# Pare-feu SS7 contre la fraude de signalisation et les routes grises - URL canonique: https://www.broadnet.me/fr/operators/ss7-firewall - Langue: fr - Dernière mise à jour: 2026-10-10 - Éditeur: BroadNet (https://www.broadnet.me) - Version Markdown de la page, générée à partir de la page affichée. Pare-feu SMS SS7 · Niveau opérateur Stop aux routes grises. Monétisez l'A2P. Protégez la couche de signalisation. Le pare-feu SS7 de BroadNet bloque la fraude de signalisation et le trafic A2P des routes grises pour les opérateurs mobiles, en inspectant la signalisation SS7 en ligne, avant qu’elle n’atteigne le cœur de réseau. Un pare-feu SS7 avec filtrage MAP/SCCP en ligne entre le STP international et votre réseau principal. Contrôle de l'identifiant de l'expéditeur, validation du routage, filtrage du cache SRI-SM, filtrage du contenu et monétisation A2P : le tout depuis un pare-feu de signalisation unique. Déployé chez des opérateurs de premier plan dans la région MENA. [Demande d'examen de sécurité de la signalisation](https://www.broadnet.me/fr/contact?topic=signaling-security&product=ss7-firewall) [Discuter de la protection du réseau](https://www.broadnet.me/fr/contact?topic=network-protection&product=ss7-firewall) <5ms Latence d'inspection 99.99% Temps de disponibilité en ligne 1,000+ Connexions MNO Flux de signalisation · données d'exemple stp-edge-01 · mena-1 Bloqué 12,842 Autorisé 184,902 En quarantaine 317 Op · Origin GT Verdict - AnyTimeInterrogation GT 882 16xxxxx Cat 1 BLOCK ↳ Tentative de suivi de localisation - MT-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Correspondance du cache SRI-SM - MT-ForwardSM GT 234 80xxxxx Cat 2 BLOCK ↳ Origine falsifiée · Fuite A2P - ProvideSubscriberInfo GT 7 921xxxxx Cat 1 BLOCK ↳ Sonde HLR étrangère - MO-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Identifiant d'expéditeur trouvé dans le registre - CAP InitialDP GT 850 2xxxxxx Cat 3 QUARANTINE ↳ Motif Wangiri · vitesse - SendRoutingInfo GT 880 17xxxxx Cat 1 BLOCK ↳ Reconnaissance IRSF Pack de règles FS.11 · v2026.1 <5 ms / msg Latence d'inspection <5ms Chaque unité MAP, CAP et SCCP est décodée, évaluée et traitée en ligne au niveau du STP Disponibilité en ligne 99.99% Paires de pare-feu actif-actif sur le chemin de signalisation international Connexions MNO 1,000+ Connexions directes aux opérateurs, liaisons directes dans 86 pays, depuis 2003 Opérateurs Tier-1 MENA Déployé auprès des opérateurs Tier-1 dans toute la région MENA Sa place dans le plan de signalisation ## Du STP international au cœur du réseau d'origine, en 5 sauts. Un seul pare-feu sur le chemin de signalisation international. Chaque unité MAP, CAP et SCCP est décodée par élément d'information, catégorisée selon la norme GSMA FS.11, et un verdict est rendu en moins de cinq millisecondes. Aucun réacheminement, aucune interruption d'itinérance. 1. 01 · Entrée STP international Liaisons SS7 internationales (SIGTRAN, M3UA) provenant des partenaires d'itinérance et des routes grises. aucun saut ajouté 2. 02 · Décoder Pare-feu de signalisation Décodage par IE de MAP, CAP et SCCP. Normalisation de GT, AC, CdPA/CgPA, IMSI, MSISDN pour la recherche de politique. décodage < 0,8 ms 3. 03 · Score FS.11 · SRI-SM Classification par catégorie 1/2/3, validation du cache SRI-SM, contrôles du Sender ID et de la route, compartiments de vélocité. score < 2,0 ms 4. 04 · Verdict Politique DSL Autoriser · modifier · mettre en quarantaine · rejeter · monétiser. Par route, par partenaire, par abonné. Règles validées via processus maker-checker. verdict < 1,0 ms 5. 