ежсетевой экран сигнализации проверяет трафик межсетевых соединений SS7 и Diameter и блокирует сообщения, не имеющие законного назначения — несанкционированные запросы местоположения, попытки перехвата SMS-сообщений и мошенничество в роуминге. Он применяет фильтрацию на основе категорий GSMA FS.11 (SS7) и FS.19 (Diameter). Межсетевые экраны останавливают большинство внешних атак, но изощренные и государственные субъекты продолжают свою деятельность, поэтому необходима многоуровневая защита.
Почему межсоединительная сигнализация представляет собой проблему безопасности
SS7 и Diameter — это протоколы плоскости управления, позволяющие сетям маршрутизировать вызовы, доставлять SMS и поддерживать роуминг. Они были разработаны для небольшого круга доверенных операторов, поэтому в значительной степени предполагают честность отправителя. В мире тысяч партнеров по межсетевому взаимодействию и перепродажи доступа это предположение нарушается. Злоумышленник, имеющий доступ к сигнализации, может запрашивать и манипулировать сетью, как если бы он был законным партнером по роумингу.
Модель угроз
- Отслеживание местоположения — злоупотребление запросами типа anyTimeInterrogation или ProvideSubscriberInfo для определения местонахождения абонента без каких-либо оснований для роуминга.
- Перехват SMS — использование операций SS7 MAP (например, манипулирование маршрутизацией сообщений) для перенаправления SMS-сообщений абонента, включая одноразовые пароли (OTP), в точку, контролируемую злоумышленником.
- Разведка абонентов — несанкционированные запросы SendRoutingInfoForSM (SRI-SM), собирающие данные IMSI и сети обслуживания для подготовки целенаправленных атак.
- Мошенничество с межсетевым взаимодействием в роуминге — внедрение MT-ForwardSM и связанные с этим злоупотребления, позволяющие обойти средства контроля домашней сети и любые соглашения A2P.
- Отказ в предоставлении услуг и сбои — некорректные или высокоскоростные сигналы, используемые для ухудшения качества обслуживания целевых абонентов.
Главная идея заключается в том, что все это основано на легитимных операциях протокола. Нет единого «сообщения атаки», которое можно было бы заблокировать — одна и та же операция может быть безобидной со стороны настоящего роумингового партнера и вредоносной со стороны злоумышленника, у которого нет причин ее отправлять. Именно поэтому безопасность сигнализации — это проблема фильтрации и контекста, а не простой список разрешенных/запрещенных сообщений.
Наборы правил: FS.11, FS.19 и соответствующие спецификации.
Компетентный межсетевой экран для передачи сигналов не изобретает свои категории — он реализует рекомендации, определенные GSMA. Эти документы кодифицируют, какие операции следует отслеживать, какие блокировать из каких источников и как классифицировать сообщения межсетевого взаимодействия по степени риска.
| Документ | Объем | Что это определяет |
|---|---|---|
| GSMA FS.11 | межсоединение SS7 | Рекомендации по мониторингу безопасности и межсетевому экрану SS7; категории сообщений и элементы управления. |
| GSMA FS.19 | Межсоединение Diameter | Руководство по обеспечению безопасности межсоединений Diameter (4G/LTE) |
| GSMA IR.70 / IR.71 | SMS / межсоединение | Передовые методы взаимодействия и межсетевого взаимодействия SMS. |
| 3GPP TS 23.840 | Основная сеть | Технические основы поведения маршрутизации SMS |
В FS.11 сообщения SS7 MAP группируются по категориям в зависимости от того, должны ли они вообще поступать от партнера по межсетевому взаимодействию, действительны ли они только для домашней сети абонента и действительны ли они только тогда, когда абонент фактически находится в роуминге в запрашивающей сети. Межсетевой экран обеспечивает соблюдение этих категорий, добавляет ограничения скорости для каждого партнера и применяет перекрестные проверки — например, отклоняет MT-ForwardSM для абонента, который, как известно сети, не находится в роуминге в заявленной посещаемой сети.
