Was ist eine SS7-Firewall und wie schützt sie mobile Netzwerke?

SS7 – die Protokollfamilie für die Signalisierung zwischen Mobilfunknetzen für Routing, Roaming, Authentifizierung und SMS – wurde in einer Zeit entwickelt, als nur wenige hundert Betreibernetze Signalisierungsnachrichten austauschen konnten, denen alle vertraut wurde. Diese Vertrauensbasis gilt heute nicht mehr. Der Interconnect-Zugriff hat sich drastisch ausgeweitet, größtenteils über Reseller und Aggregatoren, und ein erheblicher Teil des SS7-Verkehrs im globalen Signalisierungsnetzwerk ist mittlerweile schädlich: Standortverfolgung, SMS-Abfangen, betrügerische Anrufe, OTP-Abfangen und SIM-Swap-Aufklärung. Eine SS7-Firewall dient Mobilfunkbetreibern als Schutzmechanismus an der Signalisierungsgrenze. Dieser Artikel erklärt Betreibern die wichtigsten Informationen zu ihrer Angriffsfläche, den unterstützten Standards, der Implementierungstopologie und dem Optimierungsprozess für den produktiven Einsatz.

Die SS7-Angriffsfläche in drei Schichten

GSMA kategorisiert SS7-Angriffe in drei große Kategorien, die sich klar den defensiven Kontrollen zuordnen lassen – FS.07 und FS.11 definieren sie und die empfohlenen Filterkategorien.

Kategorie 1 – Nachrichten, die niemals von außerhalb des Heimnetzwerks stammen sollten

Beispiele: anyTimeInterrogation (betreiberinterne Abfragen des Teilnehmerstatus), provideSubscriberInformation, sendRoutingInformation (die uneingeschränkte Variante für die Anrufweiterleitung im Heimnetz). Diese Nachrichten haben aus einem fremden Netz keine legitime Verwendung; eine eingehende Nachricht der Kategorie 1 von einer Verbindung deutet immer entweder auf einen Angriff oder eine Fehlkonfiguration hin. Die Filterregel ist einfach: verwerfen, protokollieren, Alarm auslösen. Das Risiko von Fehlalarmen ist minimal, da legitimes Roaming und der Verbindungsaufbau diese Nachrichten nicht benötigen.

Kategorie 2 – Nachrichten, die nur vom aktuellen Versorgungsnetz des Abonnenten stammen sollten

Beispiele: `provideSubscriberInformation`, das vom besuchten Netzwerk während des aktiven Roamings gesendet wird, `sendRoutingInfoForSM` (SRI-SM), das von ausländischen SMSCs zur Weiterleitung von Nachrichten an Heimteilnehmer verwendet wird, und `update-location` für LTE (Diameter S6a). Diese Nachrichten sind legitim, da sie vom richtigen Netzwerk zum richtigen Zeitpunkt gesendet werden. Sie sind jedoch nicht von Angriffen zu unterscheiden, wenn sich das Quellnetzwerk nicht am tatsächlichen Standort des Teilnehmers befindet. Die Filterregel erfordert eine Überprüfung: Befindet sich dieser Teilnehmer aktuell im Roaming-Netzwerk, das die Nachricht sendet? Falls nicht, ist die Nachricht verdächtig. Der Filter benötigt Zugriff auf den HLR/HSS-Status des Heimatnetzwerks, um diese Frage zu beantworten.

Kategorie 3 – Nachrichten, die zwar legitim sein können, aber häufig missbraucht werden

Beispiele: SRI-SM in hohem Volumen von einer einzelnen Quelle (Abonnentenaufklärung), MT-ForwardSM mit Ursprungsadressen, die im angegebenen Quellnetzwerk nicht existieren (Absender-Spoofing), updateLocation-Muster, die auf SIM-Swap-Betrug hindeuten. Diese können nicht pro Nachricht blockiert werden, ohne legitimen Datenverkehr fälschlicherweise als verdächtig einzustufen; sie erfordern eine geschwindigkeits-, muster- und protokollübergreifende Erkennung. Verhaltensbasiertes maschinelles Lernen erweist sich in diesem Bereich als äußerst nützlich.

