S7 — семейство протоколов сигнализации, используемых между мобильными сетями для маршрутизации, роуминга, аутентификации и SMS — было разработано в эпоху, когда лишь несколько сотен операторских сетей могли обмениваться сигнальными сообщениями, и все они считались доверенными. Это предположение о доверии больше не актуально. Доступ к межсетевым соединениям значительно расширился, в основном за счет реселлеров и агрегаторов, и значительная часть трафика SS7 в глобальной сети сигнализации теперь носит враждебный характер: отслеживание местоположения, перехват SMS, инициирование мошеннических звонков, сбор одноразовых паролей (OTP) и разведка подмены SIM-карт. Межсетевой экран SS7 — это защитный механизм мобильного оператора на границе сети сигнализации. В этой статье операторы должны знать о поверхности атаки, которую он покрывает, стандартах, которым он соответствует, топологии развертывания и процессе настройки, который делает его полезным в производственной среде.
Атакующая поверхность SS7 состоит из трех слоев.
GSMA классифицирует атаки SS7 на три широкие категории, которые четко соответствуют средствам защиты — FS.07 и FS.11 определяют их и рекомендуемые категории фильтрации.
Категория 1 — сообщения, которые никогда не должны поступать извне домашней сети.
Примеры: anyTimeInterrogation (внутриоператорские запросы состояния абонента), provideSubscriberInformation, sendRoutingInformation (неограниченный вариант, используемый для маршрутизации вызовов внутри домашней сети). Эти сообщения не имеют законного применения в чужой сети; входящее сообщение категории 1 от межсетевого соединения всегда является либо атакой, либо ошибкой конфигурации. Правило фильтрации простое: отбросить, зарегистрировать, оповестить. Риск ложных срабатываний минимален, поскольку законные процессы роуминга и установления вызова их не требуют.
Категория 2 — сообщения, которые должны поступать только из сети, в которой в данный момент находится абонент.
Примеры: provideSubscriberInformation, отправляемое посещаемой сетью во время активного роуминга, sendRoutingInfoForSM (SRI-SM), используемое иностранными SMSC для маршрутизации сообщений домашним абонентам, Diameter S6a update-location для LTE. Эти сообщения являются легитимными от нужной сети в нужное время, но неотличимы от атак, если исходная сеть находится не там, где фактически находится абонент. Правило фильтра требует перекрестной проверки: находится ли данный абонент в данный момент в роуминге в сети, отправляющей сообщение? Если нет, сообщение считается подозрительным. Фильтру необходим доступ к состоянию домашнего HLR/HSS для ответа.
Категория 3 — сообщения, которые могут быть законными, но часто используются не по назначению.
Примеры: SRI-SM в большом объеме из одного источника (разведка по перечислению абонентов), MT-ForwardSM с адресами отправителя, которых нет в заявленной сети источника (подмена отправителя), шаблоны updateLocation, указывающие на мошенничество с заменой SIM-карты. Их невозможно заблокировать для каждого сообщения отдельно без ложных срабатываний, связанных с легитимным трафиком; для их обнаружения необходимы методы, основанные на скорости, шаблонах и межпротокольном анализе. В этой категории поведенческое машинное обучение оправдывает себя.
Что именно проверяет межсетевой экран SS7?
На стороне SS7 межсетевой экран находится на пути сигнальных сообщений — как правило, в виде узла, подключенного к Diameter/SCTP в магистральной сети SS7 оператора, способного проверять как классический SS7 (MAP, CAMEL), так и Diameter (S6a, S9, S6b). Проверка включает в себя:
- Фильтрация по категориям сообщений на основе таксономии FS.07 / FS.11.
- Проверка исходной сети — принадлежит ли адрес вызывающей стороны SCCP (или хост источника Diameter) сети с законными роуминговыми или межсетевыми отношениями?
- Корреляция между сообщениями — следует ли сообщение MAP MT-ForwardSM за легитимным сообщением SRI-SM для того же абонента, или оно поступило «вслепую»?
- Ограничения скорости для каждого источника и для каждой категории — импульсный SRI-SM из одного источника используется для разведки.
- Согласованность между протоколами — соответствует ли информация о посещенной сети в сообщении MAP данным, известным HSS из последнего обновления Diameter S6a?
- Проверка состояния абонента — для сообщений, которые зависят от того, находится ли абонент в роуминге, действительно ли он находится в роуминге?
Межсетевой экран SS7, выполняющий только первый пункт из этого списка, является фильтром категории 1; экраны, начиная с третьего пункта, защищают от наиболее важных атак категории 3.
