م تصميم بروتوكول SS7، وهو عائلة بروتوكولات الإشارة التي تعمل بين شبكات الهاتف المحمول لأغراض التوجيه والتجوال والمصادقة وإرسال رسائل SMS، في حقبةٍ كان فيها عدد شبكات المشغّلين القادرة على إرسال رسائل الإشارة فيما بينها بضع مئات فقط، وكانت جميعها موثوقة. لكن هذا الافتراض لم يعد قائماً. فقد اتسع نطاق الوصول إلى الربط البيني بشكلٍ كبير، ويجري جزء كبير منه عبر الموزعين والمجمعين، وأصبح جزءٌ كبير من حركة SS7 على شبكة الإشارة العالمية ضاراً: تتبع المواقع، واعتراض رسائل SMS، وبدء المكالمات الاحتيالية، وجمع رموز التحقق لمرة واحدة، واستطلاع تبديل شرائح SIM. يُعد جدار حماية SS7 بمثابة خط الدفاع الذي يستخدمه مشغّلو شبكات الهاتف المحمول عند حدود الإشارة. هذا الجزء هو ما يحتاج المشغّلون إلى معرفته حول نطاق الهجوم الذي يغطيه، والمعايير التي يتوافق معها، والبنية التي يجب نشره فيها، وعملية الضبط التي تجعله فعالاً في بيئة الإنتاج.
سطح هجوم SS7 في ثلاث طبقات
تصنف GSMA هجمات SS7 إلى ثلاث فئات واسعة تتوافق بشكل واضح مع الضوابط الدفاعية - FS.07 و FS.11 تحددها وفئات التصفية الموصى بها.
الفئة 1 - الرسائل التي لا ينبغي أن تأتي أبداً من خارج الشبكة المنزلية
أمثلة: anyTimeInterrogation (استعلامات حالة المشترك الداخلية للمشغّل)، وprovideSubscriberInformation، وsendRoutingInformation (النسخة غير المقيدة المستخدمة لتوجيه المكالمات داخل الشبكة المنزلية). لا تُستخدم هذه الرسائل استخدامًا مشروعًا من شبكة خارجية؛ فرسالة الفئة 1 الواردة من الربط البيني تُعتبر دائمًا إما هجومًا أو خطأً في التكوين. قاعدة التصفية واضحة: إسقاط، تسجيل، تنبيه. خطر الإنذارات الكاذبة ضئيل لأن التجوال وإعداد المكالمات المشروعين لا يتطلبانها.
الفئة 2 - الرسائل التي يجب أن تأتي فقط من الشبكة التي يستخدمها المشترك حاليًا
أمثلة: طلب "توفير معلومات المشترك" عند إصداره من الشبكة التي تمت زيارتها أثناء التجوال النشط، وطلب "إرسال معلومات التوجيه للرسائل القصيرة" (SRI-SM) الذي تستخدمه مراكز خدمة الرسائل القصيرة الخارجية لتوجيه الرسائل إلى المشتركين المحليين، وطلب "تحديث الموقع" لشبكة LTE (Diameter S6a). هذه الطلبات مشروعة من الشبكة الصحيحة في الوقت المناسب، ولكن لا يمكن تمييزها عن الهجمات إذا لم تكن الشبكة المصدر هي موقع المشترك الفعلي. تتطلب قاعدة التصفية التحقق المتبادل: هل يتجول هذا المشترك حاليًا على الشبكة التي ترسل الرسالة؟ إذا لم يكن كذلك، فالرسالة مشبوهة. يحتاج المرشح إلى الوصول إلى حالة سجل موقع المشترك/خدمة المشترك المحلية للإجابة.
الفئة 3 - رسائل قد تكون مشروعة ولكنها تُساء استخدامها بشكل شائع
أمثلة: رسائل SRI-SM بكميات كبيرة من مصدر واحد (استطلاع تعداد المشتركين)، ورسائل MT-ForwardSM ذات عناوين منشأ غير موجودة على شبكة المصدر المزعومة (انتحال معرّف المُرسِل)، وأنماط تحديث الموقع التي تشير إلى احتيال استبدال شريحة SIM. لا يمكن حظر هذه الرسائل على أساس كل رسالة على حدة دون تصنيف حركة الرسائل المشروعة بشكل خاطئ؛ فهي تتطلب كشفًا قائمًا على السرعة والأنماط والبروتوكولات المتعددة. وهنا يبرز دور التعلم الآلي السلوكي.
