SS7-файрвол BroadNet блокирует сигнальное мошенничество и A2P-трафик по серым маршрутам для мобильных операторов, проверяя сигнализацию SS7 в линии до того, как она попадёт в опорную сеть. Межсетевой экран SS7 со встроенной фильтрацией MAP/SCCP между международным STP и вашей основной сетью. Контроль идентификатора отправителя, проверка маршрута, фильтрация кэша SRI-SM, фильтрация контента и монетизация A2P — все это с помощью единого межсетевого экрана сигнального уровня. Внедрено операторами первого уровня в регионе MENA.
Один межсетевой экран на международном сигнальном пути. Каждый блок MAP, CAP и SCCP декодируется для каждого информационного элемента, классифицируется по GSMA FS.11, и вердикт выдается менее чем за пять миллисекунд. Никакой перемаршрутизации, никакого нарушения роуминга.
Международные каналы SS7 (SIGTRAN, M3UA) принимают входящий трафик от партнеров по роумингу и через серые маршруты.
Декодирование MAP, CAP и SCCP на уровне IE. Нормализация GT, AC, CdPA/CgPA, IMSI, MSISDN для поиска по политикам.
Классификация категорий 1/2/3, валидация кэша SRI-SM, проверка sender ID и маршрутов, анализ интенсивности (velocity buckets).
Разрешить · изменить · поместить в карантин · сбросить · монетизировать. На уровне маршрута, партнера или абонента. Правила, прошедшие проверку maker-checker.
До домашней сети доходят только подтвержденные сигналы. Сообщения, помещенные в карантин, дублируются для проверки группой по борьбе с мошенничеством.
Международные каналы SS7 (SIGTRAN, M3UA) принимают входящий трафик от партнеров по роумингу и через серые маршруты.
Декодирование MAP, CAP и SCCP на уровне IE. Нормализация GT, AC, CdPA/CgPA, IMSI, MSISDN для поиска по политикам.
Классификация категорий 1/2/3, валидация кэша SRI-SM, проверка sender ID и маршрутов, анализ интенсивности (velocity buckets).
Разрешить · изменить · поместить в карантин · сбросить · монетизировать. На уровне маршрута, партнера или абонента. Правила, прошедшие проверку maker-checker.
До домашней сети доходят только подтвержденные сигналы. Сообщения, помещенные в карантин, дублируются для проверки группой по борьбе с мошенничеством.
Расшифровка на уровне STP, оценка в реальном времени и выполнение действий менее чем за пять миллисекунд. Один механизм сигнального уровня обрабатывает MAP, CAP и SCCP; один DSL для политик пишет правила; одно хранилище аудита хранит доказательства.
Один межсетевой экран на сигнальном пути. MAP, CAP и SCCP декодируются, нормализуются и проверяются единым механизмом политик до того, как сообщение достигнет вашего SMSC, HLR или MSC.
Готовые наборы правил, соответствующие GSMA FS.11 для SS7 интерконнекта. Категория 1 никогда не пересекает границу сети; Категория 2 проверяется на соответствие домашней сети; Категория 3 оценивается по скорости (velocity score) для каждого абонента.
Каждое сообщение идентифицируется по следующим параметрам: исходный GT, SCCP CdPA/CgPA, контекст приложения и исторический шаблон. Показатели аномалий передаются в DSL-интерфейс для принятия решений о разрешении, изменении, помещении в карантин или удалении сообщений на одном этапе.
Злоупотребления AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation и SendRoutingInfo выявляются при первом контакте. Иностранные GT, запрашивающие кортежи IMSI–MSC–VLR, блокируются до определения местоположения хотя бы одного абонента.
MT-ForwardSM проверяется по реальному кэшу SRI-SM с помощью кортежа IMSI / MSC / SMSC. Поддельные идентификаторы отправителя, утечка A2P-трафика на «серые» маршруты и разведка подмены SIM-карт предотвращаются до того, как их обнаружит SMSC, а не после.
Каждое сигнальное решение сохраняется в защищенном от несанкционированного доступа хранилище аудита с цепочками событий, подписанными HMAC. Экспорт данных, готовый к использованию регулирующими органами, панели мониторинга на основе ролей и воспроизведение инцидентов — ваш центр управления сетью видит то, что видел межсетевой экран, кадр за кадром.
Пять классов сигнальных атак, которые наносят наибольший ущерб абонентам и приводят к наибольшим потерям доходов операторов, а также уровень, на котором межсетевой экран обнаруживает каждую из них.
Адреса отправителя подделываются для имитации банков, брендов и государственных служб. Обнаружено с помощью несоответствия кэша SRI-SM и перекрестной проверки реестра идентификаторов отправителя.
Иностранные GT запрашивают HLR для триангуляции обслуживающей соты абонента. Блокируются на границе сети как GSMA FS.11 сообщения Категории 1.