Топология развертывания
Подобно SMS-брандмауэру, брандмауэр SS7 может развертываться в режиме inline (каждое сигнальное сообщение проходит через брандмауэр, прежде чем достичь ядра оператора), в зеркальном режиме (копия сигнального сообщения передается на брандмауэр для наблюдения без принудительного применения) или в гибридном режиме (зеркалирование по умолчанию с выборочным применением inline-правил к определенным категориям сообщений или определенным узлам). Применяются те же компромиссы, с одним дополнительным моментом: бюджеты задержки SS7 ограничены — многие обмены сигнальными данными имеют многосекундные SLA, измеряемые на уровне пользовательского опыта, — и развертывание inline должно обеспечивать проверку на скорости линии без существенного увеличения задержки. Планирование пропускной способности более требовательно, чем для SMS-брандмауэров, поскольку скорость передачи сигнальных сообщений в большой сети высока.
Согласование стандартов — FS.07, FS.11 и обсуждение с регулирующими органами.
Стандарт GSMA FS.07 охватывает защиту сигналов SS7 в широком смысле; FS.11 содержит рекомендации по фильтрации, специфичные для SMS. Оба стандарта явно используются национальными регуляторами в странах Персидского залива, Европе, а все чаще и в Африке и Азии в качестве базового стандарта, по которому оцениваются средства контроля операторов. Внедрение межсетевого экрана SS7, которое сопоставляет категории фильтров со стандартами FS.07 и FS.11, дает сразу три преимущества: упрощается собственное обсуждение аудита оператором (средства контроля соответствуют признанной таксономии), упрощается аудит регулятора (регулятор может проверить соответствие стандарту) и упрощается экспертная оценка в группе GSMA по борьбе с мошенничеством и безопасности (оператор может продемонстрировать средства контроля, используя терминологию, применяемую в ходе экспертной оценки). Необходимо указывать соответствие FS.07/FS.11 в любом процессе закупок; следует отказывать поставщикам, предлагающим собственные таксономии.
Ложные срабатывания и процесс настройки
Любой межсетевой экран SS7 при первом развертывании блокирует слишком много трафика. Вопрос не в том, следует ли ожидать ложных срабатываний, а в том, как оператор снизит их количество в течение первых 90 дней.
Стандартная последовательность настройки: развертывание в зеркальном режиме в течение двух недель с определением базового уровня легитимного трафика, включая длинный хвост необычных, но законных роуминговых соглашений с небольшими зарубежными сетями. Переход к выборочному применению правил в режиме реального времени сначала для сообщений категории 1 (низкий риск ложных срабатываний по определению), затем расширение до категории 2 с включенной перекрестной проверкой, а затем до категории 3 с пороговыми значениями поведения, настроенными относительно базового уровня. На протяжении всего процесса необходимо поддерживать рабочий процесс аналитика для помеченных сообщений, с возможностью добавления в белый список определенных исходных сетей для определенных категорий сообщений, если это оправдано реальными деловыми отношениями. Конечный результат — межсетевой экран, блокирующий враждебный трафик с уровнем ложных срабатываний менее 1% для легитимного роуминга.
Атаки, которые операторы чаще всего обнаруживают после развертывания
В течение первого месяца работы любого межсетевого экрана SS7, независимо от географического положения, выявляются три категории несанкционированной активности.
- Запросы местоположения абонентов из зарубежных сетей, для которых нет деловых оснований, составляют несколько процентов от типичного трафика межсетевого взаимодействия, часто от сетей, которые никогда не имели роумингового соглашения с оператором.
- Внедрение MT-ForwardSM в обход собственного SMSC оператора — это аналог серого маршрута на уровне SS7 для серого маршрута на уровне SMS, часто тот же самый трафик, который межсетевой экран SMS также перехватывает под другим углом.
- Поиск мошеннических схем с использованием подмены SIM-карт на основе сопоставления шаблонов — запросы Update-Location и связанные с ними запросы к группам абонентов с высокой ценностью (банковские учреждения, государственные структуры), которые коррелируют с попытками захвата учетной записи.
Отчеты за первый месяц работы нового межсетевого экрана SS7 читать неприятно, потому что они показывают, сколько проблем оставалось без внимания до этого. Однако это также наиболее полезный документ, который команда безопасности оператора может представить исполнительному комитету и регулирующему органу.
