Ж у р н а л   о   к о м п ь ю т е р н ы х   с е т я х   и   т е л е к о м м у н и к а ц и о н н ы х   т е х н о л о г и я х
СЕТИ И СИСТЕМЫ СВЯЗИ on-line
  ПОИСК: ПОДПИСКА НА НОВОСТИ: НОМЕР:
    ДОМОЙ • Архив: Новостей | Конференций | НомеровПодписка
 
   
 
   
    
РЕДАКЦИЯ
 
Все о журнале
Подписка
Как проехать
Где купить
Отдел рекламы
График выхода журнала
Адреса в Интернет

РУБРИКАТОР
   
• Инфраструктура
• Информационные
   системы

• Сети связи
• Защита данных
• Кабельные системы
• Бизнес
• Колонка редактора
• Электронная
   коммерция

• Только на сервере
• Системы
   учрежденческой
   связи

• Новые продукты


Rambler's Top100

  

Обеспечение безопасности сетей ОКС-7

Б. С. Гольдштейн, И. М. Ехриель, Р. Д. Рерле

Процесс реструктуризации отрасли связи, который начался с открытия рынка для "непризнанных операторов" и продолжился созданием МРК, в скором времени приведет к соединению множества телекоммуникационных сетей в единую национальную сеть. Каждый оператор, работающий на открытом рынке, находится под давлением необходимости расширения спектра услуг, роста трафика и усиливающейся конкуренции. Одним из недостатков этого процесса является то, что сети становятся все более и более сложными, и при этом, зачастую, они не обладают адекватными средствами эксплуатационного управления.

Частично это связано с тем, что простым способом невозможно свести в единый центр средства управления и наблюдения за пунктами сигнализации разных производителей. Кроме того, находясь в режиме перегрузки, коммутационное оборудование может неадекватно отражать состояние элементов сети ОКС-7, а ведь именно такие моменты представляют наибольший практический интерес при эксплуатации сети.

В связи с этим представляется целесообразным построение системы мониторинга ОКС-7, основанной на пассивном подключении к звеньям ОКС-7 мониторов сигнализации. Принцип работы такой системы использует то обстоятельство, что информацию о состоянии сетевых элементов, колебаниях сигнальной нагрузки и большинстве других параметров, которые должны быть переданы от сетевых элементов в центр наблюдения для дальнейшего анализа, можно получить декодируя сообщения, "снимаемые" системой со звена сигнализации. Распределенная система мониторинга способна обеспечивать ряд дополнительных функций, например таких, как обнаружение фактов увода и краж трафика и формирование записей о вызове (CDR) для сверки счетов при взаиморасчетах между операторами.

Организованная на таких принципах общегосударственная система мониторинга может строиться как "сверху-вниз", так и путем объединения отдельных фрагментов систем, производящих наблюдение за сетями отдельных операторов и/или регионов. Основным назначением общегосударственной системы мониторинга должно стать обеспечение информационной безопасности ВСС РФ посредством контроля доступа к ресурсам сети ОКС-7 и предотвращения преднамеренных угроз, связанных с возможностью атак, цель которых - проанализировать, модифицировать, удалить и/или сфабриковать отдельные сигнальные сообщения и/или их последовательности.

Полную версию данной статьи смотрите во 2-ом номере журнала за 2003 год.

Угрозы безопасности сетей ОКС-7

В современном мире любая развитая страна экономически, социально и политически опирается на сложнейшую систему энергетических, транспортных и телекоммуникационных сетей дальней связи. Все эти сети зависят друг от друга, вследствие чего серьезный сбой в работе любой из них вызовет каскадное нарушение работы других сетей, приводящее, в конце концов, к отказам в наиболее критичных точках экономики страны. При возникновении таких сбоев способность страны ответить на посягательства ее национальной безопасности может быть значительно ограничена, а в некоторых условиях даже полностью нарушена на достаточно продолжительное время. По этой же причине, в дополнение к повышенной (по своей сущности) подверженности этих сетей к авариям и природным катаклизмам, они становятся заманчивой целью для террористов.

