Elastix es una solución de comunicaciones unificadas de código abierto que incluye PBX IP, correo electrónico, fax, mensajería instantánea y mensajería unificada. Se basa en Linux, Asterisk, Apache, MySQL y otros componentes de código abierto. Elastix puede implementarse como PBX central, en call centers, sistemas de venta de tráfico o como PBX alojado en la nube. El documento también describe varios vectores de ataque potenciales en Elastix y medidas de seguridad como firewalls, fail2ban, TLS, SR

1. Implementando Seguridad
en plataformas de software libre
Elastix

2. JUAN OLIVA @jroliva
A que me dedico ?
Proyectos de Voz sobre IP con ELASTIX
Servicios de Ethical Hacking
Certificaciones
ECE, ESM, dCAA, C|EH , CPTE, BNS, OSEH, LPIC-1, Novell CLA
Instructor / Training
ELASTIX 101, ECE, ESM, LPIC-1
Cursos de Ethical Hacking
Ethical hacking para VoIP , Callcenter
Y cuando tengo tiempo mantengo un blog :
http://jroliva.wordpress.com

3. Qué es Elastix ?

4. Qué es Elastix ?
Elastix es una solución de comunicaciones
unificadas que incluye:
•IPPBX – Central telefonica IP PBX
•Servicio de correo electrónico
•Fax
•Mensajería instantánea
•Mensajería unificada

5. Qué es Elastix ?
●
●
Elastix es software libre, desarrollado en Ecuador, licenciado
bajo GPL versión 2
Esto quiere decir que se puede copiar, distribuir y modificar el
software libremente.
●
No existen versiones cerradas ni doble licenciamiento.
●
Elastix puede ser descargado sin costo alguno.
●
●
Se distribuye a nivel mundial como una distribución en una
imagen ISO y soporta arquitecturas 32 bits, 64 bits , ARM
Es basado en Web y permite su acceso a la interfaz de
administración desde cualquier punto y Cualquier sistema

6. Qué es Elastix ?
Visión a nivel de arquitectura de software
•Sistema Operativo - Linux Centos 5.9
•PBX IP - Asterisk 1.8
•Servidor web - Apache
•Servidor de base de datos - Mysql
•Servicio SMTP – Postfix
•PHP V5.X y componentes

7. Qué es Elastix ?
Visión a nivel de arquitectura de software
•Sistema de gestión de PBX ASTERISK - Freepbx
•Servicio de mensajería instantánea - Openfire
•Sistema de CRM - Vtiger

8. En donde lo encontramos ?

9. En donde lo encontramos ?
Central PBX IP

10. En donde lo encontramos ?
Central PBX IP
Con anexos
Remotos/extendidos

11. En donde lo encontramos ?
CallCenter

12. En donde lo encontramos ?
- Sistema para venta de tráfico
- PBX en la nube o Hosted PBX

13. Posicionamiento en la red con Elastix

14. Elastix con IP Pública + estática
sss

15. Elastix en la nube
sss

16. Identificando vectores
de ataques en Elastix .....

17. Ataques Externos !!

18. Vectores de ataque en Elastix
Externos / Desde Internet
Linux
- Password Cracking al servicio SSH
- Revelación de configuración via SNMP
Asterisk
- Ennumeración de entidades SIP
- SIP Brute broce attack a entidades SIP
- Conexiones AMI

19. Vectores de ataque en Elastix
Externos / Desde Internet
Aplicaciones Web
- SQL inyección
- Cross Site Scripting o XSS
- Exploits

20. Ataques internos !!

21. Vectores de ataque en Elastix
Internos / Desde la red LAN
- Arp poisoning
- Captura de trafico de voz

22. Y los que nos hacemos nosotros

23. Implementando seguridad en Elastix
Así como hay ataques tambien existen muchos
mecanismos de seguridad ......

24. Seguridad en Elastix
Modulo de Firewall
Sirve para el manejo de puertos y servicios, la interface genera un
conjunto de reglas basadas en iptables

25. Seguridad en Elastix
Uso de fail2ban para SSH y Asterisk
Es posible asegurar completamente el servicio SSH y el servicio SIP de
ASTERISK , detectando y bloqueando proactivamente ataques con
Fail2ban

26. Seguridad en Elastix
Tuneles SSH
Se suele utilizar para trasportar un protocolo determinado a través de
una red que, en condiciones normales, no lo aceptaría, por ejemplo
ingresar a la interfase web de Elastix, con solo tener habierto el puerto
del servicio SSH y loguearse correctamente a este servicio.

27. Seguridad en Elastix
Aseguramiento de comunicaciones con TLS
TLS (Transport Layer Security). Seguridad de la capa de
transporte, es un protocolo criptográfico que permiten realizar
comunicaciones seguras a través de la red de Internet.

28. Seguridad en Elastix
Aseguramiento de comunicaciones con SRTP
El Secure Real-time Transport Protocol (o SRTP) proporciona
cifrado, a nivel de RTP, evitando el ensamblaje del audio de las
comunicaciones (por ejemplo con Wireshark)

29. Seguridad en Elastix
Red Privadas Virtuales - VPN
Permite implementar una capa adicional de seguridad, a las
conexiones remotas sobre todo de extensiones o troncales VoIP ,
en modo Roadwarrior o Net – to Net

30. Seguridad en Elastix
Sistemas IDS e IPS
Snort, es un programa muy flexible y a la vez complejo, provee
un, alto nivel de personalización,Análisis de paquetes,Diferentes
modos de ejecución,Base de reglas de alto alcance,Diferente
tipos de almacenamiento

31. Implementando seguridad en Elastix
DEMO
Protegiendo SSH con Fai2ban

32. Implementando seguridad en Elastix
DEMO
Protegiendo ASTERISK y SIP con Fai2ban

33. Implementando seguridad en Elastix
DEMO
Detectando ataques hacia Elastix
usando SNORT como IDS

34. Instalación de Snort en Elastix
URL: http://jroliva.wordpress.com/

35. Y LO MEJOR ....
TODO DE LO QUE HEMOS HABLADO ...
ES :

37. Gracias !!
Juan Oliva
Consultor en VoIP y Ethical Hacking
ECE®, dCAA®, C|EH™, C)PTE™, OSEH, BNS, LPIC-1™, Novell CLA®
Correo : joliva@silcom.com.pe
gtalk : jroliva@gmail.com
Twiter : @jroliva
Blog : http://jroliva.wordpress.com/