SIPPROXY – SIPプロキシ

メソッドの説明

このメソッドは、1つのSIP URIのナレッジを使用してSIPプロキシサーバ(別個のSIP URIからのSIP通信に使用されるIPアドレス)を検出します。この検知メソッドでは、訓練期間を設定できます(ClosedSeasonパラメータ)。訓練期間中はイベントが生成されません。2番目のオプションは、非アクティブなデバイスを分類器に保存しておくための期間です(TimeToDeathパラメータ)。この期間が経過した後に新規プロキシサーバが監視対象ネットワークに出現した場合、イベントが生成されます。

フィルタが割り当てられている場合、これらのIPアドレスの範囲外のデバイスのみが検知されます。

このメソッドは、以下のサブメソッドで構成されます。

• General: VoIPに使用されるデバイスに影響を及ぼす中間者攻撃の可能性をレポートします。

メソッド設定

このメソッドは、監視対象ネットワークセグメントにあるSIPデバイスのすべてのIPアドレスに適用することをお勧めします。トラフィックの適切な監視場所はインターネット接続回線です。この検知メソッドは、SIP処理が有効化されたデータフィードと組み合わせて有効にする必要があります。

メソッドパラメータ

• ClosedSeason: 監視対象ネットワークで分類器を訓練する日数。この期間中はイベントがレポートされません。

• TimeToDeath: 非アクティブなSIPゲートウェイ(またはプロキシ)を分類器に保存しておく日数。

フィルタの割り当て

このフィルタは、送信元IPアドレスまたは宛先IPアドレスを制限するために使用されます。

結果の解釈

SIPプロキシとして指定されたデバイス(イベントソース)は、発信者のSIPトラフィックを別個のSIP URIで送信します。このデバイスは、転送された通信を盗聴したり、ログインクレデンシャルを盗むために使用される可能性があります(中間者攻撃)。