SS7 — a família de protocolos de sinalização que opera entre redes móveis para encaminhamento, roaming, autenticação e SMS — foi projetado numa época em que apenas algumas centenas de redes de operadoras podiam trocar mensagens de sinalização, todas elas confiáveis. Essa premissa de confiança não se aplica mais. O acesso à interconexão se expandiu drasticamente, em grande parte por meio de revendedores e agregadores, e uma parcela significativa do tráfego SS7 na rede global de sinalização agora é hostil: rastreio de localização, interceção de SMS, originação de chamadas fraudulentas, recolha de OTP (palavra-passe de uso único) e reconhecimento de troca de SIM. Um firewall SS7 é o controlo defensivo da operadora móvel no limite da sinalização. Este artigo aborda o que as operadoras precisam saber sobre a superfície de ataque que ele cobre, os padrões aos quais está alinhado, a topologia para a sua implantação e o processo de ajuste que o torna útil em produção.
A superfície de ataque do SS7 em três camadas
A GSMA categoriza os ataques SS7 em três categorias amplas que se relacionam claramente com os controlos defensivos — FS.07 e FS.11 definem-nas e as categorias de filtragem recomendadas.
Categoria 1 — mensagens que nunca devem vir de fora da rede doméstica
Exemplos: anyTimeInterrogation (consultas internas da operadora sobre o estado do assinante), provideSubscriberInformation, sendRoutingInformation (a variante irrestrita usada para encaminhamento de chamadas dentro da rede doméstica). Essas mensagens não têm uso legítimo numa rede externa; uma mensagem de Categoria 1 recebida da interconexão é sempre um ataque ou uma configuração incorreta. A regra de filtro é simples: descartar, registar, alertar. O risco de falsos positivos é mínimo, pois o roaming legítimo e o estabelecimento de chamadas não exigem essas mensagens.
Categoria 2 — mensagens que devem vir apenas da rede atualmente em uso pelo assinante.
Exemplos: `provideSubscriberInformation` quando emitido pela rede visitada durante roaming ativo, `sendRoutingInfoForSM` (SRI-SM) usado por SMSCs estrangeiros para encaminhar mensagens para assinantes locais, `update-location` para LTE. Esses exemplos são legítimos, vindos da rede correta no momento correto, mas indistinguíveis de ataques se a rede de origem não for a mesma onde o assinante está de facto. A regra de filtro exige verificação cruzada: este assinante está realmente em roaming na rede que enviou a mensagem? Caso contrário, a mensagem é suspeita. O filtro precisa ter acesso ao estado do HLR/HSS local para responder.
Categoria 3 — mensagens que podem ser legítimas, mas são comumente usadas de forma abusiva.
Exemplos: SRI-SM em alto volume a partir de uma única fonte (reconhecimento de enumeração de assinantes), MT-ForwardSM com endereços de origem que não existem na rede de origem alegada (falsificação de remetente), padrões de updateLocation que sugerem fraude de troca de SIM. Esses ataques não podem ser bloqueados individualmente por mensagem sem gerar falsos positivos para tráfego legítimo; eles exigem deteção baseada em velocidade, em padrões e entre protocolos. A aprendizagem automática comportamental se mostra essencial nessa categoria.
O que um firewall SS7 realmente inspeciona
No lado SS7, o firewall fica no caminho das mensagens de sinalização — normalmente como um nó conectado via Diameter/SCTP na rede principal SS7 da operadora, capaz de inspecionar tanto o SS7 clássico (MAP, CAMEL) quanto o Diameter (S6a, S9, S6b). A inspeção abrange:
- Filtragem de mensagens por categoria, de acordo com a taxonomia FS.07 / FS.11.
- Validação da rede de origem — o endereço da parte que está a chamar no SCCP (ou o host de origem do Diameter) pertence a uma rede com uma relação legítima de roaming ou interconexão?
- Correlação entre mensagens — o MAP MT-ForwardSM segue um SRI-SM legítimo para o mesmo assinante, ou chegou sem resposta?
- Limites de velocidade por origem e por categoria — SRI-SM intermitente de uma única fonte é reconhecimento.
- Consistência entre protocolos — a declaração de rede visitada na mensagem MAP corresponde ao que o HSS sabe a partir da atualização de localização Diameter S6a mais recente?
- Validação do estado do assinante — para mensagens que dependem do assinante estar em roaming, o assinante está realmente em roaming?
Um firewall SS7 que executa apenas o primeiro item desta lista é um filtro de Categoria 1; os filtros a partir do terceiro item são os que protegem contra os ataques de Categoria 3, que são os mais importantes.
