Как бороться с "Sending fake auth rejection for device"?

ух. chan_sip.c это исходник канала SIP астериска. оно тебе не надо

можно сделать так

asterisk -rx "sip show channel"

там будет куча адресов.

но правильно сделать детект через iptables

iptables -A INPUT -p udp --dport 5060 -m recent --update --seconds 2 --hitcount 60 --name SIP \
-j LOG --log-prefix "SIP flood detected: "

а еще правильнее нанять специалиста. может у вас еще дырки есть.

Вобщем для всех остальных кто найдет этот топик для решения проблемы таких сообщений:

chan_sip.c: Sending fake auth rejection for device 5550000<sip:5550000@192.168.x.x>;tag=71b060d8

Приведенное здесь решение с помощью iptables будет работать только при условии

--seconds 2 --hitcount 60

не менее 60 пакетов в 2 секунды. Или, если не править начальные настройки Linux (hitcount = 20), то можно выставить не менее 20 пакетов в 1 секунду. То есть, если с одного адреса на порт назначения прийдет более 20 пакетов в секунду, то правило сработает.

Обратите внимания, что правлио заносит сообщения в лог. Для отброса пакетов надо добавить второе правило.

iptables -A INPUT -p udp --dport 5060 -m recent --update --seconds 1 --hitcount 20 --name SIP
    -j LOG --log-prefix "SIP flood detected: "
iptables -A INPUT -p udp --dport 5060 -m recent --update --seconds 1 --hitcount 20 --name SIP
-j DROP

Или разбираться с фильтрами fail2ban.

Вообще, сканят voip несколькими утилитами, и при сканировании утилиты вставляют свой юзер агент. Тоесть, достаточно заставить iptables дропать пакеты с нужными юзер агентами:

iptables -I INPUT -p udp --dport 5060 -m string --string "friendly-scanner" --algo bm -j DROP

список остальных агентов: sip-scan, sundayddr, iWar, sipsak, sipvicious. У меня, после добавления этих правил, fail2ban просто перестал срабатывать, все отбивается даже не доходя до него.

При попытке взлома могут появляться вот такие сообщения в full:

chan_sip.c: Sending fake auth rejection for device 5550000<sip:5550000@[external_ip]>;tag=71b060d8".

Сейчас не видно с какого IP адреса идет атака, необходимо пересобрать астериск со следующими параметрами: Открываем исходники астериска файл /../asterisk-1.8.17.0/channels/chan_sip.c ищем строки:

ast_log(LOG_NOTICE, "Sending fake auth rejection for device %s\n", get_header(req, "From"));

В окне поиска вводим: Sending fake auth rejection for device

Меняем строку:

ast_log(LOG_NOTICE, "Sending fake auth rejection for device %s\n", get_header(req, "From"));

на:

ast_log(LOG_NOTICE, "Sending fake auth rejection for device %s [IP: %s]\n", get_header(req, "From"), ast_sockaddr_stringify(addr));

после этого должен отображаться Ip адрес атакующего. В версии 1.8.17.0 пришлось заменить 4 строки.

исходник для 1.8.17.0

В Asterisk 11 появилось более детальное логирование подключений в logger.conf добавьте строку security_log => security
Так же нужно переписать правила поиска регулярок в fail2ban.
ну и конечно добавить строки блокировки сканера в Iptables, как подcказал Meral