05 · Noyau HLR / SMSC / MSC Seuls les signaux validés parviennent au réseau d'origine. Les messages mis en quarantaine sont dupliqués pour examen par l'équipe de lutte contre la fraude. p99 total < 5 ms 6. ← signed audit · regulator export · NOC stream 01 · Entrée STP international Liaisons SS7 internationales (SIGTRAN, M3UA) provenant des partenaires d'itinérance et des routes grises. aucun saut ajouté 02 · Décoder Pare-feu de signalisation Décodage par IE de MAP, CAP et SCCP. Normalisation de GT, AC, CdPA/CgPA, IMSI, MSISDN pour la recherche de politique. décodage < 0,8 ms 03 · Score FS.11 · SRI-SM Classification par catégorie 1/2/3, validation du cache SRI-SM, contrôles du Sender ID et de la route, compartiments de vélocité. score < 2,0 ms 04 · Verdict Politique DSL Autoriser · modifier · mettre en quarantaine · rejeter · monétiser. Par route, par partenaire, par abonné. Règles validées via processus maker-checker. verdict < 1,0 ms 05 · Noyau HLR / SMSC / MSC Seuls les signaux validés parviennent au réseau d'origine. Les messages mis en quarantaine sont dupliqués pour examen par l'équipe de lutte contre la fraude. p99 total < 5 ms Que fait le pare-feu ? ## Six couches, un moteur de signalisation. Décodage au niveau du STP, évaluation en temps réel et traitement en moins de cinq millisecondes. Un moteur de couche de signalisation gère MAP, CAP et SCCP ; un DSL de politique définit les règles ; un système de stockage d’audit conserve les preuves. ### Inspection de la signalisation SS7 Un pare-feu sur le chemin de signalisation. MAP, CAP et SCCP sont décodés, normalisés et évalués par un moteur de politique unique avant que tout message n'atteigne votre SMSC, HLR ou MSC. Protocoles MAP·CAP·SCCP Décoder Par IE Mode En ligne / hors bande ### Application des règles de la catégorie GSMA FS.11 Des packs de règles prêts à l'emploi, alignés sur GSMA FS.11 pour l'interconnexion SS7. La catégorie 1 ne franchit jamais la limite du réseau ; la catégorie 2 est validée par rapport à l'origine du réseau domestique ; la catégorie 3 fait l'objet d'un scoring de vélocité par abonné. FS.11 Cat. 1–3 Limite Cat. 1 bloquée Mises à jour Trimestrielles ### Évaluation des menaces en temps réel Chaque message est analysé en fonction de son origine (GT), du protocole SCCP CdPA/CgPA, du contexte applicatif et de son historique. Les scores d'anomalie alimentent un DSL de politique qui décide, en une seule étape, d'autoriser, de modifier, de mettre en quarantaine ou de supprimer le message. Score Par message Signaux Multiples Actes 5 actions ### Détection de suivi de localisation Les abus liés à AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation et SendRoutingInfo sont détectés dès le premier contact. Les serveurs distants effectuant des requêtes pour obtenir des paires IMSI-MSC-VLR sont bloqués avant même qu'un seul abonné ne soit géolocalisé. ATI Bloqué PSL Origine vérifiée SRI Validé par cache ### Fraude par SMS au niveau de la signalisation MT-ForwardSM est validé par rapport à un cache SRI-SM actif via le tuple IMSI/MSC/SMSC. Les identifiants d'expéditeur usurpés, les fuites A2P sur les routes grises et la reconnaissance par échange de carte SIM sont bloqués avant que le SMSC ne les détecte, et non après. Cache SRI TTL 24 h Parodie Bloqué Fuite A2P Récupéré ### Journalisation d'audit forensique Chaque décision de signalisation est consignée dans un système d'audit inviolable avec des chaînes d'événements signées HMAC. Exportations conformes aux exigences réglementaires, tableaux de bord basés sur les rôles et relectures d'incidents : votre centre d'opérations réseau (NOC) voit exactement ce que le pare-feu a vu, trame par trame. Rétention 12 mois Signé HMAC Exporter Régulateur Catalogue des menaces ## Ce que nous voyons franchir votre frontière. Les cinq classes d'attaques de signalisation qui sont responsables de la plupart des préjudices subis par les abonnés et des pertes de revenus des opérateurs, et la couche à laquelle le pare-feu les intercepte. ### Usurpation d'identité par SMS MAP · MT-ForwardSM Adresses d'expéditeur falsifiées pour usurper l'identité de banques, de marques et de services gouvernementaux. Détectées grâce à une incohérence dans le cache SRI-SM et à une vérification croisée de l'identifiant de l'expéditeur. ### Suivi