El firewall SS7 de BroadNet detiene el fraude de señalización y el tráfico A2P por rutas grises para los operadores móviles, inspeccionando la señalización SS7 en línea antes de que llegue al núcleo de la red. Un firewall SS7 con filtrado MAP/SCCP en línea entre el STP internacional y su red central. Control de ID de remitente, validación de ruta, filtrado de caché SRI-SM, filtrado de contenido y monetización A2P: todo desde un único firewall de capa de señalización. Implementado en operadores de nivel 1 en la región MENA.
Un único cortafuegos en la ruta de señalización internacional. Cada unidad MAP, CAP y SCCP se decodifica por elemento de información (IE), se clasifica según GSMA FS.11 y se obtiene un resultado en menos de cinco milisegundos. Sin redireccionamientos ni interrupciones en la itinerancia.
Enlaces internacionales de SS7 (SIGTRAN, M3UA) entrantes desde socios de roaming y rutas grises.
Decodificación por IE de MAP, CAP y SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizados para la búsqueda de políticas.
Clasificación de categoría 1/2/3, validación de caché de SRI-SM, comprobaciones de sender ID y de ruta, y buckets de velocidad.
Permitir · modificar · poner en cuarentena · descartar · monetizar. Por ruta, por socio y por suscriptor. Reglas promovidas mediante maker-checker.
Solo las señales validadas llegan a la red doméstica. Los mensajes en cuarentena se replican para su revisión por parte del equipo de prevención de fraude.
Enlaces internacionales de SS7 (SIGTRAN, M3UA) entrantes desde socios de roaming y rutas grises.
Decodificación por IE de MAP, CAP y SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizados para la búsqueda de políticas.
Clasificación de categoría 1/2/3, validación de caché de SRI-SM, comprobaciones de sender ID y de ruta, y buckets de velocidad.
Permitir · modificar · poner en cuarentena · descartar · monetizar. Por ruta, por socio y por suscriptor. Reglas promovidas mediante maker-checker.
Solo las señales validadas llegan a la red doméstica. Los mensajes en cuarentena se replican para su revisión por parte del equipo de prevención de fraude.
Decodificado en el STP, puntuado en tiempo real y procesado en menos de cinco milisegundos. Un motor de la capa de señalización gestiona MAP, CAP y SCCP; un DSL de políticas escribe las reglas; un repositorio de auditoría guarda la evidencia.
Un firewall en la ruta de señalización. MAP, CAP y SCCP se decodifican, normalizan y puntúan mediante un único motor de políticas antes de que cualquier mensaje llegue a su SMSC, HLR o MSC.
Paquetes de reglas listos para usar, alineados con GSMA FS.11 para la interconexión de SS7. La Categoría 1 nunca cruza el límite de la red; la Categoría 2 se valida contra el origen de la red local; la Categoría 3 se evalúa por velocidad por suscriptor.
Cada mensaje se identifica mediante huellas digitales que incluyen el origen GT, SCCP CdPA/CgPA, el contexto de la aplicación y el patrón histórico. Las puntuaciones de anomalía alimentan un DSL de política que decide si se permite, modifica, pone en cuarentena o descarta en un solo salto.
El abuso de AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation y SendRoutingInfo se detecta en el primer contacto. Los GT extranjeros que buscan tuplas IMSI-MSC-VLR se bloquean antes de que se geolocalice a un solo suscriptor.
MT-ForwardSM se valida contra una caché SRI-SM en tiempo real mediante la tupla IMSI/MSC/SMSC. Los identificadores de remitente falsificados, las fugas A2P a rutas grises y el reconocimiento de intercambio de SIM se detienen antes de que el SMSC los detecte, no después.
Cada decisión de señalización se guarda en un repositorio de auditoría a prueba de manipulaciones con cadenas de eventos firmadas con HMAC. Exportaciones listas para los reguladores, paneles de control basados en roles y reproducciones de incidentes: su NOC ve lo que vio el firewall, fotograma a fotograma.
Las cinco clases de ataques de señalización que causan la mayor parte del daño a los suscriptores y la mayor parte de la pérdida de ingresos de los operadores, y la capa en la que el firewall detecta cada uno de ellos.
Direcciones de origen falsificadas para suplantar la identidad de bancos, marcas y servicios gubernamentales. Detectado mediante una discrepancia en la caché de SRI-SM y una verificación cruzada del registro de identificadores de remitentes.
Los GT extranjeros consultan el HLR para triangular la celda de servicio de un suscriptor. Se bloquean en el límite de la red como mensajes de Categoría 1 de GSMA FS.11.
Los atacantes buscan enlaces IMSI-MSC antes de realizar intercambios mediante ingeniería social. Se analiza el patrón por origen y luego se pone en cuarentena para su revisión por el equipo de fraude.
