מי פורץ למרכזיות שלנו ולמה? - תוצאות מפתיעות ומפחידות

דף הבית >> חדשות עולם המרכזיות ומוקדי השירות >> מי פורץ למרכזיות שלנו ולמה? - תוצאות מפתיעות ומפחידות
מי פורץ למרכזיות שלנו ולמה?  - תוצאות מפתיעות ומפחידות
מאת:
ניר סמיונוביץ, 1.5.13, 00:05ניר סמיונוביץ

מי הם הפורצים? מהם סוגי ההונאות? מהם יעדי השיחות המועדפים על הפורצים בארץ? תוך כמה זמן ייפרצו מרכזיה ושרת מרגע עלייתם לאינטרנט? מהם דרכי ההתגוננות?

במאמר הקודם דנתי בסוגיה כואבת: על מי מוטלת האחריות לאבטחת המרכזיה הארגונית ולמה. לאחר פרסום המאמר, שמחתי לקבל לתיבת הדואר שלי כמות נכבדה של הודעות מקוראים, שנעו בין אנשים שלא הסכימו עם דעותיי (הגיוני, לא כולם חייבים להסכים על הכל) לבין אלה ששאלו שאלות עקרוניות בנושא. במאמר זה אנסה לתת מענה לשתיים מן השאלות, שחזרו על עצמן שוב ושוב:
  1. מה הם סוגי ההונאה השכיחים ביותר?
  2. אנחנו מבינים מה מניע האקרים לפרוץ לאתרים, אבל מה המניע לפריצת מרכזיות טלפון?
בנוסף, אעסוק בפורצי המרכזיות, בדרכי הפריצה, ביעדי השיחות המועדפים והמפתיעים לחלוטין, בכמות הזמן לפריצת מרכזיה מרגע עלייתה לאינטרנט ובדרכי ההתגוננות.

מה הם סוגי ההונאה השכיחים ביותר?
הונאות טלפוניה מתחלקות למספר קבוצות. על מנת להתמקד, אצמצם את הדיון להונאות טלפוניה הקשורות במרכזיות ארגוניות או במערכות תקשורת טלפוניה. את אלה ניתן לסווג למקרים הבאים:
  • Premium Rate Fraud (PRF or IPRF) – חיוג ליעדי פרמיום מקומיים או בינלאומיים.
  • Artificially Inflated Traffic (AIT) – ניפוח תעבורה במודל Revenue Share.
  • International Arbitrage – ניצול מחירונים לא מעודכנים אצל ספקי שירות.
  • Internal Employee Fraud – ניצול משאבי הארגון לצרכים אישיים על ידי העובדים.
אם נתעלם, לצורך הדיון בלבד, מהאפשרות האחרונה (כיוון שאיננה כוללת פריצה למערכת המרכזיה), כל השלושה הינם לא יותר מוואריצייה אחת של השניה, כמובן בתלות מאיפה מסתכלים על הבעיה.

Premium Rate Fraud או International Premium Rate Fraud
מספרי פרמיום. בארץ אנחנו בעיקר מכירים את המספרים 1900, 1901 והחיוג הבינלאומי הנהוג אצל המב"לים. כל השלושה מספקים שירות דומה. חיוג למספרים אלה יעלה ללקוח מחיר גבוה יותר משיחה רגילה, כאשר מרכיב משמעותי מעלות השיחה מועבר אל בעל המספר, כשתשלום על התוכן אותו מספר מספק.

דמיינו לעצמכם מצב בוא תוכלו לקנות מספר בינלאומי במדינה אחרת, שבגין כל דקת שיחה אליו תקבלו מספר סנטים לכיסכם? נשמע נפלא, לא? – מספרים מסוג International Premium Rate זמינים לרכישה באינטרנט, אתרי אינטרנט כגון: http://www.felixtelecom.com, https://telepremium.net ו- http://www.audiotext.me, מציעים מספרי פרמיום לכל דיחפין, בהליך פשוט וזריז. לחברות אלה אין שום אינטרס לבדוק מי הלקוחות שלהן. יתר כל כן, הן פועלות בצורה דיסקרטית לחלוטין, כך שגם בעלי המספרים לא נחשפים לעולם בצורה מוגברת.

