Un firewall SMS de capa de aplicación que se ubica delante de su SMSC e inspecciona cada mensaje entrante en tiempo real: filtrado de contenido, autenticación del remitente, limitación de velocidad, enrutamiento inteligente y antifraude basado en aprendizaje automático. Bloquee el spam, el phishing y el tráfico no autorizado antes de que llegue a su sistema central, con garantía de ingresos integrada.
También enviamos tráfico A2P. Este pasa por su cortafuegos con las mismas reglas que cualquier otro remitente, y su equipo es responsable de las decisiones. Cómo el cortafuegos trata nuestro tráfico
BroadNet vende mensajería empresarial y los cortafuegos que la filtran, así que la primera pregunta de un operador es legítima: ¿qué hace el cortafuegos con el tráfico de la propia BroadNet? La respuesta está integrada en el funcionamiento de cada despliegue.
“El hecho de que el mismo proveedor venda su CPaaS a nuestros clientes empresariales es la razón por la que las cifras realmente coinciden con los informes.”
El tráfico empresarial de BroadNet llega a sus suscriptores por el mismo cortafuegos y con las mismas reglas que el de cualquier otro agregador o remitente. No hay exención para el proveedor.
Sus equipos de fraude y aseguramiento de ingresos son dueños de las reglas. Cada cambio queda versionado y requiere un segundo aprobador (principio de los cuatro ojos), y las listas blancas de falsos positivos las controla el operador. Cada veredicto es una decisión de su red, y los datos siguen siendo suyos.
Cada decisión se registra con la regla que se activó y se exporta en CSV, JSON o PDF para disputas con socios y consultas del regulador. Una disputa sobre tráfico de BroadNet se resuelve con los mismos registros que cualquier otra.
Las categorías de reglas siguen GSMA FS.11 y FS.19, de modo que su equipo y su regulador evalúan el cortafuegos frente a un marco publicado del sector, no frente a la taxonomía privada de un proveedor.
El firewall opera de forma transparente entre sus socios de interconexión y su SMSC. Cada mensaje entrante A2P y P2P se inspecciona, puntúa y decide antes de que llegue al núcleo, a la velocidad de señalización y conservando el orden de los mensajes.
El tráfico MO y A2P ingresa al SMSC y al STP a través de enlaces SMPP y enlaces SS7 de los socios de interconexión.
Inspección en línea de TPDU, ID del remitente, contenido, UDH y origen de la señalización. Puntuación de riesgo por mensaje de 0 a 1,0 en submilisegundos.
Reglas coinciden puntuación, ruta, socio, marca. Veredicto: pasar · cuarentena · bloqueo · registro.
Tráfico limpio reenviado al SMSC existente del operador. Sin reordenamiento, sin duplicación.
El suscriptor recibe únicamente mensajes legítimos y facturados. El tráfico en cuarentena se ofrece de vuelta a la tarifa internacional A2P.
El tráfico MO y A2P ingresa al SMSC y al STP a través de enlaces SMPP y enlaces SS7 de los socios de interconexión.
Inspección en línea de TPDU, ID del remitente, contenido, UDH y origen de la señalización. Puntuación de riesgo por mensaje de 0 a 1,0 en submilisegundos.
Reglas coinciden puntuación, ruta, socio, marca. Veredicto: pasar · cuarentena · bloqueo · registro.
Tráfico limpio reenviado al SMSC existente del operador. Sin reordenamiento, sin duplicación.
El suscriptor recibe únicamente mensajes legítimos y facturados. El tráfico en cuarentena se ofrece de vuelta a la tarifa internacional A2P.
Capacidades
Filtrado de contenido mediante IA, autenticación del remitente, limitación de velocidad, enrutamiento inteligente y antifraude mediante aprendizaje automático: todos los controles que un operador necesita, funcionando en línea en el SMSC en tiempo real.
