e protocole SS7, famille de protocoles de signalisation utilisée entre les réseaux mobiles pour le routage, l'itinérance, l'authentification et les SMS, a été conçu à une époque où seuls quelques centaines de réseaux d'opérateurs pouvaient s'échanger des messages de signalisation, tous considérés comme fiables. Cette hypothèse de confiance n'est plus valable. L'accès à l'interconnexion s'est considérablement élargi, notamment via des revendeurs et des agrégateurs, et une part significative du trafic SS7 sur le réseau de signalisation mondial est désormais malveillante : suivi de localisation, interception de SMS, émission d'appels frauduleux, récupération de codes OTP et reconnaissance des échanges de cartes SIM. Un pare-feu SS7 constitue le principal mécanisme de défense de l'opérateur mobile au niveau de la frontière de signalisation. Cet article explique aux opérateurs les informations essentielles concernant la surface d'attaque couverte, les normes auxquelles il se conforme, la topologie de déploiement et le processus de paramétrage nécessaire à son utilisation en production.
La surface d'attaque SS7 en trois couches
GSMA catégorise les attaques SS7 en trois grandes catégories qui correspondent clairement aux contrôles défensifs — FS.07 et FS.11 les définissent ainsi que les catégories de filtrage recommandées.
Catégorie 1 — messages qui ne devraient jamais provenir de l'extérieur du réseau domestique
Exemples : anyTimeInterrogation (requêtes internes à l’opérateur sur l’état de l’abonné), provideSubscriberInformation, sendRoutingInformation (variante non restreinte utilisée pour le routage des appels au sein du réseau d’origine). Ces messages sont inutiles depuis un réseau externe ; un message de catégorie 1 entrant provenant d’un réseau d’interconnexion est toujours soit une attaque, soit une erreur de configuration. La règle de filtrage est simple : rejeter, consigner, alerter. Le risque de faux positifs est minime car l’itinérance et l’établissement d’appel légitimes ne les requièrent pas.
Catégorie 2 — messages qui ne devraient provenir que du réseau actuellement desservi par l'abonné
Exemples : provideSubscriberInformation émis par le réseau visité lors d’une itinérance active, sendRoutingInfoForSM (SRI-SM) utilisé par les SMSC étrangers pour acheminer les messages vers les abonnés du réseau d’origine, Diameter S6a update-location pour LTE. Ces messages sont légitimes lorsqu’ils proviennent du bon réseau au bon moment, mais peuvent être confondus avec des attaques si le réseau source ne correspond pas à la localisation réelle de l’abonné. La règle de filtrage nécessite une vérification croisée : l’abonné est-il effectivement en itinérance sur le réseau émetteur du message ? Dans le cas contraire, le message est suspect. Le filtre doit accéder à l’état du HLR/HSS du réseau d’origine pour répondre.
Catégorie 3 — messages qui peuvent être légitimes mais qui font souvent l'objet d'abus
Exemples : SRI-SM à volume élevé provenant d’une source unique (reconnaissance pour l’énumération des abonnés), MT-ForwardSM avec des adresses d’origine inexistantes sur le réseau source déclaré (usurpation d’identité de l’expéditeur), schémas de mise à jour de localisation suggérant une fraude par échange de carte SIM. Il est impossible de bloquer ces types de messages individuellement sans générer de faux positifs pour le trafic légitime ; une détection basée sur la vitesse, les schémas et l’interopérabilité des protocoles est nécessaire. L’apprentissage automatique comportemental s’avère alors indispensable.
Ce qu'un pare-feu SS7 inspecte réellement
Côté SS7, le pare-feu se situe sur le chemin des messages de signalisation, généralement en tant que nœud Diameter/SCTP connecté au réseau dorsal SS7 de l'opérateur, capable d'inspecter à la fois le SS7 classique (MAP, CAMEL) et le Diameter (S6a, S9, S6b). L'inspection porte sur :
- Filtrage des catégories de messages selon la taxonomie FS.07 / FS.11.
- Validation du réseau source — l’adresse de l’appelant SCCP (ou l’hôte d’origine Diameter) appartient-elle à un réseau ayant une relation d’itinérance ou d’interconnexion légitime ?
- Corrélation entre messages — le MAP MT-ForwardSM fait-il suite à un SRI-SM légitime pour le même abonné, ou est-il arrivé sans préparation ?
- Limites de vitesse par origine et par catégorie — les émissions SRI-SM en rafales provenant d'une source unique constituent une reconnaissance.
- Cohérence inter-protocoles — la déclaration de réseau visité dans le message MAP correspond-elle à ce que le HSS sait à partir de la mise à jour de localisation Diameter S6a la plus récente ?
- Validation de l'état de l'abonné — pour les messages qui dépendent du fait que l'abonné soit en itinérance, l'abonné est-il réellement en itinérance ?
Un pare-feu SS7 qui ne fait que le premier élément de cette liste est un filtre de catégorie 1 ; ceux à partir du troisième élément protègent contre les attaques de catégorie 3 qui sont les plus importantes.
