n firewall di segnalazione ispeziona il traffico di interconnessione SS7 e Diameter e blocca i messaggi che non hanno uno scopo legittimo, come le richieste di posizione non autorizzate, le configurazioni di intercettazione SMS e le frodi di roaming. Applica il filtraggio basato su categorie derivato dagli standard GSMA FS.11 (SS7) e FS.19 (Diameter). I firewall bloccano la maggior parte degli attacchi esterni, ma attori sofisticati e statali continuano a operare, pertanto è necessaria una difesa multilivello.
Perché la segnalazione di interconnessione rappresenta un problema di sicurezza
SS7 e Diameter sono i protocolli del piano di controllo che consentono alle reti di instradare le chiamate, inviare SMS e supportare il roaming. Sono stati progettati per un ristretto gruppo di operatori fidati, quindi presuppongono in gran parte l'onestà del mittente. In un mondo con migliaia di partner di interconnessione e accesso rivenduto, questo presupposto non è più valido. Un utente malintenzionato con accesso alla segnalazione può interrogare e manipolare la rete come se fosse un partner di roaming legittimo.
Il modello di minaccia
- Tracciamento della posizione: abuso di query come anyTimeInterrogation o ProvideSubscriberInfo per scoprire dove si trova un abbonato, senza alcuna giustificazione legata al roaming.
- Intercettazione di SMS: utilizzo di operazioni SS7 MAP (ad esempio, manipolazione del percorso di instradamento dei messaggi) per deviare gli SMS di un abbonato, inclusi gli OTP, verso un punto controllato dall'attaccante.
- Ricognizione degli abbonati: richieste non autorizzate di SendRoutingInfoForSM (SRI-SM) per la raccolta di dati IMSI e di rete di servizio al fine di preparare attacchi mirati.
- Frode di interconnessione in roaming: iniezione MT-ForwardSM e abusi correlati che aggirano i controlli della rete domestica e qualsiasi accordo A2P.
- Negazione e interruzione: segnalazione malformata o ad alta velocità utilizzata per degradare il servizio per gli abbonati presi di mira.
Il filo conduttore è che tutto ciò si basa su operazioni di protocollo legittime. Non esiste un singolo "messaggio di attacco" da bloccare: la stessa operazione può essere innocua se inviata da un partner di roaming legittimo, ma dannosa se inviata da un soggetto senza alcun motivo per farlo. Questo è ciò che rende la sicurezza della segnalazione un problema di filtraggio e contesto, piuttosto che una semplice lista di autorizzazione/negazione.
I set di regole: FS.11, FS.19 e le specifiche di supporto
Un firewall di segnalazione competente non inventa le proprie categorie, ma implementa le linee guida definite dalla GSMA. Questi documenti codificano quali operazioni monitorare, quali bloccare da quali fonti e come classificare i messaggi di interconnessione in base al rischio.
| Documento | Ambito di applicazione | Cosa definisce |
|---|---|---|
| GSMA FS.11 | Interconnessione SS7 | Linee guida per il monitoraggio della sicurezza SS7 e il firewall; categorie di messaggi e controlli |
| GSMA FS.19 | Interconnessione di diametro | Guida alla sicurezza dell'interconnessione Diameter (4G/LTE) |
| GSMA IR.70 / IR.71 | SMS / interconnessione | Le migliori pratiche per l'interoperabilità e l'interconnessione degli SMS. |
| 3GPP TS 23.840 | Rete centrale | Riferimento tecnico alla base del comportamento di instradamento degli SMS |
In FS.11, i messaggi SS7 MAP sono raggruppati in categorie a seconda che debbano o meno provenire da un partner di interconnessione, che siano validi solo per la rete domestica dell'abbonato o che siano validi solo quando l'abbonato è effettivamente in roaming sulla rete richiedente. Il firewall applica queste categorie, aggiunge limiti di velocità per partner ed effettua controlli incrociati, ad esempio rifiutando un MT-ForwardSM per un abbonato che la rete sa non essere in roaming sulla rete dichiarata come visitata.