Inspeccione cada envío MAP, SMPP y HTTP en el SMSC y en el borde de señalización. Decodifique TPDU, ID del remitente, contenido, codificación y encabezados UDH, sin alterar el orden de los mensajes.
Sistema de puntuación de riesgo por mensaje, entrenado con tráfico etiquetado de operadores de nivel 1 reales. Detecta patrones emergentes de spam, kits de phishing y estrategias de evasión horas después de su aparición.
Análisis del comportamiento a través de la velocidad, la rotación de IMSI, la diversidad de destinatarios, el origen de la señalización y la homogeneidad del contenido. Identifique las granjas de SIM antes de que afecten negativamente sus tasas de terminación.
Validación criptográfica y basada en registros de cada remitente alfanumérico. Detecta la suplantación de identidad de bancos, gobiernos y compañías de telecomunicaciones antes de que el SMS llegue al destinatario.
Validación de rutas conforme a acuerdos comerciales. Los orígenes SS7, las cuentas SMPP y las direcciones IP de origen se cotejan con la lista de socios monetizados del operador. El tráfico de derivación se descarta o se pone en cuarentena para su monetización.
Integración nativa con los registros nacionales y privados de identificadores de remitentes de operadores. Permite el registro de originadores por jurisdicción, la automatización de la incorporación de marcas y la generación de registros de auditoría listos para su presentación ante los organismos reguladores.
Cobertura de amenazas
| Vector de ataque | Control de firewall | Resultado |
|---|---|---|
| Ruta gris y bypass A2P de granja SIM | Validación de rutas conforme a acuerdos comerciales, además de la identificación de la tarjeta SIM en función de la velocidad, la rotación del IMSI y la homogeneidad del contenido. | El tráfico de desvío se descarta o se pone en cuarentena para su monetización, a la tarifa de línea. |
| Suplantación Sender-ID y usurpación de marca | Validación, respaldada por el registro, de cada remitente alfanumérico cotejándola con el registro de operadores y el registro nacional sender-ID. | Se bloquea la suplantación de identidad de bancos, gobiernos y empresas de telecomunicaciones antes de que llegue al suscriptor. |
| Contenido de smishing y phishing | Inspección profunda de paquetes (TPDU, contenido, codificación y URL), evaluada mediante el motor de detección de fraude de aprendizaje automático con autoaprendizaje. | El contenido y los enlaces maliciosos se ponen en cuarentena según la política establecida, mientras que los flujos A2P limpios permanecen intactos. |
| Remitentes no registrados / fuera de jurisdicción | Aplicación del registro nacional y privado sender-ID por parte del operador, según la jurisdicción. | Solo los originadores registrados aprueban; el resto se queda en espera de su incorporación con un registro listo para el regulador. |
| Envíos inyectados mediante SS7 y fuera de la red | La lista de permisos de origen SS7 MAP se cotejó con la lista de socios monetizados. | Los orígenes SS7 que no se ajustan al acuerdo se marcan y se descartan antes de que lleguen al núcleo. |
| Inundaciones de spam y picos de rendimiento | Segmentos de velocidad por ruta y puntuación de riesgo por mensaje. | Las inundaciones se controlaron con antelación; el tráfico legítimo y el orden de los mensajes se mantuvieron. |
Motor de reglas de 3 pilares
La capa de aplicación requiere que el protocolo, la política comercial y la adaptación al comportamiento se integren en el mismo motor. Los tres pilares funcionan como una única ruta de decisión, con una latencia añadida inferior a 10 ms por mensaje.
Aplicación a nivel de protocolo. Permite/deniega la operación MAP (control granular MAP_MT_FORWARD_SM frente a MAP_SEND_ROUTING_INFO), filtrado de códigos de punto OPC/DPC, controles de título global, condiciones MCC/MNC por socio. Toda unidad de señalización mal formada se descarta durante la decodificación.