בהונאה זו, יפרוץ הפורץ למרכזיה ויחבר אליה חייגן אוטומטי או ישתיל חייגן אוטומטי בתוכה. החייגן האוטומטי ייצר שיחות אל יעד הפרמיום של הפורץ, וזה יאסוף את הכסף מספק התקשורת, שסיפק לו את מספר הפרמיום. לעיתים רבות, יעד הפרמיום הינו לא יותר מאשר הודעה שמורה באורך של שעה, אך בחלק מן המקרים, היעד הינו מספר פרמיום עם שירות לגיטימי. במצב כזה, בייחוד עם מדובר בשירות פרמיום פופולרי (לדוגמא, שירות היכרויות או צ'ט), לספקי השירות יש קושי לזהות את התנועה החריגה, בתוך בליל התנועה הלגיטימי לשרות. במצב זה, בעל השירות חובר אל הפורץ ואלה חולקים ברווחים מן ההונאה.

כמה כסף אפשר לגנוב בצורה זו? נעשה חשבון פשוט. נדמיין יעד פרמיום, שמחירו הוא 50 אג' לדקה. כעת, נדמיין, כי פרצנו למרכזיה המקושרת לרשת בציר PRI בעל 30 קווים. נעשה חשבון: 30 קווים כפול 50 אג', הינם 15 ש"ח כל דקה. עכשיו, נכפיל ב-60, אזי 900 ש"ח בשעה. נניח, שהפורץ יפעיל את החייגן רק בלילה, כאשר במשרד אין אנשים ויפעיל את החייגן משעה 19:00 עד שעה 05:00, 10 שעות. כלומר, נזק של 9000 ש"ח בלילה אחד.

פורצי מרכזיות – מי אתם בכלל?
על מנת לענות על השאלה, יש לזכור דבר מאוד פשוט – פריצה למרכזיה, בניגוד לפריצת אתר אינטרנט והשחתתו, זהה לחלוטין לגניבת כרטיס אשראי – בהבדל קטן: פה חברת הביטוח לא תכסה את הנזקים הצרופים לפריצה. פורצי המרכזיות אינם מונעים מתוך אידאולוגיה, אינם מונעים מתוך אג'נדה חברתית או פוליטית – הם מונעים על ידי כוחות השוק, הצורך לקיים שיחות טלפון בעלות הזולה ביותר האפשרית והצורך להרוויח כמה שיותר כסף בכמה שפחות זמן.

בחודש דצמבר 2010, התחלתי לבצע מחקר עצמאי בתחום, שמטרתו היתה להבין כמה דברים:
  1. מה מקור הפריצות? מה מאפיין מקור זה והאם הוא חוזר על עצמו?
  2. מה הם יעדי השיחות המועדפים על הפורצים? ומדוע?
  3. כאשר מרכזיה חדשה עולה לאוויר האינטרנט, עם תצורת ברירת מחדל, תוך כמה זמן היא תיפרץ?
  4. כאשר שרת עולה לאוויר האינטרנט, עם תצורת ברירת מחדל, תוך כמה זמן הוא יפרץ?
עלי להודות, התוצאות שקיבלתי היו מעניינות, מפתיעות ולעיתים מפחידות.

מקורות הפריצה – יותר מגוונים ממה שניתן לצפות
מלכתחילה ציפיתי, שמרבית (אם לא כל) ניסיונות הפריצה יבוצעו דרך האינטרנט. להפתעתי גיליתי, כי מספר לא מבוטל של ניסיונות פריצה מגיעים דרך קווי הטלפון עצמם, כאשר אלה מתחלקים לשלוש קבוצות עיקריות:
  1. Voicemail/DISA Abuse – ניצול משאבי ה-DISA והדואר הקולי על מנת להוציא שיחות ממרכזיה מותקנת.
  2. Malconfiguration Abuse – ניצול של מאפיינים, שאינם מקונפגים כיאות, לדוגמא: Call Forwarding.
  3. Phishing – כריית מידע מנציגי שירות המקושרים למרכזיה.
את 1 ו-3 הכרתי כבר טוב. הייתי מופתע מאוד מהקלות הבלתי ניסבלת של 2. מסתבר, שמספיקה אות אחת לא במקום, על מנת לפתוח במרכזיה חור בגודל של בית – ללא שום קשר להגנות ההיקפיות. על מנת להמחיש, נשתמש בדוגמא של העברת שיחה. ההגיון אומר: כאשר שיחה נכנסת למרכזיה, מי שאמור להיות מסוגל להעביר את השיחה, יהיה מקבל השיחה. בשיחה יוצאת, יהיה זה מוציא השיחה. עד פה ההגיון הפשוט. לכל אחד מאלה פרמטר ייעודי (באסטריסק, T ו-t). עכשיו נניח, שמנהל המערכת איפשר את שני הפרמטרים יחד, הרי, שכעת גם משתמש, שהתקשר מהעולם אל המערכת, יכול לבצע העברת שיחה.

