Le pare-feu SS7 de BroadNet bloque la fraude de signalisation et le trafic A2P des routes grises pour les opérateurs mobiles, en inspectant la signalisation SS7 en ligne, avant qu’elle n’atteigne le cœur de réseau. Un pare-feu SS7 avec filtrage MAP/SCCP en ligne entre le STP international et votre réseau principal. Contrôle de l'identifiant de l'expéditeur, validation du routage, filtrage du cache SRI-SM, filtrage du contenu et monétisation A2P : le tout depuis un pare-feu de signalisation unique. Déployé chez des opérateurs de premier plan dans la région MENA.
Un seul pare-feu sur le chemin de signalisation international. Chaque unité MAP, CAP et SCCP est décodée par élément d'information, catégorisée selon la norme GSMA FS.11, et un verdict est rendu en moins de cinq millisecondes. Aucun réacheminement, aucune interruption d'itinérance.
Liaisons SS7 internationales (SIGTRAN, M3UA) provenant des partenaires d'itinérance et des routes grises.
Décodage par IE de MAP, CAP et SCCP. Normalisation de GT, AC, CdPA/CgPA, IMSI, MSISDN pour la recherche de politique.
Classification par catégorie 1/2/3, validation du cache SRI-SM, contrôles du Sender ID et de la route, compartiments de vélocité.
Autoriser · modifier · mettre en quarantaine · rejeter · monétiser. Par route, par partenaire, par abonné. Règles validées via processus maker-checker.
Seuls les signaux validés parviennent au réseau d'origine. Les messages mis en quarantaine sont dupliqués pour examen par l'équipe de lutte contre la fraude.
Liaisons SS7 internationales (SIGTRAN, M3UA) provenant des partenaires d'itinérance et des routes grises.
Décodage par IE de MAP, CAP et SCCP. Normalisation de GT, AC, CdPA/CgPA, IMSI, MSISDN pour la recherche de politique.
Classification par catégorie 1/2/3, validation du cache SRI-SM, contrôles du Sender ID et de la route, compartiments de vélocité.
Autoriser · modifier · mettre en quarantaine · rejeter · monétiser. Par route, par partenaire, par abonné. Règles validées via processus maker-checker.
Seuls les signaux validés parviennent au réseau d'origine. Les messages mis en quarantaine sont dupliqués pour examen par l'équipe de lutte contre la fraude.
Décodage au niveau du STP, évaluation en temps réel et traitement en moins de cinq millisecondes. Un moteur de couche de signalisation gère MAP, CAP et SCCP ; un DSL de politique définit les règles ; un système de stockage d’audit conserve les preuves.
Un pare-feu sur le chemin de signalisation. MAP, CAP et SCCP sont décodés, normalisés et évalués par un moteur de politique unique avant que tout message n'atteigne votre SMSC, HLR ou MSC.
Des packs de règles prêts à l'emploi, alignés sur GSMA FS.11 pour l'interconnexion SS7. La catégorie 1 ne franchit jamais la limite du réseau ; la catégorie 2 est validée par rapport à l'origine du réseau domestique ; la catégorie 3 fait l'objet d'un scoring de vélocité par abonné.
Chaque message est analysé en fonction de son origine (GT), du protocole SCCP CdPA/CgPA, du contexte applicatif et de son historique. Les scores d'anomalie alimentent un DSL de politique qui décide, en une seule étape, d'autoriser, de modifier, de mettre en quarantaine ou de supprimer le message.
Les abus liés à AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation et SendRoutingInfo sont détectés dès le premier contact. Les serveurs distants effectuant des requêtes pour obtenir des paires IMSI-MSC-VLR sont bloqués avant même qu'un seul abonné ne soit géolocalisé.
MT-ForwardSM est validé par rapport à un cache SRI-SM actif via le tuple IMSI/MSC/SMSC. Les identifiants d'expéditeur usurpés, les fuites A2P sur les routes grises et la reconnaissance par échange de carte SIM sont bloqués avant que le SMSC ne les détecte, et non après.
Chaque décision de signalisation est consignée dans un système d'audit inviolable avec des chaînes d'événements signées HMAC. Exportations conformes aux exigences réglementaires, tableaux de bord basés sur les rôles et relectures d'incidents : votre centre d'opérations réseau (NOC) voit exactement ce que le pare-feu a vu, trame par trame.
Les cinq classes d'attaques de signalisation qui sont responsables de la plupart des préjudices subis par les abonnés et des pertes de revenus des opérateurs, et la couche à laquelle le pare-feu les intercepte.
Adresses d'expéditeur falsifiées pour usurper l'identité de banques, de marques et de services gouvernementaux. Détectées grâce à une incohérence dans le cache SRI-SM et à une vérification croisée de l'identifiant de l'expéditeur.
Les GT étrangers interrogent le HLR pour trianguler la cellule de service d'un abonné. Bloqués à la limite du réseau en tant que messages GSMA FS.11 de catégorie 1.