Was eine SS7-Firewall tatsächlich prüft

Auf der SS7-Seite befindet sich die Firewall im Signalweg – typischerweise als Diameter-/SCTP-angeschlossener Knoten im SS7-Backbone des Betreibers, der sowohl klassisches SS7 (MAP, CAMEL) als auch Diameter (S6a, S9, S6b) prüfen kann. Die Prüfung umfasst:

• Nachrichtenkategorienfilterung anhand der FS.07 / FS.11 Taxonomie.
• Quellnetzwerkvalidierung – gehört die SCCP-Anruferadresse (oder der Diameter-Ursprungshost) zu einem Netzwerk mit einer legitimen Roaming- oder Interconnect-Beziehung?
• Cross-Message-Korrelation – Folgt die MAP MT-ForwardSM einer legitimen SRI-SM für denselben Teilnehmer, oder kam sie unerwartet an?
• Geschwindigkeitsgrenzen pro Ursprung und pro Kategorie – impulsartige SRI-SM von einer einzelnen Quelle ist Aufklärung.
• Protokollübergreifende Konsistenz – stimmt die im MAP-Message enthaltene Angabe zum besuchten Netzwerk mit dem überein, was das HSS aus dem letzten Diameter S6a-Update-Standort kennt?
• Statusprüfung des Abonnenten – ist bei Nachrichten, die davon abhängen, ob sich der Abonnent im Roaming-Modus befindet, der Abonnent tatsächlich im Roaming-Modus?

Eine SS7-Firewall, die nur den ersten Punkt auf dieser Liste erfüllt, ist ein Filter der Kategorie 1; die Filter ab Punkt drei schützen vor den Angriffen der Kategorie 3, die am wichtigsten sind.

Bereitstellungstopologie

Ähnlich wie die SMS-Firewall kann auch eine SS7-Firewall in verschiedenen Betriebsarten eingesetzt werden: im Inline-Modus (jede Signalisierungsnachricht durchläuft die Firewall, bevor sie das Kernnetz des Betreibers erreicht), im Spiegelmodus (eine Kopie der Signalisierungsnachrichten wird zur Beobachtung an die Firewall gesendet, ohne dass die Regeln durchgesetzt werden) oder im Hybridmodus (standardmäßig Spiegelmodus mit selektiver Inline-Durchsetzung bestimmter Nachrichtenkategorien oder Peers). Es gelten dieselben Abwägungen, jedoch mit einer zusätzlichen Herausforderung: Die Latenzgrenzen für SS7 sind knapp bemessen – viele Signalisierungsknoten haben SLAs im Sekundenbereich, die auf Benutzerebene gemessen werden – und der Inline-Betrieb muss die Überprüfung mit Leitungsgeschwindigkeit ermöglichen, ohne die Latenz nennenswert zu erhöhen. Die Kapazitätsplanung ist anspruchsvoller als bei SMS-Firewalls, da die Signalisierungsnachrichtenrate in großen Netzwerken hoch ist.

Angleichung der Standards – FS.07, FS.11 und das Gespräch mit der Regulierungsbehörde

GSMA FS.07 deckt den Schutz der SS7-Signalisierung umfassend ab; FS.11 enthält spezifische Filterempfehlungen für SMS. Beide werden von nationalen Regulierungsbehörden im Golf-Kooperationsrat (GCC), in Europa und zunehmend auch in Afrika und Asien explizit als Grundlage für die Bewertung der Kontrollmechanismen von Betreibern herangezogen. Eine SS7-Firewall-Implementierung, die ihre Filterkategorien explizit FS.07 und FS.11 zuordnet, bietet drei Vorteile gleichzeitig: Die interne Kommunikation des Betreibers wird deutlich vereinfacht (die Kontrollmechanismen entsprechen einer anerkannten Taxonomie), die Prüfung durch die Regulierungsbehörde wird wesentlich einfacher (die Regulierungsbehörde kann die Konformität mit dem Standard überprüfen) und die Peer-Review durch die GSMA Fraud and Security Group wird wesentlich einfacher (der Betreiber kann die Kontrollmechanismen in einem von der Peer-Review verwendeten Vokabular darstellen). Geben Sie bei jeder Beschaffung die Konformität mit FS.07/FS.11 an; lehnen Sie Anbieter ab, die proprietäre Taxonomien verwenden.

