m firewall de sinalização inspeciona o tráfego de interconexão SS7 e Diameter e bloqueia mensagens sem propósito legítimo — consultas de localização não autorizadas, tentativas de interceção de SMS e fraudes em roaming. Ele aplica filtragem baseada em categorias, conforme as normas GSMA FS.11 (SS7) e FS.19 (Diameter). Os firewalls impedem a maioria dos ataques externos, mas agentes sofisticados e patrocinados por Estados-nação persistem, exigindo, portanto, uma defesa em profundidade.
Porque a sinalização de interconexão é um problema de segurança?
SS7 e Diameter são os protocolos do plano de controlo que permitem às redes encaminhar chamadas, entregar SMS e suportar roaming. Eles foram projetados para um pequeno grupo de operadoras confiáveis, portanto, pressupõem, em grande parte, a honestidade do remetente. Num mundo com milhares de parceiros de interconexão e acesso revendido, essa premissa deixa de existir. Um atacante com acesso de sinalização pode consultar e manipular a rede como se fosse um parceiro de roaming legítimo.
O modelo de ameaça
- Rastreio de localização — uso indevido de consultas como anyTimeInterrogation ou ProvideSubscriberInfo para descobrir onde um assinante está, sem qualquer justificativa de roaming.
- Interceção de SMS — utilização de operações SS7 MAP (por exemplo, manipulação do encaminhamento de mensagens) para desviar SMS de um assinante, incluindo palavras-passe de uso único (OTP), para um ponto controlado pelo atacante.
- Reconhecimento de assinantes — solicitações não autorizadas de SendRoutingInfoForSM (SRI-SM) para recolher dados de IMSI e da rede servidora a fim de preparar ataques direcionados.
- Fraude de interconexão em roaming — injeção de MT-ForwardSM e abusos relacionados que burlam os controlos da rede doméstica e qualquer acordo A2P.
- Negação e interrupção — sinalização malformada ou de alta velocidade usada para degradar o serviço para assinantes específicos.
O ponto em comum é que todas essas ações dependem de operações legítimas do protocolo. Não existe uma única "mensagem de ataque" para bloquear — a mesma operação pode ser benigna se enviada por um parceiro de roaming genuíno e maliciosa se enviada por um agente sem motivo para tal. É isso que torna a sinalização de segurança um problema de filtragem e contexto, e não uma simples lista de permissões/bloqueios.
Os conjuntos de regras: FS.11, FS.19 e as especificações de suporte.
Um firewall de sinalização competente não inventa as suas categorias — ele implementa as diretrizes definidas pela GSMA. Esses documentos codificam quais operações monitorizar, quais bloquear de quais fontes e como categorizar as mensagens de interconexão por risco.
| Documento | Âmbito | O que isso define |
|---|---|---|
| GSMA FS.11 | Interconexão SS7 | Diretrizes de monitorização de segurança e firewall SS7; categorias e controlos de mensagens. |
| GSMA FS.19 | Interconexão de diâmetro | Diretrizes de segurança para interconexão Diameter (4G/LTE) |
| GSMA IR.70 / IR.71 | SMS / interconexão | Melhores práticas de interconexão e interoperabilidade de SMS |
| 3GPP TS 23.840 | Rede principal | Referência técnica que fundamenta o comportamento de encaminhamento de SMS |
No FS.11, as mensagens SS7 MAP são agrupadas em categorias de acordo com se elas devem ou não chegar de um parceiro de interconexão, se são válidas apenas para a rede doméstica de um assinante e se são válidas apenas quando o assinante está em roaming na rede solicitante. O firewall impõe essas categorias, adiciona limites de velocidade por parceiro e aplica verificações cruzadas — por exemplo, rejeitando um MT-ForwardSM para um assinante que a rede sabe que não está em roaming na rede visitada alegada.
O que um firewall de sinalização impede — e o que ele não impede.
Implantado e configurado corretamente, um firewall de sinalização bloqueia a grande maioria dos ataques externos SS7 e Diameter: as consultas de localização, o reconhecimento, as tentativas de interceção e as fraudes de roaming que constituem a maior parte da ameaça. Isso representa uma redução substancial no risco para assinantes e receita.
Não se trata de uma garantia absoluta. Atores sofisticados e com muitos recursos — incluindo operações de Estados-nação — continuam a encontrar brechas: novas combinações de mensagens, abuso de estados de roaming aparentemente legítimos ou acesso obtido por meio da rede comprometida de um parceiro confiável. É por isso que a segurança de sinalização é concebida como uma defesa em profundidade, e não como um dispositivo único: firewall, monitorização, deteção de anomalias e governança de parceiros, tudo em camadas para que uma falha numa delas seja detetada em outra.
O firewall SS7 da BroadNet implementa as categorias FS.11 e FS.19 com limites de velocidade por parceiro e verificações cruzadas de estado de roaming, e alimenta eventos de sinalização em análises de sinalização e CDR, de modo que anomalias que escapam a uma regra estática ainda aparecem na monitorização.
Como os operadores o implementam
Uma implementação típica é executada inicialmente em modo somente monitorização para estabelecer uma linha de base do comportamento normal de interconexão sem perda de tráfego. Em seguida, o bloqueio ativo é implementado assim que as categorias e os limites de velocidade são ajustados à combinação real de parceiros da operadora. Os dados de monitorização são valiosos por si só — muitas operadoras descobrem parceiros de interconexão enviando operações que não tinham justificativa legítima para enviar. Para uma breve explicação dos conceitos, consulte as nossas respostas sobre Segurança de sinalização SS7 e Segurança de sinalização Diameter.
Perguntas frequentes
Qual a diferença entre os sistemas de segurança SS7 e Diameter?
O SS7 é o protocolo de sinalização legado para redes 2G/3G; o Diameter é seu equivalente para 4G/LTE. Ambos transportam sinais de interconexão e roaming que podem ser explorados para rastreio, interceção e fraude. A norma GSMA FS.11 fornece as diretrizes de segurança para o SS7 e a FS.19 aborda o Diameter; portanto, uma defesa completa requer firewalls em ambas as camadas, e não apenas numa delas.
Um firewall de sinalização consegue impedir todos os ataques SS7?
Não. Um firewall bem configurado bloqueia a grande maioria dos ataques externos SS7 e Diameter — rastreio de localização, reconhecimento, interceção e fraude em roaming. Mas agentes sofisticados e até mesmo agentes estatais ainda podem encontrar novas brechas, portanto, a segurança de sinalização é uma defesa em profundidade: firewall, monitorização, deteção de anomalias e governança de parceiros, tudo integrado em camadas.
O que são GSMA FS.11 e FS.19?
São diretrizes de segurança da GSMA para sinalização de interconexão. A FS.11 abrange a monitorização de segurança de interconexão SS7 e diretrizes de firewall, definindo categorias e controlos de mensagens. A FS.19 abrange a segurança de interconexão Diameter para 4G/LTE. Um firewall de sinalização implementa essas categorias em vez de reinventá-las, além de oferecer suporte a especificações como IR.70/IR.71 e 3GPP TS 23.840.
Como a sinalização SS7 permite que invasores intercetem mensagens SMS?
Ao abusar de operações legítimas de MAP (Mapeamento de Acesso Aberto) para influenciar o encaminhamento das mensagens de um assinante, um atacante com acesso à sinalização pode desviar SMS recebidos — incluindo palavras-passe de uso único — para um ponto que ele controla. O firewall se defende contra isso com filtragem baseada em categorias e verificações cruzadas de estado de roaming que rejeitam operações provenientes de parceiros sem um motivo válido para enviá-las.