Seguridad VoIP

Seguridad para servidores SIP y VICIdial

Un servidor VICIdial expuesto sin controles puede recibir ataques SIP, intentos de fraude telefónico y abuso de recursos. La seguridad no es opcional: es parte del servicio administrado.

Solicitar revisión Calcular plan

Riesgo principal: fraude telefónico

En VoIP, una mala configuración puede convertirse en llamadas no autorizadas, consumo inesperado o bloqueo de rutas. Por eso la seguridad debe revisarse antes de entregar un servidor a producción.

Controles mínimos

  • Firewall con puertos públicos estrictamente necesarios.
  • SSH protegido y acceso limitado.
  • Fail2Ban activo para SSH, Asterisk y patrones abusivos.
  • Contraseñas SIP fuertes y únicas.
  • Asterisk con allowguest=no y rechazo de autenticación controlado.
  • MySQL, AMI, FastAGI y paneles internos fuera de exposición pública.
  • Backups definidos y credenciales separadas por cliente.

Checklist de endurecimiento inicial

  1. Aplicar actualizaciones del sistema y revisar componentes expuestos.
  2. Restringir panel, SSH y SIP por IP o VPN cuando la operación lo permita.
  3. Eliminar cuentas y credenciales predeterminadas; separar accesos por función.
  4. Limitar rutas, destinos, concurrencia y gasto con el proveedor de voz.
  5. Activar alertas y revisar CDR, autenticaciones y consumo fuera de horario.
  6. Probar respaldos y documentar cómo recuperar configuración, base y grabaciones.

Puertos y exposición

Un servidor de producción debe exponer solo lo necesario para web, SSH controlado, SIP/RTP cuando aplique y servicios explícitamente autorizados. Puertos administrativos o bases de datos no deben quedar abiertos a Internet.

Contraseñas y extensiones

Phones SIP y usuarios deben tener credenciales únicas. Extensiones obvias, claves repetidas o contraseñas simples aumentan el riesgo de abuso.

TLS, SRTP y acceso web

HTTPS protege el panel web. SIP sobre TLS y audio SRTP pueden añadir cifrado cuando endpoints, carrier y diseño lo soportan, pero no sustituyen firewall, autenticación fuerte ni restricciones de ruta. La compatibilidad debe probarse extremo a extremo antes de producción.

Rutas y límites

Las rutas SIP deben alinearse con el uso real del cliente. No todos los destinos deben estar abiertos por defecto. En operaciones nuevas conviene usar límites, saldo prepago y monitoreo de consumo.

Señales de posible compromiso

  • Llamadas o destinos que nadie reconoce.
  • Consumo súbito fuera de horario.
  • Intentos repetidos de registro o acceso.
  • Cambios no autorizados en rutas, usuarios o caller ID.
  • Latencia o carga anormal asociada con escaneos.

Ante una sospecha, primero se limita el tráfico y se preservan registros; después se rotan credenciales y se investiga el alcance. Borrar evidencia antes de revisar dificulta determinar qué ocurrió.

Seguridad operativa

La seguridad técnica también depende de procesos: no publicar credenciales en grupos grandes, no reutilizar claves, revocar accesos cuando cambie el personal y documentar excepciones.

Servicio administrado

ViciDial México entrega servidores con una postura de seguridad base. Los entornos de mayor volumen, integraciones o exposición especial pueden requerir hardening adicional, monitoreo dedicado o arquitectura personalizada.