Что такое SMS-брандмауэр?

Контрольная точка на пути передачи сообщений.

Межсетевой экран SMS устанавливается на или рядом с коммутатором SMSC и межсетевым соединением оператора, проверяя SMS-сообщения на этапе их поступления в сеть. Если межсетевой экран SS7 контролирует сигнализацию, то межсетевой экран SMS контролирует обмен сообщениями: он разделяет трафик между пользователями (P2P) и трафик между приложениями и пользователями (A2P) — одноразовые пароли (OTP), оповещения и маркетинговые сообщения, отправляемые предприятиями, — и применяет коммерческую политику и политику безопасности. Это различие является экономической основой системы: завершение A2P-сообщений представляет собой значительный поток доходов, который мошенники постоянно пытаются обойти, маскируя A2P под P2P.

• Проверяет потоки сообщений, передаваемых по протоколам SMPP, MAP и SIP, поступающие в сеть.
• Классифицирует P2P и A2P-сети, а также по категориям контента (OTP, транзакционные, рекламные).
• Применяет политику безопасности (блокировка/разрешение/ограничение скорости) и коммерческую политику (корректное выставление счетов A2P).
• Как правило, интегрировано с соглашением о монетизации A2P/хаббинге.

Как работает SMS-брандмауэр

Межсетевой экран устанавливается в разрыв (inline) на SMS-стыке — на сигнальном пути SS7/SIGTRAN и на прикладном пути SMPP. Для каждого сообщения он проверяет идентификатор отправителя, содержимое, происхождение и пропускную способность, оценивает его по репутации и политике каждого узла, а затем принимает решение о передаче, помечает его, ограничивает скорость или отбрасывает. Каждое решение регистрируется для аудита.

Почему операторы развертывают SMS-брандмауэры

Основной коммерческий фактор — монетизация A2P-трафика. Предприятия платят за охват абонентов, но если этот трафик проникает через неофициальные каналы или SIM-карты в качестве P2P-трафика, оператор бесплатно прекращает его обработку и теряет доход. SMS-брандмауэр обнаруживает замаскированный A2P-трафик и направляет его по разрешенному, платному маршруту — зачастую это разница между каналом обмена сообщениями, который приносит убытки, и каналом, приносящим прибыль. Мировой рынок A2P-сообщений оценивается в десятки миллиардов долларов в год, поэтому даже небольшие утечки трафика представляют собой существенную потерю дохода.

• Возврат доходов от A2P-торговли, замаскированной под P2P.
• Обеспечьте использование договорных, оплачиваемых услуг по завершению обработки корпоративного трафика.
• Предоставьте коммерческие данные (кто что отправляет) для поддержки оптовых сделок A2P.

Серые маршруты и SIM-боксы — два классических вектора утечек.

Серый маршрут — это путь доставки, который технически функционален, но коммерчески или юридически не санкционирован — чаще всего это A2P-соединение, внедряемое как P2P-соединение для обхода платы за завершение A2P-сообщений. SIM-боксы (SIM-фермы) — это физическая версия: стойки с SIM-картами, которые отправляют массовые корпоративные сообщения, как если бы это были обычные абоненты, завершая соединение бесплатно. SMS-брандмауэр обнаруживает их по скорости отправки сообщений (один «абонент» отправляет тысячи почти идентичных сообщений), по отпечатку содержимого (один и тот же шаблон OTP для многих отправителей) и по аномалиям источника. Серые маршруты также являются основным каналом, по которому проходит искусственно завышенный трафик (AIT).

• Серый маршрут: A2P-платформа, замаскированная под P2P-платформу, чтобы избежать комиссий за A2P-сделки; неоднозначная правовая ситуация.
• SIM-бокс: SIM-ферма, внедряющая массовые A2P-соединения в качестве локальных P2P-соединений.
• Обнаружение: скорость, идентификация содержимого, аномалии источника/поведения.
• Серые маршруты обеспечивают ненадежную доставку и являются основным каналом для автоматизированной разведки и перехвата.

Контроль идентификаторов отправителей — предотвращение отправки поддельных данных отправителей.

Буквенно-цифровые и числовые идентификаторы отправителя легко подделать на уровне протокола, именно поэтому фишинговые сообщения выглядят так, будто они отправлены банком или курьерской службой. SMS-брандмауэр обеспечивает соблюдение политики идентификаторов отправителя: вносит в список разрешенных зарегистрированные корпоративные идентификаторы отправителя, блокирует или помещает в карантин незарегистрированные и отклоняет сообщения, имитирующие защищенные бренды. Регуляторы устанавливают конкретные правила регистрации — индийская система TRAI DLT требует предварительной регистрации отправителей и шаблонов, а управляемый отраслью реестр MEF SMS SenderID Protection Registry позволяет брендам и операторам защищать определенные идентификаторы отправителя в разных сетях.