de localisation MAP · ATI / PSI / PSL Les GT étrangers interrogent le HLR pour trianguler la cellule de service d'un abonné. Bloqués à la limite du réseau en tant que messages GSMA FS.11 de catégorie 1. ### Reconnaissance par échange de carte SIM CARTE · Envoyer l'IMSI / Mettre à jour la localisation Les attaquants recherchent les liaisons IMSI-MSC avant de procéder à des échanges par ingénierie sociale. Les schémas sont analysés en fonction de l'origine, puis les systèmes sont mis en quarantaine pour examen par l'équipe antifraude. ### Appels frauduleux et usurpation d'identité téléphonique CAP · InitialDP / SS7 IAM Fraude internationale au partage des revenus, boucles Wangiri et appels falsifiés interceptés au niveau de la signalisation avant qu'ils n'atteignent l'abonné. ### Fuites A2P et routes grises MAP · MT-ForwardSM Trafic d'entreprise non monétisé injecté via des partenaires d'itinérance. Forcé d'emprunter la route commerciale convenue, ou bloqué, les revenus étant alors récupérés. Catalogue des attaques · Couche MAP ## Deux opérations MAP sont à l'origine de la plupart des abus de signalisation. Deux opérations MAP expliquent une part disproportionnée des incidents liés à la confidentialité des abonnés et à l'interception des mots de passe à usage unique (OTP) qui parviennent aujourd'hui aux autorités de régulation. Le pare-feu gère ces incidents au niveau international — catégorisation, évaluation et signature — avant qu'ils n'atteignent un HLR ou un SMSC d'origine. GSMA FS.11 Catégories 1 et 2 FS.11 · Cat 1 Chute de limite MAP_PROVIDE_SUBSCRIBER_INFO ### Suivi de localisation Les requêtes HLR étrangères qui aboutissent à un identifiant de cellule de service sont utilisées par les opérateurs de surveillance et les personnes mal intentionnées pour trianguler la position géographique réelle d'un abonné. Le pare-feu les classe comme GSMA FS.11 Catégorie 1 et les bloque à la limite du réseau, en générant une entrée d'audit signée pour le fichier de l'autorité de régulation. Impact de l'opérateur · Compromission de la confidentialité des abonnés FS.11 · Cat 2 Chute de limite MAP_SEND_ROUTING_INFO_FOR_SM ### Travaux préparatoires à l'interception des SMS Les requêtes SRI-SM permettent d'associer un abonné à son MSC/SMSC de desserte ; il s'agit de l'étape de reconnaissance précédant le détournement du trafic OTP et 2FA par MT-ForwardSM. Le pare-feu valide chaque requête par rapport à un cache SRI-SM de 24 heures ; les requêtes manquantes provenant de serveurs distants sont mises en quarantaine pour examen par l'équipe antifraude. Impact de l'opérateur · Activation du contournement OTP/2FA moteur de règles à 3 piliers ## Technique. Commercial. Dynamique. Un seul verdict. La couche de signalisation nécessite l'application du protocole, la politique commerciale et l'adaptation comportementale au sein d'un même moteur. Ces trois piliers fonctionnent comme un seul chemin de décision — avec une latence d'inspection inférieure à 5 ms par unité de signalisation — afin que le verdict approprié parvienne à l'élément de réseau adéquat dès le premier saut. Pilier 01 ### Règles techniques Application des règles au niveau du protocole au niveau de la signalisation. Autorisation/refus des opérations MAP, filtrage des titres globaux, contrôle des codes de point OPC/DPC, conditions MCC/MNC par partenaire. Toute unité de signalisation malformée ou hors contexte est rejetée lors du décodage. MAP autoriser/refuser Filtre GT OPC/DPC MCC/MNC Pilier 02 ### Règles commerciales Politique commerciale et opérationnelle formalisée sous forme de données. Sélection des routes selon les accords partenaires, politiques par catégorie de produits (OTP, transactionnel, promotionnel), monétisation du trafic de contournement vers les canaux A2P convenus. Le pare-feu garantit le respect du contrat, et non la simple application des spécifications. Politique de route Par partenaire OTP vs promo