S7 —la familia de protocolos de señalización que opera entre redes móviles para enrutamiento, roaming, autenticación y SMS— fue diseñada en una época en la que solo unos pocos cientos de redes de operadores podían enviarse mensajes de señalización entre sí, y todas eran de confianza. Esa suposición de confianza ya no es válida. El acceso a la interconexión se ha expandido drásticamente, en gran parte a través de revendedores y agregadores, y una fracción significativa del tráfico SS7 en la red de señalización global ahora es hostil: rastreo de ubicación, interceptación de SMS, originación de llamadas fraudulentas, obtención de OTP y reconocimiento de intercambio de SIM. Un firewall SS7 es el control defensivo del operador móvil en el límite de la señalización. Este artículo describe lo que los operadores necesitan saber sobre la superficie de ataque que cubre, los estándares a los que se alinea, la topología en la que se debe implementar y el proceso de ajuste para que sea útil en producción.
La superficie de ataque SS7 en tres capas
GSMA clasifica los ataques SS7 en tres categorías amplias que se corresponden claramente con los controles defensivos: FS.07 y FS.11 los definen, junto con las categorías de filtrado recomendadas.
Categoría 1: mensajes que nunca deberían provenir de fuera de la red doméstica.
Ejemplos: anyTimeInterrogation (consultas internas del operador sobre el estado del suscriptor), provideSubscriberInformation, sendRoutingInformation (la variante sin restricciones utilizada para el enrutamiento de llamadas dentro de la red local). Estos mensajes no tienen ninguna utilidad legítima desde una red externa; un mensaje entrante de Categoría 1 de interconexión siempre es un ataque o una configuración incorrecta. La regla de filtrado es sencilla: descartar, registrar, alertar. El riesgo de falsos positivos es mínimo porque el roaming legítimo y el establecimiento de llamadas no los requieren.
Categoría 2: mensajes que solo deben provenir de la red que actualmente presta servicio al suscriptor.
Ejemplos: provideSubscriberInformation cuando lo emite la red visitada durante el roaming activo, sendRoutingInfoForSM (SRI-SM) utilizado por SMSC extranjeros para enrutar mensajes a los suscriptores de origen, Diameter S6a update-location para LTE. Estos son legítimos desde la red correcta en el momento correcto, pero indistinguibles de los ataques si la red de origen no es donde realmente se encuentra el suscriptor. La regla de filtrado requiere una verificación cruzada: ¿este suscriptor está realmente en roaming en la red que envía el mensaje? Si no, el mensaje es sospechoso. El filtro necesita acceso al estado HLR/HSS de origen para responder.
Categoría 3: mensajes que pueden ser legítimos pero que suelen ser objeto de abuso.
Ejemplos: SRI-SM de alto volumen desde una única fuente (reconocimiento de enumeración de suscriptores), MT-ForwardSM con direcciones de origen que no existen en la red de origen declarada (suplantación de remitente), patrones de actualización de ubicación que sugieren fraude de intercambio de SIM. Estos no se pueden bloquear mensaje por mensaje sin generar falsos positivos en tráfico legítimo; requieren detección basada en velocidad, patrones y protocolos cruzados. El aprendizaje automático conductual demuestra su valía en esta categoría.
Qué inspecciona realmente un firewall SS7
En el lado SS7, el firewall se ubica en la ruta de los mensajes de señalización, generalmente como un nodo conectado a Diameter/SCTP en la red troncal SS7 del operador, capaz de inspeccionar tanto SS7 clásico (MAP, CAMEL) como Diameter (S6a, S9, S6b). La inspección abarca:
- Filtrado de mensajes por categoría según la taxonomía FS.07 / FS.11.
- Validación de la red de origen: ¿la dirección del emisor de la llamada SCCP (o el host de origen Diameter) pertenece a una red con una relación de roaming o interconexión legítima?
- Correlación entre mensajes: ¿el mensaje MAP MT-ForwardSM sigue a un mensaje SRI-SM legítimo para el mismo suscriptor, o llegó sin previo aviso?
- Límites de velocidad por origen y por categoría: la información SRI-SM intermitente procedente de una única fuente constituye reconocimiento.
- Consistencia entre protocolos: ¿coincide la información sobre la red visitada en el mensaje MAP con la información que el HSS conoce a partir de la actualización más reciente de Diameter S6a?
- Validación del estado del suscriptor: para los mensajes que dependen de que el suscriptor esté en itinerancia, ¿el suscriptor realmente está en itinerancia?
