يوقف جدار حماية SS7 من BroadNet احتيال الإشارات وحركة A2P عبر المسارات الرمادية لدى مشغّلي شبكات الهاتف المتنقل، عبر فحص إشارات SS7 ضمن المسار قبل وصولها إلى الشبكة الأساسية. جدار حماية SS7 مع تصفية MAP/SCCP ضمن المسار بين نقطة STP الدولية وشبكتك الأساسية. التحكم في معرّف المُرسِل، والتحقق من المسارات، وتصفية ذاكرة SRI-SM المؤقتة، وتصفية المحتوى، وتحقيق الدخل من حركة A2P — كل ذلك من جدار حماية واحد على طبقة الإشارات. منتشر لدى مشغّلين من الفئة الأولى في منطقة الشرق الأوسط وشمال أفريقيا.
جدار حماية واحد على مسار الإشارات الدولي. يُفكّ ترميز كل وحدة MAP وCAP وSCCP لكل عنصر معلومات، وتُصنَّف وفق معيار GSMA FS.11، ويصدر الحكم في أقل من خمسة أجزاء من الألف من الثانية. لا إعادة توجيه، ولا انقطاع في التجوال.
روابط SS7 الدولية (SIGTRAN، M3UA) الواردة من شركاء التجوال والمسارات الرمادية.
فك تشفير MAP، CAP، وSCCP لكل IE. وتوحيد GT، وAC، وCdPA/CgPA، وIMSI، وMSISDN لغرض البحث في السياسات.
تصنيف الفئات 1/2/3، والتحقق من ذاكرة التخزين المؤقت لـ SRI-SM، وفحص معرّف المُرسِل والمسار، وفئات معدل التدفق (velocity buckets).
السماح · التعديل · الحجر الصحي · الحظر · تحقيق العوائد. لكل مسار، ولكل شريك، ولكل مشترك. قواعد معتمدة عبر آلية maker-checker.
لا يصل إلى الشبكة الأم إلا ما تم التحقق منه من الإشارات. وتُنسخ الرسائل المعزولة لمراجعتها من قِبل فريق مكافحة الاحتيال.
روابط SS7 الدولية (SIGTRAN، M3UA) الواردة من شركاء التجوال والمسارات الرمادية.
فك تشفير MAP، CAP، وSCCP لكل IE. وتوحيد GT، وAC، وCdPA/CgPA، وIMSI، وMSISDN لغرض البحث في السياسات.
تصنيف الفئات 1/2/3، والتحقق من ذاكرة التخزين المؤقت لـ SRI-SM، وفحص معرّف المُرسِل والمسار، وفئات معدل التدفق (velocity buckets).
السماح · التعديل · الحجر الصحي · الحظر · تحقيق العوائد. لكل مسار، ولكل شريك، ولكل مشترك. قواعد معتمدة عبر آلية maker-checker.
لا يصل إلى الشبكة الأم إلا ما تم التحقق منه من الإشارات. وتُنسخ الرسائل المعزولة لمراجعتها من قِبل فريق مكافحة الاحتيال.
يُفكّ ترميزها عند نقطة STP، وتُقيَّم في الوقت الفعلي، ويُتّخذ الإجراء في أقل من خمسة أجزاء من الألف من الثانية. محرك واحد على طبقة الإشارات يعالج MAP وCAP وSCCP؛ ولغة سياسات واحدة (DSL) تُكتب بها القواعد؛ ومخزن تدقيق واحد يحتفظ بالأدلة.
جدار حماية واحد على مسار الإشارات. يتم فك تشفير MAP و CAP و SCCP وتوحيدها وتقييمها مقابل محرك سياسات واحد قبل وصول أي رسالة إلى SMSC أو HLR أو MSC الخاص بك.
حزم قواعد جاهزة متوافقة مع GSMA FS.11 لضمان أمن الـ SS7. الفئة 1 لا تتجاوز حدود الشبكة أبداً؛ الفئة 2 يتم التحقق منها مقابل منشأ شبكة الموطن؛ الفئة 3 يتم تقييمها بناءً على معدل السرعة لكل مشترك.
تُحدد بصمة كل رسالة عبر مصدرها (GT)، وSCCP CdPA/CgPA، وسياق التطبيق، والنمط التاريخي. وتُغذي درجات الشذوذ لغة برمجة خاصة بالسياسة (DSL) تُقرر السماح بالرسالة أو تعديلها أو عزلها أو إسقاطها في خطوة واحدة.
يُرصد إساءة استخدام AnyTimeInterrogation وProvideSubscriberInfo وProvideSubscriberLocation وSendRoutingInfo عند أول تواصل. وتُحجب عناوين GT الأجنبية التي تستطلع ثلاثيات IMSI–MSC–VLR قبل تحديد الموقع الجغرافي لأي مشترك.