Серьезные инциденты, связанные с вмешательством в программное обеспечение и оказавшие влияние на работу национальных сетей, были вовремя обнаружены и к счастью не привели к нарушению национальной безопасности ни в одной стране. Эти инциденты были вызваны несанкционированным доступом в телефонные сети и сети передачи данных общего пользования. Бурное развитие сети Интернет, приведшее, в числе прочего, к введению интерфейсов Интернет в оборудование телефонных сетей общего пользования (ТфОП), создало дополнительный источник потенциальной угрозы несанкционированного вмешательства в программное обеспечение телекоммуникационных систем.

На этом фоне особую роль приобретает безопасность сети общеканальной сигнализации ОКС-7, которая соединяет большинство существующих сетей, построенных с использованием разных технологий, будь то традиционная телефония, интеллектуальные сети, сети сотовой связи, сети VoIP, ATM или ISDN. Международными стандартами определено использование системы ОКС-7 и в сетях связи следующего поколения (NGN), а также в сетях мобильной связи третьего поколения UMTS.

Известные выходы из строя в 1990-1991 гг. телекоммуникационных сетей международных и местных операторов в Северной Америке, в том числе отказ узла федеральной авиационной администрации, который отвечал за связь между системами управления аэропортов, впервые обозначили серьезность проблемы обеспечения надежности сети ОКС-7. Попробуем сформулировать причины возникновения этой проблемы.

Изначально концепция системы сигнализации ОКС-7 была основана на предположении о сравнительно небольшом числе альтернативных операторов, осуществляющих выход в глобальные сети через оконечные или транзитные АТС операторов ТфОП. При таком предположении сеть сигнализации является практически замкнутой системой, обмен данными в которой происходит только либо между самими АТС, либо между АТС и сетевыми базами данных, причем работа сети практически не требует вмешательства человека. В условиях малого числа альтернативных операторов и ограниченного количества интерфейсов операторы ТфОП могли с большой долей уверенности предположить, что все сообщения, проходящие по их сети сигнализации, посланы источниками, заслуживающими доверия.

Средства обеспечения безопасности в развернутых к настоящему времени во всем мире сетях ОКС-7 отражают упомянутое выше предположение. В отличие от сетей IP, в протоколы ОКС-7 не встроены такие меры, как аутентификация и шифрование. Вместо реализации функций обеспечения безопасности в самих протоколах, при построении сетей ОКС-7 акцент смещен в сторону создания замкнутой инфраструктуры на всех уровнях, вплоть до кабельных соединений. Доступ в станционные сооружения ограничен, проведение же процедур эксплуатационного управления защищено специальными методами, которые операторы ТфОП выработали за многие годы работы.

Отдельно следует отметить, что в недавней истории имели место несколько случаев выхода из строя ТфОП, вызванных сбоями в работе сетей ОКС-7 вследствие перегрузок и распространения отказов по сети сигнализации. Причина возможных перегрузок состоит в том, что в реальном оборудовании структура протокола ОКС-7 реализована в виде системы очередей, шин, внутренних матриц и процессоров. При чрезмерном трафике любая из подсистем протокола может подвергнуться перегрузке. Анализ показывает, что основными причинами перегрузок являются запросы перемаршрутизации сигнального трафика, когда трафик с отказавшего звена направляется на резервное. Перегрузки могут быть также вызваны проведением телеголосований и увеличением абонентской активности в дни социально-значимых событий.

Перегрузки на уровне подсистемы передачи сообщений (MTP) возникают в тех случаях, когда трафик от нескольких источников направляется к одному пункту назначения (например, к базе данных узла управления услугами - SCP) или имеет место разбалансировка трафика в прямом и обратном направлениях маршрута к пункту назначения (пример - обмен между SSP и SCP, когда небольшое увеличение трафика в прямом направлении может привести к значительному росту в обратном). Перегрузка на уровне МТР может быть также связана с образованием петли в сети транзитных пунктов STP/SCCP Relay (SPR).