ما الذي يفحصه جدار حماية SS7 فعليًا
على جانب بروتوكول SS7، يقع جدار الحماية في مسار رسائل الإشارة، وعادةً ما يكون عقدة متصلة ببروتوكول Diameter/SCTP على العمود الفقري لشبكة SS7 الخاصة بالمشغّل، وهو قادر على فحص كل من بروتوكول SS7 التقليدي (MAP، CAMEL) وبروتوكول Diameter (S6a، S9، S6b). يشمل الفحص ما يلي:
- تصفية فئات الرسائل وفقًا لتصنيف FS.07 / FS.11.
- التحقق من صحة شبكة المصدر - هل ينتمي عنوان الطرف المتصل ببروتوكول SCCP (أو مضيف الأصل في بروتوكول Diameter) إلى شبكة ذات علاقة تجوال أو ربط شرعية؟
- الارتباط بين الرسائل - هل تتبع رسالة MAP MT-ForwardSM رسالة SRI-SM شرعية لنفس المشترك، أم أنها وصلت بدون عنوان؟
- حدود السرعة لكل مصدر ولكل فئة - إن SRI-SM المتفجر من مصدر واحد هو استطلاع.
- الاتساق عبر البروتوكولات - هل تتطابق مطالبة الشبكة التي تمت زيارتها في رسالة MAP مع ما يعرفه HSS من أحدث تحديث لموقع Diameter S6a؟
- التحقق من حالة المشترك - بالنسبة للرسائل التي تعتمد على كون المشترك متجولاً، هل المشترك متجول بالفعل؟
إن جدار حماية SS7 الذي يقوم فقط بالعنصر الأول في هذه القائمة هو مرشح من الفئة 1؛ أما تلك التي تبدأ من العنصر الثالث فصاعدًا فهي التي تحمي من هجمات الفئة 3 الأكثر أهمية.
بنية النشر
على غرار جدار حماية SMS، يمكن نشر جدار حماية SS7 بشكل مضمن (حيث تمر جميع رسائل الإشارة عبر جدار الحماية قبل وصولها إلى مركز المشغّل)، أو في وضع النسخ المتطابق (حيث تُرسل نسخة من الإشارات إلى جدار الحماية للمراقبة دون تطبيق إجراءات صارمة)، أو بشكل هجين (النسخ المتطابق افتراضيًا مع تطبيق انتقائي مضمن على فئات رسائل محددة أو أجهزة نظراء محددة). وتنطبق نفس المفاضلات، مع اعتبار إضافي: ميزانيات زمن استجابة SS7 محدودة للغاية - إذ أن العديد من عمليات تبادل الإشارات لديها اتفاقيات مستوى خدمة (SLA) تمتد لعدة ثوانٍ تُقاس على مستوى تجربة المستخدم - ويجب أن يكون النشر المضمن قادرًا على الفحص بالسرعة الكاملة للشبكة دون إضافة زمن استجابة ملحوظ. ويُعد تخطيط السعة أكثر تطلبًا من جدران حماية SMS نظرًا لارتفاع معدل رسائل الإشارة على الشبكات الكبيرة.
مواءمة المعايير - FS.07 وFS.11 والحوار مع الجهة التنظيمية
يُغطي معيار GSMA FS.07 حماية إشارات SS7 بشكل عام، بينما يُغطي معيار FS.11 توصيات تصفية الرسائل النصية القصيرة (SMS). ويُشار إلى كلا المعيارين صراحةً من قِبل الهيئات التنظيمية الوطنية في دول مجلس التعاون الخليجي وأوروبا، وبشكل متزايد في أفريقيا وآسيا، باعتبارهما الأساس الذي تُقيّم على أساسه ضوابط المشغّلين. يُحقق تطبيق جدار حماية SS7 الذي يُطابق فئات التصفية الخاصة به مع معياري FS.07 وFS.11 ثلاث فوائد في آن واحد: تسهيل عملية التدقيق الداخلي للمشغّل (حيث تُطابق الضوابط تصنيفًا معترفًا به)، وتسهيل عملية تدقيق الهيئة التنظيمية (حيث يُمكن للهيئة التحقق من التوافق مع المعيار)، وتسهيل عملية مراجعة النظراء في مجموعة GSMA لمكافحة الاحتيال والأمن (حيث يُمكن للمشغّل عرض الضوابط باستخدام المصطلحات التي يستخدمها فريق مراجعة النظراء). لذا، يُنصح بتحديد التوافق مع معياري FS.07 وFS.11 في أي عملية شراء، ورفض الموردين الذين يُجيبون بتصنيفات خاصة بهم.
النتائج الإيجابية الخاطئة وعملية الضبط
كل جدار حماية SS7 يقوم بحظر عدد كبير من الطلبات عند النشر الأولي. السؤال ليس ما إذا كان من المتوقع حدوث إنذارات خاطئة، بل كيف يمكن للمشغّل تقليلها خلال التسعين يومًا الأولى.
