Всё, что стоит знать, и ничего лишнего.
Как работает система безопасности сигнализации Diameter
Diameter — это протокол сигнализации AAA, заменивший SS7 MAP в ядре 4G. MME и HSS обмениваются сообщениями S6a/S6d для подключения абонентов, авторизации услуг и маршрутизации SMS. Агент Diameter Edge Agent находится на границе роуминга (S6a/S9/S6d), и каждое входящее сообщение проверяется на соответствие правилам GSMA FS.19, репутации исходного домена и вероятности — действительно ли это сообщение Update-Location поступает из домена, в котором абонент может находиться в роуминге? — после чего принимается, ограничивается скорость или отбрасывается, при этом каждое решение регистрируется. См. /answers/diameter-s6a-explained и /answers/what-is-hss.
Угрозы, которые оно предотвращает
Поддельные сообщения Update-Location-Request (ULR), которые перехватывают маршрутизацию абонента для перехвата звонков и SMS; злоупотребления Insert-Subscriber-Data и Cancel-Location, которые изменяют профиль или приводят к отказу в обслуживании; и раскрытие местоположения через интерфейсы определения местоположения SLh/SLg. Это эквиваленты атак SS7 MAP на адреса GSMA FS.11 в Diameter. См. /answers/ss7-signaling-security и /answers/ss7-map-send-routing-info-for-sm.
GSMA FS.19 и агент Diameter Edge
GSMA FS.19 (Diameter Interconnect Security) — это справочный документ: он определяет модель категорий для сообщений Diameter между операторами и указывает операторам, какие из них следует блокировать, ограничивать скорость или разрешать в зависимости от области действия. Агент Diameter Edge Agent — это пограничный элемент, который обеспечивает его соблюдение — точка скрытия топологии, фильтрация на границе роуминга LTE, точный аналог STP-плюс-брандмауэра на стороне SS7. См. /answers/gsma-fs07-fs11-signaling-firewall.
Безопасность сигнализации Diameter и SS7
Безопасность SS7/MAP защищает плоскость управления 2G/3G; безопасность Diameter защищает плоскость управления 4G/LTE. Поскольку большинство сетей используют гибридное ядро 2G/3G/4G, и SMS по-прежнему переключается на SS7 для многих мобильных устройств, злоумышленник, заблокированный на одной плоскости, просто пытается использовать другую — поэтому два межсетевых экрана должны работать как единая политика с общей репутацией абонента. В автономном режиме 5G эквивалентная задача передается SEPP по HTTP/2. См. /answers/what-is-ss7 и /answers/what-is-sigtran.
Преимущества для оператора
Защита абонентов от отслеживания и перехвата, соответствие требованиям GSMA и регулирующих органов, журнал аудита Diameter с защитой от несанкционированного доступа, а также возможность сопоставления Diameter с трафиком SS7 и A2P для выявления мошенничества, охватывающего различные сферы. BroadNet объединяет сигнальный межсетевой экран Diameter и SS7 с SMS-межсетевым экраном и интеллектуальным управлением CDR для единого представления политик в сети. См. /operators/ss7-firewall и /platforms/signaling-cdr.
Ограничения и операционные реалии
Эффективность межсетевого экрана Diameter зависит от правил классификации и репутации домена — чрезмерная блокировка нарушает работу легитимных роуминговых партнеров, недостаточная настройка приводит к утечкам данных. Он не может проникнуть внутрь зашифрованной сигнализации на основе сервисов автономного ядра 5G, которому необходимы собственные механизмы контроля SEPP и TLS, и должен быть согласован с межсетевым экраном SS7, чтобы не возникали уязвимости в гибридном ядре. См. /answers/ss7-signaling-security.
Является ли Diameter более безопасным, чем SS7?
Лишь в незначительной степени, и это не предусмотрено разработчиками. Diameter поддерживает IPsec/TLS и проверку на основе доменов, чего не было в SS7, но ранние версии роуминга LTE поставлялись без этих функций, поэтому реальные межсоединения Diameter унаследовали ту же уязвимость в отношении доверия к пиру, что и SS7 — именно поэтому существует GSMA FS.19. Практическое решение заключается в том, что ни один из уровней не является безопасным без присмотра: оба требуют сигнального брандмауэра. BroadNet обеспечивает безопасность обоих уровней в сетях более чем 60 операторов. См. /operators/ss7-firewall.