Die SS7-Firewall von BroadNet stoppt Signalisierungsbetrug und A2P-Verkehr über Grey Routes für Mobilfunkbetreiber, indem sie die SS7-Signalisierung inline prüft, bevor sie das Kernnetz erreicht. Eine SS7-Firewall mit Inline-MAP/SCCP-Filterung zwischen dem internationalen STP und Ihrem Kernnetzwerk. Sender-ID-Kontrolle, Routenvalidierung, SRI-SM-Cache-Filterung, Inhaltsfilterung und A2P-Monetarisierung – alles über eine einzige Signalisierungsschicht-Firewall. Im Einsatz bei Tier-1-Betreibern in der MENA-Region.
Eine einzige Firewall im internationalen Signalisierungspfad. Jede MAP-, CAP- und SCCP-Einheit wird pro Informationselement dekodiert, gemäß GSMA FS.11 kategorisiert und das Ergebnis in weniger als fünf Millisekunden zurückgegeben. Keine Umleitung, kein unterbrochenes Roaming.
Internationale SS7 (SIGTRAN, M3UA) Verbindungen eingehend von Roaming-Partnern und Grey Routes.
MAP, CAP und SCCP pro IE-Dekodierung. GT, AC, CdPA/CgPA, IMSI, MSISDN normalisiert für den Policy-Lookup.
Klassifizierung der Kategorien 1/2/3, SRI-SM Cache-Validierung, Sender-ID- und Routenprüfungen, Velocity-Buckets.
Zulassen · Ändern · Quarantäne · Blockieren · Monetarisieren. Pro Route, pro Partner, pro Teilnehmer. Per Maker-Checker validierte Regeln.
Nur validierte Signale erreichen das Heimnetzwerk. Quarantänisierte Nachrichten werden zur Überprüfung durch das Betrugsteam gespiegelt.
Internationale SS7 (SIGTRAN, M3UA) Verbindungen eingehend von Roaming-Partnern und Grey Routes.
MAP, CAP und SCCP pro IE-Dekodierung. GT, AC, CdPA/CgPA, IMSI, MSISDN normalisiert für den Policy-Lookup.
Klassifizierung der Kategorien 1/2/3, SRI-SM Cache-Validierung, Sender-ID- und Routenprüfungen, Velocity-Buckets.
Zulassen · Ändern · Quarantäne · Blockieren · Monetarisieren. Pro Route, pro Partner, pro Teilnehmer. Per Maker-Checker validierte Regeln.
Nur validierte Signale erreichen das Heimnetzwerk. Quarantänisierte Nachrichten werden zur Überprüfung durch das Betrugsteam gespiegelt.
Die Dekodierung erfolgt auf der STP-Ebene, die Bewertung in Echtzeit und die Reaktion darauf in weniger als fünf Millisekunden. Eine Signalisierungsschicht-Engine verarbeitet MAP, CAP und SCCP; eine Policy-DSL definiert die Regeln; ein Audit-Speicher verwaltet die Nachweise.
Eine Firewall auf dem Signalisierungspfad. MAP, CAP und SCCP werden dekodiert, normalisiert und anhand einer einzigen Policy-Engine bewertet, bevor eine Nachricht Ihr SMSC, HLR oder MSC erreicht.
Vorgefertigte Rule-Packs, abgestimmt auf GSMA FS.11 für SS7-Interconnect. Kategorie 1 überschreitet niemals die Netzgrenze; Kategorie 2 wird gegen den Ursprung im Heimnetz validiert; Kategorie 3 wird mittels Velocity-Scoring pro Teilnehmer bewertet.
Jede Nachricht wird anhand des Ursprungs-GT, SCCP CdPA/CgPA, des Anwendungskontexts und des bisherigen Nachrichtenverlaufs charakterisiert. Die Anomaliewerte fließen in eine Richtlinien-DSL ein, die innerhalb eines einzigen Hops entscheidet, ob eine Nachricht zugelassen, geändert, unter Quarantäne gestellt oder verworfen wird.
Missbrauch von AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation und SendRoutingInfo wird beim ersten Kontakt erkannt. Ausländische Geolocation-Dienste, die IMSI-MSC-VLR-Tupel abfragen, werden blockiert, bevor auch nur ein einziger Teilnehmer geolokalisiert werden kann.