Un firewall SS7 que solo realiza el primer elemento de esta lista es un filtro de Categoría 1; los que van del tercer elemento en adelante son los que protegen contra los ataques de Categoría 3, que son los más importantes.
Topología de despliegue
Al igual que el cortafuegos SMS, un cortafuegos SS7 puede implementarse en línea (cada mensaje de señalización atraviesa el cortafuegos antes de llegar al núcleo del operador), en modo espejo (una copia de la señalización se envía al cortafuegos para su observación sin aplicación de políticas) o híbrido (espejo por defecto con aplicación selectiva en línea en categorías de mensajes o pares específicos). Se aplican las mismas compensaciones, con una consideración adicional: los presupuestos de latencia de SS7 son ajustados (muchos intercambios de señalización tienen SLA de varios segundos medidos a nivel de experiencia de usuario) y la implementación en línea debe ser capaz de inspeccionar a la velocidad de línea sin agregar una latencia significativa. La planificación de capacidad es más exigente que para los cortafuegos SMS porque la tasa de mensajes de señalización en una red grande es alta.
Alineación de estándares: FS.07, FS.11 y la conversación con el regulador.
GSMA FS.07 abarca la protección de la señalización SS7 en general; FS.11 abarca recomendaciones específicas de filtrado de SMS. Ambas son referenciadas explícitamente por los reguladores nacionales del CCG, en Europa y, cada vez más, en África y Asia, como la base con la que se evalúan los controles de los operadores. Una implementación de firewall SS7 que mapea explícitamente sus categorías de filtrado a FS.07 y FS.11 ofrece tres beneficios a la vez: la conversación de auditoría del propio operador es mucho más sencilla (los controles se corresponden con una taxonomía reconocida), la auditoría del regulador es mucho más sencilla (el regulador puede verificar la alineación con el estándar) y la revisión por pares en el Grupo de Fraude y Seguridad de GSMA es mucho más sencilla (el operador puede demostrar los controles con un vocabulario utilizado por los revisores). Especifique la alineación con FS.07/FS.11 en cualquier proceso de adquisición; rechace a los proveedores que respondan con taxonomías propietarias.
Falsos positivos y el proceso de ajuste
Todos los firewalls SS7 bloquean en exceso durante su primera implementación. La cuestión no es si cabe esperar falsos positivos, sino cómo el operador los reduce durante los primeros 90 días.
La secuencia de ajuste estándar consiste en implementar en modo espejo durante dos semanas, estableciendo una línea base para el tráfico legítimo, incluyendo la gran cantidad de acuerdos de roaming inusuales pero legítimos con redes extranjeras más pequeñas. Primero, se aplica una aplicación selectiva en línea a los mensajes de Categoría 1 (bajo riesgo de falsos positivos por definición), luego se amplía a la Categoría 2 con verificación cruzada habilitada y, posteriormente, a la Categoría 3 con umbrales de comportamiento ajustados a la línea base. Durante todo el proceso, se mantiene un flujo de trabajo de análisis para los mensajes marcados, con la capacidad de incluir en la lista blanca redes de origen específicas para categorías de mensajes específicas cuando las relaciones comerciales genuinas lo justifiquen. El resultado final es un firewall que bloquea el tráfico hostil con una tasa de falsos positivos inferior al 1 % en el roaming legítimo.
Los ataques que los operadores suelen descubrir después del despliegue
En el primer mes de cualquier firewall SS7 de nueva implementación, suelen aparecer tres categorías de actividad no autorizada, independientemente de la ubicación geográfica.
- Las consultas sobre la ubicación de los suscriptores procedentes de redes extranjeras sin ningún motivo comercial para solicitarlas representan un pequeño porcentaje del tráfico de interconexión habitual, a menudo procedentes de redes que nunca han tenido un acuerdo de roaming con el operador.
- La inyección MT-ForwardSM evita el SMSC del propio operador, el equivalente en ruta gris de la capa SS7 a la ruta gris de la capa SMS, que a menudo es el mismo tráfico que el firewall SMS también intercepta desde un ángulo diferente.
- Reconocimiento de intercambio de SIM mediante coincidencia de patrones: consultas Update-Location y relacionadas contra rangos de suscriptores de alto valor (bancarios, gubernamentales) que se correlacionan con intentos de apropiación de cuentas.
Los informes del primer mes de un nuevo firewall SS7 resultan incómodos de leer porque revelan la cantidad de problemas que ocurrían sin control anteriormente. Además, constituyen la prueba más útil que el equipo de seguridad del operador puede presentar al comité ejecutivo y al organismo regulador.