Topologia de implantação
Assim como o firewall SMS, um firewall SS7 pode ser implantado em linha (cada mensagem de sinalização atravessa o firewall antes de chegar ao núcleo da operadora), em modo espelho (uma cópia da sinalização é enviada ao firewall para observação sem aplicação de restrições) ou híbrido (espelhamento por predefinição com aplicação seletiva em linha em categorias de mensagens específicas ou pares específicos). As mesmas compensações se aplicam, com uma consideração adicional: os orçamentos de latência do SS7 são limitados — muitas trocas de sinalização têm SLAs de vários segundos medidos no nível da experiência do utilizador — e a implantação em linha deve ser capaz de inspecionar na velocidade da linha sem adicionar latência significativa. O planeamento de capacidade é mais exigente do que para firewalls SMS porque a taxa de mensagens de sinalização numa rede grande é alta.
Alinhamento de normas — FS.07, FS.11 e a conversa com o órgão regulador
A norma GSMA FS.07 abrange a proteção de sinalização SS7 de forma ampla; a FS.11 abrange recomendações de filtragem específicas para SMS. Ambas são referenciadas explicitamente por reguladores nacionais nos países do Conselho de Cooperação do Golfo (CCG), na Europa e, cada vez mais, na África e na Ásia, como a base para avaliação dos controlos das operadoras. Uma implementação de firewall SS7 que mapeia as suas categorias de filtro explicitamente para as normas FS.07 e FS.11 gera três benefícios simultaneamente: facilita muito a auditoria interna da operadora (os controlos são mapeados para uma taxonomia reconhecida), facilita muito a auditoria do regulador (o regulador pode verificar a conformidade com a norma) e facilita muito a revisão por pares no Grupo de Fraude e Segurança da GSMA (a operadora pode demonstrar os controlos num vocabulário utilizado pela revisão por pares). Especifique a conformidade com as normas FS.07 e FS.11 em qualquer processo de licitação; recuse fornecedores que respondam com taxonomias proprietárias.
Falsos positivos e o processo de ajuste
Todo firewall SS7 apresenta sobrebloqueio na primeira implantação. A questão não é se devemos esperar falsos positivos, mas sim como o operador os reduzirá nos primeiros 90 dias.
A sequência padrão de ajuste é a seguinte: implantação em modo espelho por duas semanas, enquanto se estabelece uma linha de base para o tráfego legítimo, incluindo a longa cauda de acordos de roaming incomuns, porém legítimos, com redes estrangeiras menores. Em seguida, implementa-se a aplicação seletiva de bloqueio em linha para mensagens da Categoria 1 (baixo risco de falsos positivos por definição), expandindo-se posteriormente para a Categoria 2 com verificação cruzada habilitada e, por fim, para a Categoria 3 com os limites comportamentais ajustados em relação à linha de base. Durante todo o processo, mantém-se um fluxo de trabalho de análise para mensagens sinalizadas, com a possibilidade de adicionar redes de origem específicas à lista de permissões para categorias de mensagens específicas, sempre que relações comerciais genuínas o justifiquem. O objetivo final é um firewall bloqueando o tráfego malicioso com uma taxa de falsos positivos inferior a 1% em roaming legítimo.
Os ataques que os operadores descobrem com mais frequência após a implantação.
Três categorias de atividades não autorizadas surgem no primeiro mês de qualquer firewall SS7 recém-implantado, independentemente da localização geográfica.
- Consultas de localização de assinantes provenientes de redes estrangeiras sem qualquer justificativa comercial — uma pequena porcentagem do tráfego de interconexão típico, frequentemente de redes que nunca tiveram um acordo de roaming com a operadora.
- A injeção MT-ForwardSM ignora o SMSC do próprio operador — o equivalente na camada SS7 da rota cinza na camada SMS, frequentemente o mesmo tráfego que o firewall SMS também interceta de um ângulo diferente.
- Reconhecimento de troca de SIM com base em padrões correspondentes — Atualização de localização e consultas relacionadas em intervalos de assinantes de alto valor (bancos, governo) que se correlacionam com tentativas de apropriação de contas.
Os relatórios do primeiro mês de um novo firewall SS7 são desconfortáveis de ler, pois mostram o quanto de problemas ocorria sem mitigação anteriormente. Eles também são o documento mais útil que a equipa de segurança da operadora pode apresentar ao comité executivo e ao órgão regulador.