כלומר, כל שאנו צריכים לעשות יהיה להתקשר לקו המוביל, להעביר את השיחה למערכת ה-Call Forward, ולבצע הפניית שיחה מאחת השלוחות למספר פרימיום מחוץ למערכת. זהו, פשוט, קל, זריז ולא מצריך שום קישור לאינטרנט.

לפני כשלושה חודשים נתבקשתי לחקור מקרה פריצה, שלאחר הבדיקה נמצא תואם לתסריט שתואר. הפורץ המתחכם אפילו דאג לבצע חיוג מרוחק מחו"ל אל השלוחה, כדי שזה יהיה אוטומטי. בתוך פחות מיום נגנבו מהלקוח מעל 8,000 ש"ח.

קשה מאוד לומר מה מקור הפריצה במקרים אלה, שכן מרבית הפריצות מבוצעות משרתים, שנפרצו בעולם, בייחוד אצל ספקי ה-Hosting הפחות טובים והפחות מעודכנים. שרותי אחסון בעולם אימצו את התוכנות הפתוחות בצורה גורפת, אך לא לכולם יש ידע מעמיק על מנת לנהל תשתיות אלו בצורה מאובטחת. כיום, אפשר לנצל גירסאות מסויימות של phpbb, אחד ממנועי הפורומים הפופולאריים ביותר באינטרנט, כמנוע ל-Botnet ועל ידי כך לפרוץ שרתים אחרים.

יעדי שיחה מועדפים – יחי הקומוניזם והדיקטטורה
בזמן שהותי ב-Humbug Telecom Labs, ביצעתי ניתוחים רבים ליעדי שיחה. באחד הניתוחים הופתעתי לגלות, כי Sao-Tome (אי אחד מתוך שנים, השייכים לרפובליקה הדמוקרטית של סאו טומה ופרינסיפה ממערב לאפריקה במפרץ גינאה מול גבון), הוא יעד חביב לגנבי השיחות, ככל הנראה מפעילים המוכנים לשתף פעולה בהונאות International Premium Rate. מהחקירות שערכתי בישראל נראה, שהיעדים החביבים בארץ הינם: הרשות הפלסטינאית (לא מפתיע), קוריאה הצפונית, לטביה ומולדובה.

קוריאה הצפונית כיעד הפתיעה אותי, כיוון שתהיתי: כיצד ניתן לבנות קשרים עסקיים עם ספק שיחות בקוריאה הצפונית? הרי זה לא יעד עסקי פשוט ונדרשת עבודה אמיתית בשביל לבנות את ההונאה הזו.

מה שעוד הפתיע אותי היה הגיוון בזמן התקפה. במקור, הטענה היתה: "פריצה תתבצע ליעד מסויים, אך לא למגוון ייעדים בעת ובעונה אחת". ניתוח רישומים הראה, כי הפורצים מבצעים חיוגים ליעדים רבים, תוך כדי שימוש בכמה שיותר מב"לים. כלומר, הפורצים יודעים כי המב"לים מפעילים מערכות ניתוח תנועה, ועל מנת לא "להקפיץ דגלים" מהר מדי, משנים את המב"ל היוצא כל כמה שיחות.

אחת ההתקפות שחקרתי הראתה שיחות בו זמנית לקוריאה הצפונית, רומניה, לטביה, ערב הסעודית והרשות הפלסטינאית. הדבר יכול להיראות כמו נתון שרירותי לחלוטין. אך, התבזרות החיוגים היתה מעניינת. מעל 60% מהחיוגים בוצעו לקוריאה הצפונית ולרשות הפלסטינאית. כלומר, ככל הנראה, ה-Revenue Share המתקבל ביעדים אלה הוא הטוב ביותר.