Les attaquants recherchent les liaisons IMSI-MSC avant de procéder à des échanges par ingénierie sociale. Les schémas sont analysés en fonction de l'origine, puis les systèmes sont mis en quarantaine pour examen par l'équipe antifraude.
Fraude internationale au partage des revenus, boucles Wangiri et appels falsifiés interceptés au niveau de la signalisation avant qu'ils n'atteignent l'abonné.
Trafic d'entreprise non monétisé injecté via des partenaires d'itinérance. Forcé d'emprunter la route commerciale convenue, ou bloqué, les revenus étant alors récupérés.
Deux opérations MAP expliquent une part disproportionnée des incidents liés à la confidentialité des abonnés et à l'interception des mots de passe à usage unique (OTP) qui parviennent aujourd'hui aux autorités de régulation. Le pare-feu gère ces incidents au niveau international — catégorisation, évaluation et signature — avant qu'ils n'atteignent un HLR ou un SMSC d'origine.
Les requêtes HLR étrangères qui aboutissent à un identifiant de cellule de service sont utilisées par les opérateurs de surveillance et les personnes mal intentionnées pour trianguler la position géographique réelle d'un abonné. Le pare-feu les classe comme GSMA FS.11 Catégorie 1 et les bloque à la limite du réseau, en générant une entrée d'audit signée pour le fichier de l'autorité de régulation.
Les requêtes SRI-SM permettent d'associer un abonné à son MSC/SMSC de desserte ; il s'agit de l'étape de reconnaissance précédant le détournement du trafic OTP et 2FA par MT-ForwardSM. Le pare-feu valide chaque requête par rapport à un cache SRI-SM de 24 heures ; les requêtes manquantes provenant de serveurs distants sont mises en quarantaine pour examen par l'équipe antifraude.
La couche de signalisation nécessite l'application du protocole, la politique commerciale et l'adaptation comportementale au sein d'un même moteur. Ces trois piliers fonctionnent comme un seul chemin de décision — avec une latence d'inspection inférieure à 5 ms par unité de signalisation — afin que le verdict approprié parvienne à l'élément de réseau adéquat dès le premier saut.
Application des règles au niveau du protocole au niveau de la signalisation. Autorisation/refus des opérations MAP, filtrage des titres globaux, contrôle des codes de point OPC/DPC, conditions MCC/MNC par partenaire. Toute unité de signalisation malformée ou hors contexte est rejetée lors du décodage.
Politique commerciale et opérationnelle formalisée sous forme de données. Sélection des routes selon les accords partenaires, politiques par catégorie de produits (OTP, transactionnel, promotionnel), monétisation du trafic de contournement vers les canaux A2P convenus. Le pare-feu garantit le respect du contrat, et non la simple application des spécifications.
Application dynamique des règles comportementales s'adaptant au trafic en temps réel. Seuil de TPS, détection des pics de trafic, plages horaires, vitesse par origine (GT). Cette couche dynamique détecte ce que les règles statiques ne peuvent pas : campagnes émergentes, nouveaux parcs de box SIM, anomalies soudaines d'itinérance.
Catégorisation FS.11 exprimée en YAML lisible. Opérations MAP et CAP nommées, non numérotées. Règles Sender-ID, route et A2P gérées par maker-checker — versionnées, signées et auditables.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Défi : les sondes de géolocalisation des abonnés préoccupaient activement le régulateur, sans aucun moyen de dissuasion national en place. Approche : catégorisation FS.11 en bordure SS7 internationale, complétée par un cache SRI-SM pour la détection d’usurpation.
Défi : des STP internationaux répartis sur plusieurs piles fournisseurs faisaient de la déclaration trimestrielle au régulateur un exercice manuel. Approche : un DSL de politique unique a unifié l’application des règles sur chaque bordure, avec une piste d’audit versionnée.
Défi : le régulateur national a exigé, dans un délai court, des preuves de conformité FS.11 lors d’une revue annuelle. Approche : le versionnage des jeux de règles a produit un manifeste signé ainsi qu’un rapport de régression IR.71 / IR.82 en une seule exécution.
Intégré en ligne entre le STP international et votre réseau central, chaque message franchit le pare-feu avant d'atteindre un HLR, un SMSC ou un MSC, et chaque décision est transmise en temps réel à votre NOC.
Cette paire active-active se situe sur le chemin de signalisation international. Les décisions sont appliquées en temps réel : bloquer, autoriser, modifier, monétiser.
Flux de données en miroir provenant du STP pour l'établissement des données de référence et l'analyse. Passer à une application en temps réel lorsque les taux de politiques et de faux positifs se stabilisent.
L'infrastructure internationale fonctionne en mode continu, le réseau national fonctionne en mode détection et alerte. Plan de politiques commun, référentiel d'audit commun, tableau de bord unique pour l'opérateur.
La catégorisation GSMA FS.11 pour l'interconnexion SS7 est appliquée par défaut et maintenue par l'équipe de sécurité de la signalisation BroadNet, avec des exportations conformes aux exigences réglementaires sur demande.