Cosa blocca un firewall di segnalazione e cosa non blocca
Un firewall di segnalazione, se implementato e configurato correttamente, blocca la stragrande maggioranza degli attacchi esterni SS7 e Diameter: le query di posizione, le attività di ricognizione, le configurazioni di intercettazione e le frodi di roaming che costituiscono la maggior parte della minaccia. Ciò si traduce in una sostanziale riduzione del rischio per gli abbonati e per i ricavi.
Non è una garanzia assoluta. Attori sofisticati e ben finanziati, comprese le operazioni di stati nazionali, continuano a trovare vie d'accesso: nuove combinazioni di messaggi, abuso di stati di roaming apparentemente legittimi o accesso ottenuto attraverso la rete compromessa di un partner fidato. Per questo motivo, la sicurezza della segnalazione viene concepita come una difesa a più livelli, non come un singolo dispositivo: firewall, monitoraggio, rilevamento delle anomalie e governance dei partner, disposti a strati in modo che una violazione a un livello venga rilevata a un altro.
Il firewall SS7 di BroadNet implementa le categorie FS.11 e FS.19 con limiti di velocità per partner e controlli incrociati dello stato di roaming, e invia gli eventi di segnalazione all'analisi di segnalazione e CDR in modo che le anomalie che sfuggono a una regola statica vengano comunque rilevate dal monitoraggio.
Come gli operatori lo implementano
Un tipico processo di implementazione inizia in modalità di solo monitoraggio per definire un comportamento di base normale dell'interconnessione senza interrompere il traffico, per poi passare al blocco attivo una volta che le categorie e le soglie di velocità sono state calibrate sulla reale composizione dei partner dell'operatore. L'output del monitoraggio è di per sé prezioso: molti operatori scoprono che i partner di interconnessione inviano operazioni che non avevano alcun motivo legittimo di inviare. Per una breve panoramica dei concetti, consultare le nostre risposte su Sicurezza della segnalazione SS7 e Sicurezza della segnalazione Diameter.
Domande frequenti
Qual è la differenza tra SS7 e Diameter Security?
SS7 è il protocollo di segnalazione legacy per le reti 2G/3G; Diameter è la sua controparte per 4G/LTE. Entrambi trasportano segnali di interconnessione e roaming che possono essere sfruttati per tracciamento, intercettazione e frode. Lo standard GSMA FS.11 fornisce le linee guida di sicurezza per SS7 e FS.19 per Diameter, quindi una difesa completa richiede un firewall su entrambi i piani, non solo su uno.
Un firewall di segnalazione può bloccare tutti gli attacchi SS7?
No. Un firewall ben configurato blocca la stragrande maggioranza degli attacchi esterni SS7 e Diameter, come il tracciamento della posizione, la ricognizione, le intercettazioni e le frodi di roaming. Tuttavia, attori sofisticati e statali possono ancora trovare nuove vie d'accesso, quindi la sicurezza della segnalazione si basa su una difesa multilivello: firewall, monitoraggio, rilevamento delle anomalie e governance dei partner, il tutto integrato in un unico sistema.
Cosa sono GSMA FS.11 e FS.19?
Si tratta di linee guida di sicurezza GSMA per la segnalazione di interconnessione. FS.11 riguarda il monitoraggio della sicurezza di interconnessione SS7 e le linee guida per i firewall, definendo categorie di messaggi e controlli. FS.19 riguarda la sicurezza di interconnessione Diameter per 4G/LTE. Un firewall di segnalazione implementa queste categorie anziché reinventarle, insieme a specifiche di supporto come IR.70/IR.71 e 3GPP TS 23.840.
In che modo la segnalazione SS7 consente agli aggressori di intercettare gli SMS?
Sfruttando le operazioni MAP legittime per influenzare l'instradamento dei messaggi di un abbonato, un utente malintenzionato con accesso alla segnalazione può deviare gli SMS in arrivo, comprese le password monouso, verso un punto sotto il suo controllo. Il firewall si difende da questo tipo di attacco tramite filtri basati su categorie e controlli incrociati dello stato di roaming, che rifiutano le operazioni provenienti da partner che non hanno un valido motivo per inviarle.