Política comercial expresada en datos. Selección de ruta según acuerdo con el socio, reglas de clase de producto (OTP, transaccional, promocional), monetización del tráfico de derivación hacia canales A2P acordados. El cortafuegos garantiza el cumplimiento del contrato, no solo de las especificaciones.
Aplicación de la normativa teniendo en cuenta el comportamiento. Umbrales de TPS, detección de picos de actividad, ventanas horarias, velocidad por cuenta GT o SMPP de origen. La capa dinámica detecta lo que las reglas estáticas no pueden: campañas emergentes, granjas de SIM-box recién creadas, anomalías repentinas en el roaming.
Generación de tráfico anti-ATG
La generación de tráfico antitrampas es la capa de aprendizaje continuo que mantiene al cortafuegos un paso por delante de los operadores de rutas no oficiales. Los modelos se reentrenan con los datos reales del propio operador, combinados con señales anonimizadas del plano de inspección de BroadNet. Las heurísticas se mantienen legibles para que el equipo de fraude pueda auditar, bloquear o vetar cualquier firma.
Velocidad sostenida inferior a un segundo desde un pequeño grupo MSISDN, característica de los patrones de rotación de bancos SIM. Umbral y forma de ráfaga aprendidos por ruta.
Alta entropía de Shannon en todos los MSISDN de destino combinada con baja entropía en todo el contenido: la huella canónica del SIM box.
Contenido repetitivo con remitentes rotativos, remitentes alfanuméricos que nunca se registraron, formatos de origen inconsistentes con la geografía aparente.
Discrepancia entre el origen declarado GT, MCC/MNC y la ruta SCCP que el mensaje realmente siguió al ingresar a la red.
Controles de contenido e identidad
Tres controles que, en conjunto, cierran la brecha entre "el mensaje es técnicamente válido" y "se debería permitir que el mensaje llegue a un suscriptor".
Las empresas registradas envían identificadores de remitente y plantillas de mensajes aprobados. El tráfico entrante se compara con la lista blanca: los remitentes aprobados con plantillas aprobadas pasan sin mayores problemas; los remitentes desconocidos se someten a una evaluación más estricta. Admite varios idiomas y Unicode, incluyendo alfabetos complejos.
Cada URL se extrae, se normaliza y se compara con una fuente de reputación en tiempo real para detectar kits de phishing conocidos, distribuidores de malware y dominios similares recién registrados. Los enlaces sospechosos envían el mensaje completo antes de que el suscriptor lo vea.
Autenticación por cuenta, límites de rendimiento, clases de contenido permitido, prefijos de ID de remitente permitidos y rangos de destino permitidos: se aplican en el momento de la vinculación y se vuelven a aplicar en cada envío. Las cuentas SMPP son objetos de política de primera clase, no simples credenciales.
Escala de producción
La capacidad máxima que la plataforma utiliza actualmente abarca a todos los operadores que enrutan sus SMS A2P, P2P y de roaming a través del plano de inspección de BroadNet.
Capacidad de inspección por clúster, en SMPP y SS7.
Redes de operadores que ejecutan el firewall de BroadNet en MENA, África y Asia.
El alcance de los operadores alimenta la base de datos global de inteligencia sobre amenazas.
Panel de ingresos recuperados
Cada mensaje bloqueado, puesto en cuarentena o refacturado se atribuye a una ruta, socio, remitente o firma. La vista de ingresos recuperados se ubica junto a la vista de protección, de modo que los equipos de finanzas, asuntos regulatorios y seguridad consultan la misma fuente de información, desglosada por ruta y clase de firma.
¿Por qué una plataforma única?
Separar la protección contra el fraude de la monetización A2P en dos plataformas distintas provoca una doble pérdida de ingresos: primero, debido a prácticas fraudulentas, y segundo, por las comisiones de integración. BroadNet gestiona la detección, la aplicación de políticas y la recuperación de ingresos en el mismo motor, con el mismo registro de auditoría y el mismo panel de control para operadores.