Oui. Le pare-feu se présente comme un pair de signalisation SCCP/SIGTRAN et s'intègre aux plateformes STP courantes utilisées par les opérateurs aujourd'hui, sur des parcs de fournisseurs mixtes. Aucune modification complexe de la table de routage STP n'est requise, au-delà de la redirection des codes de point internationaux via la paire de pare-feu.
Nous commençons presque toujours par un miroir hors bande (out-of-band) depuis le STP pendant 14 à 30 jours. Cela permet aux équipes de sécurité et de RA d'établir une base de référence propre du trafic international et nous permet d'ajuster le pack de règles FS.11 en fonction du mix réel des partenaires de roaming de l'opérateur. Une fois que l'enveloppe des faux positifs est convenue par écrit, le pare-feu passe en mode actif-actif en ligne (inline). Le mode hybride (en ligne à la bordure internationale, miroir au cœur domestique) est l'état stable habituel.
L'équipe de sécurité de BroadNet publie un ensemble de règles versionnées chaque trimestre, intégrant des correctifs d'urgence pour les nouvelles menaces, déployés en quelques jours. Chaque ensemble de règles inclut les tests de conformité IR.71, IR.81 et IR.82, permettant à votre équipe d'effectuer des tests de régression avant sa mise en production. L'opérateur peut bloquer ou annuler toute version depuis le tableau de bord ; aucune mise en production n'est automatique.
Par unité de signalisation inspectée (MAP/CAP), avec des tranches basées sur le volume mensuel. Aucun frais par liaison, par code de point ou par Erlang. Il y a des frais NRE uniques pour l'intégration STP et des frais de maintenance annuels réduits couvrant les mises à jour des packs de règles, le flux de threat-intel et les revues d'architecture trimestrielles. Les opérateurs constatent généralement un retour sur investissement grâce à la récupération des revenus A2P et à l'évitement des pertes liées à la fraude.
Oui. Le DSL de la politique est le même que celui utilisé en interne par notre équipe de sécurité. Les opérateurs rédigent régulièrement des règles pour appliquer leurs accords d'itinérance bilatéraux, pour mettre en liste blanche les requêtes de localisation autorisées des forces de l'ordre, pour monétiser certains flux de contournement plutôt que de les bloquer, et pour transmettre les verdicts à leurs plateformes SIEM et de lutte contre la fraude internes. Les règles personnalisées suivent le même processus de validation « maker-checker » que les nôtres, avec une piste d'audit complète.
La durée de vie (TTL) est de 24 heures par défaut et configurable par opérateur. Le cache est alimenté par les SRI-SM légitimes observés et actualisé à chaque MT-ForwardSM réussi. Nous affichons le taux de succès, le taux d'échec et le taux de mise en quarantaine par GT partenaire afin que les équipes d'autorisation de mise en cache puissent détecter une augmentation soudaine du nombre d'échecs (généralement le premier signe d'une campagne d'usurpation d'identité ou d'un partenaire réinitialisant sa clé de GT SMSC).
Oui. Chaque décision est signée HMAC, enregistrée sur un support inviolable et conservée pendant la période réglementaire de l'opérateur. Nous fournissons des modèles d'exportation préconfigurés pour la TRC (Jordanie), la CST (Arabie saoudite), la NCC (Nigeria), la TDRA (Émirats arabes unis), la CRA (Qatar), la TRA (Oman), la TRA (Bahreïn), l'ARPT (Algérie), l'ANRT (Maroc) et l'INT-T (Tunisie). Le module d'exportation génère également le manifeste de conformité FS.11, désormais exigé par plusieurs autorités de régulation de la région MENA lors du renouvellement des licences.
En régime de croisière, le taux de faux positifs concernant les partenaires d'itinérance authentiques est très faible. Nous mesurons ce taux chaque semaine et affichons le chiffre par partenaire dans le tableau de bord, afin que les équipes RA puissent toujours le consulter. La phase de test en mode miroir (mirror-mode) est précisément conçue pour que cet intervalle soit validé et approuvé avant la mise en application réelle.
Vous avez besoin du manifeste de conformité FS.11 ou d'une session de travail avec nos ingénieurs en signalisation ? Demander un audit de sécurité de la signalisation
Pare-feu SMS de couche application situé sur l'interface SMPP de votre SMSC.
Capture et corrélation indépendantes du fournisseur pour SS7, SIGTRAN et SIP — la couche d'intelligence associée.
SMSC hébergé avec routage multiple, multilingue et facturation unifiée.
Observabilité en temps réel du pare-feu, du SMSC, de la signalisation et des routes.
Planifiez une réunion d'information pour les opérateurs. Nous passerons en revue la catégorisation FS.11, le cache SRI-SM, le modèle de monétisation A2P et le plan de déploiement pour votre réseau, avec le soutien du centre d'opérations réseau BroadNet 24h/24 et 7j/7.
Ressources
Fiche produit Pare-feu SS7
Approfondissez les concepts derrière ce produit.