Атаки с использованием сетей ОКС-7 - Zeronights...

Атаки с использованием

сетей ОКС-7

Мифы. Реальность. Защитные Меры

Ермаков Александр

mplex@protonmail.ch

Сети ОКС-7

Сети ОКС-7

Ядро сети оператора связи

Сети ОКС-7

Для хакера

Сети ОКС-7

Для хакера

Сети ОКС-7

Для хакера

Сети ОКС-7

Для хакера

Сети ОКС-7

Для хакера

Сети ОКС-7

Как получить доступ

Для атак необходимо подключение к провайдеру SCCP-сообщений:

Варианты получения доступа:

1. Быть оператором связи с собственной номерной емкостью

2. Взломать оператора связи/подговорить сотрудника

3. Договориться с оператором связи (лизинг GT)

Что говорит трафик?

Рост

>10 раз

за 5 лет

Сети ОКС-7

Что показывает реальный трафик

Классификация атак по сложности фильтрации*

• САТ1

• САТ2

• САТ3• CAT4

• CAT5

*Классификация GSMA

Атаки. Классификация

Сети ОКС-7

Классификация атак по сложности фильтрации

САТ1 – Внутрисетевые запросы

Сети ОКС-7

Классификация атак по сложности фильтрации

САТ1 – Внутрисетевые запросы

Может быть заблокировано на большинстве STP • анализ поля opCode (тип запроса)

Сети ОКС-7

Классификация атак по сложности фильтрации

САТ2 - Направляются только домашней сетью абонента

Сети ОКС-7

Классификация атак по сложности фильтрации

САТ2 – Направляются только домашней сетью абонента

Нетиповая функция STP, может потребовать покупки лицензийАнализ поля opCode и идентификаторов абонента – IMSI/MSISDN

Альтернатива: мониторинг и ручная блокировка

Сети ОКС-7

Классификация атак по сложности фильтрации

САТ3 - Направляются сетью, в которой обслуживается абонент

Сети ОКС-7

Классификация атак по сложности фильтрации

САТ2 – Направляются сетью, в которой обслуживается абонент

Дополнительные дорогостоящие функции STP, предоставляется не всеми вендорамиРешения SS7 FW

Требует анализа текущего статуса абонента и информации об обслуживающей сети

Альтернатива: мониторинг и ручная блокировка (требуется разработка/покупка решения мониторингу атак)

Классификация по целям атакующих. Определение местоположения

Классификация по целям атакующих. Определение местоположения

Классификация по целям атакующихПерехваты SMS и голосовых вызовов

Классификация по целям атакующихПерехваты SMS и голосовых вызовов

98% неавторизованного трафика – запросы cat1

Сети ОКС-7

Что показывает реальный трафик

anyTimeInterrogation69%

sendRoutingInfo29%

Other2%

Полная активация HR и закрытие запросов cat1 снизило долю аномалий cat2 в несколько раз

Из оставшихся 2% 1/3 –аномальный трафик, требующий более сложного анализа

Сети ОКС-7

Что показывает реальный трафик

Send Routing Info For LCS

Provide Subscriber

Info

sendIMSI21%

USSDNotify8%

USSD Request

Update Location

Не весть аномальный трафик – это атаки на абонентов/сеть.

• Активация функций по всей нумерации

• Неверные параметры в пакете => ошибка в получателе (NAI/NP)

• Казахстан (коды +77, +76)

• MNP

• Может ли абонент сам что-то сделать?

• Может!

Спасибо!

Вопросы?

• Документы GSMA:• FS.07 SS7 and SIGTRAN Network Security,• FS.11 SS7 Interconnect Security Monitoring Guidelines,• IR.82,• IR.71 SMS SS7 Fraud Prevention v5.0,• IR.70 SMS SS7 Fraud v4.0.

• ITU Workshop on “SS7 Security” Geneva, Switzerland, 29 June 2016

• Документы по внедрению HR 3GPP TR 23.840 V7.0.0

• Массовая настройка мониторинга и активация доп. фич на оборудовании,

• Новый рынок решений SS7 FW, есть коммерческие инсталляции

коммерческие решения по фильтрации на базе STP, так и выделенные решения SS7 FW,

GSMA были разработаны рекомендации по фильтрации и мониторингу аномального трафика

Атаки. КлассификацияМеждународные документы, проведенные работы

Особенности

Сети ОКС-7

Что показывает реальный трафик

– Category 4 (SMS)

MT FSM

Превентивно –запрос на разработку функции, дополнительные внешние решения (SS7 FW)Детективно – самостоятельные разработки, дополнительные внешние решения

Реализовано у 4 основных операторов СПС России.

ОКС-7. Сети и протоколы

Источник https://www.dialogic.com

ОКС-7. Сети и протоколыСреди множества протоколов ОКС-7 для атак используется стек на базе

протокола MAP

Источник https://www.dialogic.com