S7, la famiglia di protocolli di segnalazione utilizzata tra le reti mobili per instradamento, roaming, autenticazione e SMS, è stata progettata in un'epoca in cui solo poche centinaia di reti di operatori potevano scambiarsi messaggi di segnalazione, tutti considerati affidabili. Tale presupposto di fiducia non è più valido. L'accesso all'interconnessione si è ampliato notevolmente, in gran parte tramite rivenditori e aggregatori, e una parte significativa del traffico SS7 sulla rete di segnalazione globale è ora ostile: tracciamento della posizione, intercettazione di SMS, origine di chiamate fraudolente, raccolta di OTP e ricognizione tramite scambio di SIM. Un firewall SS7 rappresenta il controllo difensivo dell'operatore di telefonia mobile al confine della segnalazione. Questo documento illustra ciò che gli operatori devono sapere sulla superficie di attacco che copre, sugli standard a cui si conforma, sulla topologia in cui implementarlo e sul processo di configurazione che lo rende efficace in produzione.
La superficie di attacco dell'SS7 è composta da tre strati.
La GSMA classifica gli attacchi SS7 in tre ampie categorie che corrispondono in modo preciso ai controlli difensivi: FS.07 e FS.11 li definiscono e indicano le categorie di filtraggio raccomandate.
Categoria 1: messaggi che non dovrebbero mai provenire dall'esterno della rete domestica.
Esempi: anyTimeInterrogation (query sullo stato dell'abbonato interne all'operatore), provideSubscriberInformation, sendRoutingInformation (la variante senza restrizioni utilizzata per l'instradamento delle chiamate all'interno della rete domestica). Questi messaggi non hanno un utilizzo legittimo da una rete esterna; un messaggio in entrata di Categoria 1 dall'interconnessione è sempre un attacco o una configurazione errata. La regola del filtro è semplice: blocca, registra, avvisa. Il rischio di falsi positivi è minimo perché il roaming legittimo e l'instaurazione delle chiamate non li richiedono.
Categoria 2: messaggi che dovrebbero provenire solo dalla rete attualmente utilizzata dall'abbonato.
Esempi: provideSubscriberInformation quando emesso dalla rete visitata durante il roaming attivo, sendRoutingInfoForSM (SRI-SM) utilizzato dagli SMSC stranieri per instradare i messaggi agli abbonati di origine, update-location per LTE. Questi sono legittimi dalla rete giusta al momento giusto, ma indistinguibili dagli attacchi se la rete di origine non è quella in cui si trova effettivamente l'abbonato. La regola del filtro richiede una verifica incrociata: questo abbonato è effettivamente in roaming sulla rete che invia il messaggio? In caso contrario, il messaggio è sospetto. Il filtro necessita dell'accesso allo stato HLR/HSS di origine per rispondere.
Categoria 3: messaggi che possono essere legittimi ma che vengono comunemente utilizzati in modo improprio.
Esempi: SRI-SM ad alto volume da un'unica fonte (ricognizione dell'enumerazione degli abbonati), MT-ForwardSM con indirizzi di origine inesistenti sulla rete di origine dichiarata (spoofing del mittente), pattern di updateLocation che suggeriscono frodi di SIM-swap. Questi non possono essere bloccati singolarmente senza generare falsi positivi per il traffico legittimo; necessitano di un rilevamento basato sulla velocità, sui pattern e su protocolli diversi. L'apprendimento automatico comportamentale si rivela utile in questa categoria.
Cosa ispeziona effettivamente un firewall SS7
Sul lato SS7, il firewall si trova nel percorso dei messaggi di segnalazione, tipicamente come nodo Diameter/SCTP collegato alla dorsale SS7 dell'operatore, in grado di ispezionare sia il protocollo SS7 classico (MAP, CAMEL) che Diameter (S6a, S9, S6b). L'ispezione copre:
- Filtraggio dei messaggi per categoria in base alla tassonomia FS.07 / FS.11.
- Validazione della rete di origine: l'indirizzo del chiamante SCCP (o l'host di origine Diameter) appartiene a una rete con una relazione di roaming o interconnessione legittima?
- Correlazione tra messaggi: il messaggio MAP MT-ForwardSM segue un messaggio SRI-SM legittimo per lo stesso abbonato, oppure è arrivato a freddo?
- Limiti di velocità per origine e per categoria: l'SRI-SM a raffiche proveniente da un'unica fonte è di ricognizione.
- Coerenza tra protocolli: la dichiarazione relativa alla rete visitata nel messaggio MAP corrisponde a quanto l'HSS sa dall'ultimo aggiornamento della posizione di Diameter S6a?
- Validazione dello stato dell'abbonato: per i messaggi che dipendono dal fatto che l'abbonato sia in roaming, l'abbonato è effettivamente in roaming?
