SS7 Firewall / SMS Firewall

Уязвимости в стеке протоколов SS7 могут привести к раскрытию персональных данных абонентов и нарушениям работы ключевых услуг связи. Поскольку изменения в существующей инфраструктуре оператора — очень сложный и трудоемкий процесс, а пересмотра протоколов в ближайшем будущем не предвидится, для защиты сети используют SS7 Firewall.

Платформа Связьком.SS7 Firewall расширяет возможности стандартного коммутационного оборудования и предотвращает вмешательство в работу сети. Благодаря различным правилам анализа и фильтрации SS7-трафика, платформа обеспечивает защиту от угроз безопасности извне (из других сетей). Связьком.SS7 Firewall соответствует стандартам безопасности, описанным в документах GSM Association IR.70 (Official Document IR.70 — SMS SS7 Fraud) и GSM Association IR.82 (Official Document IR.82 — Security SS7 implementation on SS7 network guidelines). Нежелательный или мошеннический трафик обнаруживается автоматически. Об угрозах в сети сообщается в режиме реального времени.

Связьком.SS7 Firewall собирает детальную статистику по нагруженности системы и структуре анализируемых данных.

Кроме защиты оборудования и абонентов оператора, возможности платформы позволяют облегчить балансировку или перевод трафика между компонентами мобильной сети, а также существенно ускорить разворачивание новых услуг.

Возможна инсталляция платформы только с функциями контроля SMS-трафика. Такая версия называется Связьком.SMS Firewall.

Функциональные возможности

• Гибкая логика анализа MAP-, CAP-запросов. Поддерживаются MAP-запросы, соответствующие следующим стандартам:

  • IETF RFC 2960, 3286, 3309 (SIGTRAN SCTP);

  • IETF RFC 4165 (M2PA);

  • ITU-T Q.704-Q.709 (MTP3);

  • IETF RFC 3332 (M3UA);

  • ITU-T Q.711-Q.719, ANSI T1.112−1996 (SCCP);

  • ITU-T Q.771−775 (TCAP);

  • 3GPP TS 29.002 (MAP).

• Контроль внешнего ISUP-трафика (сбор информации, модифицирование и блокирование вызовов с указанием любых возможных причин отбоя).

• Совершение активных сетевых запросов в сторону других узлов сигнальной сети оператора. Как правило, такие запросы выполняются в сторону HLR с целью определения обслуживающего абонента MSC/VLR и текущего статуса абонента (subscriber state).

• Выявление и блокирование клонированных SIM-карт в роуминге.

• Сбор детальной статистики SS7-трафика:

  • По ISUP-вызовам.

  • По SMS-трафику.

  • По CAP-трафику.

• Реализация части функций HLR:

  • Защита от проверки своих SIM-карт на активность со стороны других операторов.

  • Обработка запросов SRI.

• Удобные интерфейсы для процедур обработки SS7-трафика, которые позволяют индивидуально удовлетворять потребности оператора в анализе, мониторинге и модификации SS7-трафика.

• Постоянная запись транзитного SS7-трафика для дальнейшего его анализа.

• Одновременная работа с большим количеством STP (Signal Transfer Point).

• Возможность одновременного подключения 2G/3G сетей и сетей IMT-MC (CDMA2000).

• Гибкие условия маршрутизации SS7-трафика (например, для организации одновременной работы нескольких SMSC и плавного перевода трафика между ними). При выборе маршрута могут учитываться такие параметры, как Global Title, Point Code, SSN, код MAP-операции, номера отправителя и получателя в теле сообщения.

• Поддержка MNP.

• (Опционально) Использование внутреннего языка программирования для настройки логики:

  • Маршрутизация сообщений.

  • Модификация, удаление или добавление параметров сообщения.

  • Тарификация сообщения.

• Функции для варианта инсталляции Связьком.SMS Firewall:

  • Контроль внешнего SMS-трафика (сбор информации, выявление попыток чужих спам-рассылок и блокирование на лету).

  • Выявление и блокирование мошеннического SMS-трафика различных типов (SMS-Flooding, SMS-Spoofing, SMS-Smishing).

  • Модификация на лету флага SMS TP-Reply-Path. Флаг выставляется телефоном, который отправляет SMS, и говорит о том, что отвечать на принятую SMS нужно через SMSC отправителя сообщения.

  • Другая обработка по желанию оператора.

Преимущества

• Гибкая настройка параметров фильтрации. Возможность обработки только SMS-трафика (в том числе исходящего).

• Прозрачная работа и простота внедрения, в процессе которого внутренняя структура оператора не претерпевает существенных изменений.

• Высокая производительность и отказоустойчивость системы.

• Возможность работы как в сетях 2G/3G, так и в CDMA.

• Платформа Связьком.SS7 Firewall обеспечит легкую интеграцию нескольких SMS-центров или переход на новое решение.

• Возможно функционирование платформы в виртуальной среде.

Схемы и методы включения в сеть оператора

Решение предполагает два метода включения в сеть оператора:

1. Маршрутизация SS7-трафика на уровнях МТРЗ (РС).

2. Включение в разрыв каналов связи (SIGTRAN, G.703 Е1 SL, G.703 Е1 HSL).