Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Comment fonctionne la sécurité de la signalisation SS7 et Diameter
Un pare-feu de signalisation est intégré à l'interconnexion et inspecte chaque opération SS7 MAP et 4G Diameter entrante avant qu'elle n'atteigne le HLR, le HSS ou le MSC. Chaque message est vérifié au regard des règles de catégorie GSMA, de la réputation de l'expéditeur (GTR) et de sa plausibilité (cette mise à jour d'itinérance est-elle géographiquement cohérente ?). Il est ensuite autorisé, soumis à une limitation de débit ou rejeté. Chaque décision est consignée à des fins d'audit. Voir /answers/what-is-ss7 et /answers/ss7-map-explained.
Les menaces qu'il stoppe
La collecte de données SendRoutingInfoForSM, qui révèle l'IMSI et le MSC de service d'un abonné pour le suivi de localisation ; les requêtes de localisation ProvideSubscriberInfo et AnyTimeInterrogation ; l'interception de SMS via MT-ForwardSM malveillant ; et les équivalents Diameter sur la 4G. Voir /answers/ss7-map-send-routing-info-for-sm, /answers/ss7-map-provide-subscriber-info et /answers/diameter-s6a-explained.
Les normes GSMA : IR.82, IR.88, FS.07 et FS.11
La norme GSMA IR.82 définit les directives de mise en œuvre de la sécurité SS7 et la classification des messages en catégories 1, 2 et 3 ; la norme IR.88 couvre l’itinérance LTE/EPC Diameter ; la norme FS.07 définit la surveillance SS7 et la norme FS.11 les contrôles de sécurité d’interconnexion SS7. Ensemble, elles indiquent aux opérateurs quelles opérations inter-réseaux bloquer, limiter en débit ou autoriser par pair. Voir /answers/gsma-fs07-fs11-signaling-firewall.
Avantages pour l'opérateur
Protection des abonnés contre le suivi et l'interception, conformité réglementaire et GSMA, journal d'audit de signalisation inviolable et possibilité de corréler la signalisation avec le trafic A2P pour détecter les fraudes impliquant les deux plans. BroadNet associe le pare-feu de signalisation au pare-feu SMS et à l'analyse des CDR pour une vue unifiée des politiques. Voir /operators/ss7-firewall et /platforms/signaling-cdr.
Limites et réalités opérationnelles
L'efficacité d'un pare-feu de signalisation dépend de ses règles de catégorie et de ses flux de réputation : un blocage excessif compromet l'itinérance légitime, tandis qu'un blocage insuffisant expose le système aux attaques. Il doit couvrir à la fois SS7 et Diameter, car les réseaux fonctionnent avec des cœurs hybrides 2G/3G/4G, et il ne peut pas accéder à la signalisation chiffrée basée sur les services 5G, qui nécessite ses propres contrôles SEPP. Voir /answers/what-is-sigtran.
Pare-feu SS7 vs pare-feu SMS — quelle est la différence ?
Un pare-feu SS7 (signalisation) protège le plan de contrôle du réseau (opérations MAP et Diameter) afin d'empêcher la géolocalisation et l'interception. Un pare-feu SMS (A2P) protège la couche application (contenu des messages, identifiants de l'expéditeur et acheminement SMPP) afin de bloquer le smishing et les routes grises. Ces deux pare-feu protègent des couches différentes et leur efficacité est optimale lorsqu'ils sont déployés conjointement. BroadNet propose les deux. Voir /operators/sms-firewall et /operators/ss7-firewall.