Los firewalls de SMS internacionales se ubican en el punto de interconexión. Protegen el tráfico que llega desde el exterior. No detectan el spam interno, las tormentas de SMS internas, las rutas grises a través de SIM box locales, el abuso de flash calls ni la suplantación de sender ID de sus marcas bancarias y gubernamentales. El Local SMSC Firewall se ubica delante de, o junto a, su SMSC local, y aborda cada una de estas amenazas.
Operadores que combinan su firewall internacional con un firewall de núcleo local
Inspección en línea sin riesgo en línea. Cada regla se ejecuta en modo monitoreo antes de bloquear; cada decisión es atribuible a la regla que la generó.
Sobrecarga en línea, de extremo a extremo, por mensaje.
Toda regla puede ejecutarse solo en modo registro antes de bloquear.
Permitir, bloquear, limitar y etiquetar/enrutar.
Cogestionado, de autogestión o totalmente gestionado.
El firewall se sitúa entre cada fuente de tráfico y su núcleo de mensajería (SMPP, HTTP, API internas, aplicaciones internas, socios externos) e inspecciona cada mensaje antes de que llegue al SMSC local.
SMPP, HTTP, API internas: aplicaciones internas y socios externos por igual. Todas las vías de acceso al núcleo de mensajería están incluidas.
Tipo detectado: A2P, P2P, llamada instantánea, tráfico de prueba, mensajes del sistema. El contexto se etiqueta antes de que se active cualquier regla.
Reglas de contenido, comportamiento y contexto combinadas. Por ruta, por remitente, por segmento, por hora del día.
Permitir · bloquear · limitar · etiquetar y enrutar. Cada decisión se registra con la regla que la generó.
El tráfico aprobado se reenvía al SMSC local. El tráfico bloqueado se descarta, conservándose un registro de evidencia.
SMPP, HTTP, API internas: aplicaciones internas y socios externos por igual. Todas las vías de acceso al núcleo de mensajería están incluidas.
Tipo detectado: A2P, P2P, llamada instantánea, tráfico de prueba, mensajes del sistema. El contexto se etiqueta antes de que se active cualquier regla.
Reglas de contenido, comportamiento y contexto combinadas. Por ruta, por remitente, por segmento, por hora del día.
Permitir · bloquear · limitar · etiquetar y enrutar. Cada decisión se registra con la regla que la generó.
El tráfico aprobado se reenvía al SMSC local. El tráfico bloqueado se descarta, conservándose un registro de evidencia.
Cuatro razones por las que los operadores implementan un firewall dedicado en el SMSC local, incluso cuando ya cuentan con uno internacional en la interconexión.
Los firewalls internacionales protegen el tráfico A2P entrante desde el exterior. Las tormentas de SMS internas, el phishing dentro de la red, las rutas grises de SIM box locales y la suplantación de sender ID de bancos locales se originan dentro de la red, y requieren un firewall en el interior.
La inspección en línea no es viable si añade una latencia perceptible. El firewall está diseñado para decisiones de ruta rápida sobre el núcleo de mensajería, y se mide de forma continua contra la línea base de su propio SMSC.
Ninguna regla bloquea tráfico de producción sin antes ejecutarse solo en modo registro contra tráfico real y demostrar su tasa de falsos positivos. La promoción a modo de aplicación es un único cambio con registro de auditoría completo, y todo bloqueo es reversible.
Separación clara entre la política definida por el operador y las recomendaciones de BroadNet. Flujos de aprobación para los cambios de reglas sensibles. Registro de auditoría completo de quién cambió qué, cuándo y por qué.
Cuatro tipos de acción
El motor de reglas combina señales de contenido, de comportamiento y de contexto, pero la acción que ejecuta siempre es una de cuatro. Cada una es auditable, reversible y se despliega primero en modo monitoreo.
Enrutar con normalidad hacia el SMSC local. Sin restricciones. Registrado junto con la regla que lo aprobó, para fines de auditoría.
Rechazar el mensaje y registrar el motivo de forma persistente. La evidencia se conserva para consultas de aseguramiento de ingresos, del regulador o de protección de marca.
Aplicar un límite de tasa por remitente, IP, cuenta o socio. El mensaje continúa, pero el flujo queda controlado.
Adjuntar metadatos o redirigir a una ruta alternativa para un tratamiento especial, monetización o inspección adicional.
Niveles de servicio
Tres modelos operativos. La mayoría de los operadores comienzan en modo cogestionado durante el piloto y avanzan hacia el modelo que su equipo prefiera una vez que se sienten cómodos con el conjunto de reglas.
