Este manual aborda o risco de sondagens automáticas realizadas por ferramentas como SIPvicious em sistemas de telefonia digital baseados em SIP (Session Initiation Protocol). Ele explica o funcionamento do ataque, os riscos associados e apresenta estratégias de mitigação em rede e nos dispositivos finais.

🔹 O que é o SIPvicious?

O SIPvicious é um conjunto de ferramentas criado originalmente para auditoria de redes SIP, mas que atualmente é amplamente usado por agentes maliciosos para identificar vulnerabilidades e gerar chamadas “fantasma”.

• Realiza varreduras em dispositivos SIP.
• Envia convites INVITE para testar equipamentos.
• Detecta versões, fabricantes e possíveis vulnerabilidades.

🔹 Riscos associados

• Desvio e sequestro de chamadas.
• Fraudes em chamadas internacionais ou de alto custo.
• Sobrecarga de sinalização (DoS leve).
• Exposição de versões e vulnerabilidades do equipamento.

🔹 Estratégias de Mitigação

1. Bloqueio de IPs ofensivos

• Use firewall ou fail2ban para bloquear IPs suspeitos.
• Integre bloqueio automático após X tentativas falhas.
• Considere listas GeoIP para negar tráfego de regiões irrelevantes.

2. Resposta SIP “antipática”

Alguns scanners interrompem ataques ao receber respostas inválidas, como:

SIP/2.0 400 Bad Request

3. Uso de Proxy SIP ou SBC

• Coloque um proxy SIP à frente do PBX para filtrar tráfego.
• Bloqueie User-Agents suspeitos (ex: “friendly-scanner”).
• Mascarar endereços internos dificulta ataques direcionados.

4. Limitação de acesso e ACLs

• Permita tráfego apenas de IPs/trunks autorizados.
• Negue todo tráfego de entrada na porta 5060 se não for necessário.
• Use firewall com inspeção profunda de pacotes (DPI) para detectar tráfego malicioso.

5. Alteração da porta SIP padrão

Mudar a porta SIP de 5060 para outra (ex: 50600) reduz sondagens automatizadas.

6. Segurança nos dispositivos finais

• Rejeitar chamadas anônimas ou sem identificação.
• Aceitar SIP apenas de servidores autorizados.
• Configurar portas SIP e RTP não padrão.
• Desativar SIP ALG no roteador.
• Manter firmware atualizado e senhas fortes.

7. Monitoramento e auditoria

• Registrar logs SIP completos (INVITE, REGISTER).
• Usar IDS/IPS com assinatura SIPvicious.
• Alertas automáticos para excesso de tentativas.
• Testes internos regulares de segurança.

8. Segmentação de rede

• Separar VoIP da rede de dados dos usuários via VLAN.
• Expor tráfego externo apenas em DMZ controlada.

🔹 Exemplos de configuração em equipamentos populares

• Fabricante	Nome da Função
  Grandstream	Accept Incoming SIP from Proxy Only
  Grandstream	Check SIP User ID for Incoming INVITE
  Grandstream	Allow Incoming SIP Messages from SIP Proxy Only
  Cisco / Linksys SPA Series	Restrict Source IP
  Cisco / SPA Series	Make Call Without Reg = No
  Yealink	Accept SIP Trust Server Only
  Yealink	Only Accept SIP Requests From Trusted Servers
  Fanvil	Accept SIP Trust Server Only
  Mitel (Aastra)	Accept Requests From Registrar Only
  AudioCodes	Proxy Set Authentication
  AudioCodes	Source IP Verification
  MikroTik	Firewall SIP Filter
  Huawei (ATAs/ONTs)	SIP Server Restriction
  Dinstar	Accept SIP Message from Proxy Only
  OpenVox	Trusted IP List
  TP-Link (alguns modelos)	ACL / SIP Access Control
  Mediatrix	Restrict SIP Source

🔹 Conclusão

Proteger sistemas SIP contra sondagens como o SIPvicious exige múltiplas camadas de defesa: configuração segura de dispositivos, filtros e ACLs no firewall, monitoramento contínuo e uso de proxies ou SBCs. Chamadas fantasma não devem ser ignoradas, pois são um sinal de alerta de ataques em potencial.