Плоскости безопасности ОКС№7
Способы обеспечения ИБ относятся к функциям ОКС№7, которые в соответствии с общими положениями по архитектуре сетевой безопасности в рекомендации Х.805 называются плоскостями безопасности (Security Plane). Плоскости безопасности ОКС№7 делятся на плоскость безопасности управления и плоскость безопасности транспортной сети.
Плоскость безопасности управления относится к защите функций эксплуатации и технического обслуживания ОАМ. Примером таких функций в ОКС№7 является управление звеньями сигнализации, которое может быть разделено на процесс активизации и деактивизации звена сигнализации (канала). Активизация является процессом создания канала для передачи сообщений сетевого уровня МТР. Обслуживающий персонал выполняет этот процесс путём вызова команд из интерфейса ОАМ, чтобы осуществить запрос об активизации канала. Когда канал отрегулирован на канальном уровне МТР и прошел тестирование он объявляется доступным для переноса сигнального трафика.
Дезактивизация выводит канал из рабочего состояния, делая его недоступным для переноса сигнального трафика. Подобно активизации, этот процесс инициализируется обслуживающим персоналом путём вызова команд из интерфейса ОАМ. Нарушение ИБ ОКС№7 может быть осуществлено злоумышленником путём ложной активизации или дезактивизации канала. При этом ущерб работе ССОП не будет высоким.
Плоскость безопасности транспортной сети относится к защите всех четырёх уровней ОКС№7 при воздействии намеренных угроз нелегитимного использования основных функций. Ниже приводятся краткое описание этих функций ОКС№7, а также общие положения по наибольшему ущербу в сетях связи ОП при реализации этих угроз.
Подсистема пользователя ISUP совместно с подсистемой передачи сообщений МТР обеспечивает соединение со стационарными абонентами ССОП. Нарушение ИБ ОКС№7 при нелегитимном воздействии на функцию ISUP может приводить к отказу в установлении соединений, проходящих через конкретный пункт сигнализации, которому принадлежит эта подсистема пользователя. Нарушение ИБ ОКС№7 при нелегитимном воздействии на функцию ISUP приводит к отказу в установлении соединений мобильным станциям, приписанных только к этому оборудованию.
Подсистема пользователя MAP выполняет функцию отслеживания местоположения абонента, роуминга, доставки коротких текстовых сообщений SMS и др. Нарушение ИБ ОКС№7 при нелегитимном воздействии на эти функции GSM может привести к отказу в установлении соединений с абонентами-роумерами, передаче SMS, приписанных к одному центру коммутации GSM .
Подсиcтема INAP выполняет функцию предоставления услуги пользователю путем обмена сообщениями между двумя узлами интеллектуальной сети SCP и SSP. Приведем принцип выполнения этой функции на упрощенном примере предоставления услуги «Приплата» (PRM, Premium Rate). Все сообщения между SCP и SSP можно разделить на две группы:
· пересчет кода и номера услуги в адрес абонента услуги (юрист, врач и др.);
· определение размера оплаты и распределение оплаты между оператором связи, поставщиком услуги и пользователем услуги.
Нарушение ИБ ОКС№7 при нелегитимном воздействии на эти функции может привести к отказу в предоставлении услуги IN, неправильном распределении оплаты за услугу только абонентов, пользующихся этой интеллектуальной платформой.
Уровни МТР с первого по третий включают в себя функции передачи информации от одного пункта сигнализации к другому.
Функционирование каналов передачи сообщений обеспечивается комбинацией подсистем первого уровня (МТР1) и второго уровня (МТР2).
Нарушение ИБ ОКС№7 при нелегитимном воздействии на эти функции может привести к отказу только одного звена сигнализации.
Подсистема сетевого уровня МТР3 по выполнению функций обработки сообщений сигнализации. Эта функция производит маршрутизацию сообщений для соответствующих сетевых адресатов. Если принимающий узел не является пунктом назначения, то МТР3 выполняет функцию маршрутизации (т.е. узел является транзитным STP). Если принимающий узел является пунктом назначения, то используется функция доставки принятых сообщений соответствующей подсистеме пользователя или функциям управления сетью сигнализации. Использование нарушителем функций маршрутизации для нарушения таблицы маршрутизации является маловероятным, хотя реализация такой угрозы могло бы привести к отказу в предоставлении соединений и/или услуг одновременно для большого числа абонентов ССОП, обслуживаемых данным пунктом сигнализации.
