SS7 firewall BroadNet menghentikan penipuan signaling dan trafik A2P rute abu-abu bagi operator seluler dengan memeriksa signaling SS7 secara in-line sebelum mencapai jaringan inti. Sebuah SS7 firewall dengan penyaringan in-line MAP/SCCP antara STP internasional dan jaringan inti Anda. Kontrol sender ID, validasi rute, penyaringan cache SRI-SM, penyaringan konten, dan monetisasi A2P — semua dari satu firewall lapisan signaling. Diterapkan pada operator Tier-1 di seluruh wilayah MENA.
Satu firewall pada jalur signaling internasional. Setiap unit MAP, CAP, dan SCCP didekode per-IE, dikategorikan berdasarkan GSMA FS.11, dan keputusan dikembalikan dalam waktu kurang dari lima milidetik. Tanpa rute ulang, tanpa roaming yang terganggu.
Tautan SS7 internasional (SIGTRAN, M3UA) menerima trafik masuk dari mitra roaming dan rute abu-abu.
Dekode per-IE untuk MAP, CAP, dan SCCP. GT, AC, CdPA/CgPA, IMSI, dan MSISDN dinormalisasi untuk pencarian kebijakan.
Klasifikasi Kategori 1/2/3, validasi cache SRI-SM, pemeriksaan sender-ID dan rute, serta bucket velocity.
Izinkan · modifikasi · karantina · hapus · monetisasi. Per-rute, per-mitra, per-pelanggan. Aturan dengan sistem maker-checker.
Hanya pensinyalan yang telah divalidasi yang mencapai jaringan asal. Pesan yang dikarantina akan dicerminkan untuk ditinjau oleh tim penipuan.
Tautan SS7 internasional (SIGTRAN, M3UA) menerima trafik masuk dari mitra roaming dan rute abu-abu.
Dekode per-IE untuk MAP, CAP, dan SCCP. GT, AC, CdPA/CgPA, IMSI, dan MSISDN dinormalisasi untuk pencarian kebijakan.
Klasifikasi Kategori 1/2/3, validasi cache SRI-SM, pemeriksaan sender-ID dan rute, serta bucket velocity.
Izinkan · modifikasi · karantina · hapus · monetisasi. Per-rute, per-mitra, per-pelanggan. Aturan dengan sistem maker-checker.
Hanya pensinyalan yang telah divalidasi yang mencapai jaringan asal. Pesan yang dikarantina akan dicerminkan untuk ditinjau oleh tim penipuan.
Didekode di STP, dinilai secara real-time, dan ditindaklanjuti dalam waktu kurang dari lima milidetik. Satu mesin lapisan sinyal menangani MAP, CAP, dan SCCP; satu DSL kebijakan menulis aturan; satu penyimpanan audit menyimpan bukti.
Satu firewall pada jalur pensinyalan. MAP, CAP, dan SCCP didekode, dinormalisasi, dan diberi skor terhadap satu mesin kebijakan sebelum pesan apa pun mencapai SMSC, HLR, atau MSC Anda.
Paket aturan siap pakai yang selaras dengan GSMA FS.11 untuk interkoneksi SS7. Kategori 1 tidak pernah melewati batas jaringan; Kategori 2 divalidasi terhadap asal jaringan rumah; Kategori 3 dinilai berdasarkan kecepatan per pelanggan.
Setiap pesan diberi sidik jari melalui GT asal, SCCP CdPA/CgPA, konteks aplikasi, dan pola historis. Skor anomali memberi masukan ke DSL kebijakan yang memutuskan untuk mengizinkan, memodifikasi, karantina, atau membuang dalam satu lompatan tunggal.
Penyalahgunaan AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation, dan SendRoutingInfo terdeteksi pada kontak pertama. GT asing yang mencoba mencari tuple IMSI–MSC–VLR akan diblokir sebelum satu pun pelanggan dilokasikan secara geografis.
MT-ForwardSM divalidasi terhadap cache SRI-SM secara langsung melalui tuple IMSI / MSC / SMSC. Spoofing sender ID, kebocoran A2P ke rute abu-abu, dan pengintaian SIM-swap dihentikan sebelum SMSC melihatnya, bukan setelahnya.
Setiap keputusan pensinyalan dicatat dalam penyimpanan audit yang tahan manipulasi dengan rantai peristiwa yang ditandatangani HMAC. Ekspor yang siap untuk regulator, dashboard berbasis peran, dan pemutaran ulang insiden — NOC Anda dapat melihat apa yang dilihat firewall, frame demi frame.
Lima kelas serangan pensinyalan yang menyebabkan sebagian besar kerugian pelanggan dan kehilangan pendapatan operator — serta lapisan di mana firewall menangkap masing-masing serangan tersebut.
Alamat originator dipalsukan untuk meniru bank, merek, dan layanan pemerintah. Terdeteksi melalui ketidakcocokan cache SRI-SM dan pemeriksaan silang registrasi sender ID.
GT asing melakukan kueri ke HLR untuk melakukan triangulasi sel layanan pelanggan. Diblokir di batas jaringan sebagai pesan GSMA FS.11 Kategori 1.
