Избегайте критических уязвимостей в сетях нового поколения и IoT: защитите мобильную инфраструктуру

Исторически управление мобильными сетями было предсказуемым делом: голосовой и текстовый трафик вели себя в известных параметрах, позволяя операторам прогнозировать использование и превентировать проблемы.

Восхождение мобильного интернета ввело наводнение новых переменных. Операторы обнаружили, что пользователи последовательно опережали ожидания с данными-интенсивными приложениями, тетерингом и другими непредвиденными сценариями использования. Немедленным ответом было дросселирование, внесение доплат или блокировка определенных сервисов, по словам Дмитрия Курбатова, лида по телеком-безопасности в Positive Technologies.

Пролиферация IoT-устройств усиливает вызов. Не только непредсказуемые паттерны трафика сохраняются, но обещание 5G как универсального коннектора превращает повседневные объекты в потребители полосы пропускания — часто неэффективно.

Технологии виртуализации вроде NFV и SDN обещают быстрое масштабирование мощностей и упрощенное провижинирование сервисов. Хотя они стримят операции, они также централизуют контроль и экспонируют критические функции в интернет, создавая первоочередную мишень для изощренных противников.

Централизация сетевого контроля в одной, интернет-подключенной платформе превращает ценный актив в притягательную цель. За последние годы предприятия с обширными клиентскими или финансовыми данными страдали именно от этой уязвимости.

Признание ландшафта угроз — первый шаг к надежной безопасности. Второй — принятие конкретных действий — должен последовать, даже пока команды жонглируют бесчисленными приоритетами во время переходов к виртуализации.

Независимая оценка безопасности незаменима. Команды, погруженные в развертывание, естественно предвзяты и могут упустить слепые зоны. Выделенная третья сторона может эмулировать перспективу атакующего и раскрыть скрытые изъяны.

Такой аудит должен охватывать исходный код в критических модулях, видимость сети извне и конфигурацию каждого интерконнекта. Даже одна экспонированная точка доступа может дать вектор атаки.

Протоколы магистрали — SS7 и его преемник Diameter — становятся все более уязвимыми. Технические слабости в этих слоях могут дать атакующим опорную точку, откуда они могут навигировать к центральным контрольным узлам с минимальными усилиями.

Исторически физический доступ считался сдерживающим фактором, но современные атаки на цепочки поставок и скомпрометированное оборудование операторов теперь делают эксплуатацию шлюзов гораздо более достижимой.

Пока я не буду спекулировать о катастрофических сценариях, чистая масштабность устройств, показанная на Mobile World Congress, иллюстрирует ставки. Злоумышленник мог перегрузить критические сегменты или отвлечь мощность, с немедленным, измеримым воздействием.

Виртуализация остается благом — повышая эффективность, способствуя инновациям и снижая OPEX. Однако операторы не должны спешить слепо. Внедрение прямых мер защиты перед развертыванием, в сочетании с непрерывным мониторингом, может трансформировать потенциальный риск в управляемый актив.

Автор этого блога — Дмитрий Курбатов, лид по телеком-безопасности в Positive Technologies.