безопасности сигнализации есть проблема с имиджем. Она звучит как специализированная задача для инженеров, работающих с основными сетями, и атаки описываются как нечто экзотическое. Но это не так. Они дешевы, хорошо документированы и по-прежнему работают — а последствия для абонентов проявляются в виде отслеживания местоположения, перехвата одноразовых паролей и опустошения банковских счетов.
Это руководство описывает, что на самом деле происходит на уровне сигнализации, что требует от операторов структура GSMA в связи с этим, и почему имеющийся у вас межсетевой экран SMS не охватывает этот аспект.
Почему вообще SS7 можно использовать в коммерческих целях
SS7 был разработан для мира, насчитывающего несколько сотен государственных операторов связи, которые все знали друг друга. В его конструкции отсутствует аутентификация между сетями, поскольку в ней не было необходимости: если сообщение поступало в сеть, оно исходило от партнера, а партнеры по определению считались доверенными.
Дерегулирование, роуминговые хабы и перепродажа превратили несколько сотен доверенных участников в тысячи сторон, обладающих доступом к передаче сигналов, некоторые из которых перепродают его. Протокол не изменился. Злоумышленник, получивший глобальный титул — а его можно арендовать — может отправлять те же запросы, что и легитимный роуминговый партнер, и принимающая сеть не имеет криптографического способа отличить одно от другого.
Нападения, говоря простым языком.
Наибольший вред в реальном мире причиняют три категории, и ни одна из них не требует прикосновения к устройству абонента.
- Раскрытие местоположения. Запрос, предназначенный для роуминга — например, запрос о том, какой коммутатор в данный момент обслуживает абонента, — возвращает идентификатор соты, который соответствует физической зоне. Повторите его, и вы получите историю перемещений. Абонент ничего не увидит.
- Перехват SMS-сообщений. Злоумышленник обновляет в сети информацию о местонахождении абонента, поэтому сообщения перенаправляются на узел злоумышленника, а не на телефон. Любой одноразовый пароль, отправленный по SMS в течение этого периода, поступает злоумышленнику. Это механизм, лежащий в основе захвата учетных записей, который, как кажется, обходит двухфакторную аутентификацию.
- Раскрытие данных абонентов. Запросы, предназначенные для обеспечения легитимного взаимодействия между устройствами, возвращают идентификаторы и данные профиля, которые могут быть использованы для последующего мошенничества, включая идентификаторы, необходимые для того, чтобы попытка перехвата выглядела правдоподобной.
Перехват SMS-сообщений посредством сигнализации — вот почему одноразовые пароли, передаваемые по SMS, являются проверкой наличия имущества, а не надежным вторым фактором — проверяемое имущество может быть перемещено без участия абонента.
Diameter не решил проблему
Diameter заменил SS7 в LTE и последующих поколениях, и он поддерживает безопасность передачи данных. На практике межоператорский Diameter часто развертывается без него, и аналогичные атаки — определение местоположения, перехват, раскрытие данных — повторяются с другими именами сообщений. Сети также используют оба стека параллельно в течение многих лет во время миграции, и функции взаимодействия между ними транслируются, что означает, что атака со стороны SS7 может быть перенесена в ядро Diameter через шлюз, который доверяет тому, что он транслирует.
Межсетевой экран, поддерживающий передачу сигналов и понимающий только один из двух протоколов, оставляет другой открытым, а вместе с ним и функцию взаимодействия.
Что запрашивают FS.07 и FS.11
В документе GSMA изложена эталонная структура, на которой работает отрасль. В документе FS.11 определены категории безопасности межсоединений (SS7); документ FS.07 охватывает SMS и специфические аспекты обмена сообщениями. Именно категоризация делает проблему решаемой, поскольку она отделяет трафик, который никогда не является легитимным, от трафика, который является легитимным только в контексте.
| Категория | Что это включает | Уход |
|---|---|---|
| Категория 1 | Сообщения, которые никогда не должны поступать извне домашней сети. | Блокировка на границе. Законных оснований для межсетевого соединения нет. |
| Категория 2 | Сообщения считаются легитимными только из сети, в которой абонент фактически находится в роуминге. | Сопоставьте данные с состоянием роуминга; отклоните запрос при несоответствии. |
| Категория 3 | Сообщения, отправленные от роумингового партнера, являются законными, но могут быть использованы не по назначению в больших количествах или в больших объемах. | Анализ темпов, скорости и правдоподобности во времени. |
Категория 1 — это лёгкая победа, но чаще всего её не выполняют. Категория 3 — это область, где сосредоточены инженерные аспекты, поскольку одно сообщение может быть совершенно корректным, в то время как шаблон, к которому оно относится, явно является атакой — один и тот же запрос для тысячи подписчиков за час от партнёра с пятьюдесятью роумингами.
Почему проверка скорости важнее подписей
Сопоставление подписей выявляет заведомо некорректные типы сообщений. Оно не выявляет легитимные типы сообщений, используемые ненадлежащим образом, что составляет большую часть современных проблем. Полезные вопросы носят контекстный характер: находится ли этот абонент в этой стране, учитывая его местоположение сорок минут назад? Соответствует ли объем запросов этого партнера его роуминговому соглашению? Начала ли эта международная компания внезапно запрашивать информацию об абонентах, о которых она никогда раньше не запрашивала?
Для такого анализа необходимо состояние — записи о роуминге, исторические базовые показатели для каждого узла и возможность сопоставлять запрос с тем, что уже известно сети. Фильтр без сохранения состояния этого сделать не может, и это практическая причина, по которой сигнальные межсетевые экраны — это не просто списки контроля доступа.
Сигнальный межсетевой экран — это не SMS-межсетевой экран.