Penyerang mencari binding IMSI–MSC sebelum melakukan penukaran melalui rekayasa sosial. Skor pola per asal, lalu dikarantina untuk ditinjau oleh tim penipuan.
Penipuan bagi hasil pendapatan internasional, loop Wangiri, dan spoofing CLI dicegat pada lapisan pensinyalan sebelum berdering di pelanggan.
Trafik perusahaan yang tidak dimonetisasi yang dimasukkan melalui mitra roaming. Dipaksa masuk ke rute komersial yang telah disepakati — atau diblokir, dengan pendapatan yang dipulihkan.
Dua operasi MAP menjelaskan proporsi yang tidak proporsional dari insiden privasi pelanggan dan intersepsi OTP yang sampai ke regulator saat ini. Firewall menangani keduanya di edge internasional — dikategorikan, diberi skor, dan ditandatangani — sebelum mencapai HLR atau SMSC lokal.
Probing HLR asing yang menghasilkan serving cell ID, yang digunakan oleh operator pengawasan dan pelaku penyalahgunaan untuk melakukan triangulasi posisi nyata pelanggan. Firewall mengklasifikasikan ini sebagai GSMA FS.11 Kategori 1 dan membuangnya di batas jaringan, dengan entri audit bertanda tangan untuk arsip regulator.
Kueri SRI-SM yang memetakan pelanggan ke MSC/SMSC penyedia layanan mereka, langkah pengintaian sebelum pembajakan MT-ForwardSM pada trafik OTP dan 2FA. Firewall memvalidasi setiap kueri terhadap cache SRI-SM 24 jam; kueri cache-miss dari GT asing akan dikarantina untuk ditinjau oleh tim penipuan.
Lapisan sinyal memerlukan penegakan protokol, kebijakan komersial, dan adaptasi berbasis perilaku dalam satu mesin yang sama. Ketiga pilar tersebut berjalan sebagai satu jalur keputusan — latensi inspeksi di bawah 5 ms per unit sinyal — sehingga keputusan yang tepat mencapai elemen jaringan yang tepat pada lompatan pertama.
Penegakan tingkat protokol pada lapisan pensinyalan. Operasi MAP allow/deny, penyaringan Global Title, kontrol kode titik OPC/DPC, kondisi MCC/MNC per mitra. Setiap unit pensinyalan yang salah format atau tidak sesuai konteks akan dibuang saat proses dekode.
Kebijakan komersial dan operasional yang dinyatakan sebagai data. Pemilihan rute sesuai perjanjian mitra, kebijakan kelas produk (OTP, transaksional, promosi), monetisasi trafik bypass ke saluran A2P yang telah disepakati. Firewall menegakkan kontrak, bukan sekadar spesifikasi.
Penegakan berbasis perilaku yang beradaptasi dengan trafik langsung. Ambang batas TPS, deteksi lonjakan, jendela waktu harian, dan kecepatan per origin GT. Lapisan dinamis menangkap apa yang tidak dapat ditangkap oleh aturan statis — kampanye yang baru muncul, farm SIM-box baru, dan anomali roaming yang tiba-tiba.
Kategorisasi FS.11 dinyatakan sebagai YAML yang dapat dibaca. Operasi MAP dan CAP dinamai, bukan diberi nomor. Aturan Sender-ID, rute, dan A2P dipromosikan melalui maker-checker — memiliki versi, ditandatangani, dan dapat diaudit.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Tantangan: probe pelacakan lokasi pelanggan menjadi perhatian aktif regulator tanpa adanya pencegahan domestik yang tersedia. Pendekatan: kategorisasi FS.11 pada edge SS7 internasional, ditambah cache SRI-SM untuk deteksi spoofing.
Tantangan: STP internasional di berbagai tumpukan vendor membuat pelaporan kuartalan ke regulator menjadi proses manual. Pendekatan: satu DSL kebijakan yang menyatukan penegakan aturan di setiap edge dengan jejak audit versi.
Tantangan: regulator nasional meminta bukti kepatuhan FS.11 dalam waktu singkat selama tinjauan tahunan. Pendekatan: versioning rule-pack menghasilkan manifes bertanda tangan ditambah laporan regresi IR.71 / IR.82 dalam satu kali jalan.
Terintegrasi di antara STP internasional dan core Anda. Setiap pesan melewati firewall sebelum mencapai HLR, SMSC, atau MSC — dan setiap keputusan dialirkan ke NOC Anda secara real-time.
Pasangan active-active berada pada jalur sinyal internasional. Keputusan ditegakkan secara real-time — blokir, izinkan, modifikasi, monetisasi.
Umpan cermin dari STP untuk penetapan baseline dan analitik. Beralih ke penegakan langsung saat kebijakan dan tingkat false-positive telah stabil.
Edge internasional berjalan secara in-line, inti domestik berjalan secara detect-and-alert. Bidang kebijakan umum, penyimpanan audit umum, satu dasbor operator.