פקטור הזמן – כמה זמן לוקח לפרוץ מרכזיה המקושרת לאינטרנט?
אחת השאלות היותר מטרידות היא: כמה זמן יש לנו? פקטור הזמן הוא משמעותי. מרבית האנשים לא יודעים, אך האינטרנט מלא ברובוטים אוטומטיים, שכל תפקידם לסרוק את האינטרנט לחפש שרתים לניצול. בין אם השרתים נפרצו או לא, קיימת סבירת גבוהה ביותר, כי מרגע עלייתם לאוויר באינטרנט – תוך כ-30 דקות הם ייסרקו לפחות פעם אחת.

כדי לתת מספרים קצת יותר מדוייקים, בניתי את סביבת הניסוי הבאה:
  1. שרת לינוקס בסיסי שסיסמת ה-root שלו היא 123456.
  2. שרת Asterisk בסיסי. כמו כן, הוגדרו 3 שלוחות, כאשר הסיסמא היתה זהה למספר השלוחה.
  3. שרת מבוסס SnomOne בסיסי. גם שם הוגדרו 3 שלוחות, עם סיסמאות קצת יותר קשות, אבל עדיין סידרתיות ומקושרות למספר השלוחה.
ברור לכולנו, שמדובר בהתקנות טיפשיות לחלוטין. אולם, הן נועדו להוות Honey Pot לפורצים או רובוטים. התוצאות היו מטרידות עד כדי מפחידות. שרת הלינוקס הבסיסי נפרץ בתוך 15 דקות מרגע הגדרת כתובת ה-IP הציבורית. שרתי ה-Asterisk וה-SnomOne נפרצו תוך כ-45 עד 60 דקות והראו ניסיונות שיחה ליעדים ברשות הפלסטינאית.

נתוני הזמנים האלה מטרידים ביותר, בייחוד בהתחשב בזמן הנדרש להתקנת מערכת. מרבית המתקינים קודם יתקינו את המערכת, יגדירו כתובת ציבורית לחיבור SIP TRUNK, ורק לאחר מכן יתחילו לדאוג לאבטחת המערכת. כלומר, עוד בזמן ההתקנה, קיים סיכוי סביר כי המערכת תיפרץ והמתקין אפילו לא ישים לב לשינויים ולפריצה המתרחשת.

אז איך מתגוננים?
אומרים, שבחיים אתה פוגש כל מיני מורים, כאלה שרק לימדו אותך וכאלה שהשאירו עליך חותם חינוכי. אחד המורים/מרצים, שהשאיר עלי חותם היה פרופ' דויד צילאג (ז"ל) מהפקולטה למתמטיקה בטכניון. מלבד היותו אחד המרצים המדהימים ביותר, שאי-פעם התהלכו במוסד זה, היה לדויד צמא לידע ולחקירה, שניכר היה בצורה שבה לימד והעביר חומר אקדמי. פרופ' צילאג לימד אותי משהו פשוט: "אם עובר יום בלי ללמוד משהו חדש, זה היה יום מבוזבז". בגדול, זה אומר להיות מודע לעובדה, שאני לא יודע הכל, ולא משנה כמה אני אהיה מנוסה, תמיד אוכל ללמוד משהו חדש.

לא, אני לא מתכונן לדבר על חסימת פורטים, סיסמאות חזקות או סגירת שרותים – את כל אלה אתם כבר יודעים. אני כן אדבר על עקרונות מנחים, שהם הרבה יותר חשובים והרבה יותר מעניינים מהפעולות הטכניות.

שלב ראשון – אל תהיו יומרניים, אתם לא יודעים הכל
האינטגרטור שלכם לא יודע הכל, דאגו לקבל חוו"ד נוספת מאיש תקשורת נוסף בסיום הפרויקט. המלצתי היא לקבל חוו"ד מיועץ מקצועי, ולא מאינטגרטור אחר. היועץ המקצועי יוכל לבצע הערכה שקולה ומאוזנת, ללא קשר לציוד או החומרה המותקנת.