MT-ForwardSM wird anhand eines Live-SRI-SM-Caches mittels IMSI/MSC/SMSC-Tupels validiert. Gefälschte Absenderkennungen, A2P-Leaks über Graurouten und SIM-Swap-Aufklärung werden verhindert, bevor das SMSC sie erkennt, nicht erst danach.
Jede Signalisierungsentscheidung wird in einem manipulationssicheren Prüfprotokollspeicher mit HMAC-signierten Ereignisketten gespeichert. Regulierungsbehördenkonforme Exporte, rollenbasierte Dashboards und Vorfallwiedergaben – Ihr NOC sieht genau das, was die Firewall gesehen hat, Frame für Frame.
Die fünf Signalangriffsklassen, die den größten Schaden für Abonnenten und den größten Umsatzverlust für Betreiber verursachen – und die Ebene, auf der die Firewall jede einzelne abfängt.
Gefälschte Absenderadressen dienten dazu, Banken, Marken und Regierungsbehörden vorzutäuschen. Aufgedeckt durch einen SRI-SM-Cache-Fehler und einen Abgleich mit der Absender-ID-Registry.
Ausländische GTs fragen die HLR ab, um die Funkzelle eines Teilnehmers zu triangulieren. Blockierung an der Netzgrenze als GSMA FS.11 Kategorie-1-Nachrichten.
Angreifer suchen nach IMSI-MSC-Bindungen, bevor sie durch Social Engineering Manipulationen vornehmen. Die Muster werden pro Ursprung bewertet und anschließend zur Überprüfung durch das Betrugsteam unter Quarantäne gestellt.
Internationale Umsatzbeteiligungsbetrügereien, Wangiri-Schleifen und gefälschte Rufnummern werden auf der Signalisierungsebene abgefangen, bevor sie den Teilnehmer erreichen.
Nicht monetarisierter Unternehmensverkehr, der über Roaming-Partner eingeleitet wird. Wird auf die vereinbarte kommerzielle Route umgeleitet – oder blockiert, wobei die Einnahmen zurückgewonnen werden.
Zwei MAP-Operationen erklären einen überproportionalen Anteil der Vorfälle im Zusammenhang mit der Privatsphäre von Abonnenten und dem Abfangen von OTPs, die heute den Aufsichtsbehörden gemeldet werden. Die Firewall verarbeitet beides am internationalen Netzwerkrand – kategorisiert, bewertet und signiert –, bevor die Daten ein lokales HLR oder SMSC erreichen.
Fremde HLR-Anfragen, die zu einer Mobilfunkzelle aufgelöst werden, werden von Überwachungsbetreibern und Missbrauchern genutzt, um den tatsächlichen Standort eines Teilnehmers zu ermitteln. Die Firewall klassifiziert diese Anfragen als GSMA FS.11 Kategorie 1 und verwirft sie an der Netzwerkgrenze. Dabei wird ein signierter Prüfvermerk für die Regulierungsbehörde erstellt.
SRI-SM-Anfragen ordnen einen Teilnehmer seinem zuständigen MSC/SMSC zu – der Aufklärungsschritt vor dem Abfangen von OTP- und 2FA-Datenverkehr durch MT-ForwardSM. Die Firewall validiert jede Anfrage anhand eines 24-Stunden-SRI-SM-Caches; Anfragen von ausländischen GTs, die den Cache nicht erreichen, werden zur Überprüfung durch das Betrugsteam in Quarantäne gestellt.
Die Signalisierungsschicht benötigt Protokolldurchsetzung, Geschäftsrichtlinien und verhaltensbasierte Anpassung in derselben Engine. Die drei Säulen bilden einen einzigen Entscheidungspfad – mit einer Inspektionslatenz von unter 5 ms pro Signalisierungseinheit – sodass das richtige Ergebnis beim ersten Hop das richtige Netzwerkelement erreicht.
Protokollbasierte Durchsetzung auf der Signalisierungsschicht. MAP-Operationen (Zulassen/Verweigern), Filterung globaler Titel, OPC/DPC-Punktcode-Steuerung, MCC/MNC-Bedingungen pro Partner. Jede fehlerhafte oder kontextfremde Signalisierungseinheit wird beim Dekodieren verworfen.
Geschäfts- und Betriebsrichtlinien werden in Daten ausgedrückt. Routenwahl gemäß Partnervereinbarung, Produktrichtlinien (OTP, Transaktionen, Werbeaktionen), Monetarisierung des Bypass-Traffics über vereinbarte A2P-Kanäle. Die Firewall setzt den Vertrag durch, nicht nur die Spezifikation.