Kategorisasi GSMA FS.11 untuk interkoneksi SS7 ditegakkan secara default dan dikelola oleh tim keamanan pensinyalan BroadNet, dengan ekspor yang siap untuk regulator jika diminta.
Ya. Firewall hadir sebagai peer pensinyalan SCCP/SIGTRAN dan terintegrasi dengan platform STP umum yang dijalankan operator saat ini, di berbagai tumpukan vendor. Tidak diperlukan modifikasi tabel rute STP selain mengalihkan point code internasional melalui pasangan firewall.
Kami hampir selalu memulai dengan mirror out-of-band dari STP selama 14–30 hari. Hal ini memberikan baseline yang bersih bagi tim keamanan dan RA untuk trafik internasional dan memungkinkan kami menyetel paket aturan FS.11 terhadap campuran mitra roaming aktual operator. Setelah cakupan false-positive disepakati secara tertulis, firewall beralih ke mode inline active-active. Mode Hybrid (inline di edge internasional, mirror di core domestik) adalah kondisi stabil yang umum.
Tim keamanan signaling BroadNet menerbitkan paket aturan versi terbaru setiap kuartal, dengan patch hot-fix untuk intelijen ancaman baru yang dirilis dalam hitungan hari. Setiap paket aturan dilengkapi dengan paket uji kepatuhan IR.71, IR.81, dan IR.82 sehingga tim Anda dapat menjalankan regresi sebelum mempromosikannya. Operator dapat menetapkan atau memveto versi apa pun dari dashboard — tidak ada yang dipromosikan secara otomatis ke produksi.
Per unit pensinyalan yang diperiksa (MAP/CAP), dikelompokkan berdasarkan volume bulanan. Tidak ada biaya per-link, per-point-code, atau per-Erlang. Terdapat NRE satu kali untuk integrasi STP dan biaya pemeliharaan tahunan kecil yang mencakup pembaruan paket aturan, feed intelijen ancaman, dan tinjauan arsitektur triwulanan. Operator biasanya melihat pengembalian modal dari pemulihan pendapatan A2P dan penghindaran kerugian akibat penipuan.
Ya. Policy DSL yang digunakan adalah sama dengan yang digunakan tim keamanan kami secara internal. Operator secara rutin menulis aturan untuk menegakkan perjanjian roaming bilateral mereka, untuk memasukkan kueri lokasi penegak hukum yang sah ke dalam whitelist, untuk memonetisasi aliran bypass tertentu alih-alih memblokirnya, dan untuk mengirimkan putusan ke platform SIEM dan penipuan internal. Aturan khusus melewati proses maker-checker yang sama dengan milik kami, lengkap dengan jejak audit.
TTL secara default adalah 24 jam dan dapat disesuaikan per operator. Cache diisi dari SRI-SM sah yang teramati dan diperbarui pada setiap MT-ForwardSM yang berhasil. Kami menampilkan hit rate, miss rate, dan quarantine rate per GT mitra sehingga tim RA dapat mendeteksi lonjakan cache miss yang tiba-tiba (biasanya merupakan tanda pertama dari kampanye spoofing atau mitra yang melakukan re-keying pada SMSC GT mereka).
Ya. Setiap keputusan ditandatangani dengan HMAC, ditulis ke dalam penyimpanan yang tahan manipulasi, dan disimpan sesuai dengan periode regulasi operator. Kami menyediakan templat ekspor siap pakai untuk TRC (Yordania), CST (KSA), NCC (Nigeria), TDRA (UEA), CRA (Qatar), TRA (Oman), TRA (Bahrain), ARPT (Aljazair), ANRT (Maroko), dan INT-T (Tunisia). Modul ekspor juga menghasilkan manifes kepatuhan FS.11 yang kini diminta oleh beberapa regulator MENA saat pembaruan lisensi.
Dalam kondisi stabil, false positive terhadap mitra roaming resmi sangatlah rendah. Kami mengukur tingkat tersebut setiap minggu dan menampilkan angka per mitra di dashboard, sehingga tim RA selalu dapat memantaunya. Fase bake-in mode-mirror ada justru agar cakupan ini disepakati dan disetujui sebelum penegakan aturan diberlakukan.
Perlu manifes kepatuhan FS.11 atau sesi kerja dengan teknisi pensinyalan kami? Minta tinjauan keamanan signaling
Firewall SMS lapisan aplikasi yang berada pada antarmuka SMPP ke SMSC Anda.
Penangkapan dan korelasi agnostik vendor untuk SS7, SIGTRAN dan SIP — lapisan intelijen pendamping.
SMSC terkelola dengan multi-routing, multi-bahasa, dan penagihan terpadu.
Observabilitas waktu nyata di seluruh firewall, SMSC, pensinyalan, dan rute.
Jadwalkan pengarahan operator. Kami akan menjelaskan kategorisasi FS.11, cache SRI-SM, model monetisasi A2P, dan rencana penerapan untuk jaringan Anda — didukung oleh dukungan NOC BroadNet 24/7.
Sumber Daya
Lembar data Firewall SS7
Pelajari lebih dalam mengenai konsep di balik produk ini.