SigCorr — это первый инструмент с открытым исходным кодом для обнаружения межпротокольных цепочек атак, охватывающих SS7/MAP, Diameter S6a и GTPv2-C, с помощью унифицированной корреляции идентификаторов абонентов.
Пассивное обнаружение межпротокольных атак для мобильных опорных сетей
SigCorr — это первый инструмент с открытым исходным кодом для обнаружения межпротокольных цепочек атак, охватывающих SS7/MAP, Diameter S6a и GTPv2-C, с помощью унифицированной корреляции идентификаторов абонентов.
git clone https://github.com/sage-s11/sigcorr.git
cd sigcorr
mvn clean package -DskipTests
java -jar target/sigcorr-0.1.0.jar analyze capture.pcap
./test.sh
| ID | Атака | Описание |
|---|---|---|
| ATK-001 | Скрытое отслеживание местоположения | SRI с последующим PSI для отслеживания абонента |
| ATK-002 | Настройка перехвата | SRI с последующим ISD для перенаправления вызовов |
| ATK-006 | DoS абонента | CancelLocation + DeleteSubscriberData |
| ATK-011 | Перехват SMS | SRI-SM с последующим MT-ForwardSM |
| ATK-014 | Сбор векторов аутентификации | SRI с последующим SendAuthInfo |
| ATK-021 | Обнаружение IMSI-ловушки | Злонамеренный UpdateLocation + SendAuthInfo |
| ID | Атака | Описание |
|---|---|---|
| ATK-003 | Многопротокольная разведка | Скоординированная атака MAP + Diameter + GTP |
| ATK-005 | Понижение с Diameter до SS7 | Сбой Diameter AIR, затем возврат к MAP |
| ATK-009 | Разведка Diameter + перехват GTP | AIR с последующим CreateSession |
| ATK-010 | Перехват местоположения Diameter | AIR с последующим поддельным ULR |
┌─────────────────────────────────────────────────────────────────┐
│ SigCorr │
├─────────────────────────────────────────────────────────────────┤
│ ┌─────────────┐ ┌─────────────┐ ┌─────────────┐ │
│ │ SS7/MAP │ │ Diameter │ │ GTPv2-C │ │
│ │ Parser │ │ Parser │ │ Parser │ │
│ └──────┬──────┘ └──────┬──────┘ └──────┬──────┘ │
│ │ │ │ │
│ └────────────┬────┴────────────────┘ │
│ ▼ │
│ ┌─────────────────────┐ │
│ │ Identity Resolver │ IMSI ↔ MSISDN correlation │
│ └──────────┬──────────┘ │
│ ▼ │
│ ┌─────────────────────┐ │
│ │ Correlation Engine │ Temporal windowing │
│ └──────────┬──────────┘ │
│ ▼ │
│ ┌─────────────────────┐ │
│ │ Pattern Matcher │ 22 attack signatures │
│ └──────────┬──────────┘ │
│ ▼ │
│ ALERTS │
└─────────────────────────────────────────────────────────────────┘
════════════════════════════════════════════════════════════════
SigCorr v0.1.0 - Cross-Protocol Signaling Security Correlator
════════════════════════════════════════════════════════════════
Analyzing: full_multi_protocol_attack.pcap
Events decoded:
SS7/MAP: 2
Diameter: 2
GTPv2-C: 1
Total: 5
Alerts:
ALERT[CRITICAL] ATK-001 | Silent Location Tracking
subscriber=IMSI:234101234567890
confidence=95%
events=2
ALERT[CRITICAL] ATK-003 | Multi-Protocol Reconnaissance
subscriber=IMSI:234101234567890
confidence=90%
cross-protocol=true
events=5
Summary: 2 alerts generated
Отредактируйте sigcorr-config.yaml:
sigcorr:
tshark:
path: /usr/bin/tshark
timeout: 30s
correlation:
temporal_window: 30s
inference_window: 10s
detection:
min_confidence: 70
enabled_patterns:
- ATK-001
- ATK-002
- ATK-003
# ... or 'all'
output:
evidence_dir: ./evidence
extract_pcap: true
./test.sh
Проверяет 9 атакующих шаблонов на сгенерированных pcap.
# Download public samples first (see test-pcaps/public-samples/DOWNLOAD_GUIDE.md)
bash ./test-pcaps/test_public_samples.sh
Тестирование на 20+ реальных образцах pcap для:
sigcorr/
├── src/main/java/io/sigcorr/
│ ├── core/ # Core models (SignalingEvent, SubscriberIdentity)
│ ├── ingest/ # Protocol parsers (TsharkBridge)
│ ├── correlation/ # Identity resolution, temporal windowing
│ └── detection/ # Attack patterns, alerting
├── test-pcaps/
│ ├── attack-samples/ # Generated attack pcaps
│ ├── public-samples/ # Real-world validation samples
│ └── generate_*.py # Pcap generators
├── evidence/ # Extracted evidence pcaps (runtime)
├── pom.xml
├── sigcorr-config.yaml
└── test.sh
Приветствуются любые вклады! Будь то отчеты об ошибках, идеи новых атакующих шаблонов, поддержка протоколов или улучшения документации — любая помощь ценится.
git checkout -b feature/new-attack-pattern)git commit -m 'Add ATK-022: new pattern')git push origin feature/new-attack-pattern)Пожалуйста, убедитесь, что ./test.sh проходит перед отправкой.
SigCorr выпущен под лицензией GNU Affero General Public License v3.0 (AGPL-3.0).
Это означает, что вы можете свободно использовать, модифицировать и распространять SigCorr, в том числе в коммерческих средах. Если вы модифицируете SigCorr и предоставляете к нему доступ по сети (например, в виде хостингового сервиса), вы должны опубликовать свои изменения под той же лицензией.
См. полный текст в LICENSE.
Если AGPL не подходит для вашего случая — например, если вы хотите встроить SigCorr в собственный продукт или предложить его в составе коммерческого сервиса без требований AGPL по раскрытию исходного кода — доступна коммерческая лицензия.
Свяжитесь с Shreyas S по адресу [email protected] или откройте GitHub Issue с меткой licensing для обсуждения.
Если вы используете SigCorr в академических исследованиях, пожалуйста, цитируйте:
@software{sigcorr2025,
author = {Shreyas S},
title = {SigCorr: Passive Cross-Protocol Attack Detection for Mobile Core Networks},
year = {2025},
url = {https://github.com/sage-s11/sigcorr},
doi = {10.5281/zenodo.19439509}
}
Shreyas S (GitHub: @sage-s11)