Apoio à auditoria regulatória
Órgãos reguladores em toda a região estão progressivamente introduzindo requisitos de auditoria para a proteção da camada de sinalização das operadoras — às vezes como parte de estruturas mais amplas de proteção de assinantes ou de cibersegurança, outras vezes como mandatos independentes de segurança de sinalização. Um firewall SS7 bem instrumentado gera os artefatos de auditoria a pedido: estatísticas de categorias de filtro, logs de mensagens bloqueadas (com retenção apropriada), taxas de falsos positivos, mapas de alinhamento com FS.07/FS.11 e cronogramas de resposta a incidentes. A operadora que consegue gerar esses dados a partir de um painel de controlo permanente responde ao órgão regulador numa reunião; a operadora que precisa compilá-los a pedido passa semanas fazendo isso sob escrutínio. Incorpore a geração de relatórios de auditoria ao plano de implantação desde o primeiro dia.
Interação com o firewall SMS — eles pertencem um ao outro
Um firewall SS7 e um firewall SMS cobrem superfícies de ataque sobrepostas, mas não idênticas. O firewall SMS deteta abusos A2P na fronteira do SMSC — imposição de ID do remetente, deteção de terminação de farm de SIM, filtragem de conteúdo — e é mais eficaz no tráfego que chega a um SMSC autorizado. O firewall SS7 deteta abusos na camada de sinalização abaixo do SMSC — injeção de MT-ForwardSM que ignora o SMSC, rastreio de localização, origem de chamadas fraudulentas, reconhecimento de troca de SIM. Os dois sistemas partilham telemetria sempre que possível, alertam sobre padrões correlacionados (uma consulta de troca de SIM na camada SS7 seguida por uma sequência de OTP na camada SMS é um sinal mais forte do que qualquer um deles isoladamente) e, juntos, fornecem a defesa em camadas que os operadores precisam. Implantar um sem o outro deixa uma lacuna significativa.
O firewall SS7 da BroadNet implementa categorias de filtro alinhadas ao FS.07, correlação entre protocolos com o firewall SMS e relatórios prontos para auditoria, cada vez mais exigidos pelos órgãos reguladores da região. As implantações em redes MENA priorizam a criação de espelhamento, o alinhamento com o FS e o ajuste de acordo com as linhas de base específicas de cada operadora antes de qualquer aplicação de políticas em linha.
O que significa um bom resultado, em números.
Uma implementação madura de firewall SS7 numa rede Tier-1 no Médio Oriente e Norte de África (MENA) normalmente alcança: mais de 99% das mensagens de Categoria 1 bloqueadas na borda da rede (a categoria mais fácil), mais de 90% dos usos indevidos da Categoria 2 bloqueados por meio de correlação entre protocolos, mais de 70% dos abusos da Categoria 3 bloqueados por meio de deteção comportamental, com uma taxa de falsos positivos inferior a 1% no tráfego legítimo de roaming. Esses números se acumulam ao longo do tempo à medida que os modelos comportamentais são treinados com o tráfego específico da rede; os números do segundo ano são normalmente significativamente melhores do que os do primeiro ano, mesmo sem qualquer investimento em novas tecnologias.
O que isso significa para os próximos três anos
O SS7 não vai desaparecer. A indústria prevê a sua substituição há duas décadas, e o que aconteceu, na verdade, foi que o SS7 foi incrementalmente aprimorado com o Diameter (para LTE) e o HTTP/2 com SBI (para o núcleo do 5G), mas todas as operadoras ainda terminam o SS7 porque todas as outras operadoras ainda o terminam. Portanto, a postura defensiva precisa assumir uma perspetiva de longo prazo. Invista na infraestrutura de firewall como se ela fosse ficar em serviço por dez anos, não três; inclua no orçamento a capacidade de analistas para manter as regras e revisar os resultados dos modelos comportamentais como custo operacional fixo, não como custo de projeto; construa os pipelines de retenção de dados e exportação de auditoria como sistemas de nível de produção, não como soluções improvisadas. As redes que vêm fazendo isso desde o final da década de 2010 estão muito à frente das que estão a começar agora — não há atalho para uma implementação madura.
Leituras relacionadas
- O que é um firewall SMS e porque os operadores precisam de um
- Rotas diretas versus rotas indiretas em SMS A2P
- Como a verificação de chamadas instantâneas afeta a receita A2P da operadora
- Glossário — Firewall de sinalização GSMA FS.07 / FS.11, Explicação do SS7 MAP, Explicação do Diameter S6a
- Páginas de produtos — firewall SS7 para operadoras e visão geral das soluções para operadoras
- Cobertura — Arábia Saudita sinaliza proteção e postura de auditoria do CST