Что блокирует сигнальный межсетевой экран — и что он не блокирует.
Внедренный и настроенный межсетевой экран для передачи сигналов блокирует подавляющее большинство внешних атак SS7 и Diameter: запросы местоположения, разведку, перехват данных и мошенничество в роуминге, составляющие основную часть угрозы. Это существенно снижает риски для абонентов и доходов.
Это не является полной гарантией. Опытные и хорошо обеспеченные ресурсами субъекты, включая государственные структуры, продолжают находить пути обхода защиты: новые комбинации сообщений, злоупотребление правдоподобно выглядящими роуминговыми состояниями или доступ, полученный через скомпрометированную сеть доверенного партнера. Именно поэтому безопасность сигнализации рассматривается как многоуровневая защита, а не как единое устройство: межсетевой экран плюс мониторинг плюс обнаружение аномалий плюс управление со стороны партнеров, многоуровневая структура, позволяющая обнаружить обход на одном уровне на другом.
Межсетевой экран BroadNet SS7 реализует категории FS.11 и FS.19 с ограничениями скорости для каждого партнера и перекрестными проверками состояния роуминга, а также передает сигнальные события в аналитику сигнализации и CDR, поэтому аномалии, которые ускользают от статического правила, все равно отображаются в мониторинге.
Как операторы его развертывают
Типичный процесс развертывания сначала начинается в режиме только мониторинга для определения базового уровня нормального поведения межсетевого соединения без потери трафика, а затем переходит в активную блокировку после того, как категории и пороговые значения скорости будут настроены в соответствии с реальным составом партнеров оператора. Результаты мониторинга сами по себе ценны — многие операторы обнаруживают, что партнеры по межсетевому соединению отправляют операции, для отправки которых у них не было законных оснований. Краткое изложение концепций см. в наших ответах по безопасности сигнализации SS7 и безопасности сигнализации Diameter.
Часто задаваемые вопросы
В чём разница между системами безопасности SS7 и Diameter?
SS7 — это устаревший протокол сигнализации для сетей 2G/3G; Diameter — его аналог для 4G/LTE. Оба протокола передают сигналы межсетевого взаимодействия и роуминга, которые могут быть использованы для отслеживания, перехвата и мошенничества. GSMA FS.11 содержит рекомендации по безопасности для SS7, а FS.19 описывает Diameter, поэтому для полноценной защиты необходима межсетевая защита на обоих уровнях, а не только на одном.
Может ли сигнальный межсетевой экран остановить все атаки SS7?
Нет. Хорошо настроенный межсетевой экран блокирует подавляющее большинство внешних атак SS7 и Diameter — отслеживание местоположения, разведку, организацию перехвата и мошенничество в роуминге. Но изощренные и государственные субъекты все еще могут находить новые пути, поэтому безопасность сигнализации — это многоуровневая защита: межсетевой экран плюс мониторинг плюс обнаружение аномалий плюс управление партнерами, все это в совокупности.
Что представляют собой GSMA FS.11 и FS.19?
Это рекомендации GSMA по безопасности для сигнализации межсоединений. FS.11 охватывает мониторинг безопасности межсоединений SS7 и рекомендации по межсетевым экранам, определяя категории сообщений и элементы управления. FS.19 охватывает безопасность межсоединений Diameter для 4G/LTE. Межсетевой экран для сигнализации реализует эти категории, а не изобретает их заново, наряду с поддерживающими спецификациями, такими как IR.70/IR.71 и 3GPP TS 23.840.
Каким образом сигнализация SS7 позволяет злоумышленникам перехватывать SMS-сообщения?
Злоумышленник, имеющий доступ к сигналам, используя легитимные операции MAP для влияния на маршрутизацию сообщений абонента, может перенаправлять входящие SMS-сообщения, включая одноразовые пароли, в контролируемую им точку. Межсетевой экран защищает от этого с помощью фильтрации по категориям и перекрестных проверок состояния роуминга, которые отклоняют операции, поступающие от партнеров, для отправки которых нет веских оснований.