Злоумышленники проверяют наличие связей IMSI–MSC перед проведением операций по обмену данными с использованием методов социальной инженерии. Данные оцениваются по каждому источнику, после чего данные помещаются в карантин для проверки группой специалистов по борьбе с мошенничеством.
Международное мошенничество с распределением доходов, петли Wangiri и поддельные CLI, перехваченные на уровне сигнализации до того, как они поступят к абоненту.
Немонетизированный корпоративный трафик, перенаправляемый через роуминговых партнеров. Направляется по согласованному коммерческому маршруту — или блокируется, а полученная прибыль возвращается.
Две операции MAP объясняют непропорционально большую долю инцидентов, связанных с нарушением конфиденциальности абонентов и перехватом одноразовых паролей, которые сегодня попадают в руки регулирующих органов. Межсетевой экран обрабатывает оба типа инцидентов на международном уровне — классифицирует, оценивает и подписывает — прежде чем они достигнут домашнего HLR или SMSC.
Иностранные зондирующие сигналы HLR, которые определяют идентификатор обслуживающей соты, используются операторами слежки и злоумышленниками для триангуляции реального местоположения абонента. Межсетевой экран классифицирует их как GSMA FS.11 Категория 1 и отбрасывает на границе сети, добавляя подписанную запись в журнал аудита для файла регулятора.
Запросы SRI-SM, сопоставляющие абонента с обслуживающим его MSC/SMSC, представляют собой этап разведки перед перехватом трафика OTP и 2FA с помощью MT-ForwardSM. Межсетевой экран проверяет каждый запрос по 24-часовому кэшу SRI-SM; запросы, не попавшие в кэш, от иностранных GT помещаются в карантин для проверки группой по борьбе с мошенничеством.
На уровне сигнализации необходимо обеспечить соблюдение протокола, реализовать коммерческую политику и адаптироваться с учетом поведения в одном и том же механизме. Три основных компонента работают как единый путь принятия решений — задержка проверки на единицу сигнализации составляет менее 5 мс — поэтому правильный вердикт достигает нужного элемента сети на первом этапе.
Применение протокольных мер на уровне сигнализации. Разрешение/запрет операций MAP, глобальная фильтрация заголовка, управление точечными кодами OPC/DPC, условия MCC/MNC для каждого партнера. Каждый некорректный или не соответствующий контексту сигнальный блок отбрасывается при декодировании.
Коммерческая и операционная политика, выраженная в виде данных. Выбор маршрута в соответствии с партнерским соглашением, политика в отношении классов продуктов (OTP, транзакционные, рекламные), монетизация обходного трафика по согласованным каналам A2P. Межсетевой экран обеспечивает соблюдение контракта, а не только спецификации.
Применение правил с учетом поведения пользователей, адаптирующееся к реальному трафику. Пороговые значения TPS, обнаружение всплесков трафика, временные окна, скорость трафика для каждого источника. Динамический уровень выявляет то, что не могут статические правила — новые кампании, новые фермы SIM-боксов, внезапные аномалии роуминга.
Классификация FS.11 представлена в виде читаемого YAML-файла. Операции MAP и CAP имеют имена, а не номера. Идентификатор отправителя, правила маршрутизации и A2P передаются через средство проверки авторизации — версионируются, подписываются и подлежат аудиту.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Задача: зондирование местоположения абонентов вызывало активную обеспокоенность регулятора, а внутренних сдерживающих мер не было. Подход: категоризация по FS.11 на международной границе SS7 плюс кэш SRI-SM для обнаружения подмены.
Задача: международные STP на стеках нескольких вендоров превращали ежеквартальную отчётность для регулятора в ручную работу. Подход: единый DSL политик унифицировал применение правил на всех границах с версионируемым журналом аудита.
Задача: национальный регулятор в сжатые сроки потребовал доказательства соответствия FS.11 в ходе ежегодной проверки. Подход: версионирование пакетов правил сформировало подписанный манифест и отчёт регрессионного тестирования IR.71 / IR.82 за один прогон.
Соединение между международным протоколом STP и вашей магистральной сетью. Каждое сообщение проходит через межсетевой экран, прежде чем достигнет HLR, SMSC или MSC, и каждое решение передается в ваш центр управления сетью в режиме реального времени.
Активная пара находится на международном сигнальном пути. Решения принимаются в режиме реального времени — блокировка, разрешение, изменение, монетизация.
Зеркальное отображение данных из STP для установления базовых показателей и анализа. Переход к встроенному контролю за соблюдением правил произойдет после стабилизации показателей политики и количества ложноположительных результатов.
Международная периферия работает в режиме онлайн, внутреннее ядро — в режиме обнаружения и оповещения. Единая плоскость политик, единое хранилище аудита, единая панель управления оператора.
Классификация GSMA FS.11 для межсоединений SS7 применяется по умолчанию и поддерживается группой обеспечения безопасности сигнализации BroadNet, при этом экспорт, готовый к одобрению регулирующими органами, осуществляется по запросу.