Перегрузки в подсистеме управления соединениями сигнализации (SCCP) возникают по причине того, что трансляция глобальных заголовков выполняется ограниченным числом пунктов сигнализации. В этих случаях сами пункты SPR и звенья в их направлении становятся "узким" местом, подверженным перегрузкам. Так как алгоритмы контроля перегрузки внутри подсистем не стандартизированы МСЭ, то различия в их реализациях могут вызвать дисбаланс трафика разных подсистем.

Перегрузки на уровне подсистемы пользователей ISDN (ISUP) контролируются отдельным механизмом. Однако при использовании одного звена для переноса трафика ISUP и SCCP может возникнуть дисбаланс ограничения двух видов трафика из-за недостаточной координации разных механизмов ограничения перегрузки.

Несмотря на то, что до недавнего времени основное внимание уделялось обеспечению физической безопасности, некоторые меры применялись и на сетевом уровне. Так, транзитные пункты сигнализации оснащались функциями проверки входящих и исходящих сообщений, запрещающих пропуск тех из них, которые идут от неизвестных источников или к неизвестным получателям. Пункты сигнализации внутри сети изолировались от внешних сетей с помощью функций трансляции глобальных заголовков (они позволяют обмениваться сообщениями с пунктами сигнализации в других сетях без раскрытия уникальных адресов (кодов пунктов сигнализации) узлов своей сети). По большому счету до недавнего времени этого хватало.

Новые опасности

С либерализацией рынка связи и конвергенцией услуг передачи речи и данных ситуация изменилась. Увеличилось не только число игроков на рынке, по сравнению с ранее предполагавшимся, но и число программных приложений, использующих услуги сети сигнализации. Сеть ОКС-7 перестала быть замкнутой. Увеличение же числа и повышение сложности интерфейсов между сетями ОКС-7 и другими сетями, естественно, увеличило и степень подверженности первых внешним атакам. Каждый интерфейс, являясь точкой доступа в сеть ОКС-7, представляет собой потенциальный источник угроз ее безопасности.

Растущая взаимозависимость между сетями ОКС-7 и IP-сетями тоже постоянно увеличивает степень подверженности внешним атакам. Существует мнение, что любая сеть, не использующая протокол IP, является защищенной, в действительности, однако, если в цепи соединений существует хотя бы один IP-участок, то на самом деле все задействованные в соединении сети подвергаются опасности. Ведь внутри сети сигнализации нет средств проверки прав доступа для входящих сообщений и, следовательно, невозможно проверить правомочность узлов, находящихся за пределами сети ОКС-7.

В этих условиях любой, кто способен сформировать сообщение ОКС-7, может в той или иной степени нарушить работу сети общего пользования. Например, хакер, имеющий со своего компьютера доступ к местной АТС, может подставить ложный адрес источника и ввести в сеть пакеты, содержащие сфабрикованные сообщения, что при некоторых условиях может нарушить работу межстанционных связей.

Каждый элемент сети ОКС-7 рассчитан на обслуживание определенной нагрузки. Хакер может вызвать перегрузку звена сигнализации или всего пункта сигнализации, направив в его адрес чрезмерное количество сообщений непосредственно со своего терминала, или опосредованно, изменив сначала данные в маршрутных таблицах соседних пунктов таким образом, чтобы весь трафик от них "пошел" в его направлении.

Снизив возможности атак через разговорный канал, сети ОКС-7 создали другие уязвимые точки. Как уже говорилось выше, протоколы ОКС-7 изначально были спроектированы для использования только в закрытой инфраструктуре телекоммуникационного сообщества, поэтому они обладают слабыми возможностями аутентификации. В условиях же конвергенции сетей и услуг традиционные операторы и операторы сотовых сетей вынуждены предоставлять доступ к своим сетям Интернет-провайдерам (ISP), выделенным коммерческим сетям и учрежденческим АТС.

Присоединенные операторы (будь то обычной или IP-телефонии) зачастую не имеют никаких средств для контроля доступа к сети своих абонентов, что создает угрозы возможных атак со стороны пользователей этих сетей.

