аждый оператор мобильной связи передает трафик, за который ему не платят. Завершение A2P-сообщений через SIM-фермы, повторное внедрение от партнеров, внедрение SS7 MT-ForwardSM и обход OTT-сервисов — все это приводит к тому, что push-сообщения, отправляемые абонентам, не проходят через A2P-соглашения, которые должны их регулировать. Потери значительны — для типичного оператора первого уровня в регионе MENA 20–40% дохода от A2P-сообщений, на который сеть имеет право, уходит в «серые» каналы. Защитным механизмом является SMS-брандмауэр: система, ограничивающая сеть, которая проверяет каждое SMS-сообщение при отправке, классифицирует его в соответствии с детерминированными правилами и поведенческими моделями, обеспечивает соблюдение идентификатора отправителя и политики маршрутизации, а также разрешает, блокирует или перенаправляет сообщение по платному пути. Именно эту информацию операторам необходимо знать для определения масштаба, развертывания и эксплуатации такой системы.
Две задачи межсетевого экрана SMS
Межсетевой экран выполняет две функции одновременно, и в ходе обсуждения закупок, в зависимости от того, кто присутствует на встрече, одна из них обычно имеет больший вес. Для финансового директора межсетевой экран — это продукт обеспечения дохода: он идентифицирует трафик, который должен был проходить в соответствии с соглашением A2P, блокирует его на несанкционированных путях и направляет обратно через собственную биллинговую систему оператора. Для директора по информационной безопасности межсетевой экран — это продукт защиты абонентов: он предотвращает фишинговые сообщения, подделку идентификаторов отправителей, кампании по перехвату OTP и категории контента, которые регулятор требует от оператора контролировать. Обе задачи используют одни и те же средства контроля; они неразделимы.
Как на самом деле работает современный межсетевой экран
Три слоя, каждый из которых улавливает разные узоры.
Уровень 1 — глубокий анализ пакетов и детерминированные правила
Каждый submit_sm или MT-ForwardSM анализируется на предмет адреса отправителя, получателя, тела сообщения, кодировки, срока действия, схемы кодирования данных, заголовка пользовательских данных и идентификатора протокола. Детерминированные правила сопоставляются с реестром идентификаторов отправителя (разрешен ли данный идентификатор отправителя на этом маршруте?), правилами категорий (является ли это транзакционным или маркетинговым сообщением? позволяет ли это временное окно?), соответствием GSMA IR.71 и классификаторами контента (списки разрешенных URL-адресов, запрещенные ключевые слова, политика кодировки символов). DPI обнаруживает как известные, так и ограниченные политикой нарушения; это минимальный уровень, который должен быть реализован каждым межсетевым экраном.
Уровень 2 — поведенческое машинное обучение
Одних правил недостаточно против адаптивных противников. Поведенческий уровень оценивает каждый идентификатор отправителя, каждый исходный IP-адрес, каждого партнера по межсетевому взаимодействию и каждый диапазон адресов назначения по базовым показателям для каждой сети: пропускная способность, время между сообщениями, перекрытие получателей по идентификаторам отправителей, сходство отпечатков содержимого (MinHash, n-граммы), поведение при повторных попытках и закономерности времени суток. Аномалии проявляются в виде оцененных событий, которые либо автоматически блокируются при превышении порогового значения, либо помещаются в карантин для анализа аналитиком. Машинное обучение выявляет меняющиеся идентификаторы отправителей, шаблонный контент со случайным шумом, SIM-фермы, машины которых не демонстрируют привычный для человека ритм обмена сообщениями.
Уровень 3 — межпротокольная корреляция
Эффективный межсетевой экран для SMS-сообщений не рассматривает SMS-сообщения изолированно. Он сопоставляет их с сигнализацией SS7 MAP (был ли этому MT-ForwardSM предшествовать легитимный SRI-SM? соответствует ли заявленный посещенный MSC фактическому состоянию роуминга абонента?), Diameter S6a для трафика LTE/5G и историческими данными о выставленных счетах. Межпротокольная корреляция позволяет выявлять «серые маршруты», которые научились обходить одноуровневое обнаружение.
Топология развертывания — три варианта.