שלב שני – היו מיודעים
האינטגרטורים אוהבים להפעיל Features שונים, מתוך אמונה שזה יסייע להם במכירה. הציבו שאלו קשות כגון: מה השלכות ה-Feature על אבטחת מידע? האם קיימת סכנה של גניבת שיחות? כמה ניסיון יש לך בהפעלת ה-Feature הזה?
לכל Feature במרכזיה יש משמעות שונה. לעיתים קרובות יש השפעה על אבטחת המערכת. אפילו Feature פשוט כמו Call Forward או Call Transfer יכול לפתוח קן של צרעות, אם לא הופעל כיאות.

שלב שלישי – היו בשליטה
המערכת עובדת? יפה מאוד. בצעו מעבר מידגמי אחת לכמה ימים על רישומי השיחות – האם השיחות הגיוניות? אין לכם זמן? קיימים יועצים, שישמחו לעשות זאת עבורכם.
במרבית המקרים, חריגת שימוש תוכל להתגלות הרבה לפני ה"מכה" האמיתית. מרבית הפורצים מבצעים עבודה מדגמית, כאשר התקיפה מגיעה בזמן מאוחר יותר. במצב כזה, מעבר מידגמי אחת לכמה ימים יוכל לזהות את החריגה בשימוש (יעדים, זמני שיחה, זמן ביום, וכו').

שלב רביעי – פתחו עיניים
קיימות היום מערכות שונות המאפשרות לבצע ניטור בזמן אמת של תנועת המרכזיה. שירותי אונליין כדוגמת Humbug, ומערכות קוד פתוח כדוגמת Homer מאפשרות לראות את תנועת המערכת ברמות שונות, בזמן אמת. למערכות אלה יש יכולות אלו ואחרות בזיהוי חריגות. לדוגמא, מערכת ה-Homer מסוגלת לייצר Packet Capture מדוייק של כל תנועת ה-SIP של המרכזיה שלכם.
כלים אלו מאפשרים לנטר את הרשת בצורה אקטיבית, לקבל מידע בזמן אמת והכי חשוב, לראות את הדברים כאשר הם קורים, ולא פחות, לשמור עדויות למקרה שהן נדרשות.

שלב חמישי ואחרון – עד כמה אתם באמת מכירים את העסק שלכם?
מרבית בעלי העסקים מאמינים כי יש להם היכרות אינטימית עם העסק שלהם. במקרה של בעל מכולת או עסק קטן, הסבירות לכך היא גבוהה. אבל כאשר העסק גדל, ומערכת התקשורת גדלה – היכולת של המנכ"ל/בעלים להכיר את העסק שלו בפרטים, קטנה בסדרי גודל.

להכיר את העסק אומר, לדעת מתי שיחות טלפון אמורות להתקיים? לאיזה יעדים מתקשרים? מה כמות השיחות הממוצעת לחודש? מה החשבון הממוצע לחודש? – כל אלה מייצרים את הפרופיל העסקי של מערכת התקשורת שלכם. חריגה קטנה מאלה צריכה להצביע על בעיה אפשרית. אין מן האמור לומר שמיד יש להפנות את האצבע לפריצה, אך בהחלט יש להתחיל לבדוק את הנושא – כיוון שהונאה מצד העובדים היא גם אפשרות.

מאת: ניר סמיונוביץ, מאי 2013.
מנכ"ל GreenfieldTech
www.greenfieldtech.net
nirs@greenfieldtech.net
פורץ



 
 
Bookmark and Share


 


לוח מודעות
יזמים? יש לכם רעיון מבריק? נמשכת ההרשמה למחזור הבא של TLV Generator. ההרשמה - כאן

מחפשים הגנה מושלמת על הגלישה הניידת והנייחת ועל הפרטיות מפני כל תוקף? הפתרון הזול והטוב בעולם - כאן.

חנות המוצרים המובילה מסין -Chinabuy בעברית ובמחירי מבצע מטורפים

ניוזלטר שלישי של האתר הופץ לנרשמים לאתר - ניתן לצפייה כאן.

ניוזלטר שני של האתר הופץ לנרשמים לאתר - ניתן לצפייה כאן.

ניוזלטר ראשון של האתר הופץ לנרשמים לאתר - ניתן לצפייה כאן.

מחפש מחקרים? מאות מחקרים עדכניים מהשנה האחרונה מצויים כאן

מחפש תוכנות חופשיות? תוכל למצוא משחקים, תוכנות לפרטיים ותוכנות לעסקים, תוכנות לצילום ותמונות, הכל בחינם.


