LJ_信令防火墙_方案_2010C1_1

上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 基于信令技术的移动通信安全实时监管与增值业务平台 信令防火墙 信令网安全保障加强信息管控保障通信安全杜绝收入流失提高竞争能力 上海粱江通信系统股份有限公司2010年08月 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 为确保中国移动信令网安全 防止客户位置信息泄露 集团总部制定了信令网接入原则及管理规定 具体工作要求如下 一 信令网接入遵循最小接入原则 分等级接入原则和审批原则1 最小接入原则严格控制信令网的信令点数量和类型信令网内语音关口局 短信中心和位置业务平台分别作为语音类 短信类 位置类业务平台的接入关口2 分等级接入原则如在低一级信令网中 LSTP 能够满足信令点业务需要 则不允许接入更高一级信令网 HSTP 相应信令路由也严格按照分级原则配置3 入网审批原则当平台只能接入信令网以实现业务时 业务技术方案必须通过网络部审批 审批通过后方可遵从分等级原则接入信令网二 加强对业务平台的信令监测和性能统计监控 及时发现业务平台的不安全因素 确保信令网络安全三 信令网内平台清理工作要求请各公司根据信令网接入原则对信令网内的业务平台设备进行清理 规范信令网组网12月底前各公司依照接入原则梳理本省信令网内的业务平台 并按照 最小接入 和 分等级接入 原则规范业务平台组网 非中国移动自建 自维设备必须从信令网内清出 9月底前 对于仍需保留在信令网内的一类或二类业务平台设备 请各公司报总部审批 年底总部将在组巡中对各省信令网内的业务平台接入情况进行检查 移动集团高度重视信令网与信息安全 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 信令网风险分析 信令网各信令点间具备可通达性 采用信令点编码和全局码即可以寻址到全网任一信令点 1 对于信令网内的的信令点均认为是安全可靠的 对MTP SCCP没有明确要求目的信令点判断OPC和OGT 只要求判断DPC 2 对于MAP CAP没有明确要求协议实体判断请求消息的源地址 只要求判断DPC SSN TCID信令协议的特点使得信令网不具备限制非法访问的能力 信令网内的MAP CAP信令 涉及用户位置更新流程 鉴权流程 被叫路由查询流程 短信流程 智能业务流程 依托信令网的灵活性 可实现多种多样的业务 智能业务 短信增值业务 位置业务 国际一卡多号等业务 但随着各类业务平台接入信令网 也给信令网络带来较大的安全风险 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 信令网网络安全 1 信令点被攻击非法信令点可能通过信令方式消耗被攻击信令点的资源 使其处理能力下降 通过正常信令流程发起攻击 如 1 非法信令点可以模仿MSC向HLR不断发起路由查询流程 占用HLR处理能力 消耗其资源 2 非法信令点可以模仿MSC向SCP不断触发智能业务流程 占用SCP处理能力 消耗其资源 通过异常信令流程发起攻击 如 1 非法信令点可以发送不合理的信令消息 占用目的信令点的处理能力 2 非法信令点可以发送不完整信令流程 消耗定时器资源 2 信令点ID被盗用可能通过正常信令流程盗用特定用户归属HLRID 漫游MSCID 如 非法信令点可以首先模拟主叫MSC发起对某一号段用户号码的SRI消息路由查询 以获取特定号码归属HLR的HLRID和漫游MSC的MSCID 非法信令点用获取到的HLRID向漫游MSC1 发起删除位置流程 导致某一IMSI号段号码无法做被叫 2 发起插入用户数据流程 修改某一IMSI号段号码用户业务数据 导致用户无法正常使用业务 甚至被停机 3 信令点使用非授权功能非法信令点可能利用自有的全局码 GT码 发送非自身业务范围的信令消息 达到非法获取用户信息的目的 如 仅负责短信相关业务的平台 向HLR设备发送ATI消息 盗取用户的位置信息 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 用户信息安全 非法获取和利用用户位置信息1 MSC掌握用户当前所在小区ID 可通过信令访问方式获取 2 