SIPサーバの不正利用に注意、管理アカウントやソフトウェアの確認を

JPCERT/CCは、SIPサーバに対する攻撃とみられる兆候が拡大しているとして、注意を呼び掛けている。

[ITmedia]

　JPCERT コーディネーションセンター（JPCERT/CC）は9月6日、SIPサーバを探索するパケットが増加しているとして、ユーザーなどに不正利用へ注意するよう呼び掛けた。不正アクセスを受けたサーバに、SIPサーバを探索してSIPアカウントを窃取する攻撃ツールが設置されていたケースも報告されている。

　JPCERT/CCによると、同センターが運用しているインターネット定点観測システム「TSUBAME」の観測では2010年7月頃から5060/UDPポートの探索が目的とみられるパケットを観測しており、今年に入って増加ぶりが目立っている。

国内の5060/UDPのパケット観測動向：送信元地域別（JPCERT/CCより）

　報告されたケースから想定される攻撃プロセスでは、まず攻撃者が公開されているSIPの脆弱性検証ツールを改造して、攻撃者に情報が集まるようなツールを用意する。次に攻撃者が強度の弱いパスワードや脆弱性を残したまま運用されているサーバや機器に侵入して、攻撃ツールを動作させる。

　さらに攻撃ツールが動作するサーバが、インターネット上に公開されているSIPサーバなどを探索し、SIP サーバを発見した場合に、約13万行に及ぶ辞書攻撃でSIPアカウントを窃取する。窃取されたSIPのアカウント情報は、攻撃ツールからメールで攻撃者に送信されるという。

　JPCERT/CCではSIPアカウントの搾取や不正利用を防ぐために、（1）デフォルトパスワードを使用しない、（2）IDとパスワードを同一の文字列にしない、（3）空欄や単純な文字列にしない――など、アカウント使用についてアドバイスしている。

　また、必要がなければSIPサーバやSIP対応機器をインターネットに直接接続できないようにしたり、ファイアウォール機能で外部からのSIPサーバやSIP対応機器向けのパケットを遮断したりすること、インターネットから接続する必要がある場合にVPN接続を利用することも推奨する。

　SIPサーバやSIP対応機器などのログに不正な発信履歴が存在しないか、最新のセキュリティ更新プログラムが適用されているかなども確認してほしいという。