SIPSCAN – SIPスキャン

メソッドの説明

この検知メソッドでは、監視対象ネットワークセグメントでSIPステーションをスキャンするデバイスを検出します。この攻撃の主な目的は、悪意ある発信に使用できるVoIPサービスを見つけることです。関連のSIPフラグ(Register、Options、Invite)を持つ最小アクセス数を設定するには、Thresholdパラメータを使用します。

このメソッドは、以下のサブメソッドで構成されます。

• Register: VoIPに使用されるデバイスのスキャンをレポートします。検知には、SIPプロトコルのRegisterメッセージを使用します。

• Options: VoIPに使用されるデバイスのスキャンをレポートします。検知には、SIPプロトコルのOptionsメッセージを使用します。

• Invite: VoIPに使用されるデバイスのスキャンをレポートします。検知には、SIPプロトコルのInviteメッセージを使用します。

メソッド設定

このメソッドは、監視対象ネットワークセグメントにあるSIPデバイスのすべてのIPアドレスに適用することをお勧めします。トラフィックの適切な監視場所はインターネット接続回線です。この検知メソッドは、特定のフローフィールドを持つSIPデータフィードも必要です(詳細については、データフィードページを参照)。

メソッドパラメータ

• Threshold: 最小アクセス数の閾値。

フィルタの割り当て

宛先IPアドレスがフィルタの割り当てに一致するフローのみが処理されます。

結果の解釈

スキャン攻撃者は、SIP PBXおよびゲートウェイ(水平、特にRegisterおよびOptionsスキャンの場合。情報が盗聴などに悪用される可能性がある)またはアクティブなSIPアドレス(垂直、特にInviteスキャン。情報が電話SPAMに悪用される可能性がある)の検知を試みます。