Fraude internacional de reparto de ingresos, bucles Wangiri e identificadores de llamadas falsificados interceptados en la capa de señalización antes de que llamen al abonado.
Tráfico empresarial no monetizado inyectado a través de socios de roaming. Obligado a seguir la ruta comercial acordada, o bloqueado, recuperándose los ingresos.
Dos operaciones MAP explican una proporción desproporcionada de los incidentes de privacidad del suscriptor e interceptación de OTP que llegan a los reguladores hoy en día. El cortafuegos gestiona ambos incidentes en el extremo internacional —categorizados, puntuados y firmados— antes de que lleguen a un HLR o SMSC local.
Sondeos HLR externos que se resuelven en un ID de celda de servicio, utilizados por operadores de vigilancia y abusadores para triangular la posición real de un suscriptor. El firewall los clasifica como GSMA FS.11 Categoría 1 y los descarta en el límite de la red, con una entrada de auditoría firmada para el archivo del regulador.
Las consultas SRI-SM asignan a cada suscriptor su MSC/SMSC de servicio, lo que constituye el paso de reconocimiento previo al secuestro del tráfico OTP y 2FA por parte de MT-ForwardSM. El cortafuegos valida cada consulta con una caché SRI-SM de 24 horas; las consultas que no encuentran caché y provienen de GTs externos se ponen en cuarentena para su revisión por parte del equipo de prevención de fraude.
La capa de señalización requiere que el protocolo, la política comercial y la adaptación al comportamiento se integren en un mismo motor. Los tres pilares funcionan como una única ruta de decisión —con una latencia de inspección inferior a 5 ms por unidad de señalización—, de modo que el veredicto correcto llega al elemento de red adecuado en el primer salto.
Aplicación de protocolos en la capa de señalización. Permite/deniega la operación MAP, el filtrado de títulos globales, los controles de código de punto OPC/DPC y las condiciones MCC/MNC por socio. Toda unidad de señalización mal formada o fuera de contexto se descarta durante la decodificación.
Política comercial y operativa expresada en datos. Selección de ruta según acuerdo con el socio, políticas de clase de producto (OTP, transaccional, promocional), monetización del tráfico de derivación hacia canales A2P acordados. El cortafuegos garantiza el cumplimiento del contrato, no solo de las especificaciones.
Aplicación de políticas basada en el comportamiento que se adapta al tráfico en tiempo real. Umbrales de TPS, detección de picos de tráfico, ventanas horarias, velocidad por GT de origen. La capa dinámica detecta lo que las reglas estáticas no pueden: campañas emergentes, nuevas granjas de SIM-box, anomalías repentinas en el roaming.
La categorización FS.11 se expresa en formato YAML legible. Las operaciones MAP y CAP se nombran, no se numeran. Las reglas de Sender-ID, ruta y A2P se promueven mediante maker-checker: versionadas, firmadas y auditables.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Desafío: las sondas de rastreo de ubicación de abonados eran una preocupación activa del regulador, sin ningún elemento disuasorio nacional. Enfoque: categorización FS.11 en el borde SS7 internacional, más una caché SRI-SM para detectar suplantaciones.
Desafío: los STP internacionales repartidos en varias pilas de proveedores convertían el informe trimestral al regulador en un ejercicio manual. Enfoque: un único DSL de políticas unificó la aplicación de reglas en cada borde con un registro de auditoría versionado.
Desafío: el regulador nacional exigió, con poca antelación, evidencia de conformidad con FS.11 durante una revisión anual. Enfoque: el versionado de paquetes de reglas generó un manifiesto firmado y un informe de regresión IR.71 / IR.82 en una sola ejecución.
En línea entre el STP internacional y su núcleo. Cada mensaje pasa por el firewall antes de llegar a un HLR, SMSC o MSC, y cada decisión se transmite a su NOC en tiempo real.
El par activo-activo se encuentra en la ruta de señalización internacional. Las decisiones se aplican en tiempo real: bloquear, permitir, modificar, monetizar.
Reflejar la señal del STP para el establecimiento de la línea base y el análisis. Pasar a la aplicación en línea cuando las políticas y las tasas de falsos positivos se estabilicen.
La red de borde internacional se ejecuta en línea, mientras que la red central nacional se ejecuta en modo de detección y alerta. Plano de políticas común, repositorio de auditoría común, un único panel de control para el operador.
La categorización GSMA FS.11 para la interconexión SS7 se aplica por defecto y es mantenida por el equipo de seguridad de señalización de BroadNet, con exportaciones listas para el regulador bajo demanda.
