Empfohlene Dauer: 2 Tage (Threat-Model + Hardening + Betriebsprozesse)
Inhaltsverzeichnis
- Abstract
- Zielgruppe
- Voraussetzungen
- Bedrohungsmodell
- Inhalte
- Praxisfahrplan
- Übungs- und Laborkatalog
- Artefakte und Vorlagen
Abstract
Das Sicherheitsseminar etabliert ein praxistaugliches Bedrohungsmodell für VoIP und setzt es in konkrete Asterisk- und Netzwerkmaßnahmen um. Schwerpunkte sind sichere PJSIP-Konfiguration, Minimierung der Exposition, Schutz vor Missbrauch und ein Betriebsmodell, das Auffälligkeiten früh erkennt und strukturiert behandelt.
Zielgruppe
- Betriebsteams, die Asterisk in produktiven Netzen absichern müssen.
- Netzwerk- und Security-Teams mit VoIP-Verantwortung.
- Plattformteams, die standardisierte Secure-Baselines bereitstellen.
Voraussetzungen
- Asterisk Grundlagen; PJSIP-Kenntnisse empfohlen.
- Grundlagen Firewall/Netzwerksegmentierung.
Bedrohungsmodell
- Automatisiertes Scanning und brute-force auf SIP-Zugänge.
- Missbrauch von Outbound-Routing (Kostenrisiken) und Fraud-Szenarien.
- Fehlkonfiguration bei NAT, Exposure von Managementports, unsichere Defaults.
- Abhören/Manipulation von Signalisierung und Media in unsicheren Netzen.
- Ressourcenerschöpfung (DoS) durch Signalisierungs- oder Media-Last.
Inhalte
- Sichere Grundkonfiguration: Minimierung exponierter Flächen, robuste Authentisierung.
- Netzwerksegmentierung und Zugriffskontrollen (Firewall, ACL, Management-Zugänge).
- SIP/PJSIP-Härtung: Endpoint-Matching, Passworthygiene, Registrierungs- und Rate-Limits als Konzept.
- TLS/SRTP als Bausteine: Zertifikatsmanagement, Betriebsmodelle, Fallstricke.
- Betriebsnahe Schutzmechanismen: Logging, Alarmierung, Sperrlogik, Auditierbarkeit.
- SBC-Konzepte und Abgrenzung: wann ein vorgelagertes Schutzsystem sinnvoll ist.
Praxisfahrplan
- Risikoprofil und Exposition definieren (öffentliche Erreichbarkeit, Standorte, Remote).
- Minimal-Exposure-Konfiguration festlegen (Ports, Bindings, Management-Zugänge).
- Auth- und Endpoint-Matching-Härtung umsetzen (Whitelist-Ansätze, sichere Defaults).
- Outbound-Routing absichern (Zielklassen, Limits, Notfallrouten).
- TLS/SRTP als Konzept konfigurieren und Testfälle definieren.
- Monitoring/Alarmierung für Security-Signale etablieren (Fehlversuche, Anomalien, Lastspitzen).
Übungs- und Laborkatalog
- Härtung einer Beispielkonfiguration: entfernte Logins erschweren, Missbrauch reduzieren.
- Regeln für Outbound-Ziele und Notfallpfade modellieren.
- TLS-Transport für ausgewählte Endpunkte in einer Laborumgebung.
- Security-Logprofile und Alarmkriterien für typische Angriffsmuster.
Artefakte und Vorlagen
- Hardening-Checkliste für Asterisk/PJSIP (Konfiguration + Netzwerk).
- Vorlagen für Passwort-/Credential-Policies und Rollenkonzepte.
- Betriebsleitfaden für Incident-Handling (Sperren, Logs, Nachvollziehbarkeit).