Asistencia en auditorías regulatorias
Los reguladores de toda la región están introduciendo progresivamente requisitos de auditoría para la protección de la capa de señalización del operador, a veces como parte de marcos más amplios de protección del suscriptor o ciberseguridad, a veces como mandatos de seguridad de señalización independientes. Un firewall SS7 bien instrumentado genera los artefactos de auditoría bajo demanda: estadísticas de categorías de filtros, registros de mensajes bloqueados (con retención adecuada), tasas de falsos positivos, mapas de alineación con FS.07 / FS.11, cronogramas de respuesta a incidentes. El operador que puede generar estos desde un panel de control permanente responde al regulador en una reunión; el operador que tiene que recopilarlos bajo solicitud pasa semanas haciéndolo bajo escrutinio. Incorpore los informes de auditoría al plan de implementación desde el primer día.
Interacción con el cortafuegos de SMS: van de la mano.
Un firewall SS7 y un firewall SMS cubren superficies de ataque superpuestas, pero no idénticas. El firewall SMS detecta abusos A2P en el límite del SMSC (aplicación de identificador de remitente, detección de terminación de granjas de SIM, filtrado de contenido) y es más efectivo en el tráfico que llega a un SMSC autorizado. El firewall SS7 detecta abusos en la capa de señalización por debajo del SMSC (inyección MT-ForwardSM que elude el SMSC, seguimiento de ubicación, originación de llamadas fraudulentas, reconocimiento de intercambio de SIM). Ambos sistemas comparten telemetría cuando es posible, alertan sobre patrones correlacionados (una consulta de intercambio de SIM en la capa SS7 seguida de una ráfaga de OTP en la capa SMS es una señal más fuerte que cualquiera de ellos por separado) y, juntos, proporcionan la defensa por capas que los operadores necesitan. Implementar uno sin el otro deja una brecha significativa.
El cortafuegos SS7 de BroadNet implementa categorías de filtrado alineadas con FS.07, correlación entre protocolos con el cortafuegos SMS y la generación de informes listos para auditoría que los reguladores de la región exigen cada vez más. Las implementaciones en las redes de MENA se realizan primero mediante replicación, se alinean con FS y se ajustan según las configuraciones base específicas de cada operador antes de cualquier aplicación en línea.
Cómo se ve el éxito, en números.
Una implementación madura de firewall SS7 en una red MENA de nivel 1 generalmente alcanza: más del 99 % de los mensajes de Categoría 1 bloqueados en el límite (la categoría fácil), más del 90 % del uso indebido de Categoría 2 bloqueado mediante correlación entre protocolos, más del 70 % del abuso de Categoría 3 bloqueado mediante detección de comportamiento, con una tasa de falsos positivos inferior al 1 % en tráfico roaming legítimo. Estas cifras mejoran con el tiempo a medida que los modelos de comportamiento se entrenan con el tráfico específico de la red; las cifras del segundo año suelen ser sustancialmente mejores que las del primer año sin ninguna inversión en nuevas tecnologías.
¿Qué significa esto para los próximos tres años?
SS7 no va a desaparecer. La industria lleva dos décadas prediciendo su sustitución, y lo que ha ocurrido es que SS7 se ha ido ampliando gradualmente con Diameter (para LTE) y HTTP/2 con SBI (para el núcleo 5G), pero todos los operadores siguen terminando SS7 porque todos los demás operadores siguen terminando SS7. Por lo tanto, la postura defensiva debe contemplar un horizonte a largo plazo. Invierta en la infraestructura de firewall como si fuera a estar en servicio durante diez años, no tres; presupueste la capacidad de los analistas para mantener las reglas y revisar los resultados de los modelos de comportamiento como un coste operativo fijo, no como un coste de proyecto; construya los sistemas de retención de datos y de auditoría-exportación como sistemas de nivel de producción, no como soluciones de última hora. Las redes que llevan haciendo esto desde finales de la década de 2010 están ahora muy por delante de las que empiezan ahora; no hay atajos para una implementación madura.
Lecturas relacionadas
- ¿Qué es un firewall de SMS y por qué los operadores necesitan uno?
- Rutas directas frente a rutas grises en SMS A2P
- Cómo afecta la verificación de llamadas instantáneas a los ingresos A2P de los operadores
- Glosario — Cortafuegos de señalización GSMA FS.07 / FS.11, Explicación de SS7 MAP, Explicación de Diameter S6a
- Páginas de producto: cortafuegos SS7 del operador y descripción general de soluciones del operador
- Cobertura — Arabia Saudita señalando medidas de protección y postura de auditoría del CST