Su equipo gestiona la operación diaria: edición de reglas, clasificación de alertas, ventanas de cambio. BroadNet respalda el ajuste avanzado, las actualizaciones de inteligencia de amenazas y la escalada de incidentes.
Control total del marco de políticas. BroadNet proporciona capacitación, documentación, guías operativas y una línea de escalada para incidencias a nivel de plataforma. Ideal para operadores con equipos de seguridad maduros.
BroadNet se encarga de la gestión de reglas, el monitoreo, el ajuste y la respuesta ante incidentes. El operador define la orientación de la política y revisa los resultados mensuales. La opción de menor carga operativa.
Capacidades
Los sistemas internos mal configurados generan bucles que pueden colapsar un SMSC local en minutos. Los límites de tasa por origen, la detección de ráfagas y la limitación automática detienen la tormenta antes de que llegue a atención al cliente.
Mantenga listas blancas de sender ID aprobados de bancos, entidades gubernamentales y OTT, en coordinación con la marca. Bloquee los similares, las suplantaciones con combinaciones de mayúsculas y minúsculas, y los remitentes no registrados que reclaman identidades protegidas.
Llamadas repetidas de corta duración para verificación por OTP, correlacionadas con la actividad de SMS. Decida en términos comerciales: bloquear, permitir con monitoreo, o dirigir hacia una ruta de pago. Enlaza con /operators/flash-call.
El tráfico A2P entregado mediante tarjetas SIM de consumo evade los acuerdos comerciales. El análisis de patrones identifica el comportamiento de SIM box dentro de su propia red; el tráfico bloqueado genera evidencia para el equipo de aseguramiento de ingresos.
Toda regla puede ejecutarse en modo solo registro antes de bloquear. Valídela contra tráfico real de producción, mida la tasa de falsos positivos y luego promuévala a modo de aplicación con un solo clic y un registro de cambios completo.
Registros de mensajes detallados con la regla que se activó, exportables en CSV / JSON / PDF para disputas con socios y consultas regulatorias. Retención configurada conforme a su política de TI y cumplimiento.
Cobertura de amenazas
| Vector de ataque | Control del cortafuegos local | Resultado |
|---|---|---|
| Tormentas y bucles SMS internos | Límites de velocidad por fuente, detección de ráfagas y limitación automática en el núcleo local. | La tormenta se controla antes de que el SMSC local quede completamente arrasado. |
| Suplantación sender-ID en la red de bancos locales | Listas blancas coordinadas por marca con detección de remitentes similares, con mayúsculas y minúsculas mezcladas y no registrados. | Se bloquea la suplantación de identidad de marcas locales con un registro de auditoría completo. |
| Rutas grises A2P dentro de la red (SIM box locales) | Análisis de patrones A2P frente a P2P e identificación de la tarjeta SIM en su propia red. | El bypass fue bloqueado y documentado para el equipo de RA. |
| Abuso de llamadas instantáneas y OTP por voz | Correlación entre las llamadas de verificación de corta duración y la actividad SMS, según lo determine la política establecida. | Bloquear, supervisar o redirigir a una ruta de pago: una decisión comercial, no un lanzamiento a ciegas. |
| Los cambios en las normas conllevan el riesgo de falsos positivos. | Antes de aplicarse, cada regla se ejecuta en modo de monitorización solo de registros sobre el tráfico en tiempo real. | Primero se mide la tasa de falsos positivos; la promoción para hacerla cumplir se realiza con un solo clic auditable. |
Desafío: una plataforma de marketing interna mal configurada comenzó a repetir en bucle el mismo SMS de notificación hacia toda la base de abonados, con riesgo de sobrecarga del SMSC en las horas pico. Enfoque: ya existía un límite de tasa por origen interno desplegado en modo monitoreo, que se promovió a modo de aplicación dentro de la ventana de cambio.
Desafío: la suplantación de sender ID de los principales bancos locales estaba erosionando la confianza de los abonados en el SMS como canal de verificación. Enfoque: se incorporaron listas blancas de sender ID aprobados en colaboración con los bancos, con detección de similares para coincidencias cercanas e identidades no registradas.
Desafío: el tráfico de OTP por flash calls de proveedores OTT consumía recursos de señalización de voz sin generar ingresos, y era indistinguible de las llamadas cortas legítimas. Enfoque: las reglas de correlación voz-SMS identificaron los patrones repetidos de flash calls; la política comercial optó por monetizar las fuentes de alto volumen y bloquear el resto.
Desplegable en sitio, listo para auditoría y reconocido por los reguladores en cada mercado en el que operamos.
