n cortafuegos de señalización inspecciona el tráfico de interconexión SS7 y Diameter y bloquea los mensajes que no tienen un propósito legítimo: consultas de ubicación no autorizadas, configuraciones de interceptación de SMS y fraude de roaming. Aplica filtrado basado en categorías según GSMA FS.11 (SS7) y FS.19 (Diameter). Los cortafuegos detienen la mayoría de los ataques externos, pero los actores sofisticados y patrocinados por estados persisten, por lo que se requiere una defensa en profundidad.
Por qué la señalización de interconexión es un problema de seguridad
SS7 y Diameter son los protocolos del plano de control que permiten a las redes enrutar llamadas, entregar SMS y admitir la itinerancia. Fueron diseñados para un pequeño grupo de operadores de confianza, por lo que parten de la premisa de que el remitente es honesto. En un mundo con miles de socios de interconexión y acceso revendido, esta premisa deja de ser válida. Un atacante con acceso a la señalización puede consultar y manipular la red como si fuera un socio de itinerancia legítimo.
El modelo de amenazas
- Seguimiento de ubicación: se abusa de consultas como anyTimeInterrogation o ProvideSubscriberInfo para saber dónde se encuentra un suscriptor, sin ninguna justificación de itinerancia.
- Intercepción de SMS: utilizar operaciones SS7 MAP (por ejemplo, manipular el enrutamiento de los mensajes) para desviar los SMS de un suscriptor, incluidos los OTP, a un punto controlado por el atacante.
- Reconocimiento de suscriptores: solicitudes SendRoutingInfoForSM (SRI-SM) no autorizadas que recopilan datos IMSI y de la red de servicio para preparar ataques dirigidos.
- Fraude en la interconexión itinerante: inyección MT-ForwardSM y abusos relacionados que eluden los controles de la red de origen y cualquier acuerdo A2P.
- Denegación e interrupción: señalización defectuosa o de alta velocidad utilizada para degradar el servicio a los suscriptores seleccionados.
El denominador común es que todos estos sistemas se basan en operaciones de protocolo legítimas. No existe un único «mensaje de ataque» que bloquear: la misma operación es inofensiva si proviene de un socio de roaming legítimo y maliciosa si proviene de un atacante sin motivo alguno. Por eso, la seguridad de la señalización se convierte en un problema de filtrado y contexto, más que en una simple lista de permisos/denegaciones.
Los conjuntos de reglas: FS.11, FS.19 y las especificaciones de soporte.
Un cortafuegos de señalización competente no inventa sus categorías, sino que implementa las directrices definidas por la GSMA. Estos documentos codifican qué operaciones supervisar, cuáles bloquear desde qué fuentes y cómo categorizar los mensajes de interconexión según su riesgo.
| Documento | Alcance | Lo que define |
|---|---|---|
| GSMA FS.11 | Interconexión SS7 | Directrices de seguridad y cortafuegos de SS7; categorías y controles de mensajes |
| GSMA FS.19 | Interconexión de diámetro | Guía de seguridad para la interconexión Diameter (4G/LTE) |
| GSMA IR.70 / IR.71 | SMS / interconexión | Mejores prácticas de interoperabilidad e interconexión de SMS |
| 3GPP TS 23.840 | Red central | Referencia técnica que sustenta el comportamiento de enrutamiento de SMS |
En FS.11, los mensajes SS7 MAP se agrupan en categorías según si deberían provenir de un socio de interconexión, si solo son válidos para la red doméstica del suscriptor y si solo son válidos cuando el suscriptor se encuentra en itinerancia en la red solicitante. El firewall aplica estas categorías, establece límites de velocidad por socio y realiza comprobaciones cruzadas; por ejemplo, rechaza un MT-ForwardSM para un suscriptor que la red sabe que no está en itinerancia en la red supuestamente visitada.
Qué bloquea un cortafuegos de señalización y qué no.