Topologie de déploiement
À l'instar du pare-feu SMS, un pare-feu SS7 peut être déployé en mode direct (chaque message de signalisation traverse le pare-feu avant d'atteindre le cœur du réseau de l'opérateur), en mode miroir (une copie de la signalisation est transmise au pare-feu pour observation sans application de la loi) ou en mode hybride (miroir par défaut avec application sélective en direct sur certaines catégories de messages ou certains pairs). Les mêmes compromis s'appliquent, avec une considération supplémentaire : les contraintes de latence SS7 sont strictes – de nombreux points d'échange de signalisation ont des SLA de plusieurs secondes mesurés au niveau de l'expérience utilisateur – et le déploiement en direct doit être capable d'inspecter à la vitesse de la ligne sans ajouter de latence significative. La planification de la capacité est plus exigeante que pour les pare-feu SMS en raison du débit élevé des messages de signalisation sur un grand réseau.
Harmonisation des normes — FS.07, FS.11 et discussion avec l'organisme de réglementation
La norme GSMA FS.07 couvre la protection de la signalisation SS7 de manière générale ; la norme FS.11, quant à elle, porte sur les recommandations de filtrage spécifiques aux SMS. Ces deux normes sont explicitement citées par les autorités de régulation nationales du CCG, d’Europe et, de plus en plus, d’Afrique et d’Asie, comme référentiel d’évaluation des contrôles mis en place par les opérateurs. La mise en œuvre d’un pare-feu SS7 dont les catégories de filtrage sont alignées sur les normes FS.07 et FS.11 présente trois avantages majeurs : elle facilite considérablement les échanges lors des audits internes de l’opérateur (les contrôles sont alignés sur une taxonomie reconnue), l’audit réalisé par l’autorité de régulation est également simplifié (cette dernière peut vérifier la conformité à la norme) et l’évaluation par les pairs au sein du groupe Fraude et Sécurité de la GSMA est grandement facilitée (l’opérateur peut démontrer la mise en œuvre des contrôles en utilisant la terminologie employée lors de l’évaluation). Il est impératif d’exiger l’alignement sur les normes FS.07 et FS.11 lors de tout appel d’offres ; il convient de refuser les fournisseurs qui proposent des taxonomies propriétaires.
Les faux positifs et le processus de réglage
Lors de son premier déploiement, tout pare-feu SS7 bloque excessivement le trafic. La question n'est pas de savoir s'il faut s'attendre à des faux positifs, mais comment l'opérateur peut les réduire au cours des 90 premiers jours.
La procédure de paramétrage standard consiste à déployer le système en mode miroir pendant deux semaines afin d'établir une base de référence pour le trafic légitime, y compris les rares accords d'itinérance inhabituels mais légitimes conclus avec des réseaux étrangers de moindre envergure. Il s'agit ensuite de passer à une application sélective du filtrage en temps réel, d'abord pour les messages de catégorie 1 (faible risque de faux positifs par définition), puis d'étendre le filtrage à la catégorie 2 avec vérification croisée activée, et enfin à la catégorie 3 avec des seuils comportementaux ajustés par rapport à la base de référence. Tout au long du processus, il est essentiel de maintenir un flux de travail d'analyse pour les messages signalés, avec la possibilité d'autoriser certains réseaux sources pour certaines catégories de messages lorsque des relations commerciales légitimes le justifient. L'objectif final est un pare-feu bloquant le trafic malveillant avec un taux de faux positifs inférieur à 1 % pour l'itinérance légitime.
Les attaques que les opérateurs découvrent le plus souvent après le déploiement
Trois catégories d'activités non autorisées apparaissent au cours du premier mois de déploiement de tout pare-feu SS7, quelle que soit la situation géographique.
- Requêtes de localisation d'abonnés provenant de réseaux étrangers sans raison commerciale de les demander — quelques pour cent du trafic d'interconnexion typique, souvent provenant de réseaux qui n'ont jamais eu d'accord d'itinérance avec l'opérateur.
- Injection MT-ForwardSM contournant le SMSC de l'opérateur — l'équivalent de la route grise de couche SS7 de la route grise de couche SMS, souvent le même trafic que le pare-feu SMS intercepte également sous un angle différent.
- Reconnaissance par échange de carte SIM basée sur des modèles — Requêtes Update-Location et requêtes connexes sur des plages d'abonnés à forte valeur ajoutée (banque, gouvernement) qui correspondent à des tentatives de prise de contrôle de compte.