يُتحقّق من MT-ForwardSM مقابل ذاكرة SRI-SM مؤقتة حيّة وفق ثلاثية IMSI / MSC / SMSC. وتُوقَف معرّفات المُرسِلين المنتحلة، وتسرّب حركة A2P إلى المسارات الرمادية، والاستطلاع التمهيدي لاستبدال شريحة SIM قبل أن يراها SMSC، لا بعد ذلك.
يُحفظ كل قرار على طبقة الإشارات في مخزن تدقيق مقاوم للتلاعب بسلاسل أحداث موقّعة بـ HMAC. تصدير جاهز للجهات التنظيمية، ولوحات معلومات حسب الأدوار، وإعادة عرض الحوادث — يرى مركز عمليات الشبكة (NOC) لديك ما رآه جدار الحماية، إطارًا بإطار.
الفئات الخمس لهجمات الإشارات التي تسبب معظم الضرر للمشتركين ومعظم خسائر إيرادات المشغّلين - والطبقة التي يلتقط عندها جدار الحماية كل منها.
تم تزوير عناوين المرسلين لانتحال صفة البنوك والعلامات التجارية والخدمات الحكومية. تم اكتشاف ذلك من خلال عدم تطابق ذاكرة التخزين المؤقت لنظام SRI-SM والتحقق المتبادل من سجل معرّفات المُرسِلين.
تقوم الـ GT الأجنبية بالاستعلام من الـ HLR لتحديد موقع الخلية التي تخدم المشترك. يتم حظرها عند حدود الشبكة باعتبارها رسائل GSMA FS.11 من الفئة 1.
يستطلع المهاجمون ارتباطات IMSI–MSC تمهيدًا لعمليات استبدال الشريحة القائمة على الهندسة الاجتماعية. تُقيَّم الأنماط لكل مصدر، ثم تُعزل لمراجعة فريق مكافحة الاحتيال.
احتيال تقاسم الإيرادات الدولي، وحلقات Wangiri، وأرقام المتصل المنتحلة تُعترض على طبقة الإشارات قبل أن يرنّ هاتف المشترك.
يتم توجيه حركة رسائل الشركات غير المُستغلة تجارياً عبر شركاء التجوال. إما أن تُجبر على استخدام المسار التجاري المتفق عليه، أو تُحظر، مع استرداد الإيرادات.
تفسّر عمليتان من عمليات MAP حصةً غير متناسبة من حوادث انتهاك خصوصية المشتركين واعتراض رموز التحقق لمرة واحدة (OTP) التي تصل إلى الجهات التنظيمية اليوم. ويعالج جدار الحماية كلتيهما على الحافة الدولية — تصنيفًا وتقييمًا وتوقيعًا — قبل وصولهما إلى HLR أو SMSC في الشبكة المنزلية.
استعلامات HLR أجنبية تكشف معرّف الخلية الخادمة، تستخدمها جهات المراقبة والمسيئون لتحديد الموقع الفعلي للمشترك بالتثليث. يصنّفها جدار الحماية ضمن الفئة 1 وفق GSMA FS.11 ويُسقطها عند حدود الشبكة، مع قيد تدقيق موقّع لملف الجهة التنظيمية.
استعلامات SRI-SM التي تربط المشترك بمركز MSC/SMSC الذي يخدمه، وهي خطوة الاستطلاع التي تسبق اختطاف MT-ForwardSM لحركة OTP و2FA. يتحقق جدار حماية SMS من كل استعلام مقابل ذاكرة SRI-SM مؤقتة لمدة 24 ساعة؛ وتُعزل الاستعلامات القادمة من عناوين GT أجنبية ولا تطابق الذاكرة المؤقتة لمراجعة فريق مكافحة الاحتيال.
تحتاج طبقة الإشارات إلى فرض البروتوكول، والسياسة التجارية، والتكيّف مع السلوك في المحرك نفسه. تعمل الركائز الثلاث كمسار قرار واحد — زمن فحص أقل من 5 مللي ثانية لكل وحدة إشارة — ليصل الحكم الصحيح إلى عنصر الشبكة الصحيح من الخطوة الأولى.
فرض على مستوى البروتوكول في طبقة الإشارات. السماح/الرفض لعمليات MAP، وتصفية العناوين العامة (Global Title)، وضوابط رموز النقاط OPC/DPC، وشروط MCC/MNC لكل شريك. تُسقَط كل وحدة إشارة مشوّهة أو خارج السياق عند فك الترميز.
سياسة تجارية وتشغيلية معبَّر عنها كبيانات: اختيار المسار وفق اتفاقية كل شريك، وسياسات حسب فئة المنتج (OTP، والمعاملات، والترويج)، وتحقيق الدخل من حركة التجاوز بتحويلها إلى قنوات A2P المتفق عليها. يفرض جدار حماية SMS العقد، لا المواصفة فقط.