HLR存有用户漫游地信息可通过信令访问方式获取 3 MSCID和MSRN携带用户漫游地信息 可通过信令访问方式获取 例如 可通过位置业务流程获取用户的小区级位置信息 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential SigEngine 信令引擎 技术和消息处理机独立于网络的 无信令点 信令接入技术和流经式分布处理技术 粱江公司代表性发明技术以等同信令网的安全性和实时性品质 自适应目前和将来的多种网络环境和运营商环境 自成系统 在系统架构和独立部署多种实时电信业务方面实现了革命性突破在基础方法 业务体系及其应用方面拥有完全自主的知识产权 已获得多项发明专利授权同时支持IP和TDM网络环境 粱江信令防火墙为信令网安全护航 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 该专利技术已获得广泛市场应用 MPM已广泛应用于我国三大通信运营商的国际 国家和省级信令网 包括在北京奥运会 上海世博会 山东全运会 汶川地震等重大和突发事件的应用MPM单机在网应用MTBF已超过50万小时 在系统结构上具备了防止通信网被集中攻击和保障地震等突发事件业务不中断的卓越特性 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 信令防火墙组网结构 信令防火墙设备接入在信令网的边缘 作为第三方业务平台的统一接入点 有效防范信令网风险和用户数据风险 移动维护人员只需要维护信令防火墙这一个点 从而减轻直接维护第三方业务平台的巨大工作量 实现信令网的分级管理 管理服务器负责业务规则的管理 信令数据服务器负责记录与统计业务平台的信令消息并及时发出预警信号 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 典型应用 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 信令防火墙功能说明 类似数据网防火墙 无感知串接在TDM或IP信令链路中 专利技术 针对信令网内的风险点实时防范信令网和用户信息风险根据业务设定 实时检查信令消息的合法性 拦截非法信令消息 并输出告警对信令链路上的消息类型和操作码进行判断 是否存在与业务无关的信令消息对信令链路上消息源与目的地 OPC DPC 主被叫GT地址 主被叫号码等 进行合理性检查对信令链路上的消息内容中的特征字段范围 查询号码 主被叫地址等 进行合理性检查对信令链路上消息流量进行监控 判定其是否存在流量突变的行为 并及时告警 必要时对业务平台的接入实行限制全纪录流经的信令消息 并对信令消息进行分析统计功能扩展 具有检测信令协议规范性的功能 及时发现与纠正网络互通问题 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 信令防火墙关键指标 信令链路接入 2M 64K速率TDM方式 百兆 千兆自适应IP方式内置数据库容量 千万级黑白名单设备规格 1U19英寸机架式 2条2M或16条64K链路 或1条百兆 千兆自适应IP链路2U19英寸机架式 8条2M或64条64K链路 和2条百兆 千兆自适应IP链路消息时延百兆 千兆自适应IP链路 消息长度200字节 2Ms2Mb sTDM链路 消息长度200字节 5Ms64Kb sTDM链路 消息长度200字节 30Ms 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 信令网安全实时管控的价值 12 客户安全品牌形象 垃圾短信实时治理骚扰电话实时管控虚假号码实时管控 截流 复制卡实时治理 杜绝恶意欠费非法回拨限制 找回流失的话费 开源 短信广告区域应急保障 网络安全 信令防火墙 为信令网和用户信息安全护航网络虚拟仪表 实时跟踪解析信令消息 进行业务和网络故障分析定位基站安全保障 上海粱江通信系统股份有限公司本文件含粱江公司专有技术和商业机密 未经书面许可请勿向任何第三方透露IndustryConfidential 关于粱江通信 成立于2002年2月8日 2010年1月整体改制为股份公司上海市高新技术企业上海市专利示范企业上海市小巨人培育企业ISO9001 14000