Un firewall SMS a livello applicativo che si posiziona davanti al tuo SMSC e ispeziona ogni messaggio in entrata in tempo reale, offrendo filtraggio dei contenuti, autenticazione del mittente, limitazione della frequenza, routing intelligente e protezione antifrode basata sull'apprendimento automatico. Blocca spam, phishing e traffico non autorizzato prima che raggiunga il tuo sistema centrale, con garanzia di entrate integrata.
Inviamo anche traffico A2P. Questo traffico attraversa il firewall seguendo le stesse regole di qualsiasi altro mittente e le decisioni spettano al vostro team. Come il firewall gestisce il nostro traffico
BroadNet vende messaggistica aziendale e i firewall che la filtrano, quindi la prima domanda di un operatore è legittima: che cosa fa il firewall al traffico di BroadNet stessa? La risposta è integrata nel funzionamento di ogni installazione.
“Il fatto che lo stesso fornitore venda la CPaaS ai nostri clienti aziendali è il motivo per cui i numeri corrispondono davvero ai report.”
Il traffico aziendale di BroadNet raggiunge i vostri abbonati attraverso lo stesso firewall e con le stesse regole di qualsiasi altro aggregatore o mittente. Nessuna esenzione per il fornitore.
Le regole appartengono ai vostri team antifrode e di revenue assurance. Ogni modifica è versionata e richiede un secondo approvatore (principio dei quattro occhi), e le whitelist dei falsi positivi sono controllate dall'operatore. Ogni verdetto è una decisione della vostra rete, e i dati restano vostri.
Ogni decisione viene registrata con la regola che è scattata ed è esportabile in CSV, JSON o PDF per contestazioni con i partner e richieste dell'autorità di regolamentazione. Una contestazione sul traffico di BroadNet si risolve con gli stessi log di qualsiasi altra.
Le categorie di regole seguono GSMA FS.11 e FS.19: il vostro team e il regolatore valutano il firewall rispetto a un quadro di settore pubblicato, non alla tassonomia privata di un fornitore.
Il firewall opera in modo trasparente tra i partner di interconnessione e l'SMSC. Ogni messaggio A2P e P2P in entrata viene ispezionato, valutato e deciso prima di raggiungere la rete centrale, alla velocità di segnalazione e preservando l'ordine dei messaggi.
Il traffico MO e A2P entra nell'SMSC e nell'STP tramite connessioni SMPP e collegamenti SS7 dai partner di interconnessione.
Ispezione in linea di TPDU, ID mittente, contenuto, UDH, origine della segnalazione. Punteggio di rischio per messaggio da 0 a 1,0 in frazioni di millisecondo.
Le regole corrispondono a punteggio, percorso, partner, marchio. Verdetto: passa · quarantena · blocca · registra.
Traffico pulito inoltrato all'SMSC esistente dell'operatore. Nessun riordino, nessuna duplicazione.
L'abbonato riceve solo messaggi legittimi e fatturati. Il traffico in quarantena viene riaccreditato alla tariffa internazionale A2P.
Il traffico MO e A2P entra nell'SMSC e nell'STP tramite connessioni SMPP e collegamenti SS7 dai partner di interconnessione.
Ispezione in linea di TPDU, ID mittente, contenuto, UDH, origine della segnalazione. Punteggio di rischio per messaggio da 0 a 1,0 in frazioni di millisecondo.
Le regole corrispondono a punteggio, percorso, partner, marchio. Verdetto: passa · quarantena · blocca · registra.
Traffico pulito inoltrato all'SMSC esistente dell'operatore. Nessun riordino, nessuna duplicazione.
L'abbonato riceve solo messaggi legittimi e fatturati. Il traffico in quarantena viene riaccreditato alla tariffa internazionale A2P.
Capacità
Filtro dei contenuti basato sull'IA, autenticazione del mittente, limitazione della velocità, instradamento intelligente e antifrode basato sull'apprendimento automatico: tutti i controlli necessari a un operatore, eseguiti in linea presso l'SMSC in tempo reale.
Ispeziona ogni invio MAP, SMPP e HTTP presso l'SMSC e il punto di segnalazione. Decodifica TPDU, ID mittente, contenuto, codifica e intestazioni UDH, senza interrompere l'ordine dei messaggi.
Valutazione del rischio per singolo messaggio, addestrata su traffico etichettato proveniente da operatori di livello 1 reali. Rileva impronte digitali di spam emergenti, kit di phishing e schemi di elusione ore dopo la loro comparsa.
Analisi comportamentale basata su velocità, turnover IMSI, diversità dei destinatari, origine della segnalazione e omogeneità dei contenuti. Identifica le SIM farm prima che compromettano i tuoi tassi di terminazione.
Validazione crittografica e basata su registro di ogni mittente alfanumerico. Individua i tentativi di impersonificazione di banche, enti governativi e compagnie telefoniche prima che l'SMS raggiunga il destinatario.