Sí. El firewall se presenta como un par de señalización SCCP/SIGTRAN y se integra con las plataformas STP comunes que utilizan los operadores hoy en día, en entornos de múltiples proveedores. No se requiere ninguna modificación en la tabla de enrutamiento del STP más allá de redirigir los códigos de punto internacionales a través del par de firewalls.
Casi siempre comenzamos con un espejo fuera de banda (out-of-band mirror) desde el STP durante 14–30 días. Esto proporciona a los equipos de seguridad y de RA una línea base limpia del tráfico internacional y nos permite ajustar el paquete de reglas de FS.11 según la mezcla real de socios de roaming del operador. Una vez que se acuerda por escrito el margen de falsos positivos, el firewall cambia a modo inline active-active. El modelo híbrido (inline en el borde internacional y espejo en el núcleo doméstico) es el estado operativo habitual.
El equipo de seguridad de señalización de BroadNet publica un paquete de reglas con versiones cada trimestre, con parches de corrección urgente para la nueva información sobre amenazas que se implementan en cuestión de días. Cada paquete de reglas incluye los paquetes de pruebas de conformidad IR.71, IR.81 e IR.82 para que su equipo pueda realizar pruebas de regresión antes de implementarlo. El operador puede fijar o vetar cualquier versión desde el panel de control; ninguna versión se implementa automáticamente en producción.
Por unidad de señalización inspeccionada (MAP/CAP), agrupada por volumen mensual. Sin cargos por enlace, por código de punto o por Erlang. Existe un NRE único para la integración con el STP y una pequeña cuota de mantenimiento anual que cubre las actualizaciones de los paquetes de reglas, el feed de inteligencia de amenazas y las revisiones trimestrales de arquitectura. Los operadores suelen recuperar la inversión mediante la recuperación de ingresos de A2P y la prevención de pérdidas por fraude.
Sí. El DSL de políticas es el mismo que utiliza nuestro equipo de seguridad internamente. Los operadores redactan reglas habitualmente para aplicar sus acuerdos de roaming bilateral, para incluir en listas blancas las consultas de ubicación autorizadas por las fuerzas del orden, para monetizar flujos de bypass específicos en lugar de descartarlos, y para enviar veredictos a sus plataformas internas de SIEM y fraude. Las reglas personalizadas pasan por el mismo proceso de maker-checker que las nuestras, con un registro de auditoría completo.
El TTL es de 24 horas por defecto y se puede configurar por operador. La caché se alimenta de SRI-SM legítimos observados y se actualiza con cada MT-ForwardSM exitoso. Mostramos la tasa de aciertos, la tasa de fallos y la tasa de cuarentena por GT de socio para que los equipos de RA puedan detectar un aumento repentino en los fallos de caché (generalmente la primera señal de una campaña de suplantación de identidad o de que un socio esté cambiando la clave de su SMSC GT).
Sí. Cada decisión está firmada por HMAC, se guarda en un soporte a prueba de manipulaciones y se conserva durante el período regulatorio del operador. Enviamos plantillas de exportación preconfiguradas para TRC (Jordania), CST (Arabia Saudita), NCC (Nigeria), TDRA (Emiratos Árabes Unidos), CRA (Catar), TRA (Omán), TRA (Baréin), ARPT (Argelia), ANRT (Marruecos) e INT-T (Túnez). El módulo de exportación también genera el manifiesto de conformidad FS.11 que varios reguladores de la región MENA ahora solicitan para la renovación de la licencia.
En estado estable, los falsos positivos contra socios de roaming legítimos son muy bajos. Medimos la tasa semanalmente y mostramos el número por socio en el panel de control, para que los equipos de RA siempre puedan verlo. La fase de implementación en modo espejo existe precisamente para que este margen se acuerde y se apruebe antes de que la aplicación de reglas entre en vigor.
¿Necesita el manifiesto de conformidad FS.11 o una sesión de trabajo con nuestros ingenieros de señalización? Solicitar una revisión de seguridad de señalización
Cortafuegos SMS de capa de aplicación ubicado en la interfaz SMPP de su SMSC.
Captura y correlación independientes del proveedor para SS7, SIGTRAN y SIP: la capa de inteligencia complementaria.
Centro de mensajería SMS alojado con enrutamiento múltiple, multilingüe y facturación unificada.
Observabilidad en tiempo real en el firewall, SMSC, señalización y rutas.
Programe una sesión informativa para operadores. Repasaremos la categorización FS.11, la caché SRI-SM, el modelo de monetización A2P y el plan de implementación para su red, con el respaldo del soporte del NOC de BroadNet disponible las 24 horas del día, los 7 días de la semana.
Recursos
Ficha de Firewall SS7
Profundiza en los conceptos detrás de este producto.