Да. Межсетевой экран представляется как сигнальный пир SCCP/SIGTRAN и интегрируется с общими STP-платформами, которые используют операторы, в средах с оборудованием разных вендоров. Не требуется вмешательства в таблицы маршрутизации STP, кроме перенаправления международных point-кодов через пару межсетевых экранов.
Как правило, мы начинаем с зеркалирования трафика (out-of-band mirror) с STP на 14–30 дней. Это дает командам по безопасности и RA чистую базу данных международного трафика и позволяет нам настроить набор правил FS.11 под реальный состав роуминговых партнеров оператора. Как только объем ложноположительных срабатываний согласован в письменном виде, межсетевой экран переключается в режим inline active-active. Гибридный режим (inline на границе международного трафика и mirror в домашнем ядре) является стандартным рабочим состоянием.
Команда BroadNet по безопасности сигналов выпускает версионированный пакет правил каждый квартал, а исправления для новых угроз выпускаются в течение нескольких дней. Каждый пакет правил поставляется с пакетами тестов на соответствие стандартам IR.71, IR.81 и IR.82, чтобы ваша команда могла провести регрессионное тестирование перед его внедрением. Оператор закрепляет или отклоняет любую версию с панели управления — ничего не внедряется автоматически в рабочую среду.
За каждую проверенную единицу сигнализации (MAP/CAP), с разбивкой по ежемесячному объему. Без оплаты за каждый канал, point-код или Erlang. Предусмотрен разовый NRE за интеграцию с STP и небольшая ежегодная плата за техническую поддержку, которая покрывает обновление наборов правил, фид данных об угрозах (threat-intel) и ежеквартальный аудит архитектуры. Операторы обычно окупают затраты за счет возврата A2P выручки и предотвращения потерь от фрода.
Да. DSL-политика — это тот же язык, который наша команда безопасности использует внутри компании. Операторы регулярно пишут правила для соблюдения соглашений о двустороннем роуминге, внесения в белый список разрешенных запросов геолокации от правоохранительных органов, монетизации определенных обходных потоков (bypass flows) вместо их блокировки, а также для передачи вердиктов во внутренние SIEM-системы и платформы защиты от фрода. Пользовательские правила проходят тот же процесс проверки «maker-checker», что и наши, с полным аудиторским следом.
По умолчанию TTL составляет 24 часа и может быть настроен для каждого оператора. Кэш заполняется на основе наблюдаемых легитимных SRI-SM и обновляется при каждом успешном MT-ForwardSM. Мы отображаем коэффициент попаданий, коэффициент промахов и коэффициент карантина для каждого партнерского GT, чтобы команды реагирования на инциденты могли обнаружить внезапный всплеск промахов кэша (обычно это первый признак кампании по подделке или повторной генерации ключей партнером для своего SMSC GT).
Да. Каждое решение подписывается HMAC-сертификатом, записывается в защищенное от подделки хранилище и сохраняется в течение всего периода действия лицензии оператора. Мы поставляем готовые шаблоны экспорта для TRC (Иордания), CST (Саудовская Аравия), NCC (Нигерия), TDRA (ОАЭ), CRA (Катар), TRA (Оман), TRA (Бахрейн), ARPT (Алжир), ANRT (Марокко) и INT-T (Тунис). Модуль экспорта также формирует манифест соответствия FS.11, который теперь запрашивают несколько регуляторов стран Ближнего Востока и Северной Африки при продлении лицензии.
В стабильном режиме количество ложноположительных срабатываний (false positives) в отношении добросовестных партнеров по роумингу крайне низко. Мы еженедельно измеряем этот показатель и отображаем данные по каждому партнеру в панели управления, чтобы команды RA всегда имели к ним доступ. Фаза тестирования в зеркальном режиме (mirror-mode) предусмотрена именно для того, чтобы согласовать и утвердить эти границы до момента активации правил.
Нужен манифест соответствия стандарту FS.11 или рабочая встреча с нашими инженерами по сигнализации? Запросить аудит безопасности сигнализации
Межсетевой экран SMS прикладного уровня, расположенный на интерфейсе SMPP вашего SMSC.
Независимый от поставщика механизм захвата и корреляции данных для SS7, SIGTRAN и SIP — сопутствующий интеллектуальный уровень.
Размещенный на сервере SMSC с поддержкой многомаршрутизации, многоязычности и единой системой выставления счетов.
Наблюдение в реальном времени за работой межсетевого экрана, SMSC, сигнализации и маршрутов.
Запланируйте инструктаж для операторов. Мы подробно расскажем о категоризации FS.11, кэше SRI-SM, модели монетизации A2P и плане развертывания вашей сети — при поддержке круглосуточной службы NOC BroadNet.
Ресурсы
Техническое описание SS7-файрвол
Углубитесь в концепции, лежащие в основе этого продукта.