Операторы развертывают межсетевые экраны SMS в одной из трех архитектурных схем, каждая из которых имеет различные операционные последствия.
| Шаблон | Где оно находится | Что оно может сделать | Компромиссы |
|---|---|---|---|
| В соответствии | На пути передачи SMS-сообщений каждое сообщение проходит через межсетевой экран, прежде чем достичь SMSC или MSC. | Блокировка, карантин, изменение, ограничение скорости, перенаправление в режиме реального времени. | Наибольшее влияние; требует тщательного планирования мощностей и высокой доступности; допустимая задержка ограничена. |
| Зеркало (вне пути) | Получает копию трафика через монитор SS7 или экспорт SMSC; наблюдает, но не блокирует. | Обнаружение, составление отчета, оценка, определение базового уровня; без контроля в режиме реального времени. | Отсутствие влияния на задержку; идеально подходит для первых недель тестирования; не может самостоятельно предотвратить атаки. |
| Гибридный | Зеркальное отображение по умолчанию; принудительное применение встраивания для определенных категорий или конкретных партнеров по межсоединению. | Выборочная блокировка в реальном времени с широкими возможностями мониторинга. | Операционная сложность; необходима четкая политика в отношении того, что подлежит принудительному исполнению, а что лишь наблюдается. |
Традиционный подход заключается в развертывании в зеркальном режиме на две-четыре недели, проведении базовой оценки трафика, настройке правил и пороговых значений машинного обучения на основе реальных шаблонов, специфичных для каждого оператора, а затем постепенном переходе к встроенному контролю, начиная с категорий с наибольшей степенью достоверности (завершение работы SIM-фермы, подмена идентификатора отправителя) и расширяя их. Операторы, которые переходят к встроенному контролю в первый же день без проведения базовой оценки, устанавливают межсетевой экран, который ложно срабатывает на легитимный корпоративный трафик и приводит к обращению в службу поддержки клиентов в течение первых 48 часов.
GSMA FS.11 и ситуация со стандартами
Межсетевые экраны операторов должны соответствовать GSMA FS.11 (руководство по межсетевым экранам для SMS-атак) и связанной с ним структуре FS.07 (межсетевой экран для сигнализации SS7). FS.11 кодифицирует категории атак на SMS-атаки, от которых операторы должны защищаться, рекомендует категории контроля и предоставляет справочную таксономию, которая значительно упрощает как собственный аудит оператора, так и обсуждения с регулирующим органом. Межсетевой экран, который явно реализует категории FS.11, — это тот, который может быть обоснован как регулирующим органом, так и экспертной комиссией GSMA; тот, который этого не делает, — это тот, для которого группе по соблюдению нормативных требований оператора придется искать обоснование. Настаивайте на соответствии FS.11 при выборе поставщика.
Монетизация A2P — как на самом деле возвращается доход.
Механизм возмещения убытков прост после запуска брандмауэра: трафик, ранее проходивший по SIM-фермам или серым маршрутам, идентифицируется и блокируется на границе сети, отправители получают уведомление о том, что их трафик отклоняется, и их перенаправляют к завершению трафика через санкционированного агрегатора, который, в свою очередь, имеет платное A2P-соединение с оператором. Оператор получает оптовую ставку за сообщение, на которую он всегда имел право. Больше всего могут вернуть сети, где брандмауэра вообще не было. Зрелость имеет значение: сети, использующие устаревшие брандмауэры, работающие только с правилами, возвращают меньше, поскольку простые категории уже охвачены.
Ложные срабатывания — это тот тип ошибки, который имеет значение.
Любой межсетевой экран блокирует либо слишком много, либо слишком мало; идеальной классификации не существует. Из двух режимов отказа, ложные срабатывания — блокировка легитимного корпоративного трафика — приводят к обращениям в коммерческую команду оператора и давлению с целью полного отключения межсетевого экрана. Сокращение их количества достигается за счет оперативной дисциплины: четкий алгоритм работы аналитиков с карантинированными сообщениями, процесс исключения из белого списка идентификаторов отправителей, опубликованная категоризация, с которой корпоративные отправители могут самостоятельно сверяться, и еженедельный анализ основных источников ложных срабатываний. Межсетевой экран, который восстанавливает 25% дохода от A2P-трафика и приводит к двенадцати обращениям в службу поддержки корпоративных клиентов в неделю, — это межсетевой экран, который оператор отключает; тот, который восстанавливает 20% без обращений, — это тот, который остается включенным.
Применение идентификатора отправителя является наиболее эффективным механизмом контроля.