מעוניין לבנות ולתפעל אתר אישי או עסקי מקצועי? לחץ כאן.

לוח אירועים וכנסים של עולם ההיי-טק - כאן.
 




לוח האירועים המלא לגולשים מצוי כאן.

22.3.17 - GEMIC - TLV  

28/3/17 - Community Interfacing Technologies  

29/3/17 - Telco2017 - תערוכת מוקדים טלפוניים  

4/4/17 -  Israel AdTech 2017

18/5/17 - Israel's Annual Programmatic Video conference

25-29/6/17 - Cyber Week 2017  

 

הכי ניצפים 

דירוג הסמאטרפונים הטובים ביותר בעולם לפברואר 2017 עפ"י Business Insider - כאן

מה כן מקדם אתרים ועסקים באינטרנט? לא העלוקות שחיות סביב גוגל ופייסבוק - כאן

כל מה שלא מספרים לכם בתחום "השוק הסיטונאי" - פרק א': בזק - כאן

כל מה שלא מספרים לכם בתחום "השוק הסיטונאי" - פרק ג' - ההפסד הצרכני - כאן

כמה מפסידים בביצועים של הפס הרחב במעבר ל"שוק הסיטונאי"? - הרבה - כאן

מה שלא מספרים לכם: כיצד בזק תמרנה את מחירי השוק הסיטונאי עד 2018 - כאן

למה מבלבלים את המוח לציבור בנושא המכונה "שוק סיטונאי"? - כאן

למה בכלל צריך להחליף / לרכוש נתב במעבר ל"שוק סיטונאי"? - כאן

התרגיל לחיסול "השוק הסיטונאי" כבר כמעט מוכן, קוראים לו Vectoring - כאן

כל מי שכביכול "נטש את בזק" ב"שוק סיטונאי" יחזור לבזק תוך שנה-שנתיים - כאן

הפלופ הבא של "השוק הסיטונאי" שירות SLU (שבלעדיו הנוטשים יחזרו לבזק) - כאן

ביבי נתניהו הקשיב לקריאת Telecom News: פיטר לאלתר את אבי ברגר - כאן

חי בסרט: סמנכ"ל הכלכלה במש' התקשורת בטוח שהתכנית שחיבר תצא לפועל - כאן

מכרז התדרים ל-LTE הסתיים (בחלוקת תדרים) בדיוק כמו שהחל: בפלופ - כאן

חשיפת המספרים מאחורי משבר האנטנות: בשנה האחרונה פורקו 721 אנטנות - כאן

איך אני יודע כמה מגהרץ יש בחיבור LTE? מי ספק הסלולר המהיר בישראל? - כאן

חשיפת המחדל המדהים המוסתר מהציבור של הרס רשתות הסלולר - כאן

חשיפת מה שאילנה דיין לא פרסמה ב"ערוץ 2" על תעלולי השר משה כחלון - כאן

האם נטפליקס זקוקה לרישיון כדי לפעול, לשדר ולמכור שירותים בישראל? - כאן

איך רבע מיליון לקוחות נפלו בפח ועברו להסדר המכונה בטעות "שוק סיטונאי" - כאן

ההגנה המושלמת על הגלישה ניידת והנייחת ועל הפרטיות מפני כל תוקף - כאן

מבחן דרך: חיבור VPN - האם זו ההגנה המושלמת על הגלישה ועל הפרטיות? - כאן

TLV Generator נולד - התכנית שהופכת כל רעיון למוצר (MVP) תוך 120 יום - כאן

20 המובילים ומקבלי הצל"ש בשנת 2016 בעולם התקשורת וההייטק הישראלי - כאן
 
זרקור חברות
 
TLV-Generator
 
TLV-Generator
 
 
טלקום אקספרטס
 
NordVPN
 
עדן אימון עסקי
 
כמה זה? השוואת מחירים
 
TLV-Generator
 
ChinaBuy
 
טלי וייס
 
 
 
Slideshare Linkedin Twitter
Youtube Instagram Facebook
Google+ live Zappix
Bitly Vimeo Pinterest
אנדרואידאנדרואיד-ברקוד אפל ברקודאפל

 
 מפת הביטקוין   מהירות גלישה Your IP שירותנט
לייבסיטי - בניית אתרים