Embed Size (px)
Citation preview
Атаки с использованием
сетей ОКС-7
Мифы. Реальность. Защитные Меры
Ермаков Александр
Сети ОКС-7
Сети ОКС-7
Ядро сети оператора связи
Сети ОКС-7
Для хакера
Сети ОКС-7
Для хакера
Сети ОКС-7
Для хакера
Сети ОКС-7
Для хакера
Сети ОКС-7
Для хакера
Сети ОКС-7
Как получить доступ
Для атак необходимо подключение к провайдеру SCCP-сообщений:
Варианты получения доступа:
1. Быть оператором связи с собственной номерной емкостью
2. Взломать оператора связи/подговорить сотрудника
3. Договориться с оператором связи (лизинг GT)
Что говорит трафик?
Рост
>10 раз
за 5 лет
Сети ОКС-7
Что показывает реальный трафик
Классификация атак по сложности фильтрации*
• САТ1
• САТ2
• САТ3• CAT4
• CAT5
*Классификация GSMA
Атаки. Классификация
Сети ОКС-7
Классификация атак по сложности фильтрации
САТ1 – Внутрисетевые запросы
Сети ОКС-7
Классификация атак по сложности фильтрации
САТ1 – Внутрисетевые запросы
Может быть заблокировано на большинстве STP • анализ поля opCode (тип запроса)
Сети ОКС-7
Классификация атак по сложности фильтрации
САТ2 - Направляются только домашней сетью абонента
Сети ОКС-7
Классификация атак по сложности фильтрации
САТ2 – Направляются только домашней сетью абонента
Нетиповая функция STP, может потребовать покупки лицензийАнализ поля opCode и идентификаторов абонента – IMSI/MSISDN
Альтернатива: мониторинг и ручная блокировка
Сети ОКС-7
Классификация атак по сложности фильтрации
САТ3 - Направляются сетью, в которой обслуживается абонент
Сети ОКС-7
Классификация атак по сложности фильтрации
САТ2 – Направляются сетью, в которой обслуживается абонент
Дополнительные дорогостоящие функции STP, предоставляется не всеми вендорамиРешения SS7 FW
Требует анализа текущего статуса абонента и информации об обслуживающей сети
Альтернатива: мониторинг и ручная блокировка (требуется разработка/покупка решения мониторингу атак)
Классификация по целям атакующих. Определение местоположения
Классификация по целям атакующих. Определение местоположения
Классификация по целям атакующихПерехваты SMS и голосовых вызовов
Классификация по целям атакующихПерехваты SMS и голосовых вызовов
98% неавторизованного трафика – запросы cat1
Сети ОКС-7
Что показывает реальный трафик
anyTimeInterrogation69%
sendRoutingInfo29%
Other2%
Полная активация HR и закрытие запросов cat1 снизило долю аномалий cat2 в несколько раз
Из оставшихся 2% 1/3 –аномальный трафик, требующий более сложного анализа
Сети ОКС-7
Что показывает реальный трафик
Send Routing Info For LCS
Provide Subscriber
Info
sendIMSI21%
USSDNotify8%
USSD Request
Update Location
Не весть аномальный трафик – это атаки на абонентов/сеть.
• Активация функций по всей нумерации
• Неверные параметры в пакете => ошибка в получателе (NAI/NP)
• Казахстан (коды +77, +76)
• MNP
• Может ли абонент сам что-то сделать?
• Может!
Спасибо!
Вопросы?
• Документы GSMA:• FS.07 SS7 and SIGTRAN Network Security,• FS.11 SS7 Interconnect Security Monitoring Guidelines,• IR.82,• IR.71 SMS SS7 Fraud Prevention v5.0,• IR.70 SMS SS7 Fraud v4.0.
• ITU Workshop on “SS7 Security” Geneva, Switzerland, 29 June 2016
• Документы по внедрению HR 3GPP TR 23.840 V7.0.0
• Массовая настройка мониторинга и активация доп. фич на оборудовании,
• Новый рынок решений SS7 FW, есть коммерческие инсталляции
коммерческие решения по фильтрации на базе STP, так и выделенные решения SS7 FW,
GSMA были разработаны рекомендации по фильтрации и мониторингу аномального трафика
Атаки. КлассификацияМеждународные документы, проведенные работы
Особенности
Сети ОКС-7
Что показывает реальный трафик
– Category 4 (SMS)
MT FSM
Превентивно –запрос на разработку функции, дополнительные внешние решения (SS7 FW)Детективно – самостоятельные разработки, дополнительные внешние решения
Реализовано у 4 основных операторов СПС России.
ОКС-7. Сети и протоколы
Источник https://www.dialogic.com
ОКС-7. Сети и протоколыСреди множества протоколов ОКС-7 для атак используется стек на базе
протокола MAP
Источник https://www.dialogic.com