contournement de la monétisation Pilier 03 ### Commandes dynamiques Application dynamique des règles comportementales s'adaptant au trafic en temps réel. Seuil de TPS, détection des pics de trafic, plages horaires, vitesse par origine (GT). Cette couche dynamique détecte ce que les règles statiques ne peuvent pas : campagnes émergentes, nouveaux parcs de box SIM, anomalies soudaines d'itinérance. Seuils TPS Détection de rafales Fenêtres temporelles Vitesse Latence d'inspection inférieure à 5 ms par unité de signalisation · décodage + score + verdict Tous les fournisseurs de signalisation courants paires STP actives-actives SIGTRAN M3UA · M2PA · SUA Inspection MAP · CAP · SCCP En ligne · devant le SMSC Option de tap hors bande Politique DSL ## Règles que vos ingénieurs en signalisation prennent déjà en compte. Catégorisation FS.11 exprimée en YAML lisible. Opérations MAP et CAP nommées, non numérotées. Règles Sender-ID, route et A2P gérées par maker-checker — versionnées, signées et auditables. ss7fw.operator.local · rule pack v2026.1 Exemple ``` 1# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml2# GSMA FS.11 Category 1 — never crosses the network boundary3rule: cat1_ati_block4 match:5 application_context: anyTimeInterrogation6 origin: !is_home_network7 action: drop8 audit: regulator.signal_event9 fs_tag: FS.11-CAT110 11rule: cat1_psi_block12 match:13 application_context: provideSubscriberInfo14 origin: !is_home_network15 action: drop16 fs_tag: FS.11-CAT117 18# Category 2 — origin must be validated against home-network MAP19rule: cat2_sri_sm_validate20 match:21 application_context: sendRoutingInfoForSM22 validate:23 msc_id: from sri_sm_cache(ttl=24h)24 on_mismatch:25 action: quarantine26 notify: fraud-ops@operator.tld ``` Scénarios opérateurs illustratifs ## Quelle protection de signalisation On dirait que c'est en production. Opérateur tier-1 du CCG MNO · CCG SA Défi : les sondes de géolocalisation des abonnés préoccupaient activement le régulateur, sans aucun moyen de dissuasion national en place. Approche : catégorisation FS.11 en bordure SS7 internationale, complétée par un cache SRI-SM pour la détection d’usurpation. Responsable sécurité de la signalisation Cat. 1 Sondes de localisation bloquées en bordure SRI-SM Détection d’usurpation active Groupe MNO d’Afrique de l’Ouest MNO · Afrique de l’Ouest NG Défi : des STP internationaux répartis sur plusieurs piles fournisseurs faisaient de la déclaration trimestrielle au régulateur un exercice manuel. Approche : un DSL de politique unique a unifié l’application des règles sur chaque bordure, avec une piste d’audit versionnée. Responsable sécurité réseau Unifié Un seul jeu de règles, chaque bordure STP Quarantaine SMS de routes grises retenus pour examen MNO du Levant MNO · Levant JO Défi : le régulateur national a exigé, dans un délai court, des preuves de conformité FS.11 lors d’une revue annuelle. Approche : le versionnage des jeux de règles a produit un manifeste signé ainsi qu’un rapport de régression IR.71 / IR.82 en une seule exécution. Ingénieur signalisation senior Signé Manifeste de conformité FS.11 IR.82 Régression en une seule exécution Où il se trouve ## Signalisation internationale entrante. Trafic propre sortant. Intégré en ligne entre le STP international et votre réseau central, chaque message franchit le pare-feu avant d'atteindre un HLR, un SMSC ou un MSC, et chaque décision est transmise en temps réel à votre NOC. STP international SS7 / SIGTRAN Partenaire d'itinérance SS7 / MAP Route grise GT non fiable BroadNet Signaling Firewall Actif / Actif Décoder ID de l'expéditeur Vérification de route Cache SRI-SM Filtre de contenu Géo / origine Limitation de débit Policy DSL Journal d'audit HLR SMSC MSC Billing Options de déploiement ### En ligne au STP ACTIVE / ACTIVE Cette paire active-active se situe sur le chemin de signalisation international. Les décisions sont appliquées en temps réel : bloquer, autoriser, modifier, monétiser. ### Coupure hors bande DETECT ONLY Flux de données en miroir provenant du STP pour l'établissement des données de référence et l'analyse. Passer à une application en temps réel lorsque les taux de politiques et de faux positifs se stabilisent. ### Hybride périphérie + noyau EDGE + CORE L'infrastructure internationale fonctionne en mode continu, le réseau national fonctionne en mode détection et alerte. Plan de politiques commun, référentiel d'audit commun, tableau de bord unique pour l'opérateur. Conformité ## Conforme aux normes que votre organisme de réglementation consulte déjà. La catégorisation GSMA FS.11 pour l'interconnexion SS7 est appliquée par défaut et maintenue par l'équipe de sécurité de la signalisation BroadNet, avec des exportations conformes aux exigences réglementaires sur demande. Membre associé de la GSMA BroadNet est membre associé de la GSMA GSMA FS.11 Catégorisation de la sécurité de l'interconnexion SS7 (Cat 1–3) Assurance de revenus Monétisation A2P et récupération de routes grises, intégrées nativement Exportations du régulateur Rapports de signalisation spécifiques à chaque pays sur demande diligence raisonnable de l'opérateur ## Huit réponses pour la liste restreinte des demandes d'informations. Oui. Le pare-feu se présente comme un pair de signalisation SCCP/SIGTRAN et s'intègre aux plateformes STP courantes utilisées par les opérateurs aujourd'hui, sur des parcs de fournisseurs mixtes. Aucune modification complexe de la table de routage STP n'est requise, au-delà de la redirection des codes de point internationaux via la paire de pare-feu. Nous commençons presque toujours par un miroir hors bande (out-of-band) depuis le STP pendant 14 à 30 jours. Cela permet aux équipes de sécurité et de RA d'établir une base de référence propre du trafic international et nous permet d'ajuster le pack de règles FS.11 en fonction du mix réel des partenaires de roaming de l'opérateur. Une fois que l'enveloppe des faux positifs est convenue par écrit, le pare-feu passe en mode actif-actif en ligne (inline). Le mode hybride (en ligne à la bordure internationale, miroir au cœur domestique) est l'état stable habituel. L'équipe de sécurité de BroadNet publie un ensemble de règles versionnées chaque trimestre, intégrant des correctifs d'urgence pour les nouvelles menaces, déployés en quelques jours. Chaque ensemble de règles inclut les tests de conformité IR.71, IR.81 et IR.82, permettant à votre équipe d'effectuer des tests de régression avant sa mise en production. L'opérateur peut bloquer ou annuler toute version depuis le tableau de bord ; aucune mise en production n'est automatique. Par unité de signalisation inspectée (MAP/CAP), avec des tranches basées sur le volume mensuel. Aucun frais par liaison, par code de point ou par Erlang. Il y a des frais NRE uniques pour l'intégration STP et des frais de maintenance annuels réduits couvrant les mises à jour des packs de règles, le flux de threat-intel et les revues d'architecture trimestrielles. Les opérateurs constatent généralement un retour sur investissement grâce à la récupération des revenus A2P et à l'évitement des pertes liées à la fraude. Oui. Le DSL de la politique est le même que celui utilisé en interne par notre équipe de sécurité. Les opérateurs rédigent régulièrement des règles pour appliquer leurs accords d'itinérance bilatéraux, pour mettre en liste blanche les requêtes de localisation autorisées des forces de l'ordre, pour monétiser certains flux de contournement plutôt que de les bloquer, et pour transmettre les verdicts à leurs plateformes SIEM et de lutte contre la fraude internes. Les règles personnalisées suivent le même processus de validation « maker-checker » que les nôtres, avec une piste d'audit complète. La durée de vie (TTL) est de 24 heures par défaut et configurable par opérateur. Le cache est alimenté par les SRI-SM légitimes observés et actualisé à