تسلسل الضبط القياسي: النشر في وضع النسخ المتطابق لمدة أسبوعين مع تحديد خط الأساس لحركة البيانات المشروعة، بما في ذلك العدد الكبير من اتفاقيات التجوال غير المعتادة ولكن المشروعة مع الشبكات الأجنبية الصغيرة. الانتقال إلى تطبيق الضبط الانتقائي المباشر على رسائل الفئة 1 أولاً (مخاطر الإنذارات الكاذبة منخفضة بحكم التعريف)، ثم التوسع إلى الفئة 2 مع تمكين التحقق المتبادل، ثم إلى الفئة 3 مع ضبط العتبات السلوكية وفقًا لخط الأساس. طوال هذه العملية، يتم الحفاظ على سير عمل للمحللين للرسائل المُعلَّمة، مع إمكانية إضافة شبكات مصدر محددة إلى القائمة البيضاء لفئات رسائل محددة حيثما تبرر العلاقات التجارية الحقيقية ذلك. النتيجة النهائية هي جدار حماية يحظر حركة البيانات الضارة بمعدل إنذارات كاذبة أقل من 1% على التجوال المشروع.
الهجمات التي يكتشفها المشغّلون في أغلب الأحيان بعد التنفيذ
تظهر ثلاث فئات من الأنشطة غير المصرح بها في الشهر الأول من أي جدار حماية SS7 يتم نشره لأول مرة، بغض النظر عن الموقع الجغرافي.
- استفسارات موقع المشترك من الشبكات الأجنبية التي ليس لديها سبب تجاري لطلبها - وهي نسبة قليلة من حركة الرسائل النموذجية للربط البيني، وغالبًا ما تأتي من الشبكات التي لم يكن لديها اتفاقية تجوال مع المشغّل.
- حقن MT-ForwardSM بتجاوز مركز خدمة الرسائل القصيرة الخاص بالمشغّل - وهو المسار الرمادي لطبقة SS7 المكافئ للمسار الرمادي لطبقة الرسائل القصيرة، وغالبًا ما تكون نفس حركة الرسائل التي يلتقطها جدار حماية SMS من زاوية مختلفة.
- الاستطلاع القائم على مطابقة الأنماط لتبديل شريحة SIM - تحديث الموقع والاستعلامات ذات الصلة مقابل نطاقات المشتركين ذوي القيمة العالية (الخدمات المصرفية، والحكومة) التي ترتبط بمحاولة الاستيلاء على الحساب.
إن تقارير الشهر الأول من جدار الحماية الجديد بتقنية SS7 تُثير القلق، لأنها تُظهر حجم الثغرات الأمنية التي كانت تحدث دون أي إجراءات وقائية سابقًا. كما أنها تُعدّ أهمّ دليل يُمكن لفريق أمن الشركة تقديمه إلى اللجنة التنفيذية والجهة التنظيمية.
دعم تدقيق الجهات التنظيمية
تُدخل الهيئات التنظيمية في جميع أنحاء المنطقة تدريجيًا متطلبات تدقيق لحماية طبقة الإشارة الخاصة بالمشغّلين، وذلك أحيانًا كجزء من أطر أوسع لحماية المشتركين أو الأمن السيبراني، وأحيانًا أخرى كمتطلبات مستقلة لأمن الإشارة. يُنتج جدار حماية SS7 المُجهز جيدًا بيانات التدقيق عند الطلب: إحصائيات فئات التصفية، وسجلات الرسائل المحظورة (مع الاحتفاظ المناسب بها)، ومعدلات الإنذارات الكاذبة، وخرائط التوافق مع FS.07 / FS.11، والجداول الزمنية للاستجابة للحوادث. يُجيب المشغّل القادر على إنتاج هذه البيانات من لوحة تحكم دائمة الهيئة التنظيمية في اجتماع، بينما يقضي المشغّل الذي يُضطر إلى تجميعها عند الطلب أسابيع في القيام بذلك تحت التدقيق. لذا، يجب تضمين تقارير التدقيق في خطة النشر منذ البداية.
التفاعل مع جدار حماية SMS - إنهما متلازمان.
