огда операторы просят нас оценить возможности межсетевого экрана для SMS-сообщений, разговор часто начинается с вопроса о доходах и заканчивается вопросом безопасности — потому что эти два аспекта неразделимы. Те же самые «серые» каналы, которые приводят к утечке доходов от A2P-сообщений, используются для рассылки SMS-фишинга, перехвата OTP-кодов и мошенничества с поддельными отправителями. Межсетевой экран — это одновременно продукт, гарантирующий получение дохода, и продукт, защищающий абонентов. Вот модель угроз, которую он должен охватывать.
Угроза 1 — Завершение соединения A2P через SIM-бокс
Агрегатор покупает SIM-карты потребителей, устанавливает их в GSM-шлюз и обрабатывает A2P-трафик, как если бы это была обычная SMS-переписка между физическими лицами. Оператор видит P2P-трафик, выставляет счета по тарифам P2P (часто близким к нулю), а агрегатор получает прибыль от A2P-трафика. Обнаружение основано на поведенческом анализе: реальные абоненты не отправляют тысячи практически идентичных сообщений в час с одного MSISDN, не отправляют только исходящие сообщения без входящих и не демонстрируют машинно-регулируемой синхронизации между сообщениями.
Угроза 2 — Подмена отправителя SMS-сообщения
На уровне SS7 MAP адрес отправителя SMS-сообщения может быть установлен в виде произвольной строки. Именно такой механизм лежит в основе SMS-фишинга типа «ваш банк», который появляется в той же ветке, что и легитимные банковские сообщения. Защита осуществляется за счет контроля идентификаторов отправителей: ведется реестр, определяющий, какие идентификаторы отправителей разрешены на каких маршрутах, а все незарегистрированные сообщения или сообщения, поступающие по неправильному маршруту, блокируются или помещаются в карантин.
Угроза 3 — Злоупотребление межсетевым соединением SS7
- Несанкционированные запросы SendRoutingInfoForSM (SRI-SM) собирают данные IMSI абонента и данные MSC обслуживающего сервера — это разведывательная операция для целенаправленных атак.
- Внедрение MT-ForwardSM от партнеров по межсетевому взаимодействию, которое полностью обходит домашний SMSC и любые соглашения A2P.
- Запросы на отслеживание местоположения (anyTimeInterrogation, ProvideSubscriberInfo), не имеющие законной цели роуминга в запрашивающей сети.
Эти проблемы решаются на уровне сигнализации с помощью межсетевого экрана SS7: фильтрация сообщений MAP на основе категорий, ограничения скорости для каждого межсоединения и перекрестные проверки (например, отклонение MT-ForwardSM для абонента, который, как известно сети, не находится в роуминге в заявленной посещаемой сети). GSMA FS.11 и FS.19 кодифицируют рекомендуемые категории; компетентный межсетевой экран SS7 реализует их, а не изобретает заново.
Почему одних правил уже недостаточно
Системы, основанные исключительно на правилах, не справляются с противниками, которые адаптируются — меняют идентификаторы отправителей, изменяют содержимое сообщений, меняют партнеров по межсетевому взаимодействию ежечасно. Современные межсетевые экраны сочетают детерминированные правила (реестр, категория, репутация маршрута) с поведенческим машинным обучением, которое сопоставляет закономерности пропускной способности, сходство содержимого и сигналы совпадения получателей по идентификаторам отправителей и маршрутам. Правила выявляют известные ошибки; машинное обучение выявляет адаптивные. Вам нужны оба уровня.
Межсетевой экран BroadNet обучается на трафике операторов из стран Ближнего Востока и Северной Африки с 2003 года. Региональные обучающие данные имеют значение — модели мошенничества, правила идентификации отправителей и топологии роуминга в странах Персидского залива достаточно сильно отличаются от среднемировых показателей, поэтому универсальная модель показывает низкую эффективность.
Как выглядит развертывание
Типичный процесс включает мониторинг в течение двух-четырех недель для определения базового уровня трафика и настройки пороговых значений без блокировки чего-либо, после чего переходит в активный режим контроля. Результаты первого года следуют устойчивой закономерности: A2P-трафик с серых маршрутов возвращается на оплачиваемые маршруты, резко снижается количество сообщений о фишинге, поступающих от абонентов, и — то, чего операторы не всегда ожидают — появляется гораздо более четкая картина данных о том, кто и что на самом деле отправляет по сети.