Desde el inicio hasta un plano de aplicación de nivel de producción, que incluye una línea base de espejo pasivo, el ajuste del paquete de reglas según el tráfico del propio operador y el flujo de trabajo del verificador de creadores que promueve la primera regla en línea. El mismo camino que ha seguido cada implementación de nivel 1.
Cómo se implementan los operadores
No hay transiciones masivas. Cada fase está sujeta a la aprobación del operador y a pruebas cuantificables, tal como sucede en la práctica con los nuevos equipos de las redes de telecomunicaciones.
Implementación en modo espejo pasivo en el SMSC y el borde SS7. Inspección del 100 % del tráfico entrante A2P y P2P sin riesgo de entrega. Primera línea base de detección de fraude lista en 7 días.
La puntuación de aprendizaje automático por mensaje ya está disponible. El ID del remitente, la ruta, el contenido, el comportamiento y la reputación histórica se combinan en un único valor de riesgo. Los operadores ajustan los umbrales para cada ruta.
Se aplica la política de seguridad por ruta, por socio y por identificador de remitente. Las rutas no oficiales, los dispositivos SIM y las marcas falsificadas se bloquean en la línea de comunicación. La experiencia del suscriptor mejora de inmediato.
El tráfico de desvío restringido se ofrece a los originadores a la tarifa comercial A2P. Los ingresos internacionales A2P, que antes se perdían en rutas no autorizadas, vuelven a figurar en el estado de resultados del operador.
Política e integración
Conjuntos de reglas YAML declarativas, una API de puntuación por mensaje y una lista de permitidos SS7 MAP que sus ingenieros de STP reconocerán: con control de versiones, promovido por el verificador del fabricante y auditado de forma predeterminada.
# /etc/broadnet/firewall/rules.d/grey-route.yaml# Drop SMPP traffic from non-commercial partnersrule: block_unauthorized_smpp match: bind_system_id: !in [partners.commercial.list] source_ip: !in [partners.allowlist.cidrs] action: quarantine bill_at: a2p_international_rate rule: smpp_simbox_velocity match: msisdn_velocity: "> 12/min" recipient_unique: "> 80% in 5m" content_homology: "> 0.92" action: block notify: fraud-ops@operator.tld rule: spoofed_bank_senders match: sender_id: !registered_in [tdra.sender_registry] content: matches /OTP|verification|password/i action: drop audit: regulator_report.csvCumplimiento y certificación
Miembro asociado de la GSMA. Los controles del firewall están alineados con las directrices de seguridad de mensajería y señalización de GSMA (la FS-series ).
En consonancia con el Código de Conducta de MEF sobre la identificación del remitente de SMS y las directrices sobre la confianza en las comunicaciones empresariales.
Opera sobre una infraestructura con certificación ISO 27001, controles SOC 2 Tipo II, residencia de datos conforme al RGPD y registro de auditoría completo.
Sí. El motor de veredicto distingue entre P2P y A2P mediante una combinación de enlace de origen, origen de señalización, formato de ID de remitente y huella digital de comportamiento. Las tasas de falsos positivos de P2P en nuestras implementaciones de nivel 1 se sitúan por debajo del 0,002 % de los MO inspeccionados, muy por debajo de los márgenes de tolerancia de los reguladores en las jurisdicciones TDRA, CRA y NTRA. Mostramos la tasa de falsos positivos por grupo en el panel de control del operador para que los equipos de RA puedan auditarla semanalmente.
Los tres. Casi siempre comenzamos en modo espejo en un punto de acceso pasivo en el SMSC y el borde SS7 durante 7 a 21 días, lo que proporciona a los equipos de fraude y RA una base limpia sin riesgo para la entrega. Una vez acordados los umbrales de cumplimiento, los mismos nodos cambian a modo en línea con disponibilidad de nivel de operador. El modo híbrido es común para entornos SMSC de múltiples proveedores: en línea en los front-ends de nivel 1 modernos, espejo detrás de los equipos SMSC heredados.