يُغطي جدار حماية SS7 وجدار حماية SMS (المشغّلون) أسطح هجوم متداخلة ولكنها ليست متطابقة. يكشف جدار حماية SMS عن إساءة استخدام A2P عند حدود مركز خدمة الرسائل القصيرة (SMSC) - من خلال فرض معرّف المُرسِل، وكشف إنهاء مزارع شرائح SIM، وتصفية المحتوى - ويكون أكثر فعالية على حركة البيانات التي تصل إلى مركز خدمة رسائل قصيرة مُعتمد. أما جدار حماية SS7 فيكشف عن إساءة الاستخدام في طبقة الإشارة أسفل مركز خدمة الرسائل القصيرة - مثل حقن MT-ForwardSM الذي يتجاوز مركز خدمة الرسائل القصيرة، وتتبع الموقع، وبدء المكالمات الاحتيالية، واستطلاع تبديل شرائح SIM. يتبادل النظامان بيانات القياس عن بُعد حيثما أمكن، ويُنبّهان إلى الأنماط المُترابطة (يُعدّ استعلام تبديل شريحة SIM على مستوى SS7 متبوعًا بتدفق OTP على مستوى الرسائل القصيرة إشارة أقوى من أي منهما على حدة)، ويُوفّران معًا الحماية متعددة الطبقات التي يحتاجها المشغّلون. يُؤدي نشر أحدهما دون الآخر إلى ثغرة كبيرة.
يُطبّق جدار حماية SS7 من BroadNet فئات تصفية متوافقة مع معيار FS.07، وربطًا بين البروتوكولات مع جدار حماية SMS، بالإضافة إلى تقارير جاهزة للتدقيق، وهو ما تتوقعه الجهات التنظيمية في المنطقة بشكل متزايد. تُجرى عمليات النشر في شبكات منطقة الشرق الأوسط وشمال أفريقيا وفق مبدأ النسخ المتطابق أولًا، مع مراعاة معيار FS، ويتم ضبطها وفقًا لمعايير أساسية خاصة بكل مشغّل قبل أي تطبيق مباشر.
ما هو شكل الجودة، بالأرقام؟
عادةً ما يحقق تطبيق جدار حماية SS7 ناضج على شبكة من المستوى الأول في منطقة الشرق الأوسط وشمال أفريقيا النتائج التالية: حظر أكثر من 99% من رسائل الفئة 1 عند حدود الشبكة (الفئة الأسهل)، وحظر أكثر من 90% من إساءة استخدام الفئة 2 من خلال الربط بين البروتوكولات، وحظر أكثر من 70% من إساءة استخدام الفئة 3 من خلال الكشف السلوكي، مع معدل إنذارات خاطئة أقل من 1% على حركة رسائل التجوال المشروعة. تتضاعف هذه الأرقام بمرور الوقت مع تدريب النماذج السلوكية على حركة رسائل الشبكة المحددة؛ وعادةً ما تكون أرقام السنة الثانية أفضل بكثير من أرقام السنة الأولى دون أي استثمار في تقنيات جديدة.
ماذا يعني هذا بالنسبة للسنوات الثلاث القادمة؟
لن يختفي بروتوكول SS7. توقعت الصناعة استبداله على مدى عقدين من الزمن، ولكن ما حدث فعليًا هو أنه تم تعزيز SS7 تدريجيًا ببروتوكول Diameter (لشبكات LTE) وبروتوكول HTTP/2 ببروتوكول SBI (لشبكات 5G الأساسية)، ومع ذلك، لا يزال كل مشغّل ينهي اتصال SS7 لأن جميع المشغّلين الآخرين يفعلون الشيء نفسه. لذا، يجب أن يتبنى النهج الدفاعي رؤية طويلة الأمد. استثمر في بنية جدار الحماية كما لو كانت ستعمل لعشر سنوات، لا لثلاث؛ خصص ميزانية لقدرة المحللين على صيانة القواعد ومراجعة مخرجات نماذج السلوك كجزء من التكاليف التشغيلية الثابتة، لا كتكاليف مشروع؛ ابنِ أنظمة الاحتفاظ بالبيانات وتصديرها كأنظمة جاهزة للإنتاج، لا كحلول لاحقة. الشبكات التي بدأت بتطبيق هذا النهج منذ أواخر العقد الأول من الألفية الثانية متقدمة الآن بكثير على تلك التي بدأت به الآن - لا يوجد طريق مختصر للوصول إلى نشر ناضج.
قراءات ذات صلة
- ما هو جدار حماية SMS، ولماذا يحتاجه المشغّلون
- المسارات المباشرة مقابل المسارات غير الرسمية في رسائل SMS من التطبيقات إلى الأشخاص
- كيف يؤثر التحقق عبر المكالمات الخاطفة على إيرادات مشغّلي الشبكات من التطبيقات إلى الأشخاص
- مسرد المصطلحات — جدار حماية الإشارات GSMA FS.07 / FS.11، شرح SS7 MAP، شرح Diameter S6a
- صفحات المنتج — جدار حماية SS7 للمشغّل ونظرة عامة على حلول المشغّل
- التغطية — حماية الإشارات السعودية ووضع التدقيق لدى CST