Их часто путают, потому что оба называются брандмауэрами и оба связаны с обменом сообщениями. Они работают на разных уровнях и защищают от разных угроз.
| SMS-брандмауэр | Сигнальный брандмауэр | |
|---|---|---|
| Самолет | Прикладной/сообщительный трафик | Сигнализация SS7 и Diameter |
| Видит | Содержимое сообщения, идентификатор отправителя, маршрутизация, объем | Запросы на межсетевое взаимодействие и сетевые процедуры |
| Остановки | Серые маршруты, спам, смишинг, утечки A2P, потеря дохода | Отслеживание местоположения, перехват SMS-сообщений, кража данных абонентов. |
| Рамки | GSMA FS.07 измерение сообщений | GSMA FS.11 / FS.07 категории |
Оператору необходимы оба документа. SMS firewall защищает доходы от обмена сообщениями и абонентов от вредоносного контента; межсетевой экран сигнализации защищает абонентов от сетевого уровня, расположенного под ним. Ни один из них не заменяет другой, и проверка, выявившая наличие одного из них, не должна рассматриваться как охватывающая другой.
Что включает в себя развертывание
- Прежде чем что-либо блокировать, установите базовый уровень трафика. Невозможно отличить аномальный трафик от нормального, не зная, что является нормальным для каждого партнера по межсетевому взаимодействию.
- В первую очередь включите блокировку по категории 1. Это наиболее надежный и наименее рискованный вариант, не требующий корреляции.
- Добавьте корреляцию категории 2 с состоянием роуминга, именно там чаще всего выявляются попытки перехвата.
- В режиме мониторинга введите правила скорости и правдоподобности категории 3, настройте их, а затем примените на практике.
- Необходимо охватить Diameter и функцию взаимодействия, а не только SS7 — атака, которая достигает одного стека и преобразуется в другой, обходит развертывание с одним стеком.
- Передайте выходные данные туда, где их сможет прочитать человек. Брандмауэр, который блокирует запросы незаметно, ничего не расскажет вам о том, кто именно вас проверяет.
Часто задаваемые вопросы
Что такое межсетевой экран с сигнализацией SS7?
Сетевой элемент на границе сигнализации, который проверяет трафик межсетевого взаимодействия SS7 и Diameter и применяет категории GSMA — блокируя сообщения, которые никогда не должны поступать извне сети, сопоставляя те, которые являются легитимными только тогда, когда абонент действительно находится в роуминге, и применяя анализ скорости к остальным.
Чем он отличается от межсетевого экрана SMS?
Они защищают разные уровни безопасности. Межсетевой экран SMS проверяет трафик сообщений на наличие «серых маршрутов», спама и утечек дохода от A2P-трафика. Межсетевой экран сигнализации проверяет процедуры SS7 и Diameter, находящиеся под ним, защищая от отслеживания местоположения, перехвата SMS-сообщений и раскрытия данных абонентов. Операторам нужны оба типа межсетевых экранов.
Что означают GSMA, FS.07 и FS.11?
Справочные документы GSMA по безопасности межсетевого взаимодействия. FS.11 охватывает категории межсетевого взаимодействия SS7, а FS.07 — аспект SMS и обмена сообщениями. Их ключевой вклад заключается в категориальной модели, которая отделяет трафик, никогда не являющийся легитимным, от трафика, который является легитимным только в конкретном контексте роуминга.
Могут ли злоумышленники по-прежнему отслеживать местоположение по SS7 в 2026 году?
Да, если в сетях не используется категориальная фильтрация. Задействованные запросы представляют собой обычные процедуры роуминга, поэтому сеть, которая не сопоставляет их с фактическим состоянием роуминга, не сможет отличить злоумышленника от партнера. Именно для предотвращения этого и существует обработка запросов категорий 1 и 2.
Устраняет ли Diameter проблему безопасности SS7?
Сама по себе она не обеспечивает безопасность передачи данных. Diameter поддерживает безопасность передачи, но в межоператорских развертываниях она часто отсутствует, и существуют аналогичные атаки с другими именами сообщений. Кроме того, в сетях оба стека работают параллельно во время миграции, поэтому функция взаимодействия может перенести атаку со стороны SS7 в ядро Diameter.
Предотвратит ли сигнальный брандмауэр мошенничество с заменой SIM-карт?
Нет — подмена SIM-карты — это атака с использованием методов социальной инженерии на собственный процесс предоставления услуг оператора, а не атака на сигнальную систему, поэтому от нее необходимо защищаться в рамках обслуживания клиентов и контроля переноса номеров. Межсетевой экран для сигнальной системы предотвращает технически аналогичный результат, достигаемый другим способом: перенос доставки сообщений через межсетевое соединение, а не через новую SIM-карту.
Приведёт ли блокировка сигнального трафика к нарушению роуминга для моих абонентов?
Нет, если их развернуть в правильном порядке. Сообщения категории 1 не имеют законных оснований для межсетевого взаимодействия, поэтому их блокировка безопасна сразу же. Правила категорий 2 и 3 должны работать в режиме мониторинга на основе реального базового уровня трафика и быть настроены перед применением, поэтому определение базового уровня выполняется в первую очередь.
Главный вывод
Атаки с использованием сигналов сохраняются, потому что протокол предполагает доверие, которого больше не существует, и потому что задействованные запросы неотличимы от легитимного роуминга, если не сопоставить их с тем, что уже известно сети. Категории GSMA делают это управляемым. Начните с Категории 1, сопоставьте Категорию 2 с состоянием роуминга, определите базовый уровень, прежде чем применять Категорию 3, и охватите Diameter и функцию взаимодействия, а не только SS7.
См. также: межсетевой экран сигнализации для операторов, SMS firewall и что такое мошенничество с подменой SIM-карты.