chaque MT-ForwardSM réussi. Nous affichons le taux de succès, le taux d'échec et le taux de mise en quarantaine par GT partenaire afin que les équipes d'autorisation de mise en cache puissent détecter une augmentation soudaine du nombre d'échecs (généralement le premier signe d'une campagne d'usurpation d'identité ou d'un partenaire réinitialisant sa clé de GT SMSC). Oui. Chaque décision est signée HMAC, enregistrée sur un support inviolable et conservée pendant la période réglementaire de l'opérateur. Nous fournissons des modèles d'exportation préconfigurés pour la TRC (Jordanie), la CST (Arabie saoudite), la NCC (Nigeria), la TDRA (Émirats arabes unis), la CRA (Qatar), la TRA (Oman), la TRA (Bahreïn), l'ARPT (Algérie), l'ANRT (Maroc) et l'INT-T (Tunisie). Le module d'exportation génère également le manifeste de conformité FS.11, désormais exigé par plusieurs autorités de régulation de la région MENA lors du renouvellement des licences. En régime de croisière, le taux de faux positifs concernant les partenaires d'itinérance authentiques est très faible. Nous mesurons ce taux chaque semaine et affichons le chiffre par partenaire dans le tableau de bord, afin que les équipes RA puissent toujours le consulter. La phase de test en mode miroir (mirror-mode) est précisément conçue pour que cet intervalle soit validé et approuvé avant la mise en application réelle. Vous avez besoin du manifeste de conformité FS.11 ou d'une session de travail avec nos ingénieurs en signalisation ? [Demander un audit de sécurité de la signalisation](https://www.broadnet.me/fr/contact?topic=signaling-security&product=ss7-firewall) ## Produits d'opérateur connexes [Tous les produits des opérateurs](https://www.broadnet.me/fr/operators) [Pare-feu SMS Pare-feu SMS de couche application situé sur l'interface SMPP de votre SMSC. Apprendre encore plus](https://www.broadnet.me/fr/operators/sms-firewall) [Renseignements sur la signalisation et les CDR Capture et corrélation indépendantes du fournisseur pour SS7, SIGTRAN et SIP — la couche d'intelligence associée. Apprendre encore plus](https://www.broadnet.me/fr/platforms/signaling-cdr) [Passerelle SMSC SMSC hébergé avec routage multiple, multilingue et facturation unifiée. Apprendre encore plus](https://www.broadnet.me/fr/operators/smsc-gateway) [Système de performance Observabilité en temps réel du pare-feu, du SMSC, de la signalisation et des routes. Apprendre encore plus](https://www.broadnet.me/fr/platforms/performance-system) Protection de la signalisation · niveau opérateur ## Protéger la signalisation. Supprimer les routes grises. Planifiez une réunion d'information pour les opérateurs. Nous passerons en revue la catégorisation FS.11, le cache SRI-SM, le modèle de monétisation A2P et le plan de déploiement pour votre réseau, avec le soutien du centre d'opérations réseau BroadNet 24h/24 et 7j/7. [Demande d'examen de sécurité de la signalisation](https://www.broadnet.me/fr/contact?topic=signaling-security&product=ss7-firewall) [Discuter de la protection du réseau](https://www.broadnet.me/fr/contact?topic=network-protection&product=ss7-firewall) $ ss7fw --policy fs11 --mode inline --audit signed Ressources Fiche produit Pare-feu SS7 [Télécharger la fiche· PDF, 100 ko](https://www.broadnet.me/resources/datasheets/broadnet-ss7-firewall-datasheet.pdf) [Fiches produit](https://www.broadnet.me/fr/resources) Guides et réponses connexes Approfondissez les concepts derrière ce produit. [Qu'est-ce que SS7 Lire](https://www.broadnet.me/fr/answers/what-is-ss7) [Comment fonctionne la sécurité de la signalisation SS7 et Diameter Lire](https://www.broadnet.me/fr/answers/ss7-signaling-security) [Comment fonctionne la sécurité de la signalisation Diameter Lire](https://www.broadnet.me/fr/answers/diameter-signaling-security) [Comment fonctionne la prévention de la fraude dans les télécommunications Lire](https://www.broadnet.me/fr/answers/telecom-fraud-prevention)