قوم جدار حماية الإشارات بفحص حركة رسائل الربط البيني بين SS7 وDiameter، ويحظر الرسائل غير المشروعة، مثل استعلامات الموقع غير المصرح بها، وإعدادات اعتراض رسائل SMS، وعمليات الاحتيال المتعلقة بالتجوال. ويطبق هذا الجدار تصفيةً قائمة على الفئات وفقًا لمعياري GSMA FS.11 (SS7) وFS.19 (Diameter). ورغم أن جدران الحماية توقف معظم الهجمات الخارجية، إلا أن الجهات الفاعلة المتطورة، بما فيها جهات تابعة لدول، لا تزال مستمرة، مما يستدعي اتباع نهج دفاعي متعدد الطبقات.
لماذا تُعدّ إشارات الربط البيني مشكلة أمنية؟
يُعدّ بروتوكولا SS7 وDiameter بروتوكولات التحكم التي تُمكّن الشبكات من توجيه المكالمات، وإرسال رسائل SMS، ودعم التجوال. صُمّم هذان البروتوكولان لمجموعة محدودة من المشغّلين الموثوق بهم، لذا فهما يفترضان إلى حد كبير نزاهة المُرسِل. في عالم يضم آلاف الشركاء في الربط البيني وإمكانية الوصول المُعاد بيعها، ينهار هذا الافتراض. إذ يُمكن للمهاجم الذي يمتلك إمكانية الوصول إلى الإشارات الاستعلام عن الشبكة والتلاعب بها كما لو كان شريك تجوال شرعي.
نموذج التهديد
- تتبع الموقع - إساءة استخدام الاستعلامات مثل anyTimeInterrogation أو ProvideSubscriberInfo لمعرفة مكان وجود المشترك، دون أي مبرر للتجوال.
- اعتراض رسائل SMS - باستخدام عمليات SS7 MAP (على سبيل المثال التلاعب بمكان توجيه الرسائل) لتحويل رسائل SMS الخاصة بالمشترك، بما في ذلك رموز التحقق لمرة واحدة، إلى نقطة يتحكم بها المهاجم.
- استطلاع المشتركين - طلبات SendRoutingInfoForSM (SRI-SM) غير المصرح بها لجمع بيانات IMSI وشبكة الخدمة لإعداد هجمات مستهدفة.
- الاحتيال في الربط البيني للتجوال - حقن MT-ForwardSM وإساءة الاستخدام ذات الصلة التي تتجاوز ضوابط الشبكة المنزلية وأي اتفاقية A2P.
- الحجب والتعطيل - إشارات مشوهة أو عالية السرعة تستخدم لتقليل جودة الخدمة للمشتركين المستهدفين.
يكمن جوهر الأمر في أن كل هذه العمليات تعتمد على بروتوكولات مشروعة. لا توجد رسالة هجومية واحدة يمكن حظرها، فالعملية نفسها قد تكون حميدة من شريك تجوال حقيقي، وخبيثة من جهة لا يوجد لديها سبب لإرسالها. هذا ما يجعل أمن الإشارات مسألة تصفية وسياق، وليست مجرد قائمة سماح/رفض بسيطة.
مجموعات القواعد: FS.11 وFS.19 والمواصفات الداعمة
لا يبتكر جدار حماية SMS الكفؤ تصنيفاته، بل يطبق الإرشادات التي حددتها جمعية GSMA. تُحدد هذه الوثائق العمليات التي يجب مراقبتها، والعمليات التي يجب حظرها من مصادرها، وكيفية تصنيف رسائل الربط البيني حسب مستوى الخطورة.
| وثيقة | نِطَاق | ما يحدده |
|---|---|---|
| GSMA FS.11 | الربط البيني SS7 | إرشادات مراقبة أمان SS7 وجدار الحماية؛ فئات الرسائل وضوابطها |
| GSMA FS.19 | وصلة قطرية | إرشادات أمنية للربط البيني لتقنية Diameter (4G/LTE) |
| GSMA IR.70 / IR.71 | رسائل SMS / الربط البيني | أفضل الممارسات في مجال الربط البيني والتكامل بين أنظمة رسائل SMS |
| 3GPP TS 23.840 | الشبكة الأساسية | المرجع التقني الذي يدعم سلوك توجيه رسائل SMS |
في بروتوكول FS.11، تُصنّف رسائل SS7 MAP إلى فئات بناءً على ما إذا كان ينبغي أن تصل من شريك ربط، وما إذا كانت صالحة فقط لشبكة المشترك المنزلية، وما إذا كانت صالحة فقط عندما يكون المشترك يتجول فعليًا على الشبكة الطالبة. يفرض جدار الحماية هذه التصنيفات، ويضيف حدودًا للسرعة لكل شريك، ويُجري عمليات تحقق متبادلة - على سبيل المثال، رفض رسالة MT-ForwardSM لمشترك تعلم الشبكة أنه لا يتجول على الشبكة التي يُزعم زيارتها.
