Всё, что стоит знать, и ничего лишнего.
Как работает система безопасности сигнализации SS7 и Diameter.
В межсетевом интерфейсе установлен сигнальный межсетевой экран, который проверяет каждую входящую операцию SS7 MAP и 4G Diameter, прежде чем она достигнет HLR, HSS или MSC. Каждое сообщение проверяется на соответствие правилам категории GSMA, репутации отправителя в глобальном заголовке и правдоподобности (имеет ли это обновление роуминга географический смысл?), после чего оно принимается, ограничивается по скорости или отбрасывается. Каждое решение регистрируется для аудита. См. /answers/what-is-ss7 и /answers/ss7-map-explained.
Угрозы, которые оно предотвращает
Сбор информации с помощью SendRoutingInfoForSM, раскрывающий IMSI абонента и обслуживающий MSC для отслеживания местоположения; запросы местоположения ProvideSubscriberInfo и AnyTimeInterrogation; перехват SMS через несанкционированный MT-ForwardSM; и аналоги Diameter в сетях 4G. См. /answers/ss7-map-send-routing-info-for-sm, /answers/ss7-map-provide-subscriber-info и /answers/diameter-s6a-explained.
Стандарты GSMA: IR.82, IR.88, FS.07 и FS.11
Стандарт GSMA IR.82 устанавливает руководящие принципы реализации безопасности SS7 и классификацию сообщений категорий 1/2/3; IR.88 охватывает роуминг LTE/EPC Diameter; FS.07 определяет мониторинг SS7, а FS.11 — средства контроля безопасности межсетевого взаимодействия SS7. Вместе они указывают операторам, какие межсетевые операции следует блокировать, ограничивать скорость или разрешать для каждого узла. См. /answers/gsma-fs07-fs11-signaling-firewall.
Преимущества для оператора
Защита абонентов от отслеживания и перехвата, соответствие нормативным требованиям и стандартам GSMA, журнал аудита сигналов с защитой от несанкционированного доступа, а также возможность сопоставления сигналов с A2P-трафиком для выявления мошенничества, затрагивающего оба уровня. BroadNet объединяет межсетевой экран сигнализации с межсетевым экраном SMS и интеллектуальным модулем CDR для единого представления политики. См. /operators/ss7-firewall и /platforms/signaling-cdr.
Ограничения и операционные реалии
Эффективность сигнального межсетевого экрана зависит от правил классификации и репутационных данных — чрезмерная блокировка нарушает легитимный роуминг, недостаточная настройка предотвращает атаки с утечками информации. Он должен охватывать как SS7, так и Diameter, поскольку сети используют гибридные ядра 2G/3G/4G, и он не может видеть внутреннюю структуру зашифрованной сигнализации на основе сервисов 5G, для которой необходимы собственные механизмы управления SEPP. См. /answers/what-is-sigtran.
Межсетевой экран SS7 против межсетевого экрана SMS — в чем разница?
Межсетевой экран SS7 (сигнальный) контролирует плоскость управления сетью — операции MAP и Diameter — чтобы предотвратить отслеживание местоположения и перехват данных. Межсетевой экран SMS (A2P) контролирует прикладной уровень — содержимое сообщений, идентификаторы отправителей и доставку SMPP — чтобы предотвратить SMS-фишинг и использование «серых маршрутов». Они защищают разные уровни и наиболее эффективны при совместном развертывании. BroadNet предоставляет оба варианта. См. /operators/sms-firewall и /operators/ss7-firewall.