• Добавить в список разрешенных отправителей зарегистрированные идентификаторы корпоративных отправителей; остальные заблокировать или поместить в карантин.
• Внедрить меры по борьбе с подделкой защищенных товарных знаков.
• Поддержка режимов регулирования (например, регистрация DLT в индийском TRAI).
• Интеграция с реестром защиты идентификаторов отправителей SMS MEF, где это возможно.

Смишинг и угрозы, связанные с контентом.

Смишинг (SMS-фишинг) обманом заставляет подписчиков переходить по вредоносным ссылкам или передавать учетные данные. SMS-брандмауэр применяет контроль контента — извлечение URL-адресов и проверку репутации, списки блокировки известных вредоносных ссылок, сопоставление ключевых слов и шаблонов, а также классификаторы машинного обучения, которые выявляют новые кампании по их структуре, а не по точной сигнатуре. Поскольку мошенники быстро меняют URL-адреса и формулировки, эффективная защита от смишинга сочетает статические списки блокировки (быстрые, точные) с поведенческим/машинным обнаружением (адаптивным), а не полагается только на один из этих методов.

• Извлекайте и проверяйте репутацию встроенных URL-адресов.
• Заблокируйте известные вредоносные ссылки и шаблоны.
• Классификация с использованием машинного обучения для выявления перефразированных/новых рекламных кампаний.
• Внесите подтвержденные примеры фишинга с помощью SMS-сообщений обратно в базу правил.

Как работает обнаружение — DPI плюс машинное обучение

Межсетевые экраны для SMS-сообщений сочетают в себе глубокий анализ пакетов (DPI) со статистическим анализом и машинным обучением. DPI анализирует поля сообщения и протокола для классификации P2P и A2P, извлечения идентификаторов отправителей и URL-адресов, а также применения правил подписи. Машинное обучение добавляет поведенческий уровень: определение базовых показателей нормального объема трафика для каждого отправителя и маршрута, выявление всплесков и изменений в шаблонах, а также оценка трафика на предмет характеристик «серых маршрутов» или AIT, которые не могут быть выявлены отдельным сообщением. Правила подписи обеспечивают точность и скорость; машинное обучение обеспечивает адаптивность к постоянно меняющемуся мошенничеству.

• DPI: анализ протокола/содержимого, классификация, правила сигнатуры.
• Машинное обучение: определение базовых показателей поведения, оценка аномалий и мошенничества.
• Слияние: точность правил плюс адаптивность моделей.

Два уровня: A2P/контент против SS7/сигнализация

Полноценный межсетевой экран охватывает две плоскости. Межсетевой экран A2P (контент) проверяет тела сообщений SMPP, идентификаторы отправителей и URL-адреса. Межсетевой экран сигнализации проверяет операции SS7 MAP и Diameter, чтобы предотвратить отслеживание местоположения и перехват. Рекомендуется использовать единый механизм политик для обеих плоскостей с общей репутацией абонентов — разделение стеков приводит к расхождению. См. /answers/gsma-fs07-fs11-signaling-firewall и /operators/ss7-firewall.

Развертывание и операции

Межсетевой экран для SMS-сообщений интегрируется в SMSC/интерконнектор и может работать в режиме реального времени (блокировка в реальном времени) или в режиме анализа для настройки. В операционном плане он должен обрабатывать пропускную способность операторского масштаба, предоставлять понятную отчетность для групп по борьбе с мошенничеством и оптовым продажам, а также оставаться актуальным по мере развития угроз и регулирования. Многие операторы используют его в рамках управляемого A2P/хаббинга, где партнер также обеспечивает охват целевой сети и регистрацию идентификатора отправителя — именно так обычно предоставляется межсетевой экран для SMS-сообщений от BroadNet.

• Интеграция на уровне SMSC/интерконнектора; режим контроля и анализа в режиме реального времени.
• Пропускная способность и доступность операторского класса.
• Составление отчетов по мошенничеству и коммерческой деятельности для отделов безопасности и оптовой торговли.
• Часто предоставляется в виде управляемого сервиса монетизации A2P.

Ограничения и операционные реалии

Эффективность брандмауэра зависит от его настройки. Слишком агрессивные правила приводят к ложным срабатываниям, блокирующим легитимные A2P-соединения; недостаточно настроенные правила приводят к потере дохода. Брандмауэр требует постоянного обновления правил и актуальных данных о репутации, а также не способен отслеживать трафик внутри зашифрованных OTT-каналов — трафик WhatsApp и RCS полностью находится вне зоны действия SMS-брандмауэра. См. /answers/what-is-ott-bypass.