ما الذي يمنعه جدار حماية الإشارات - وما الذي لا يمنعه
عند نشر جدار حماية الإشارات وضبطه، فإنه يحجب الغالبية العظمى من هجمات SS7 وDiameter الخارجية: استعلامات الموقع، والاستطلاع، وإعدادات الاعتراض، والاحتيال أثناء التجوال، والتي تشكل الجزء الأكبر من التهديد. وهذا يُقلل بشكل كبير من مخاطر المشتركين والإيرادات.
لا يُعدّ ذلك ضمانًا كاملاً. فالجهات الفاعلة المتطورة والممولة جيدًا - بما في ذلك عمليات الدول - لا تزال تجد ثغراتٍ باستمرار: تركيبات رسائل مبتكرة، أو استغلال حالات التجوال التي تبدو شرعية، أو الوصول المُكتسب عبر شبكة شريك موثوق به مخترقة. لهذا السبب، يُنظر إلى أمن الإشارات على أنه دفاع متعدد الطبقات، وليس مجرد جهاز واحد: جدار حماية بالإضافة إلى مراقبة بالإضافة إلى كشف الشذوذ بالإضافة إلى إدارة الشركاء، مُرتبة على شكل طبقات بحيث يتم اكتشاف أي تجاوز في طبقة ما في طبقة أخرى.
يقوم جدار الحماية SS7 firewall الخاص بـ BroadNet بتنفيذ فئات FS.11 و FS.19 مع حدود سرعة لكل شريك وعمليات التحقق المتبادل لحالة التجوال، ويقوم بتغذية أحداث الإشارة إلى تحليلات الإشارة وسجلات بيانات المكالمات بحيث تظل الحالات الشاذة التي تتجاوز قاعدة ثابتة تظهر في المراقبة.
كيفية قيام المشغّلين بنشره
يبدأ النشر النموذجي بوضع المراقبة فقط لتحديد السلوك الطبيعي للربط البيني دون انقطاع حركة البيانات، ثم ينتقل إلى وضع الحظر النشط بمجرد ضبط الفئات وعتبات السرعة بما يتناسب مع مزيج الشركاء الفعلي للمشغّل. تُعدّ مخرجات المراقبة قيّمة بحد ذاتها، إذ يكتشف العديد من المشغّلين أن شركاء الربط البيني يرسلون عمليات دون سبب مشروع. للاطلاع على المفاهيم باختصار، راجع إجاباتنا حول أمان إشارات SS7 وأمان إشارات Diameter.
الأسئلة الشائعة
ما الفرق بين نظامي الأمان SS7 و Diameter؟
يُعدّ بروتوكول SS7 بروتوكول الإشارة القديم لشبكات الجيل الثاني والثالث، بينما يُعدّ بروتوكول Diameter نظيره لشبكات الجيل الرابع/LTE. يحمل كلا البروتوكولين إشارات الربط البيني والتجوال التي يُمكن استغلالها للتتبع والاعتراض والاحتيال. يُقدّم معيار GSMA FS.11 إرشادات الأمان لبروتوكول SS7، بينما يُغطي معيار FS.19 بروتوكول Diameter، لذا يتطلب الدفاع الكامل استخدام جدار حماية على كلا البروتوكولين، وليس أحدهما فقط.
هل يمكن لجدار حماية الإشارات إيقاف جميع هجمات SS7؟
لا. يحجب جدار الحماية المُحكم غالبية هجمات SS7 وDiameter الخارجية - مثل تتبع المواقع، والاستطلاع، وعمليات الاعتراض، والاحتيال أثناء التجوال. لكن الجهات الفاعلة المتطورة، بما فيها الدول، لا تزال قادرة على إيجاد ثغرات جديدة، لذا فإن أمن الإشارات يعتمد على استراتيجية دفاعية متعددة الطبقات: جدار الحماية، والمراقبة، وكشف الشذوذ، وحوكمة الشركاء، جميعها مُدمجة معًا.
ما هما GSMA FS.11 و FS.19؟
هي إرشادات أمنية صادرة عن جمعية GSMA لإشارات الربط البيني. يغطي المعيار FS.11 مراقبة أمان الربط البيني لبروتوكول SS7 وإرشادات جدار الحماية، ويحدد فئات الرسائل وضوابطها. أما المعيار FS.19 فيغطي أمان الربط البيني لبروتوكول Diameter لشبكات الجيل الرابع/LTE. يقوم جدار حماية الإشارات بتطبيق هذه الفئات بدلاً من إعادة ابتكارها، إلى جانب المواصفات الداعمة مثل IR.70/IR.71 و3GPP TS 23.840.
كيف تسمح إشارات SS7 للمهاجمين باعتراض رسائل SMS؟
من خلال استغلال عمليات MAP المشروعة للتأثير على مسار رسائل المشترك، يستطيع المهاجم الذي يتمتع بصلاحيات الوصول إلى الإشارات تحويل رسائل SMS الواردة - بما في ذلك رموز التحقق لمرة واحدة - إلى وجهة يتحكم بها. يحمي جدار الحماية من ذلك عبر التصفية القائمة على الفئات والتحقق المتبادل من حالة التجوال، ما يؤدي إلى رفض العمليات الواردة من الشركاء دون سبب وجيه لإرسالها.