Hızlı cevap: VoIP ve SIP sızma testi, bir kurumun internet üzerinden ses iletişim sisteminin, yani IP telefonların, çağrı sunucularının ve birleşik iletişim altyapısının açıklarını bir saldırgan gözüyle inceleyen güvenlik hizmetidir. En sık görülen riskler, çağrı kurma protokolünün şifrelenmemesi nedeniyle konuşmaların dinlenebilmesi, bir hesabın kaydının kaçırılarak başka birinin adına çağrı yapılabilmesi ve ücretli hatlar üzerinden yapılan çağrı dolandırıcılığıdır. Bu dolandırıcılık kuruma doğrudan maddi zarar verebilir. DSET bu testi yerel yapay zekâ motoru KAOS ile yürütür ve her bulguyu çalışan bir kanıtla doğrular.

Telefon sistemleri uzun süre ayrı bir dünya olarak görüldü, ama bugün çoğu kurumun ses iletişimi internet üzerinden, yani aynı ağ altyapısı üzerinden akıyor. Bu, ses sistemini de tıpkı bir web uygulaması gibi bir saldırı hedefi yapar. Bir saldırgan çağrıları dinleyebilir, kuruma ait bir numarayı taklit edebilir veya ücretli hatlar üzerinden kuruma büyük faturalar çıkarabilir. Bu yazı, VoIP ve SIP sızma testinin ne olduğunu, hangi açıkları hedeflediğini ve DSET ile KAOS yaklaşımını anlatır.

VoIP ve SIP sızma testi nedir

VoIP ve SIP sızma testi, IP tabanlı ses iletişim altyapısının açıklarını kontrollü saldırılarla test eder. Testin iki ana katmanı vardır. Birinci katman sinyalleşmedir, yani çağrının kurulmasını, yönlendirilmesini ve sonlandırılmasını sağlayan protokol. İkinci katman ses akışının kendisidir, yani konuşmanın taşındığı trafik. Amaç, bir saldırganın bu katmanlardan birini ele geçirip çağrıları dinleyip dinleyemeyeceğini, bir hesabı taklit edip edemeyeceğini ve sistemi dolandırıcılık için kullanıp kullanamayacağını kanıtlamaktır.

Hangi açıkları hedefler

VoIP sistemlerinin açıkları çoğu zaman güvenliğin ağ katmanına bırakılmasından ve zayıf kimlik doğrulamadan kaynaklanır.

Açık sınıfı Ne anlama gelir Tipik sonuç
Şifrelenmemiş sinyalleşme Çağrı kurma protokolü düz metin Çağrı dinleme, bilgi ifşası
Kayıt kaçırma Saldırgan bir hesabın kaydını ele geçirir Kimlik taklidi, çağrı yönlendirme
Zayıf kimlik doğrulama Dahili numaralar kolay tahmin edilir Yetkisiz erişim
Ücret dolandırıcılığı Sistem dış ücretli çağrı için kötüye kullanılır Doğrudan maddi zarar
Hizmet kesintisi Sinyalleşme taşırılır Telefon sisteminin durması

Tablonun özü şudur: VoIP güvenliği yalnızca ağ yalıtımına bırakıldığında, o yalıtımı aşan bir saldırgan tüm ses iletişimine erişir. Bu yüzden ses trafiği şifrelenmeli ve kimlik doğrulama güçlü olmalıdır. Ses sistemi çoğu zaman kurum iç ağının bir parçası olduğundan, Active Directory iç ağ sızma testi ve ağdaki yanal erişim konusu olan pivoting ve tünelleme bu testle doğrudan ilişkilidir.