Nos ubicamos de forma transparente frente al SMSC a través del protocolo SMPP 3.4/5.0 estándar y detrás del STP para SS7. Nos hemos integrado con todos los principales proveedores de SMSC de nivel 1 y con varias plataformas internas. No se requiere ningún cambio en la configuración del SMSC: el firewall se presenta como otro socio SMPP ascendente y conserva el orden de los mensajes, el paso de DLR y la semántica de CDR.
El modelo de detección de fraude se reentrena diariamente con el tráfico etiquetado proveniente de la información de referencia del operador (disputas de RA, colas de reclamaciones, avisos de los reguladores), combinado con señales anonimizadas del flujo global de BroadNet. Nuestro equipo de operaciones de detección de fraude en Dubái implementa como reglas prioritarias, en cuestión de minutos, las firmas críticas (un kit de phishing detectado recientemente, un nuevo patrón de velocidad de los SIM box). Los operadores pueden fijar o vetar cualquier versión del modelo desde el panel de control.
Sí. Como miembro asociado de la GSMA, nos adherimos a las directrices de seguridad aplicables GSMA, y el firewall incluye los paquetes de prueba IR.71, IR.81 e IR.82 para que su equipo de seguridad pueda realizar pruebas de regresión después de cada cambio de regla. La categorización de categoría 1 se aplica por enlace y por conexión, y el motor de políticas aplica el tratamiento recomendado por la GSMA para cada categoría, incluyendo el bloqueo silencioso 3 categoría 3 con registro de auditoría requerido por varios reguladores de MENA.
Por mensaje inspeccionado, clasificado por volumen mensual, sin cargos por enlace ni por vinculación. Existe un costo único de NRE para la integración y una pequeña tarifa anual de mantenimiento que cubre las actualizaciones de firmas, el equipo de operaciones de fraude y las revisiones trimestrales de la arquitectura. La mayoría de las implementaciones de nivel 1 recuperan la inversión en el primer trimestre de aplicación de la normativa solo con los ingresos recuperados de A2P.
Cada veredicto se registra en un archivo a prueba de manipulaciones que se conserva durante el período reglamentario del operador (normalmente de 12 a 84 meses). El módulo de informes incluye plantillas para TDRA (EAU), CST (Arabia Saudita), CRA (Catar), TRA (Omán), TRA (Baréin), NTRA (Egipto), TRC (Jordania), ARPT (Argelia), ANRT (Marruecos) e INT-T (Túnez). Los informes trimestrales se exportan en formato CSV, XML o PDF firmado.
Sí. Los umbrales son jerárquicos: predeterminado del operador → ruta → socio → marca → ID del remitente. El panel de control muestra el umbral efectivo para cada veredicto y permite que tu equipo de RA realice pruebas A/B con un nuevo umbral comparándolo con el tráfico de los últimos 30 días antes de implementarlo en producción. Las implementaciones se rigen por un flujo de trabajo de verificación con un registro de auditoría completo.
¿Necesita el briefing de arquitectura o una sesión de trabajo con nuestros ingenieros de telecomunicaciones? Solicite una evaluación del firewall SMS.
Los cortafuegos SMS y SS7 integrados en la red detienen las rutas no autorizadas y el fraude a velocidad de línea, mientras que el tráfico legítimo fluye sin ser afectado.
Una sesión de trabajo de 30 minutos con los ingenieros que implementan este equipo en operadores de primer nivel. Traiga su mapa de ruta y el estado de resultados A2P del último trimestre; le diremos dónde está la fuga.
Observa cómo el cortafuegos decide sobre el tráfico de muestra.
Smishing, envío masivo SMS, suplantación de identidad del remitente y elusión de rutas no seguras: veredicto, razones, latencia y medidas tomadas, desde la perspectiva del operador y de la empresa.
Recursos
Ficha de Firewall SMS
Profundiza en los conceptos detrás de este producto.