Имея доступ к сети ОКС-7, атакующий может анализировать, модифицировать, удалять и/или фабриковать отдельные сигнальные сообщения и последовательности таких сообщений. Каждая из перечисленных видов угроз может иметь очевидные последствия: изменение типа или перенаправление вызовов, нарушение маршрутных таблиц, изменение абонентских данных или информации о начисляемой плате и т. п. Специфические атаки могут быть проведены в отношении оконечных пунктов сигнализации (АТС, АМТС, MSC), транзитных пунктов (STP), сетевых баз данных (SCP, HLR).

Представители административного персонала местных, междугородных и международных сетей, которые, зачастую, первыми идут на компромисс при согласовании условий подключения, могут менее других знать о том, что их собственные клиенты и абоненты подвержены риску, связанному с неадекватными мерами по обеспечению безопасности в сети присоединенного оператора.

Технические недостатки узлов сети ОКС-7, связанные с отсутствием в протоколе средств контроля доступа, превентивного обнаружения перегрузок, проверки прав доступа, могут быть в некоторой степени сглажены административными процедурами в присоединенной сети. Однако применение только административных мер зачастую влечет дорогостоящие процедурные ошибки, - увы, человеческий фактор всегда присутствует, и далеко не каждый специалист, привлеченный к разработке таких мер, способен все время принимать правильные решения.

К настоящему времени выработано несколько подходов для защиты сетей ОКС-7 в новых условиях конвергентных сетей. Это, например, проверка (просеивание) сигнальных сообщений в STP посредством межсетевых экранов, ограничение точек взаимодействия с сетями VoIP за счет централизации (например, в STP) звеньев доступа с их стороны, физическое разделение сигнального и речевого трафика на участке доступа, защита доступных через интерфейсы эксплуатационного управления АТС внутристанционных данных посредством многоуровневой системы паролей и некоторые другие способы, описание которых, впрочем, выходит за рамки этой статьи.

Здесь же мы рассмотрим один из лучших, на взгляд авторов, способов защиты сети связи, предполагающий создание центра наблюдения, находясь за пультом которого можно в реальном времени следить за работой всей сети ОКС-7, собирая полезную информацию о состоянии ее элементов и происходящих в ней событиях. Для создания таких центров наблюдения предназначены системы распределенного мониторинга и анализа. Эти программно-аппаратные комплексы способны декодировать и анализировать проходящие по сети ОКС-7 сообщения, автоматически определять аномальные ситуации и, используя встроенные экспертные системы, рекомендовать процедуры для корректировки ситуации. Чтобы быть более конкретными, мы расскажем о функциях таких комплексов на примере системы "Спайдер".

Принципы наблюдения за сетью сигнализации

Современная телекоммуникационная сеть содержит разнородное оборудование нескольких фирм-производителей, при этом сетевые элементы одного оператора могут быть установлены в разных географических регионах и/или странах. Атаки на такие сложные, распределенные сети порой принимают разные формы. Наилучшая защита - это раннее обнаружение сетевых событий, имеющих характеристики, сходные с теми, которые возникают при угрозе безопасности. Система "Спайдер" имеет несколько приложений, предназначенных для раннего обнаружения таких событий.

Наблюдение за состоянием звеньев сети ОКС-7 позволяет оператору запрограммировать систему таким образом, чтобы она "сообщала" о внезапном увеличении или снижении сигнального трафика, предупреждая таким образом о возможной атаке. Для этого пользователь системы определяет значение нагрузки, считающееся нормальной для его сети или отдельных ее звеньев, и устанавливает порог, превышение которого вызовет выдачу предупреждения. При превышении этого порога система генерирует тревожное сообщение, появляющееся в реальном времени на экране монитора оператора системы в журнале текущих событий. Сообщение сопровождается информацией об источнике, времени возникновения потенциально опасного события и его типе.

Аналогичным образом функции наблюдения за состоянием разговорных пучков позволяют установить пороги отклонения значения разговорной нагрузки от нормального уровня. В этом случае сообщение тревоги сопровождается информацией о коммутационном узле или отдельном направлении, подвергшемся перегрузке, а также объекте, ставшем причиной увеличения уровня трафика. Данные возможности основаны на функциях генерации CDR-записей.