Falsch-positive Ergebnisse und der Abstimmungsprozess

Jede SS7-Firewall blockiert bei der ersten Bereitstellung zu viele Anfragen. Die Frage ist nicht, ob mit Fehlalarmen zu rechnen ist, sondern wie der Betreiber diese in den ersten 90 Tagen reduziert.

Die Standard-Optimierungssequenz: Zwei Wochen lang im Spiegelmodus bereitstellen und den legitimen Datenverkehr erfassen, einschließlich der vielen ungewöhnlichen, aber legitimen Roaming-Abkommen mit kleineren ausländischen Netzwerken. Zuerst die selektive Inline-Durchsetzung für Nachrichten der Kategorie 1 aktivieren (naturgemäß geringes Risiko falsch positiver Ergebnisse), dann auf Kategorie 2 mit aktivierter Querverifizierung und schließlich auf Kategorie 3 mit anhand der Basiswerte angepassten Verhaltensschwellenwerten ausweiten. Währenddessen einen Analysten-Workflow für markierte Nachrichten pflegen, der die Möglichkeit bietet, bestimmte Quellnetzwerke für bestimmte Nachrichtenkategorien auf die Whitelist zu setzen, sofern dies durch legitime Geschäftsbeziehungen gerechtfertigt ist. Ziel ist eine Firewall, die schädlichen Datenverkehr blockiert und bei legitimem Roaming eine Falsch-Positiv-Rate von unter 1 % aufweist.

Die Angriffe, die Betreiber am häufigsten nach der Bereitstellung entdecken

Im ersten Monat nach der erstmaligen Inbetriebnahme einer SS7-Firewall treten unabhängig vom geografischen Standort drei Kategorien unautorisierter Aktivitäten auf.

1. 1Anfragen zum Abonnentenstandort aus ausländischen Netzen, für die es keinen geschäftlichen Grund gibt – einige Prozent des typischen Verbindungsverkehrs, oft von Netzen, die noch nie ein Roaming-Abkommen mit dem Betreiber hatten.
2. 2MT-ForwardSM-Injektion umgeht das SMSC des Betreibers – das SS7-Layer-Grey-Route-Äquivalent zur SMS-Layer-Grey-Route, oft derselbe Datenverkehr, den die SMS-Firewall auch aus einem anderen Blickwinkel erfasst.
3. 3Musterbasierte SIM-Swap-Aufklärung – Update-Location und verwandte Abfragen gegen hochwertige Teilnehmerbereiche (Bankwesen, Regierung), die mit versuchten Kontoübernahmen korrelieren.

Die Berichte des ersten Monats einer neuen SS7-Firewall sind beunruhigend, da sie das Ausmaß der zuvor unkontrollierten Sicherheitslücken aufzeigen. Gleichzeitig stellen sie das wichtigste Dokument dar, das das Sicherheitsteam des Betreibers der Geschäftsleitung und der Aufsichtsbehörde vorlegen kann.

Unterstützung bei behördlichen Audits

Regulierungsbehörden in der gesamten Region führen schrittweise Prüfanforderungen für den Schutz der Signalisierungsschicht von Netzbetreibern ein – teils als Teil umfassenderer Rahmenwerke zum Schutz von Teilnehmern oder zur Cybersicherheit, teils als eigenständige Vorgaben für die Signalisierungssicherheit. Eine gut ausgestattete SS7-Firewall liefert die Prüfdaten auf Anfrage: Statistiken zu Filterkategorien, Protokolle blockierter Nachrichten (mit entsprechender Aufbewahrungsdauer), Falsch-Positiv-Raten, Abgleichstabellen mit FS.07/FS.11 und Reaktionszeiten bei Sicherheitsvorfällen. Netzbetreiber, die diese Daten über ein permanentes Dashboard bereitstellen können, sind in einem Gespräch mit der Regulierungsbehörde verständlich; Betreiber, die sie erst auf Anfrage zusammenstellen müssen, verbringen Wochen damit unter strenger Beobachtung. Integrieren Sie die Prüfberichterstattung daher von Anfang an in Ihren Implementierungsplan.