Verhaltensbasierte Durchsetzung, die sich an den aktuellen Datenverkehr anpasst. TPS-Schwellenwerte, Erkennung von Lastspitzen, tageszeitliche Fenster, Geschwindigkeit pro Ursprungs-GT. Die dynamische Ebene erfasst, was statische Regeln nicht erfassen können – neu auftretende Kampagnen, neue SIM-Box-Farmen, plötzliche Roaming-Anomalien.
FS.11-Kategorisierung in lesbarem YAML. MAP- und CAP-Operationen benannt, nicht nummeriert. Sender-ID, Routen- und A2P-Regeln werden über den Maker-Checker bereitgestellt – versioniert, signiert und auditierbar.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Herausforderung: Sonden zur Standortverfolgung von Teilnehmern waren ein akutes Anliegen der Regulierungsbehörde, ohne dass eine nationale Abschreckung bestand. Vorgehensweise: FS.11-Kategorisierung am internationalen SS7-Edge sowie ein SRI-SM-Cache zur Spoofing-Erkennung.
Herausforderung: Internationale STPs auf mehreren Hersteller-Stacks machten den Quartalsbericht an die Regulierungsbehörde zu einer manuellen Übung. Vorgehensweise: Eine einzige Policy-DSL vereinheitlichte die Regeldurchsetzung an jedem Edge mit einem versionierten Audit-Trail.
Herausforderung: Die nationale Regulierungsbehörde verlangte bei einer jährlichen Prüfung kurzfristig Nachweise der FS.11-Konformität. Vorgehensweise: Die Versionierung der Regelpakete erzeugte in einem einzigen Lauf ein signiertes Manifest sowie einen IR.71-/IR.82-Regressionsbericht.
Die Schnittstelle zwischen dem internationalen STP und Ihrem Kernnetz ist nahtlos integriert. Jede Nachricht durchläuft die Firewall, bevor sie ein HLR, SMSC oder MSC erreicht – und jede Entscheidung wird in Echtzeit an Ihr NOC übertragen.
Das Active-Active-Paar befindet sich auf dem internationalen Signalpfad. Entscheidungen werden in Echtzeit umgesetzt – blockieren, zulassen, modifizieren, monetarisieren.
Die Daten des STP werden für die Festlegung von Basisdaten und für Analysen gespiegelt. Die Durchsetzung erfolgt im laufenden Betrieb, sobald sich die Richtlinien und die Fehlalarmraten stabilisiert haben.
Internationales Edge-Computing läuft inline, inländisches Core-Computing im Erkennungs- und Alarmmodus. Gemeinsame Richtlinienebene, gemeinsamer Prüfdatenspeicher, ein einziges Bediener-Dashboard.
Die GSMA FS.11-Kategorisierung für SS7-Verbindungen wird standardmäßig durchgesetzt und vom BroadNet-Signalisierungssicherheitsteam aufrechterhalten, wobei auf Anfrage aufsichtsrechtlich zulässige Exporte bereitgestellt werden.
Ja. Die Firewall tritt als SCCP/SIGTRAN-Signalisierungspartner auf und lässt sich in die gängigen STP-Plattformen integrieren, die Netzbetreiber heute in Multi-Vendor-Umgebungen einsetzen. Es ist keine Anpassung der STP-Routingtabellen erforderlich, außer der Umleitung der internationalen Point Codes über das Firewall-Paar.
In der Regel beginnen wir mit einem Out-of-Band-Mirroring vom STP für 14–30 Tage. Dies ermöglicht es den Security- und RA-Teams, eine saubere Baseline des internationalen Traffics zu erstellen und das FS.11-Rule-Pack auf den tatsächlichen Roaming-Partner-Mix des Netzbetreibers abzustimmen. Sobald der Korridor für False Positives schriftlich vereinbart wurde, schaltet die Firewall auf Inline Active-Active um. Der Hybrid-Modus (Inline am internationalen Edge, Mirroring am domestischen Core) ist der übliche Zielzustand.