Ücret dolandırıcılığı neden önemli

VoIP sistemlerine özgü ve çoğu kurumun fark etmediği bir risk, ücret dolandırıcılığıdır. Bir saldırgan zayıf korunan bir çağrı sunucusunu ele geçirdiğinde, o sunucu üzerinden yurt dışı veya ücretli hatlara binlerce çağrı yapabilir. Bu çağrıların faturası kuruma çıkar ve zarar çok kısa sürede büyük meblağlara ulaşabilir. Bu yüzden test, yalnızca gizlilik riskini değil, doğrudan maddi zarar riskini de ölçer. Bu yönüyle VoIP testi, iş etkisi açısından bir fidye yazılımı olayının ilk 24 saati kadar somut bir maliyet taşıyabilir.

Dinleme ve kimlik taklidi

Sinyalleşme ve ses trafiği şifrelenmediğinde, aynı ağa erişen bir saldırgan konuşmaları kaydedebilir. Daha da tehlikelisi, zayıf kimlik doğrulama varsa saldırgan bir çalışanın numarasını taklit ederek onun adına çağrı yapabilir veya gelen çağrıları kendine yönlendirebilir. Bu, hem bir gizlilik ihlalidir hem de bir sosyal mühendislik aracıdır; nitekim kurum içi aramalar çoğu zaman en çok güvenilen iletişim kanalıdır ve bu güven kötüye kullanılabilir.

Ne zaman gerekir

VoIP sızma testi, yeni bir IP telefon sistemi kurulduğunda, sistem başka bir ağa taşındığında ve düzenli aralıklarla yapılmalıdır. Özellikle çağrı merkezi işleten, yurt dışı arama yapan ve ses iletişimi iş sürekliliği için kritik olan kurumlar için bu test önemlidir. Testten önce kapsamın net çizilmesi gerekir, bunun için sızma testine hazırlık ve kapsam belirleme rehberi başvuru noktasıdır.

KAOS ve DSET yaklaşımı

DSET, VoIP ve SIP sızma testini yerel yapay zekâ motoru KAOS ile yürütür. KAOS, sinyalleşme protokolünü şifreleme ve kimlik doğrulama açısından inceler, kayıt kaçırma ve dolandırıcılık senaryolarını kontrollü olarak sınar ve bulduğu her açığı çalışan bir kanıtla, kanıt temelli doğrulama ilkesiyle raporlar. Fark şudur: bir çağrının teorik olarak dinlenebileceğini söylemekle yetinilmez, o dinlemenin gerçekten mümkün olduğu kontrollü bir ortamda kanıtlanır. Bir bulgu doğrulandıktan sonra düzeltmenin işe yaradığını görmek için yeniden test ve remediation doğrulaması uygulanır.

Sık sorulan sorular

Bulut tabanlı bir telefon hizmeti kullanıyorum, yine de test gerekir mi? Evet. Bulut tabanlı bir birleşik iletişim hizmetinde altyapının bir kısmı sağlayıcıya aittir, ama sizin yapılandırmanız, dahili numaralarınız, kimlik doğrulama ayarlarınız ve sisteme bağlı cihazlarınız sizin sorumluluğunuzdadır. Kayıt kaçırma ve zayıf kimlik doğrulama gibi açıklar bu sizin sorumluluğunuzdaki katmanda ortaya çıkar.

VoIP testi normal ağ sızma testinden ne kadar farklı? VoIP testi ağ sızma testinin yöntemlerini paylaşır, ama ek olarak ses protokollerine özgü saldırıları içerir, örneğin kayıt kaçırma, çağrı dinleme ve ücret dolandırıcılığı. Bu ek katman, ses sinyalleşmesinin kendine özgü protokollerinden kaynaklanır, bu yüzden ses sistemi ayrıca test edilmelidir.

Test sırasında telefon hizmetim kesilir mi? İyi planlanmış bir testte hayır. Hizmet kesintisine yol açabilecek testler, örneğin sinyalleşme taşırma denemeleri, yalnızca önceden ve açık onayla ve mümkünse mesai dışında yürütülür. Hangi testlerin yapılacağı önceden sözleşmeyle belirlenir.

Kaynaklar

IP telefon ve birleşik iletişim altyapınızı kanıt temelli bir testle incelemek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan VoIP ve SIP sızma testi ile danışmanlık sağlıyoruz.