فرض يراعي السلوك ويتكيّف مع الحركة الحيّة. عتبات TPS، وكشف الاندفاعات، ونوافذ زمنية حسب ساعات اليوم، ومعدل التكرار لكل عنوان GT مصدر. تلتقط الطبقة الديناميكية ما تعجز عنه القواعد الثابتة — الحملات الناشئة، ومزارع صناديق شرائح SIM الجديدة، وحالات التجوال الشاذة المفاجئة.
تصنيف FS.11 مكتوب بصيغة YAML مقروءة. عمليات MAP وCAP بأسمائها لا بأرقامها. قواعد معرّف المُرسِل والمسارات وA2P تُعتمد عبر مبدأ المُنشئ والمُدقِّق (maker-checker) — بإصدارات مرقّمة، وموقّعة، وقابلة للتدقيق.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
التحدي: كانت محاولات تتبّع مواقع المشتركين مصدر قلق قائم لدى الجهة التنظيمية، في ظل غياب أي رادع محلي. النهج: تصنيف وفق معيار FS.11 على حافة SS7 الدولية، إلى جانب ذاكرة تخزين مؤقت لـ SRI-SM لكشف الانتحال.
التحدي: جعلت نقاط STP الدولية الموزّعة على منظومات عدة موردين إعداد التقرير الفصلي للجهة التنظيمية عملًا يدويًا. النهج: وحّدت لغة سياسات واحدة (DSL) تطبيق القواعد على كل الحواف مع سجل تدقيق مُرقَّم الإصدارات.
التحدي: طلبت الجهة التنظيمية الوطنية أدلة مطابقة لمعيار FS.11 في مهلة قصيرة خلال مراجعة سنوية. النهج: أنتجت إدارة إصدارات حزم القواعد بيانًا موقَّعًا إلى جانب تقرير اختبار انحدار IR.71 / IR.82 في تشغيل واحد.
يعمل ضمن المسار بين نقطة STP الدولية وشبكتك الأساسية. تمر كل رسالة عبر جدار حماية SMS قبل وصولها إلى HLR أو SMSC أو MSC، ويُبث كل قرار إلى مركز عمليات الشبكة (NOC) لديك في الوقت الفعلي.
يقع الزوج النشط-النشط على مسار الإشارة الدولي. تُنفذ القرارات في الوقت الفعلي - الحظر، السماح، التعديل، تحقيق الربح.
بث منسوخ (mirror) من نقطة STP لتحديد خط الأساس وإجراء التحليلات. ثم الانتقال إلى الفرض ضمن المسار عند استقرار السياسات ومعدلات الإنذارات الكاذبة.
تعمل الحافة الدولية ضمن المسار، وتعمل النواة المحلية بوضع الكشف والتنبيه. مستوى سياسات مشترك، ومخزن تدقيق مشترك، ولوحة تحكم واحدة للمشغّل.
يتم تطبيق تصنيف GSMA FS.11 للربط البيني SS7 بشكل افتراضي ويتم الحفاظ عليه بواسطة فريق أمن الإشارات في BroadNet، مع إمكانية التصدير الجاهز للجهات التنظيمية عند الطلب.
نعم. يظهر جدار الحماية كـ peer إشارات SCCP/SIGTRAN ويتكامل مع منصات الـ STP الشائعة التي يديرها المشغّلون اليوم، عبر مجموعات الموردين المختلطة. لا تتطلب العملية أي تعديلات معقدة على جداول توجيه الـ STP سوى إعادة توجيه أكواد النقاط الدولية عبر زوج جدار الحماية.
نبدأ دائماً تقريباً باستخدام نسخة مرآة (mirror) خارج النطاق من الـ STP لمدة تتراوح بين 14–30 يوماً. يمنح ذلك فِرَق الأمن وضمان الإيرادات خط أساس نظيف لحركة الرسائل الدولية، ويسمح لنا بضبط حزمة قواعد FS.11 لتناسب مزيج شركاء التجوال الفعلي للمشغّل. وبمجرد الاتفاق كتابياً على نطاق النتائج الإيجابية الخاطئة، يتحول جدار حماية SMS إلى وضع التشغيل المتزامن (active-active) المباشر. وتعتبر الحالة الهجينة (مباشر عند الحدود الدولية، ومرآة عند النواة المحلية) هي الحالة المستقرة الشائعة.
يُصدر فريق أمن الإشارات في BroadNet حزمة قواعد مُرقّمة كل ثلاثة أشهر، مع تحديثات عاجلة لمعالجة معلومات التهديدات الجديدة التي يتم نشرها في غضون أيام. تتضمن كل حزمة قواعد حزم اختبار التوافق IR.71 وIR.81 وIR.82، مما يُمكّن فريقك من إجراء اختبارات التراجع قبل اعتمادها. يُمكن للمشغّل تثبيت أو رفض أي إصدار من لوحة التحكم - لا يتم اعتماد أي شيء تلقائيًا للإنتاج.