Les rapports du premier mois d'un nouveau pare-feu SS7 sont difficiles à lire car ils révèlent l'ampleur des failles de sécurité qui existaient auparavant. Ils constituent également le document le plus utile que l'équipe de sécurité de l'opérateur puisse présenter au comité de direction et à l'autorité de régulation.
soutien à l'audit réglementaire
Les autorités de régulation de la région introduisent progressivement des exigences d'audit pour la protection de la couche de signalisation des opérateurs, tantôt dans le cadre de réglementations plus larges relatives à la protection des abonnés ou à la cybersécurité, tantôt sous forme d'obligations de sécurité de la signalisation spécifiques. Un pare-feu SS7 bien instrumenté génère les documents d'audit à la demande : statistiques par catégorie de filtrage, journaux des messages bloqués (avec une durée de conservation appropriée), taux de faux positifs, cartes de conformité aux normes FS.07/FS.11 et chronologie des interventions en cas d'incident. L'opérateur capable de produire ces documents à partir d'un tableau de bord permanent peut répondre aux exigences de l'autorité de régulation lors d'une réunion ; celui qui doit les compiler sur demande y consacre des semaines sous un contrôle rigoureux. Il est donc essentiel d'intégrer le reporting d'audit au plan de déploiement dès le départ.
Interaction avec le pare-feu SMS — ils sont indissociables
Un pare-feu SS7 et un pare-feu SMS couvrent des surfaces d'attaque partiellement communes, mais non identiques. Le pare-feu SMS intercepte les abus A2P au niveau du SMSC (contrôle de l'identité de l'expéditeur, détection des terminaisons de fermes de cartes SIM, filtrage du contenu) et est particulièrement efficace sur le trafic atteignant un SMSC autorisé. Le pare-feu SS7 intercepte les abus au niveau de la couche de signalisation située en dessous du SMSC (injection MT-ForwardSM contournant le SMSC, suivi de localisation, origine d'appels frauduleux, reconnaissance des échanges de cartes SIM). Les deux systèmes partagent leurs données de télémétrie lorsque cela est possible, signalent les schémas corrélés (une requête d'échange de carte SIM au niveau SS7 suivie d'une rafale de SMS est un signal plus fort que chacun pris isolément) et offrent conjointement la défense multicouche nécessaire aux opérateurs. Déployer l'un sans l'autre représente une faille importante.
Le pare-feu SS7 de BroadNet (/operators/ss7-firewall) implémente des catégories de filtrage conformes à la norme FS.07, une corrélation inter-protocoles avec le pare-feu SMS (/operators/sms-firewall) et des rapports prêts pour l'audit, de plus en plus exigés par les autorités de régulation de la région. Les déploiements sur les réseaux MENA privilégient une architecture miroir, sont conformes à la norme FS et optimisés en fonction des configurations de référence spécifiques à chaque opérateur avant toute application en temps réel.
Ce à quoi ressemble le bien, en chiffres
Un pare-feu SS7 mature déployé sur un réseau MENA de niveau 1 atteint généralement les objectifs suivants : blocage de plus de 99 % des messages de catégorie 1 (la catégorie la plus facile à gérer) au niveau du périmètre, blocage de plus de 90 % des abus de catégorie 2 grâce à la corrélation inter-protocoles, blocage de plus de 70 % des abus de catégorie 3 grâce à la détection comportementale, avec un taux de faux positifs inférieur à 1 % sur le trafic d'itinérance légitime. Ces performances s'améliorent avec le temps, les modèles comportementaux s'affinant sur le trafic spécifique du réseau ; les résultats de la deuxième année sont généralement nettement supérieurs à ceux de la première année, sans aucun investissement technologique supplémentaire.
Ce que cela signifie pour les trois prochaines années
Le protocole SS7 est là pour rester. L'industrie prédit son remplacement depuis vingt ans, et la réalité est que SS7 a été progressivement complété par Diameter (pour la LTE) et HTTP/2 avec SBI (pour le cœur de réseau 5G). Cependant, tous les opérateurs continuent de terminer le trafic SS7, car tous les autres le font également. La stratégie de défense doit donc s'inscrire dans une perspective de long terme. Il est essentiel d'investir dans l'infrastructure de pare-feu comme si elle devait être opérationnelle pendant dix ans, et non trois ; d'intégrer la capacité d'analyse nécessaire à la maintenance des règles et à l'examen des résultats des modèles comportementaux dans le budget des coûts opérationnels fixes, et non dans les coûts d'un projet ; et de concevoir les processus de conservation des données et d'exportation des audits comme des systèmes de production, et non comme des solutions de dernier recours. Les réseaux qui ont adopté ces pratiques depuis la fin des années 2010 sont aujourd'hui bien plus avancés que ceux qui commencent maintenant : il n'existe pas de solution miracle pour un déploiement mature.
Lectures complémentaires
- Qu'est-ce qu'un pare-feu SMS et pourquoi les opérateurs en ont besoin ?
- Routes directes versus routes grises dans les SMS A2P
- Comment la vérification flash des appels affecte les revenus A2P des opérateurs
- Glossaire — Pare-feu de signalisation GSMA FS.07 / FS.11, Explication du protocole SS7 MAP, Explication du protocole Diameter S6a
- Pages produits — pare-feu SS7 de l'opérateur et présentation des solutions de l'opérateur
- Couverture médiatique — L’Arabie saoudite signale sa position en matière de protection et d’audit CST