Das Signalisierungssicherheitsteam von BroadNet veröffentlicht vierteljährlich ein versioniertes Regelpaket, das innerhalb weniger Tage mit Hotfix-Patches für neue Bedrohungsinformationen aktualisiert wird. Jedes Regelpaket enthält die Konformitätstestpakete IR.71, IR.81 und IR.82, sodass Ihr Team Regressionstests durchführen kann, bevor es in die Produktion übernommen wird. Der Administrator kann jede Version über das Dashboard freigeben oder ablehnen – es erfolgt keine automatische Übertragung in die Produktion.
Pro untersuchter Signalisierungseinheit (MAP/CAP), gestaffelt nach monatlichem Volumen. Keine Gebühren pro Link, pro Point Code oder pro Erlang. Es fällt eine einmalige NRE für die STP-Integration sowie eine geringe jährliche Wartungsgebühr an, die Rule-Pack-Updates, den Threat-Intel-Feed und vierteljährliche Architektur-Reviews abdeckt. Netzbetreiber erzielen die Amortisation in der Regel durch die Rückgewinnung von A2P-Umsätzen und die Vermeidung von Betrugsschäden.
Ja. Die Policy-DSL ist identisch mit derjenigen, die unser Security-Team intern verwendet. Netzbetreiber schreiben routinemäßig Regeln, um ihre bilateralen Roaming-Vereinbarungen durchzusetzen, autorisierte Standortabfragen von Strafverfolgungsbehörden auf eine Whitelist zu setzen, spezifische Bypass-Flows zu monetarisieren, statt sie zu blockieren, und um Ergebnisse an interne SIEM- und Fraud-Plattformen zu übermitteln. Eigene Regeln durchlaufen denselben Maker-Checker-Prozess wie unsere, inklusive vollständigem Audit-Trail.
TTL beträgt standardmäßig 24 Stunden und kann pro Betreiber angepasst werden. Der Cache wird mit beobachteten legitimen SRI-SM gefüllt und bei jedem erfolgreichen MT-ForwardSM aktualisiert. Wir legen Treffer-, Fehler- und Quarantänerate pro Partner-GT offen, damit RA-Teams einen plötzlichen Anstieg von Cache-Fehlern erkennen können (in der Regel das erste Anzeichen einer Spoofing-Kampagne oder eines Partners, der seinen SMSC-GT neu verschlüsselt).
Ja. Jede Entscheidung wird von HMAC unterzeichnet, in einem manipulationssicheren Speicher abgelegt und für die Dauer der behördlichen Prüfungsphase des Betreibers aufbewahrt. Wir liefern vorgefertigte Exportvorlagen für TRC (Jordanien), CST (Saudi-Arabien), NCC (Nigeria), TDRA (VAE), CRA (Katar), TRA (Oman), TRA (Bahrain), ARPT (Algerien), ANRT (Marokko) und INT-T (Tunesien). Das Exportmodul erstellt außerdem das FS.11-Konformitätsmanifest, das von mehreren Regulierungsbehörden im Nahen Osten und Nordafrika bei der Lizenzverlängerung verlangt wird.
Im regulären Betrieb sind False Positives gegenüber legitimen Roaming-Partnern sehr gering. Wir messen die Rate wöchentlich und zeigen die Anzahl pro Partner im Dashboard an, damit die RA-Teams stets informiert sind. Die Mirror-Mode-Testphase dient genau dazu, diesen Rahmen festzulegen und absegnen zu lassen, bevor die Durchsetzung live geht.
Benötigen Sie das FS.11-Konformitätsmanifest oder eine Arbeitssitzung mit unseren Signaltechnikern? Sicherheitsüberprüfung der Signalisierung anfordern
Eine SMS-Firewall auf Anwendungsebene, die sich auf der SMPP-Schnittstelle zu Ihrem SMSC befindet.
Herstellerunabhängige Erfassung und Korrelation für SS7, SIGTRAN und SIP – die zugehörige Intelligenzschicht.
Gehostetes SMSC mit Multi-Routing, Mehrsprachigkeit und einheitlicher Abrechnung.
Echtzeit-Überwachung über Firewall, SMSC, Signalisierung und Routen hinweg.
Vereinbaren Sie eine Bedienerbesprechung. Wir erläutern Ihnen die FS.11-Kategorisierung, den SRI-SM-Cache, das A2P-Monetarisierungsmodell und den Bereitstellungsplan für Ihr Netzwerk – unterstützt durch den BroadNet NOC-Support rund um die Uhr.
Ressourcen
Datenblatt SS7-Firewall
Vertiefen Sie die Konzepte hinter diesem Produkt.