешено подключение).
В дистрибутив 3CX добавить уже заполненные черные списки с IP адресами и номерами опубликованными на этом http://www.networksystemssolutions.eu/voipblocklist.php и подобных сайтах.

 

[anonymous]

Небольшой комментарий.

Так там и название у хоста соответствующее
9 142 ms 150 ms 162 ms DUS-1-pos700.de.lambdanet.net [82.197.136.17]
10 146 ms 140 ms 140 ms DUS-1-pos0211.netfinish.de [217.71.104.158]
11 104 ms 110 ms 109 ms troublemaker.netfinish.de [80.86.174.4]

А вообще, лучше это репортить провайдерам, чтобы они на корню рубили такую деятельность пользователей.
У них для этого есть вся информация, мощная инфраструктура и возможность эффективной борьбы со "спамерами".
После этого понадобится только блокировка "региональных" сетей, где провайдерам всё "пофиг".
Блокировать сети можно основательно, например
41.0.0.0/255.0.0.0
И все 41.aaa.bbb.ccc летят на юх...

Блокировка на уровне PBX, это последний барьер защиты, до которого добрались через провайдеров и Ваш файрвол.
PBX об этом может сообщать администратору по почте только для того, чтобы администратор использовал все возможности для предотвращения таких ситуаций. Вероятность пробить PBX ничтожно мала, но с "взрослыми" DOS атаками, он может плохо справляться и будет трудно к нему дозваниваться.

Сбором адресов, с которых "клоуны" "фокусничают", проблема, увы, не решается...