Взлом АТС OS 7400

[Neitan]

Заранее извиняюсь, в программирование АТС не моя специализация.

Позвонил провайдер и сказал что возможно нашу АТС ломают, идут регулярные звонки куда-то в Африку.По логам выходит что звонок пришел с внешнего транка и переадресовывался через АТС на другой внешний транк. Подскажите в какую сторону копать чтобы предотвратить это в дальнейшем. Спасибо!

[LionB]

Либо у вас имеется карта голосовой почты. Либо кто-то включил функцию DISA на каких-то линиях.
Либо какой-то сотрудник руками переводит вызов туда.
Снимайте SMDR и смотрите кто, чего и когда свонил.
Закройте доступ из публичной сети к администрированию АТС (если это сейчас возможно)

[Andrew Ch.]

пока был в командировке взломали АТС, пока не пойму как
OS7200 MP20 453c, LP 4.30 8TRK, 16TRK, MGI16 V1.26, 8DLI, 4*16SLI2
шёл такой трафик
#18
станция находится за firewall. есть подключению к провайдеру по IP, лицензии на softphone и spnet.
открыты порты 5060, 5070, 6000, 30000-30031
DISA не установлена, головой почты тоже нет.
для работы другого филиала в 714 есть строка
9*** B B B B B B 1 99 Yes No No No

где дырка и как её закрыть?

[switch]

открыты порты 5060, 5070, 6000, 30000-30031

Открыты или проброшены? Если второе то результат закономерен.

[LionB]

Явно видно, как звонки с SIP на аналоговые транки заворачиваются...
Но для этого по-любому надо запрограммировать такую возможность в ММС714..
В общем, как бы ты сейчас не защищался, этот кто-то все равно зайдет и заново закладку сделает
В общем, прежде всего надо исключить возможность несанкционированного доступа в программирование.

[Andrew Ch.]

Явно видно, как звонки с SIP на аналоговые транки заворачиваются...
Но для этого по-любому надо запрограммировать такую возможность в ММС714..
В общем, как бы ты сейчас не защищался, этот кто-то все равно зайдет и заново закладку сделает
В общем, прежде всего надо исключить возможность несанкционированного доступа в программирование.

по 856 я не вижу, чтобы кто-то в вечернее/ночное время заходил в программу. судя по времени это только мои входы в систему.
сейчас же АТС настраивается через DM. полного прямого доступа снаружи к ней нет.
пароль на всякий случай поменял, но не могу понять сам способ взлома. не могу его смоделировать.
была бы DISA, там всё понятно. но как в этом случае? предполагаю, что через порты для SPNet. там да, я открывал доступ с другой OS7200 на 9. но как это можно без АТС сделать? у них же свой протокол есть.

[LionB]

Вообще-то, чтобы понять, надо знать твой план нумерации..

Табличка выглядит, что как буд-то идут DID звонки с входящим номером inc 9810299563675 и естейственно, попадая в ММС714 с записью 9*** B он заворачивается в группу 9 (наверное твои аналоговые транки)

Но, с аналоговых траков вызовы в ММС714 попасть не могут.

Значит остался только один шанс, что вызовы заворачиваются в DM 3.2.5 по CLI -> B. Но, ведь inc 9810299563675 это же не CLIP..

[Ave]

В 837 коде Carrier Exclusive - Enable поставьте.
100% сейчас там Disable стоит

[LionB]

В том-то и ерунда, что вызовы приходили не по SIP (судя по рисунку)... Хотя, опять же.... Не видя плана номерации непонятно.

[Andrew Ch.]

Вообще-то, чтобы понять, надо знать твой план нумерации..

mgi 3801-3816
loop trunk 701-724
внутренние 14ХХ, 2ХХХ
virt SLT 31XX, 37XX, 39XX
soft video 2XXX, 32XX
WIP phone 33XX - не используются
S0 terminal - 87XX - не используются
SPNET 8301-8316 - лицензия есть
sip trunk - 7ХХ, 85ХХ - лицензия есть
H323 - 8401-8408 - не используется
virual DGP, mobex STN, remote stn - пусто
station group - 5XX
trunk group - 8XX
n-LCR 342, 102,103, 104, 107, 111,112, 119

Табличка выглядит, что как буд-то идут DID звонки с входящим номером inc 9810299563675 и естейственно, попадая в ММС714 с записью 9*** B он заворачивается в группу 9 (наверное твои аналоговые транки)

и аналоговые и sip

Но, с аналоговых траков вызовы в ММС714 попасть не могут.

Значит остался только один шанс, что вызовы заворачиваются в DM 3.2.5 по CLI -> B. Но, ведь inc 9810299563675 это же не CLIP..

3.2.5 - пустая