Interaktion mit der SMS-Firewall – sie gehören zusammen

Eine SS7-Firewall und eine SMS-Firewall decken zwar sich überschneidende, aber nicht identische Angriffsflächen ab. Die SMS-Firewall erkennt A2P-Missbrauch an der SMSC-Grenze – Durchsetzung der Sender-ID, Erkennung der Beendigung von SIM-Farmen, Inhaltsfilterung – und ist am effektivsten bei Datenverkehr, der ein autorisiertes SMSC erreicht. Die SS7-Firewall erkennt Missbrauch auf der Signalisierungsebene unterhalb des SMSC – MT-ForwardSM-Injection, die das SMSC umgeht, Standortverfolgung, betrügerische Anrufe und SIM-Swap-Aufklärung. Die beiden Systeme tauschen Telemetriedaten aus, wo immer möglich, warnen bei korrelierten Mustern (eine SIM-Swap-Anfrage auf SS7-Ebene, gefolgt von einem OTP-Burst auf SMS-Ebene, ist ein stärkeres Signal als jedes System allein) und bieten gemeinsam den mehrschichtigen Schutz, den Betreiber benötigen. Der Einsatz eines Systems ohne das andere hinterlässt eine erhebliche Sicherheitslücke.

Wie Qualität in Zahlen aussieht

Eine ausgereifte SS7-Firewall-Implementierung in einem Tier-1-Netzwerk im Nahen Osten und Nordafrika erreicht typischerweise folgende Werte: Blockierung von über 99 % der Kategorie-1-Nachrichten an der Grenze (die einfachste Kategorie), Blockierung von über 90 % des Missbrauchs der Kategorie 2 durch protokollübergreifende Korrelation, Blockierung von über 70 % des Missbrauchs der Kategorie 3 durch Verhaltenserkennung, bei einer Falsch-Positiv-Rate von unter 1 % bei legitimem Roaming-Verkehr. Diese Werte verbessern sich im Laufe der Zeit, da die Verhaltensmodelle anhand des spezifischen Netzwerkverkehrs trainiert werden; die Werte im zweiten Jahr sind typischerweise deutlich besser als die im ersten Jahr, ohne dass neue Technologieinvestitionen erforderlich sind.

Was dies für die nächsten drei Jahre bedeutet

SS7 wird nicht verschwinden. Die Branche prognostiziert seinen Ersatz seit zwei Jahrzehnten, und tatsächlich wurde SS7 schrittweise durch Diameter (für LTE) und HTTP/2 mit SBI (für das 5G-Kernnetz) erweitert. Dennoch terminiert jeder Betreiber SS7 weiterhin, weil jeder andere Betreiber es ebenfalls terminiert. Die Verteidigungsstrategie muss daher langfristig angelegt sein. Investieren Sie in die Firewall-Infrastruktur, als ob sie zehn Jahre, nicht drei, im Einsatz sein würde; planen Sie die Analystenkapazitäten für die Regelpflege und die Überprüfung der Ergebnisse von Verhaltensmodellen als laufende Betriebskosten und nicht als Projektkosten ein; entwickeln Sie die Datenspeicherung und die Audit-Export-Pipelines als produktionsreife Systeme, nicht als nachträgliche Ergänzung. Die Netzwerke, die dies seit Ende der 2010er-Jahre praktizieren, sind denen, die jetzt damit beginnen, weit voraus – es gibt keinen schnellen Weg zu einer ausgereiften Implementierung.

Weiterführende Lektüre

• Was ist eine SMS-Firewall und warum benötigen Betreiber eine?
• Direkte Routen versus Graue Routen in A2P-SMS
• Wie sich die Flash-Call-Verifizierung auf die A2P-Einnahmen der Betreiber auswirkt
• Glossar — GSMA FS.07 / FS.11 Signalisierungs-Firewall, SS7 MAP erklärt, Diameter S6a erklärt
• Produktseiten — Operator SS7 Firewall und Operator-Lösungsübersicht
• Abdeckung — Saudi-Arabien Signalschutz und CST-Auditposition