Поддержка при проведении аудита регулирующих органов
Регуляторы по всему региону постепенно вводят требования к аудиту защиты сигнального уровня операторов — иногда в рамках более широких мер по защите абонентов или кибербезопасности, иногда в качестве отдельных требований к безопасности сигнального уровня. Хорошо оснащенный межсетевой экран SS7 по запросу предоставляет данные аудита: статистику категорий фильтров, журналы заблокированных сообщений (с соответствующим сроком хранения), показатели ложных срабатываний, карты соответствия FS.07 / FS.11, хронологии реагирования на инциденты. Оператор, который может предоставить эти данные со стандартной панели мониторинга, отвечает регулятору на совещании; оператор, которому приходится собирать их по запросу, тратит недели на это под пристальным вниманием. Включите отчетность по аудиту в план развертывания с самого первого дня.
Взаимодействие с межсетевым экраном SMS — они неразрывно связаны.
Межсетевой экран SS7 и межсетевой экран SMS (SMS) охватывают перекрывающиеся, но не идентичные поверхности атаки. Межсетевой экран SMS перехватывает злоупотребления A2P на границе SMSC — принудительное использование идентификатора отправителя, обнаружение завершения SIM-карт, фильтрация контента — и наиболее эффективен для трафика, достигающего санкционированного SMSC. Межсетевой экран SS7 перехватывает злоупотребления на уровне сигнализации ниже SMSC — внедрение MT-ForwardSM, обходящее SMSC, отслеживание местоположения, инициирование мошеннических звонков, разведка подмены SIM-карт. Обе системы обмениваются телеметрией там, где это возможно, оповещают о коррелированных закономерностях (запрос о подмене SIM-карты на уровне SS7 с последующим потоком OTP на уровне SMS является более сильным сигналом, чем любой из них по отдельности), и вместе обеспечивают многоуровневую защиту, необходимую операторам. Развертывание одной системы без другой оставляет существенный пробел.
Межсетевой экран BroadNet SS7 firewall реализует категории фильтров, соответствующие стандарту FS.07, межпротокольную корреляцию с SMS firewall и готовую к аудиту отчетность, которую все чаще ожидают регулирующие органы в регионе. Развертывание в сетях MENA осуществляется с использованием зеркалирования в первую очередь, в соответствии со стандартом FS и настраивается на основе базовых параметров конкретного оператора до начала каких-либо мер принудительного применения.
Как выглядит хороший результат в цифрах
Внедрение высокопроизводительного межсетевого экрана SS7 в сети уровня Tier-1 MENA обычно обеспечивает следующие показатели: блокировка более 99% сообщений категории 1 на границе сети (легкая категория), блокировка более 90% случаев злоупотребления категории 2 за счет межпротокольной корреляции, блокировка более 70% случаев злоупотребления категории 3 за счет поведенческого анализа, при этом частота ложных срабатываний для легитимного роумингового трафика составляет менее 1%. Эти показатели увеличиваются со временем, поскольку поведенческие модели обучаются на специфическом трафике сети; показатели второго года, как правило, значительно лучше, чем показатели первого года, без каких-либо новых инвестиций в технологии.
Что это значит для следующих трех лет?
SS7 никуда не денется. Отрасль предсказывала его замену на протяжении двух десятилетий, а вместо этого произошло следующее: SS7 постепенно дополнялся Diameter (для LTE) и HTTP/2 с SBI (для ядра 5G), но каждый оператор по-прежнему отказывается от SS7, потому что каждый второй оператор по-прежнему отказывается от SS7. Поэтому оборонительная стратегия должна быть рассчитана на долгосрочную перспективу. Инвестируйте в инфраструктуру межсетевых экранов так, как если бы она работала десять лет, а не три; закладывайте в бюджет средства на аналитиков для поддержания правил и анализа результатов поведенческих моделей как постоянные операционные расходы, а не как затраты на проект; создавайте системы хранения данных и экспорта аудита как системы производственного уровня, а не как нечто второстепенное. Сети, которые делают это с конца 2010-х годов, сейчас значительно опережают те, кто начинает сейчас — нет короткого пути к зрелому развертыванию.
Рекомендуемая литература
- Что такое SMS-брандмауэр и зачем он нужен операторам
- Прямые маршруты против серых маршрутов в A2P SMS
- Как экспресс-верификация звонков влияет на доходы операторов A2P
- Глоссарий — GSMA FS.07 / FS.11 сигнальный брандмауэр, SS7 MAP объяснение, Diameter S6a объяснение
- Страницы продукта — брандмауэр SS7 для операторов и обзор решений для операторов
- Освещение — Позиция Саудовской Аравии в отношении защиты сигналов и аудита CST