分类：
2008-10-27 13:37:04
这是一本介绍你的VoIP系统如何被黑客攻破的书。这本书详细介绍了正在实施的攻击和阻止这些攻击的工具和技巧。
《Hacking Exposed VoIP： Voice Over IP Security Secrets & Solutions》（暴露在黑客攻击之下的VoIP：VoIP的秘密与解决方案）这本书是SecureLogix公司首席技术官Mark Collier和VoIP联盟（VoIPSA）主席和3Com旗下的TippingPoint安全部门经理David Endler共同撰写的。这本书是防止VoIP系统遭到攻击的一站式初级读本。
Collier在谈到这个项目的起源时说，当时让人们了解有关VoIP安全的资源确实不是很多。说明企业VoIP系统安全的事情就更少。最近的研究显示，这本书的出版正是时机。美国系统网络安全协会（SANS Institute）把VoIP当作是对企业网络最大的威胁。市场研究公司InStat-MDR指出，2010年IP电话销售数量将从2006年的900万部增长到4580万部。
Collier表示，这本书详细介绍了VoIP系统遭受黑客攻击的例子并且介绍了保证VoIP系统安全的许多切实可行的应对措施。
这本书按照时间顺序介绍了黑客攻击VoIP系统的过程，第一次详细介绍了物理脚印、扫描和列举一个系统的过程。接下来，这本书介绍了许多不同种类的攻击，包括拒绝服务攻击、网络窃听和应用程序拦截等。
Endler说，拒绝服务攻击可能是目前对VoIP网络的最主要的威胁。一个VoIP系统有许多移动部分和许多严格的网络要求。有许多你可以做的坏事。
Endler举例说，如果一家公司的VoIP系统正在遭受拒绝服务攻击，一些人在设法发送电子邮件，这封电子邮件可能需要几个小时才能发送出去，因为网络被许多额外的通讯阻塞了。
这两位作者制作了用于中间人攻击的工具并且建立了能够嵌入在SIP电话和SIP代理之间的一个应用程序，允许控制音频。例如，可以放弃电话或者重新或者增加背景噪音。
Collier说，他和Endler还对比了突破具体厂商的VoIP系统的一些攻击以便确定具体厂商的最佳做法。他们对思科的CallManager、Avaya的通讯管理器、Asterisk和一些新兴的软电话技术进行了测试，看看这些设备是否能够承受攻击。
Collier说，要记住的一件事情是，主要厂商提供的企业级产品是安全的。但是，有些现成的设备是不安全的。虽然他不能具体说明哪些厂商通过了严格的检验，但是，他说所有厂商的产品都有网络和VoIP管理员应该了解的弱点。他补充说，可以做许多简单的事情完全锁定任何厂商的VoIP产品。
他说，每一个平台都有不同的问题。思科和Avaya对待安全都是非常认真的。这个底线是如果你按照他们的建议去做并且知道你在做什么，你就能够建立一个非常好地安全系统。这是知识和要做这个事情的愿望。此外，做好这个事情要靠预算。
Collier说，把预算增加10%至20%能够使一个VoIP系统完全不同。一个能够遭到攻击，另一个是非常安全的。这是一个相当新的技术。有时候引进第三方或者进行评估是有意义的。
《Hacking Exposed VoIP》这本书还研究了VoIP进程和黑客攻击应用程序以及对的攻击，这种攻击能够让潜在的入侵者在不直接访问和重新配置主机或者部署的电话的情况下完全控制VoIP应用通讯。这些攻击包括模糊攻击、拒绝服务攻击和控制VoIP信号和媒体等。
最后，这本书研究了两位作者所说的“社交威胁”。这种威胁包括VoIP垃圾信息，这种垃圾信息也称作SPIT或者语音钓鱼攻击。虽然这些类型的攻击有一些新的例子，但是，这两位作者表示，随着VoIP技术的成熟，这些攻击将变得更为普通。Endler说，语音垃圾信息和钓鱼攻击在几年之内将像目前电子邮件领域流行的钓鱼攻击和垃圾邮件一样。
已经发现的一种语音钓鱼攻击与电子邮件钓鱼攻击非常相似。Endler说，用户收到一封表面看起来好像是PayPal公司查询账户信息的电子邮件。语音钓鱼攻击不是让用户访问假冒的PayPal网站，而是让用户给一个电话号码打电话。一旦拨打了这个电话，一个录音的语音就要求用户输入他的账户号码。然后，一个黑客就利用后端VoIP系统的录音恢复账户信息。
要教育你自己和学习如何阻止与VoIP有关的黑客和攻击，可参考Endler和Collier新发布的20个可的工具。这些工具能够应付这本书介绍的许多攻击。这些攻击的范围包括拒绝服务攻击、音频窃听和向正在进行之中的VoIP会话增加声音等。Collier表示，还将出现更多的工具。
Collier说，在今后的几年里，攻击的数量将增长。我们希望能够看到更多的工具。
Endler说，我们正在使用我们的水晶球。威胁在2007年将继续出现。应对的策略就是领先于这些威胁。