Если оператор использует только один механизм контроля межсетевого экрана, то это должен быть контроль идентификаторов отправителей на границе сети. Реестр авторизованных идентификаторов отправителей с указанием маршрута, по которому они авторизованы, блокирует наибольшую категорию «серого» трафика (неавторизованные идентификаторы отправителей, входящие через партнерские межсетевые соединения) и предотвращает наибольшую категорию ущерба абонентам (подмена идентификаторов отправителей при фишинге через SMS). Все остальные механизмы контроля являются дополнительными по отношению к этому.
Межсетевой экран SMS-сервиса BroadNet (operator SMS firewall) обучался на трафике стран Ближнего Востока и Северной Африки с 2003 года — региональные модели мошенничества, соглашения об идентификации отправителя и топологии роуминга достаточно сильно отличаются от глобальных средних показателей, поэтому универсальная модель показывает низкую эффективность. Модель развертывания основана на зеркалировании, соответствует стандарту FS.11 и имеет документированную систему исправления ложных срабатываний.
Какие изменения произойдут для оператора после развертывания?
В первые 90 дней после запуска SMS-брандмауэра операторов обычно удивляют три вещи. Во-первых, прозрачность трафика — многие операторы впервые четко видят фактический состав A2P-трафика в своей сети (кто что отправляет, по какому маршруту, в каких категориях). Во-вторых, упрощается общение с регулирующими органами — предоставление статистики блокировок, соответствующей стандарту FS.11, по запросу превращает регулирующий орган из аудитора в соучастника. В-третьих, коммерческие переговоры с агрегаторами становятся более прямыми — у оператора теперь есть данные для ведения переговоров и рычаги для обеспечения выполнения договорных условий, которые ранее были лишь желаемыми.
Второй год и далее — кривая зрелости
Внедрение межсетевого экрана SMS в первый год позволяет устранить очевидные утечки и предотвратить очевидные злоупотребления. На второй и третий годы внедрение либо достигает зрелости, либо застаивается. Три направления отличают операторов, чьи межсетевые экраны становятся все более полезными, от тех, чьи межсетевые экраны достигают плато.
- Непрерывное переобучение модели поведения — схемы мошенничества меняются, идентификаторы отправителей обновляются, и модель, обученная на трафике 2024 года, показывает худшие результаты на трафике 2026 года. Переобучение на основе данных за последние 90 дней, специфичных для конкретного оператора, ежемесячно или ежеквартально, позволяет поддерживать рост, а не снижение уровня обнаружения.
- Обмен разведывательной информацией между операторами — схемы мошенничества, наблюдаемые у одного оператора, обычно проявляются у других в течение нескольких недель. Операторы, участвующие в региональном или координируемом GSMA обмене разведывательной информацией, получают более раннее предупреждение о новых атаках; операторы, которые этого не делают, всегда отстают на шаг.
- Ежеквартальные проверки ложных срабатываний — рабочий процесс аналитика, который безупречно обрабатывал исключения в первый год, имеет тенденцию к сбоям, если за него не отвечает ответственный человек. Ежеквартальный анализ журналов ложных срабатываний с добавлением в белый список и удалением правил — вот что позволяет поддерживать работоспособность системы в течение длительного времени.
Распространенные ошибки при закупках
Операторы, выбирающие поставщика межсетевого экрана для SMS-сервисов, допускают ряд повторяющихся ошибок, которые уже достаточно часто встречаются на практике, чтобы их перечислить. Самая большая: придание большее значение демонстрации, чем практическому использованию системы — у каждого поставщика есть отточенная демонстрация; не у каждого поставщика есть довольные клиенты через два года после внедрения. Вторая: недооценка бюджета на аналитические возможности для работы с системой — технология необходима, но недостаточна, и полнофункциональный межсетевой экран, работающий без выделенных аналитических ресурсов, приносит меньше пользы, чем более простой межсетевой экран, работающий с выделенными ресурсами. Третья: принятие собственных таксономий обнаружения вместо категорий, соответствующих стандарту FS.11, что неоправданно усложняет последующие обсуждения с регулирующими органами и экспертами.
Рекомендуемая литература
- Что такое межсетевой экран SS7 и как он защищает мобильные сети
- Прямые маршруты против серых маршрутов в A2P SMS
- Как экспресс-верификация звонков влияет на доходы операторов A2P
- Глоссарий — что такое SMS-брандмауэр, GSMA FS.07 / FS.11, что такое A2P-монетизация
- Страницы продуктов — брандмауэр SMS для операторов и обзор решений для операторов
- Покрытие — Маршрутизация A2P в ОАЭ и соблюдение требований TDRA