市場驅動下的安全焦慮
VoIP 市場高速增長（預估 2009 年亞太區達 100 億美元），龐大商業價值吸引駭客轉向經濟動機攻擊：話費盜刷、語音垃圾郵件 (SPIT)、商業機密竊聽、語音網頁釣魚 (Vishing)。雖目前大規模攻擊案例較少，但隨著標準化（SIP/RTP）、開放互聯、IPv6 普及，攻擊面將急劇擴大。
VoIP 核心協議與攻擊面
| 協議/元件 | 功能 | 主要威脅 |
|---|
| SIP (Session Initiation Protocol) | 訊號控制：邀請、註冊、狀態 | 註冊劫持、邀請洪水、訊息偽造、身分冒充 |
| RTP/RTCP (Real-time Transport Protocol) | 媒體傳輸：語音/視訊封包 | 竊聽、竄改、注入雜訊、拒絕服務 |
| H.323 / MGCP | 早期/閘道控制協議 | 類似 SIP 威脅，複雜度高、防火牆難處理 |
| 媒體閘道 / SBC (Session Border Controller) | 邊界轉換、NAT 穿透、安全邊界 | 成為單一失效點、配置錯誤導致繞過檢測 |
| IP-PBX / Softswitch | 核心交換控制 | 管理介面暴露、預設帳密、未修補漏洞 |
典型攻擊場景
1. 話費盜刷 (Toll Fraud)
- 暴力破解 SIP 分機註冊密碼（弱密碼、預設密碼）。
- 竊取合法使用者憑證（釣魚、鍵盤記錄、中間人）。
- 利用被攻陷分機發撥國際長途/付費號碼，企業承擔費用。
2. 語音垃圾郵件 (SPIT)
- 自動撥號機器人大量發送預錄語音廣告/詐騙。
- 偽造 Caller ID，繞過黑名單，難以追蹤來源。
- 消耗頻寬、佔用分機、干擾業務。
3. 竊聽與資料外洩
- ARP 欺騙/交換器鏡像埠攔截 RTP 流 → 還原語音檔。
- 未加密 SIP/RTP（預設明文）在公共 Wi-Fi/網咖極易遭攔截。
4. 拒絕服務 (DoS/DDoS)
- SIP INVITE/REGISTER 洪水攻擊癱瘓 IP-PBX/SBC。
- RTP 洪水佔滿頻寬/媒體伺服器資源。
- 放大攻擊：利用開放解析器/回應放大。
5. Vishing (語音釣魚)
- 來電顯示偽裝銀行/政府機關，誘導受害者語音輸入帳密/OTP。
- 結合語音合成 (TTS) 自動化大規模撥打。
防火牆/SBC 在 VoIP 安全的角色轉變
傳統防火牆困境
- SIP 訊號攜帶 IP/埠於訊息本體 (SDP)，非標準 Header，傳統 L3/L4 防火牆無法解析動態開啟 RTP 埠口。
- 若全開 UDP 高埠範圍 (10000-20000)，等同移除防火牆防護。
新一代 VoIP 感知防火牆/SBC 關鍵能力
- 深度封包檢測 (DPI) 解析 SIP/SDP： 動態建立「針孔」允許對應 RTP 流通過，通話結束自動關閉。
- 狀態檢測與協議異常檢測： 檢查 SIP 方法、Header 完整性、SDP 參數合法性，阻斷畸形封包。
- 內建 IPS 特徵庫： 防禦已知 SIP/RTP 漏洞利用、緩衝區溢位、模糊測試攻擊。
- 加密支援： TLS 加密 SIP 訊號、SRTP 加密媒體流，防火牆需具備 SSL 檢測能力（憑證釘選/代理）。
- 速率限制與行為基線： 每秒註冊/邀請上限、每來源 IP 並發通話數、異常呼叫模式告警。
- 拓撲隱藏： NAT/拓撲隱藏內部 IP-PBX 真實位址，對外僅呈現 SBC 介面。
纵深防御架構建議
graph TD
A[邊界：SBC/VoIP感知防火牆] --> B[DMZ：媒體閘道、錄音、會議伺服器]
B --> C[核心：IP-PBX、統一通訊平台]
C --> D[存取層：IP Phone、Softphone、行動用戶端]
A -.-> E[威脅情報餵送]
A -.-> F[SIEM/SOAR]
C -.-> G[加密：TLS/SRTP、憑證管理]
D -.-> H[端點強化：802.1X、VPN、MDM]
關鍵控制點
| 層級 | 控制措施 |
|---|
| 網路層 | VLAN 隔離語音/資料流量、QoS 保障、DHCP Snooping/DAI 防 ARP 欺騙、802.1X 埠認證 |
| 邊界層 | SBC 強制註冊驗證、拓撲隱藏、媒體加密終止、速率限制、IPS、地理封鎖 |
| 應用層 | IP-PBX 強制複雜密碼、鎖定策略、最小權限管理帳號、定期修補、稽核日誌 |
| 端點層 | 韌體簽名驗證、自動更新、停用不必要服務 (Telnet/HTTP)、配置檔加密下發 |
| 管理層 | 專用管理網段、跳板機/堡壘機、MFA、操作稽核、變更管理流程 |
新興趨勢與挑戰
- WebRTC 瀏覽器即電話： 繞過傳統 VoIP 基礎設施，直接在瀏覽器建立媒體連線，需 WAF、CSP、瀏覽器安全策略防禦。
- 統一通訊即服務 (UCaaS) / CPaaS： 責任共担模型，需審視供應商安全認證 (SOC2, ISO27001) 並配置租戶隔離、資料主權。
- AI 驅動攻擊： 語音深偽 (Deepfake) 社交工程、自動化漏洞挖掘、智能化 SPIT 內容生成。
- 5K/6K 解析度視訊會議： 頻寬暴增，QoS 與加密效能壓力倍增，SBC 需硬體加速。
結語
VoIP 安全非單一產品可解，需「網路分段、邊界 SBC、應用加密、端點強化、持續監控、事件響應」六位一體。企業不應僥倖於「尚未出事」，而應在部署初期即導入安全設計，將風險控制在可接受範圍內。