Un cortafuegos de señalización, implementado y configurado correctamente, bloquea la gran mayoría de los ataques externos SS7 y Diameter: las consultas de ubicación, el reconocimiento, las configuraciones de interceptación y el fraude de roaming que constituyen la mayor parte de la amenaza. Esto supone una reducción sustancial del riesgo para los suscriptores y los ingresos.
No es una garantía absoluta. Actores sofisticados y con amplios recursos —incluidas operaciones estatales— siguen encontrando vías de acceso: combinaciones de mensajes novedosas, abuso de estados itinerantes de apariencia legítima o acceso obtenido a través de la red comprometida de un socio de confianza. Por ello, la seguridad de la señalización se concibe como una defensa en profundidad, no como un único dispositivo: cortafuegos, monitorización, detección de anomalías y gobernanza de socios, todo ello en capas para que cualquier evasión en una capa se detecte en otra.
El cortafuegos SS7 de BroadNet implementa las categorías FS.11 y FS.19 con límites de velocidad por socio y comprobaciones cruzadas del estado de roaming, y alimenta los eventos de señalización a análisis de señalización y CDR para que las anomalías que escapan a una regla estática sigan apareciendo en la monitorización.
Cómo lo implementan los operadores
Un despliegue típico se ejecuta primero en modo de monitorización para establecer el comportamiento normal de la interconexión sin perder tráfico, y luego pasa al bloqueo activo una vez que las categorías y los umbrales de velocidad se ajustan a la combinación real de socios del operador. La información de monitorización es valiosa por sí sola: muchos operadores descubren que sus socios de interconexión envían operaciones sin motivo legítimo. Para obtener una explicación breve de los conceptos, consulte nuestras respuestas sobre Seguridad de la señalización SS7 y Seguridad de la señalización de Diameter.
Preguntas frecuentes
¿Cuál es la diferencia entre la seguridad SS7 y Diameter?
SS7 es el protocolo de señalización heredado para redes 2G/3G; Diameter es su equivalente para 4G/LTE. Ambos transmiten señales de interconexión y roaming que pueden ser utilizadas indebidamente para rastreo, interceptación y fraude. La norma GSMA FS.11 proporciona las directrices de seguridad para SS7 y la FS.19 cubre Diameter, por lo que una defensa completa requiere cortafuegos en ambos planos, no solo en uno.
¿Puede un cortafuegos de señalización detener todos los ataques SS7?
No. Un cortafuegos bien configurado bloquea la gran mayoría de los ataques externos SS7 y Diameter: rastreo de ubicación, reconocimiento, interceptación y fraude en itinerancia. Sin embargo, actores sofisticados y patrocinados por estados aún pueden encontrar nuevas vías de acceso, por lo que la seguridad de la señalización requiere una defensa en profundidad: cortafuegos, monitorización, detección de anomalías y gobernanza de socios, todo ello integrado en capas.
¿Qué son GSMA FS.11 y FS.19?
Se trata de directrices de seguridad de la GSMA para la señalización de interconexión. La FS.11 abarca la supervisión de la seguridad de la interconexión SS7 y las directrices del cortafuegos, definiendo categorías y controles de mensajes. La FS.19 abarca la seguridad de la interconexión Diameter para 4G/LTE. Un cortafuegos de señalización implementa estas categorías en lugar de reinventarlas, junto con especificaciones de soporte como IR.70/IR.71 y 3GPP TS 23.840.
¿Cómo permite la señalización SS7 a los atacantes interceptar los SMS?
Al abusar de las operaciones legítimas de MAP para influir en el enrutamiento de los mensajes de un suscriptor, un atacante con acceso a la señalización puede desviar los SMS entrantes, incluidas las contraseñas de un solo uso, a un punto que controle. El firewall se protege contra esto mediante filtrado basado en categorías y comprobaciones cruzadas del estado de roaming que rechazan las operaciones provenientes de socios sin una razón válida para enviarlas.