بناءً على وحدة الإشارات المفحوصة (MAP/CAP)، مقسمة حسب الحجم الشهري. لا توجد رسوم لكل وصلة، أو لكل كود نقطة، أو لكل Erlang. توجد رسوم تطوير غير متكررة (NRE) لمرة واحدة لدمج الـ STP، ورسوم صيانة سنوية صغيرة تغطي تحديثات حزم القواعد، وتغذية معلومات التهديدات، ومراجعات الهندسة ربع السنوية. عادةً ما يحقق المشغّلون استرداداً للتكاليف من عوائد A2P المستردة وتجنب خسائر الاحتيال.
نعم. لغة وصف السياسات (DSL) هي ذاتها التي يستخدمها فريق الأمن لدينا داخلياً. يقوم المشغّلون عادةً بكتابة قواعد لفرض اتفاقيات التجوال الثنائي، أو لإدراج استعلامات الموقع المعتمدة من جهات إنفاذ القانون في القائمة البيضاء، أو لتحقيق عوائد مادية من تدفقات تجاوز المسارات (bypass flows) بدلاً من حظرها، وتغذية منصات SIEM ومنصات مكافحة الاحتيال الداخلية بالنتائج. وتخضع القواعد المخصصة لنفس آلية الاعتماد (maker-checker) التي نتبعها، مع سجل تدقيق كامل.
مدة الصلاحية (TTL) هي 24 ساعة افتراضيًا، ويمكن ضبطها لكل مشغّل. تُملأ الذاكرة المؤقتة من استعلامات SRI-SM المشروعة المرصودة، وتُحدَّث مع كل عملية MT-ForwardSM ناجحة. نعرض معدل الإصابة ومعدل الإخفاق ومعدل العزل لكل عنوان GT شريك، لتتمكن فرق تحقيق الإيرادات (RA) من رصد أي قفزة مفاجئة في حالات الإخفاق (وهي عادةً أول مؤشر على حملة انتحال أو على تغيير أحد الشركاء لعنوان GT الخاص بـSMSC لديه).
نعم. كل قرار موقّع بـ HMAC، ومحفوظ في مخزن كاشف للتلاعب، ويُحتفظ به طوال المدة التنظيمية المطلوبة من المشغّل. نوفّر قوالب تصدير جاهزة لـ TRC (الأردن)، وCST (المملكة العربية السعودية)، وNCC (نيجيريا)، وTDRA (الإمارات العربية المتحدة)، وCRA (قطر)، وTRA (عُمان)، وTRA (البحرين)، وARPT (الجزائر)، وANRT (المغرب)، وINT-T (تونس). كما تُنتج وحدة التصدير بيان المطابقة لـ FS.11 الذي باتت عدة جهات تنظيمية في الشرق الأوسط وشمال أفريقيا تطلبه عند تجديد الترخيص.
في حالة الاستقرار، تكون النتائج الإيجابية الخاطئة ضد شركاء التجوال الموثوقين منخفضة جداً. نحن نقيس هذه المعدلات أسبوعياً ونعرض الرقم الخاص بكل شريك في لوحة التحكم، لضمان اطلاع فرق RA عليها دائماً. تهدف مرحلة الاختبار في وضع المحاكاة (mirror-mode) تحديداً إلى الاتفاق على هذه الحدود واعتمادها قبل تفعيل فرض القواعد فعلياً.
هل تحتاج إلى بيان التوافق FS.11 أو جلسة عمل مع مهندسي الإشارات لدينا؟ اطلب مراجعة لأمن الإشارات
جدار حماية SMS على مستوى التطبيق موجود على واجهة SMPP الخاصة بمركز خدمة رسائل SMS (SMSC).
التقاط البيانات وربطها بغض النظر عن البائع لـ SS7 و SIGTRAN و SIP - طبقة المعلومات المصاحبة.
مركز خدمة الرسائل القصيرة المستضاف مع توجيه متعدد، ولغات متعددة، وفواتير موحدة.
إمكانية المراقبة في الوقت الفعلي عبر جدار الحماية، ومركز خدمة الرسائل القصيرة، والإشارات، والمسارات.
حدد موعدًا لجلسة تعريفية للمشغّل. سنشرح تصنيف FS.11، وذاكرة التخزين المؤقت SRI-SM، ونموذج تحقيق الدخل من A2P، وخطة النشر لشبكتك - مدعومة بدعم BroadNet NOC على مدار الساعة طوال أيام الأسبوع.
الموارد
ورقة بيانات جدار حماية SS7
تعمّق في المفاهيم التي يقوم عليها هذا المنتج.