Un firewall SS7 che esegue solo la prima funzione di questo elenco è un filtro di Categoria 1; quelli dal punto 3 in poi sono quelli che proteggono dagli attacchi di Categoria 3, che sono i più importanti.
Topologia di distribuzione
Analogamente al firewall SMS, un firewall SS7 può essere implementato in modalità inline (ogni messaggio di segnalazione attraversa il firewall prima di raggiungere il core dell'operatore), in modalità mirror (una copia della segnalazione viene inviata al firewall per l'osservazione senza applicazione delle policy) o in modalità ibrida (mirroring di default con applicazione selettiva inline su specifiche categorie di messaggi o peer specifici). Si applicano gli stessi compromessi, con un'ulteriore considerazione: i budget di latenza di SS7 sono ristretti — molti scambi di segnalazione hanno SLA di diversi secondi misurati a livello di esperienza utente — e l'implementazione inline deve essere in grado di ispezionare alla velocità di linea senza aggiungere latenza significativa. La pianificazione della capacità è più impegnativa rispetto ai firewall SMS perché la velocità dei messaggi di segnalazione su una rete di grandi dimensioni è elevata.
Allineamento degli standard: FS.07, FS.11 e il dialogo con l'ente regolatore.
Lo standard GSMA FS.07 copre in generale la protezione della segnalazione SS7; lo standard FS.11 copre le raccomandazioni di filtraggio specifiche per gli SMS. Entrambi sono esplicitamente citati dagli enti regolatori nazionali del GCC, in Europa e, sempre più spesso, in Africa e Asia, come riferimento per la valutazione dei controlli degli operatori. Un'implementazione di firewall SS7 che mappa esplicitamente le proprie categorie di filtro su FS.07 e FS.11 offre tre vantaggi contemporaneamente: semplifica notevolmente le procedure di audit interne all'operatore (i controlli corrispondono a una tassonomia riconosciuta), semplifica le verifiche da parte dell'ente regolatore (che può verificare la conformità allo standard) e semplifica la revisione tra pari del GSMA Fraud and Security Group (l'operatore può dimostrare i controlli utilizzando la terminologia impiegata per la revisione). Specificare la conformità a FS.07/FS.11 in qualsiasi procedura di appalto; rifiutare i fornitori che propongono tassonomie proprietarie.
Falsi positivi e processo di sintonizzazione
Ogni firewall SS7, al primo avvio, genera un numero eccessivo di falsi positivi. La questione non è se aspettarsi dei falsi positivi, ma come l'operatore riduca il numero di falsi positivi nei primi 90 giorni.
La sequenza di ottimizzazione standard prevede: implementazione in modalità mirror per due settimane, durante le quali si definisce la baseline del traffico legittimo, inclusa la lunga coda di accordi di roaming insoliti ma legittimi con reti estere più piccole. Si passa quindi all'applicazione selettiva in linea dei messaggi di Categoria 1 (basso rischio di falsi positivi per definizione), per poi estendere la configurazione alla Categoria 2 con il cross-checking abilitato, e infine alla Categoria 3 con soglie comportamentali calibrate in base alla baseline. Durante tutto il processo, si mantiene un flusso di lavoro di analisi per i messaggi segnalati, con la possibilità di inserire nella whitelist reti sorgente specifiche per determinate categorie di messaggi, laddove le relazioni commerciali lo giustifichino. L'obiettivo finale è un firewall che blocca il traffico ostile con un tasso di falsi positivi inferiore all'1% sul roaming legittimo.
Gli attacchi che gli operatori scoprono più spesso dopo l'implementazione
Nel primo mese di implementazione di qualsiasi firewall SS7, indipendentemente dalla posizione geografica, emergono tre categorie di attività non autorizzate.
- Richieste di localizzazione degli abbonati provenienti da reti estere senza alcuna motivazione commerciale — rappresentano una piccola percentuale del traffico di interconnessione tipico, spesso da reti che non hanno mai avuto un accordo di roaming con l'operatore.
- Iniezione MT-ForwardSM che bypassa l'SMSC dell'operatore: l'equivalente del percorso grigio a livello SS7 del percorso grigio a livello SMS, spesso lo stesso traffico che il firewall SMS sta intercettando anche da un'angolazione diversa.
- Ricognizione basata su modelli di scambio SIM: query di aggiornamento della posizione e correlate su intervalli di abbonati di alto valore (settore bancario, governativo) che corrispondono a tentativi di acquisizione dell'account.
I report del primo mese di un nuovo firewall SS7 sono difficili da leggere perché mostrano quanti problemi si verificavano prima, senza che venissero presidiati. Sono anche il documento più utile che il team di sicurezza dell'operatore può presentare al comitato esecutivo e all'autorità di regolamentazione.