Combínelo con
Firewall A2P internacional en el punto de interconexión. El complemento de la protección del núcleo local: juntos, cubren tanto las amenazas entrantes desde el exterior como las internas.
Más informaciónDetección dedicada a la evasión de verificación de OTT en el punto de entrada de voz internacional. Utilizada por el Local SMSC Firewall para la correlación entre voz y SMS.
Más informaciónNúcleo de mensajería de nivel operador. El Local SMSC Firewall se sitúa en línea / como proxy delante de este gateway en la mayoría de los despliegues.
Más informaciónLos firewalls internacionales protegen el tráfico que llega desde el exterior: se ubican en el punto de interconexión. El Local SMSC Firewall se sitúa delante de, o junto a, su SMSC local y protege el núcleo de mensajería. Aborda las amenazas que se originan dentro de su red o que evaden las protecciones internacionales: sistemas internos mal configurados, spam interno, rutas grises a través de SIM box locales, suplantación de sender ID de marcas locales y abuso de flash calls. Ambas soluciones son complementarias, y la mayoría de los operadores utiliza las dos.
Normalmente, menos de 10 milisegundos por mensaje, de extremo a extremo. La inspección y la toma de decisiones se ejecutan en tiempo real sobre rutas optimizadas en memoria. A modo de referencia, la variación habitual de la red suele ser de 50 a 100 ms, por lo que el firewall representa solo una fracción de ese margen. Medimos y publicamos la latencia por regla durante el piloto.
Toda regla puede desplegarse primero en modo monitoreo: registra cada coincidencia, pero nunca bloquea. Usted ve exactamente qué se rechazaría, mide la tasa de falsos positivos y solo promueve la regla a modo de aplicación cuando se sienta cómodo con el resultado. Si llega a producirse un falso positivo una vez en modo de aplicación, el registro detallado muestra la regla y el contenido exactos que lo desencadenaron, y la regla puede ajustarse, o el remitente puede añadirse a la lista blanca, en cuestión de minutos.
Ambas opciones funcionan. Hay tres niveles disponibles: totalmente gestionado (BroadNet opera el firewall, usted define la política), cogestionado (su equipo dirige la operación diaria, BroadNet respalda el ajuste avanzado y los incidentes) y de autogestión (usted opera todo, BroadNet proporciona capacitación, documentación y escalada a nivel de plataforma). La mayoría de los operadores comienza en modo cogestionado durante el piloto y luego avanza hacia el modelo que su equipo prefiera.
El firewall se despliega normalmente en sitio, dentro de su propio centro de datos. El contenido de los mensajes se analiza en tiempo real y no se retiene; solo se registran los metadatos y la evidencia de coincidencia de reglas. La retención de registros y los controles de acceso siguen sus políticas internas de TI y cumplimiento. Ningún contenido sale de su red sin su aprobación explícita.
Un proyecto típico comienza con un taller técnico entre sus equipos de red, seguridad y TI y los ingenieros de BroadNet, seguido de un piloto sobre un subconjunto de rutas o socios (con todas las reglas en modo solo monitoreo al principio), y luego un despliegue progresivo de aplicación. El recorrido completo, desde el taller hasta la aplicación total, suele tomar varios meses en la mayoría de los despliegues, con un cronograma exacto que depende de la complejidad del entorno y del ritmo de ajuste de reglas que usted desee.
Los registros detallados de mensajes atribuyen cada decisión a la regla que la generó. Los intentos de rutas grises bloqueados, el tráfico con patrones de SIM box y las entregas no autorizadas de A2P disfrazado como P2P pueden exportarse como paquetes de evidencia (CSV / JSON / PDF) para disputas con socios y consultas del regulador. El equipo de aseguramiento de ingresos obtiene evidencia atribuible de que una pérdida antes invisible ha sido cuantificada y abordada.
Sí. El firewall se integra con las pilas de monitoreo, los sistemas de tickets y las plataformas SIEM habituales, mediante API y syslog. Los eventos de seguridad aparecen dentro de los flujos operativos que sus equipos ya utilizan. Las integraciones específicas se definen durante el taller técnico.
¿La pregunta no está aquí? Consulte a nuestro equipo de ingeniería
Los cortafuegos SMS y SS7 integrados en la red detienen las rutas no autorizadas y el fraude a velocidad de línea, mientras que el tráfico legítimo fluye sin ser afectado.
Reúna a sus equipos de red, seguridad y TI. Nosotros definiremos el alcance de la integración, diseñaremos el conjunto inicial de reglas y ejecutaremos la primera fase en modo monitoreo, sin bloqueos en producción hasta que usted lo decida.