Функции анализа данных и трассировки вызова позволяют проводить мониторинг трафика в пределах всей сети сигнализации. Система собирает данные со всех узлов сети одновременно, формируя статистические отчеты о поведении отдельных групп абонентов или изменении числа телефонных вызовов на определенных интерфейсах к присоединенным сетям.

Являясь привлекательной целью для проведения атак, сети связи в то же время предоставляют средства для отслеживания вызовов, что делает их сильнейшим оружием против самих террористов. Сеть ОКС-7 является богатейшим источником данных для защиты от террористов, предоставляя несколько способов получения информации о подозрительных абонентах, среди которых можно упомянуть наблюдение за поведением абонентов, отслеживание заданных номеров, трассировку вызова в пределах нескольких сетей и др.

При необходимости обеспечения повышенных мер безопасности представители закона и администрации сетей связи могут работать сообща, определяя потенциальные угрозы и обмениваясь информацией о подозрительных субъектах. Когда подозреваемый определен, полезно следить за тем, куда и как часто он звонит. Когда подозреваемый неизвестен или имеет несколько терминалов, требуется сопоставление статистических данных о вызовах от определенных групп абонентов со списком номеров, на которые звонил тот или иной криминальный субъект. По просьбе представителей закона такие действия сегодня могут производиться вручную посредством анализа CDR-записей, получаемых из биллинг-центра один раз в несколько дней. Функции генерации и анализа CDR-записей, формируемых системой мониторинга из сигнальной информации, позволяют автоматизировать этот процесс, приближая его к реальному времени.

Новые возможности современных АТС, такие, как уведомление о входящем вызове, переадресация вызова по разным условиям и обратный вызов, намного повысили полезность телефонной связи, но усложнили работу представителям закона. Ожидая, что его вызовы отслеживаются, подозреваемый может звонить на номер, с которого вызов переадресуется на другой номер. Причем в такой цепи может быть несколько переадресующих номеров. Обычные средства трассировки вызовов отслеживают только первое звено в такой цепи. Функции обнаружения переадресации вызова при трассировке в системе мониторинга позволяют "добраться" до последнего номера в цепочке.

Применение распределенных систем мониторинга

Рассмотрим некоторые функции системы мониторинга, которые используются для обеспечения безопасности сети связи.

Функция трассировки вызовов вместе с функцией формирования CDR-записей являются важнейшими в системе мониторинга. Пользователь системы задает телефонный номер (или часть номера), а система находит, группирует по времени и выдает все сигнальные сообщения, связанные с вызовами на этот номер или с него в пределах всей сети. Причем трассировка вызова может быть произведена как в реальном времени, так и в режиме постпроцессинга. Последнее возможно благодаря тому, что система мониторинга собирает и декодирует все сигнальные сообщения, архивируя и храня их в течение нескольких дней. Функции триггеров позволяют сохранять результаты трассировки не для всех вызовов, а только для тех из них, которые удовлетворяют заданному пользователем системы критерию (время дня, цифры номера, причина разъединения, длительность соединения и пр.), и тем самым на порядок повышают интервал непрерывного наблюдения.

Процесс мониторинга в реальном времени может выполняться на постоянной основе, по расписанию в определенное время суток или дни недели, а также активироваться по определенному событию (например, превышение заданного уровня нагрузки), когда требуется применение повышенных мер безопасности.

Система мониторинга способна обнаруживать перегрузки и анализировать причины их возникновения в разных точках сети, на разных уровнях стека протоколов, в разных подсистемах. Настраиваемые пользователем граничные условия выдачи оповещений о превышении заданного порога дают возможность заблаговременно предоставить информацию для своевременного перераспределения имеющихся ресурсов, предотвращая тем самым возникновение критических перегрузок.

Собранные системой мониторинга данные могут храниться в удаленных модулях или немедленно пересылаться в базу данных центра наблюдения. Перед передачей возможна фильтрация и предварительная обработка их в удаленном модуле, что снижает время передачи информации в центральную базу данных. Собранная со всех удаленных модулей информация архивируется в базе данных и затем может быть сгруппирована и статистически обработана в соответствии с запросами оператора системы (по времени наблюдения, маршрутам, группам абонентов, услугам, узлам и т. д.).