Supporto per le verifiche degli enti regolatori
Gli enti regolatori di tutta la regione stanno progressivamente introducendo requisiti di audit per la protezione del livello di segnalazione degli operatori, talvolta come parte di framework più ampi di protezione degli abbonati o di sicurezza informatica, talvolta come mandati autonomi per la sicurezza della segnalazione. Un firewall SS7 ben strumentato produce i dati di audit su richiesta: statistiche per categoria di filtro, registri dei messaggi bloccati (con conservazione appropriata), tassi di falsi positivi, mappe di allineamento rispetto a FS.07/FS.11, tempistiche di risposta agli incidenti. L'operatore in grado di produrre questi dati da una dashboard predefinita risponde all'ente regolatore in un incontro; l'operatore che deve raccoglierli su richiesta impiega settimane a farlo sotto stretta osservazione. È fondamentale integrare la reportistica di audit nel piano di implementazione fin dal primo giorno.
Interazione con il firewall SMS: sono due cose inscindibili.
Un firewall SS7 e un firewall SMS coprono superfici di attacco sovrapposte ma non identiche. Il firewall SMS intercetta gli abusi A2P al confine dell'SMSC (controllo dell'ID mittente, rilevamento della terminazione delle SIM farm, filtraggio dei contenuti) ed è più efficace sul traffico che raggiunge un SMSC autorizzato. Il firewall SS7 intercetta gli abusi a livello di segnalazione al di sotto dell'SMSC (iniezione MT-ForwardSM che aggira l'SMSC, tracciamento della posizione, origine di chiamate fraudolente, ricognizione dello scambio di SIM). I due sistemi condividono i dati di telemetria quando possibile, generano avvisi in base a modelli correlati (una richiesta di scambio di SIM a livello SS7 seguita da una raffica di OTP a livello SMS è un segnale più forte rispetto a ciascuno dei due singolarmente) e insieme forniscono la difesa a più livelli di cui gli operatori hanno bisogno. L'implementazione di uno senza l'altro lascia una lacuna significativa.
Il firewall SS7 di BroadNet implementa categorie di filtri conformi a FS.07, correlazione cross-protocollo con il firewall SMS e report pronti per le verifiche, requisiti sempre più richiesti dalle autorità di regolamentazione della regione. Le implementazioni nelle reti MENA sono basate su mirroring, allineate a FS e ottimizzate in base a parametri specifici dell'operatore prima di qualsiasi applicazione in linea.
Che aspetto ha il bene, in numeri
Un'implementazione matura del firewall SS7 su una rete Tier-1 MENA raggiunge in genere: oltre il 99% dei messaggi di Categoria 1 bloccati al confine (la categoria più semplice), oltre il 90% degli abusi di Categoria 2 bloccati tramite correlazione tra protocolli, oltre il 70% degli abusi di Categoria 3 bloccati tramite rilevamento comportamentale, con un tasso di falsi positivi inferiore all'1% sul traffico di roaming legittimo. Questi numeri aumentano nel tempo man mano che i modelli comportamentali si addestrano sul traffico specifico della rete; i risultati del secondo anno sono in genere significativamente migliori rispetto a quelli del primo anno, senza alcun investimento in nuove tecnologie.
Cosa significa questo per i prossimi tre anni
SS7 non scomparirà. Il settore ne prevede la sostituzione da vent'anni, e invece SS7 è stato gradualmente potenziato con Diameter (per LTE) e HTTP/2 con SBI (per il core 5G), ma ogni operatore continua a terminare SS7 perché ogni altro operatore continua a terminarlo. La strategia difensiva deve quindi adottare un orizzonte temporale di lungo termine. Investite nell'infrastruttura firewall come se dovesse rimanere in servizio per dieci anni, non per tre; includete nel budget la capacità degli analisti per la manutenzione delle regole e la revisione degli output dei modelli comportamentali come costo operativo fisso, non come costo di progetto; create pipeline di conservazione dei dati e di audit-export come sistemi di livello produttivo, non come soluzioni a posteriori. Le reti che hanno adottato queste soluzioni dalla fine degli anni 2010 sono ora molto più avanti rispetto a quelle che stanno iniziando ora: non esistono scorciatoie per una distribuzione matura.
Letture correlate
- Cos'è un firewall SMS e perché gli operatori ne hanno bisogno
- Percorsi diretti contro percorsi grigi negli SMS A2P
- In che modo la verifica delle chiamate flash influisce sui ricavi A2P degli operatori
- Glossario — Firewall di segnalazione GSMA FS.07 / FS.11, Spiegazione di SS7 MAP, Spiegazione di Diameter S6a
- Pagine prodotto — firewall SS7 dell'operatore e panoramica delle soluzioni dell'operatore
- Copertura — Protezione della segnalazione dell'Arabia Saudita e posizione di audit CST