Alles Wissenswerte, nichts Unwissendes.
Wie die Signalsicherheit von SS7 und Diameter funktioniert
Eine Signalisierungs-Firewall ist in die Verbindungsleitung integriert und prüft jede eingehende SS7-MAP- und 4G-Diameter-Operation, bevor sie HLR, HSS oder MSC erreicht. Jede Nachricht wird anhand der GSMA-Kategorieregeln, der globalen Reputation des Absenders und ihrer Plausibilität (ist dieses Roaming-Update geografisch sinnvoll?) geprüft und anschließend weitergeleitet, gedrosselt oder verworfen. Jede Entscheidung wird zu Prüfungszwecken protokolliert. Siehe /answers/what-is-ss7 und /answers/ss7-map-explained.
Die Bedrohungen, die es abwehrt
SendRoutingInfoForSM-Abfragen, die die IMSI und den zuständigen MSC eines Teilnehmers zur Standortverfolgung offenlegen; ProvideSubscriberInfo- und AnyTimeInterrogation-Standortabfragen; SMS-Abfangen mittels manipulierter MT-ForwardSM-Befehle; und entsprechende Diameter-Funktionen im 4G-Netz. Siehe /answers/ss7-map-send-routing-info-for-sm, /answers/ss7-map-provide-subscriber-info und /answers/diameter-s6a-explained.
Die GSMA-Standards: IR.82, IR.88, FS.07 und FS.11
GSMA IR.82 legt die Richtlinien für die SS7-Sicherheitsimplementierung und die Nachrichtenklassifizierung in Kategorie 1/2/3 fest; IR.88 regelt LTE/EPC Diameter-Roaming; FS.07 definiert die SS7-Überwachung und FS.11 die Sicherheitskontrollen für SS7-Verbindungen. Zusammen legen sie fest, welche netzübergreifenden Operationen von Peers blockiert, begrenzt oder zugelassen werden sollen. Siehe /answers/gsma-fs07-fs11-signaling-firewall.
Vorteile für den Betreiber
Schutz der Teilnehmer vor Tracking und Abhören, Einhaltung gesetzlicher Bestimmungen und GSMA-Vorgaben, manipulationssicherer Signalisierungs-Prüfpfad sowie die Möglichkeit, Signalisierung mit A2P-Verkehr zu korrelieren, um Betrug auf beiden Ebenen aufzudecken. BroadNet kombiniert die Signalisierungs-Firewall mit SMS-Firewall und CDR-Intelligenz für eine einheitliche Richtlinienansicht. Siehe /operators/ss7-firewall und /platforms/signaling-cdr.
Einschränkungen und betriebliche Gegebenheiten
Eine Signalisierungs-Firewall ist nur so gut wie ihre Kategorieregeln und Reputationsfeeds – zu strenge Blockierung beeinträchtigt legitimes Roaming, zu geringe Einstellungen ermöglichen Angriffe. Sie muss sowohl SS7 als auch Diameter abdecken, da Netzwerke hybride 2G/3G/4G-Kernnetze nutzen. Außerdem kann sie nicht in verschlüsselte 5G-Dienstsignalisierung hineinsehen, die eigene SEPP-Kontrollen benötigt. Siehe /answers/what-is-sigtran.
SS7-Firewall vs. SMS-Firewall – worin besteht der Unterschied?
Eine SS7-Firewall (Signalisierungs-Firewall) überwacht die Netzwerksteuerungsebene – MAP- und Diameter-Operationen – um Standortverfolgung und Abfangen zu verhindern. Eine SMS-Firewall (A2P-Firewall) überwacht die Anwendungsschicht – Nachrichteninhalt, Absenderkennungen und SMPP-Zustellung – um Smishing und Grey Routes zu unterbinden. Sie schützen unterschiedliche Schichten und entfalten ihre volle Wirkung im Zusammenspiel. BroadNet bietet beide an. Siehe /operators/sms-firewall und /operators/ss7-firewall.