Подсистема сетевого уровня МТР3 по выполнению функций управления сетью сигнализации. Эти функции с помощью набора специальных сообщений и процедур производят обработку отказов в сети таким образом, чтобы информационные сообщения могли достигать своих адресатов, если это возможно. Эти процедуры координируют ресурсы ОКС№7, которые становятся доступными или недоступными. Отказ звена сигнализации одного пункта сигнализации или отказ пункта сигнализации может повлечь недоступность проходящих через него маршрутов сигнализации к пункту сигнализации назначения, что в свою очередь может вызвать изменение таблицы маршрутизации и в других пунктах сигнализации ОКС№7. Последствием такой атаки может быть вывод из рабочего состояния части сети связи общего пользования страны.
22.5.2. Атаки «отказ в обслуживании» DoS в ОКС№7
Для каждого уровня безопасности соответствует каждая плоскость безопасности. Каждая такая пара безопасности (уровень и плоскость) представляет область безопасности, в которой способы обеспечения безопасности применяются для защиты от угроз безопасности.
Из предыдущего раздела следует, что уровень и плоскость безопасности включает большое число составных частей оборудования ОКС№7 и выполняемых ими функций, каждые из которых могут быть подвержены воздействию различных видов атак, т.е. реализованных намеренных угроз. Все это показывает, что число возможных атак в ОКС№7 настолько большое, что нет необходимости, да и возможности в анализе их всех.
Поэтому практическую целесообразность представляет анализ таких угроз в ОКС№7, которые наиболее чувствительны с точки зрения нанесения большого ущерба при их реализации. Приведенный выше анализ архитектуры сетевой безопасности ОКС№7 показывает, что таким угрозам подвержен уровень сетевой безопасности инфраструктура и плоскость сетевой безопасности в той части транспортной сети, которая выполняет функцию управления сетью сигнализации на сетевых уровнях ОКС№7.
Управление сетью сигнализации подразделяется на выполнение функций управления информационными потоками и управления маршрутами. Функция управления информационными потоками обеспечивает трансляцию информационных потоков сигнализации, которые представляют собой сообщения подсистемы ISUP и подсистем пользователей через SCCP (MAP, INAP и др.). Функция управления информационными потоками состоит в перемещении информации к адресату в случае повреждений или перегрузок в ОКС№7 с наименьшими возможными потерями. Функция управления маршрутами обеспечивает обмен информацией между пунктами сигнализации для коррекции таблиц маршрутизации. Как только происходит событие, которое влияет на доступность маршрутов, функция управления маршрутами, посылает сообщения оповещения остальным пунктам сигнализации об изменении маршрутизации.
Нарушение ИБ ОКС№7 при отправлении ложных сообщений управления маршрутами может создать нелегитимную коррекцию таблицы маршрутизации. В результате система управления информационными потоками направляет в пункты сигнализации нелегитимные сообщения коррекции информационных потоков.
Функция управления маршрутами с помощью специальных сообщений МТР3 обеспечивает выполнение функций управления информационным потоком при полной или ограниченной доступности сигнальных маршрутов. Нарушение ИБ ОКС№7 при отправлении ложных сообщений управления информационным потоком может создать нелегитимную недоступность или нелегитимную доступность сигнальных маршрутов.
Результатом нарушений ИБ ОКС№7 при выполнении функций управления маршрутами и функций управления информационным потоком может быть отказ в обслуживании одновременно большого числа пользователей сетями связи общего пользования (ТфОП/ISDN, GSM, IN), являющихся абонентами двух и более оконечных узлов сетей ТфОП/ISDN и GSM. Всё это приводит к существенному повреждению сетей связи ОП, составной частью которых является ОКС№7.
Подсистема управления соединением SCCP расположена в стеке уровней ОКС№7 над подсистемой МТР и обеспечивает дополнительные функции сетевого уровня в части управления прикладными системами (в сетях GSM, интеллектуальных сетях и др.). Подсистема SCCP вместе с подсистемой МТР3 соответствует третьему (сетевому) уровню ОКС№7 и при этом дает возможность передавать информацию, не связанную с информационным каналом.
Нарушение ИБ ОКС№7 в результате передачи ложных сообщений управления подсистемой SCCP может привести к нелегитимному отказу в обслуживании SCCP, подсистем (MAP, INAP, OMAP), локальных подсистем (центр коммутации мобильной сети GSM, домашний и гостевой регистры GSM и др.). Всё это может привести к отказу ССОП в обслуживании пользователей по предоставлению им соединений.
Для реализации таких угроз нарушителем используются функции подсистем МТР и SCCP сетевого уровня ОКС№7. Уровень ущерба, наносимого работе ССОП атаками «отказ в обслуживании» DoS (Denial of Service), определяется теми функциями МТР и SCCP, которые нелегитимно использует нарушитель на различных участках смежных пунктов сигнализации ОКС№7. Последствия нарушения работы ССОП зависят также от топологии этих сетей: уровней иерархического построения, схем резервирования и взаимодействия. Приведем примеры, реализующие эти атаки и их последствия.