Формирование CDR на основании информации, полученной при анализе собранных межстанционных сообщений ISUP, является альтернативой традиционному способу, при котором в каждой станции генерируются записи о вызовах, собираемые потом со всех станций в расчетном центре. Станция обычно формирует CDR-записи только для завершенных или отвеченных вызовов, в то время как формирование CDR-записей из межстанционных сообщений может дать намного больше информации.

Каждая попытка межстанционного вызова, успешная или нет, генерирует сообщения ISUP, которые проходят по звену сигнализации на высокой скорости, вследствие чего мониторинг временных соотношений между сообщениями позволяет точно зарегистрировать соотношения между многими событиями в АТС. Коммутационная же система обычно регистрирует только события, которые существенны для начисления платы за вызов.

Большая часть истории вызова (был ли он переадресован и по какой причине) может быть получена из сообщений ISUP, но АТС вряд ли зарегистрирует какие-либо данные, если они не требуются для начисления платы. Это связано с тем, что попытка сконфигурировать АТС таким образом, чтобы сохранять в записи о вызове всю информацию, имеющуюся в сообщениях ISUP, негативно повлияет на ее способность обрабатывать трафик. Пассивный же мониторинг никак не влияет на производительность АТС.

Для того чтобы формировать CDR-запись для каждого вызова, система мониторинга должна быть способна обрабатывать огромное число сообщений. Кроме того, для исследования событий непосредственно в момент их возникновения необходимо формировать CDR-записи в режиме реального времени (или близком к нему). Большого эффекта не даст знание того, что ошибка маршрутизации вызова произошла несколько дней назад - система должна генерировать аварийное уведомление о том, что что-то происходит не так, немедленно по возникновению события. Например, при наблюдении за несанкционированным использованием сетевых ресурсов может потребоваться формировать и обновлять информацию о вызове непосредственно после его начала и сохранить окончательный вариант CDR-записи в базе данных по окончании вызова.

***

С появлением новых телекоммуникационных технологий возрастает необходимость обеспечения безопасности глобальной сети телефонной связи. На сегодняшнем этапе, когда все больше новых систем используют ОКС-7 для взаимодействия с телефонными сетями, особенно важно обеспечить адекватные меры по соблюдению безопасности сетей ОКС-7. Это важно, в том числе, и для того, чтобы опасения возможности проведения атак на сети ОКС-7 со стороны пользователей новых услуг связи не стали причиной снижения скорости внедрения новых технологий, большей частью основанных на принципах IP и ATM.

Об авторах
Гольдштейн Борис Соломонович,
зам. директора по научной работе ЛОНИИС,
Ехриель Илья Михайлович,
начальник лаборатории ЛОНИИС,
Рерле Римма Дмитриевна,
начальник лаборатории ЛОНИИС
Телефон: (812) 389-6897





  
2 '2003
СОДЕРЖАНИЕ

бизнес

• Юридические аспекты хранения электронных данных

инфраструктура

• Технология Hyper-Threading повышает производительность серверов

• Новое в RSVP

• "Песочницы" для Web-серверов

• Тестируем регулировщики трафика территориально распределенных сетей

информационные системы

• Абонентские сервисы в контакт-центре

• Обращаем ошибки себе на пользу

• На все руки мастер

сети связи

• Обеспечение безопасности сетей ОКС-7

• "Софтсвич" - это по-нашему!

кабельные системы

• Развитие стандарта на кабельные системы жилых зданий

• Сети Industrial Ethernet

защита данных

• Обзор решений HIP

новые продукты

• "Дэйтлайнер" соединяет

только на сервере

• ETM сделает менее уязвимой телефонную сеть вашей компании


• Калейдоскоп



 Copyright © 1997-2007 ООО "Сети и Системы Связи". Тел. (495) 234-53-21. Факс (495) 974-7110. вверх