Validazione del percorso rispetto agli accordi commerciali. Origini SS7, account SMPP e indirizzi IP di origine vengono verificati incrociandoli con l'elenco dei partner monetizzati dell'operatore. Il traffico di bypass viene bloccato o messo in quarantena per la monetizzazione.
Integrazione nativa con i registri nazionali e privati degli operatori di identificazione del mittente. Applicazione rigorosa degli originator registrati per giurisdizione, automazione dell'onboarding dei marchi e produzione di registri di controllo conformi alle normative.
Copertura delle minacce
| Vettore di attacco | Controllo del firewall | Risultato |
|---|---|---|
| Bypass A2P tramite percorso grigio e SIM farm | Validazione del percorso rispetto agli accordi commerciali, oltre all'identificazione univoca della SIM box in base alla velocità di utilizzo, al tasso di cambio IMSI e all'omogeneità dei contenuti. | Il traffico di bypass viene bloccato o messo in quarantena per essere monetizzato, alla tariffa di linea. |
| Spoofing Sender-ID e impersonificazione del marchio | Validazione, supportata da un registro, di ogni mittente alfanumerico rispetto al registro sender-ID dell'operatore e a quello nazionale. | I tentativi di impersonare banche, enti governativi e compagnie telefoniche vengono bloccati prima che raggiungano l'abbonato. |
| Contenuti di smishing e phishing | Analisi approfondita dei pacchetti, inclusi TPDU, contenuto, codifica e URL, con valutazione da parte del motore di rilevamento delle frodi basato sull'apprendimento automatico e sull'autoapprendimento. | I contenuti e i link dannosi vengono messi in quarantena in conformità con le norme, mentre i flussi A2P puliti rimangono inalterati. |
| Mittenti non registrati / residenti fuori dalla giurisdizione | Applicazione dei registri nazionali e privati degli operatori sender-ID a seconda della giurisdizione. | Solo gli originatori registrati possono procedere; gli altri vengono trattenuti per la fase di onboarding con un registro pronto per la regolamentazione. |
| Invii SS7 iniettati e fuori rete | La lista di siti consentiti provenienti da SS7 MAP è stata confrontata con la lista dei partner monetizzati. | Le origini SS7 non conformi all'accordo sono state segnalate ed eliminate prima di raggiungere il nucleo. |
| Flussi di spam e picchi di traffico | Fasce di velocità per percorso e punteggio di rischio per messaggio. | Le inondazioni sono state contenute tempestivamente; il traffico legittimo e l'ordine dei messaggi sono stati preservati. |
Motore a regola a 3 pilastri
Il livello applicativo necessita di un unico motore per l'applicazione dei protocolli, la definizione delle politiche commerciali e l'adattamento in base al comportamento degli utenti. Tutti e tre i pilastri operano come un unico percorso decisionale, con una latenza aggiunta inferiore a 10 ms per messaggio.
Applicazione a livello di protocollo. Consenti/nega l'operazione MAP (controllo granulare MAP_MT_FORWARD_SM vs MAP_SEND_ROUTING_INFO), filtraggio dei codici punto OPC/DPC, controlli Global Title, condizioni MCC/MNC per partner. Ogni unità di segnalazione non valida viene scartata in fase di decodifica.
Politica commerciale espressa in termini di dati. Selezione del percorso in base all'accordo con il partner, regole per classe di prodotto (OTP, transazionali, promozionali), monetizzazione del traffico di bypass verso i canali A2P concordati. Il firewall applica il contratto, non solo le specifiche.
Applicazione delle regole basata sul comportamento. Soglie TPS, rilevamento di picchi, finestre temporali, velocità per account GT o SMPP di origine. Il livello dinamico rileva ciò che le regole statiche non riescono a individuare: campagne emergenti, nuove "SIM-box farm", anomalie improvvise nel roaming.
Generazione anti-traffico · ATG
La funzionalità Anti Traffic Generation è il livello di apprendimento continuo che mantiene il firewall un passo avanti rispetto agli operatori che utilizzano rotte non ufficiali. I modelli si riaddestrano sui dati reali dell'operatore, combinandoli con segnali anonimizzati provenienti dal più ampio piano di ispezione BroadNet. Le euristiche sono rese comprensibili all'uomo, in modo che il team antifrode possa verificare, bloccare o respingere qualsiasi firma.
Velocità sostenuta inferiore al secondo da un piccolo pool MSISDN, caratteristica dei modelli di rotazione delle banche SIM. Soglia e forma del burst apprese per percorso.
Un'elevata entropia di Shannon tra le MSISDN di destinazione, combinata con una bassa entropia tra i contenuti, rappresenta l'impronta canonica di una SIM box.
Contenuti ripetuti con mittenti che cambiano di volta in volta, mittenti alfanumerici che non si sono mai registrati, formati del mittente incoerenti con l'apparente area geografica.
Discrepanza tra il GT di origine dichiarato, l'MCC/MNC e il percorso SCCP effettivamente seguito dal messaggio nella rete.
Controlli di contenuti e identità
Tre controlli che, insieme, colmano il divario tra "il messaggio è tecnicamente valido" e "il messaggio dovrebbe essere autorizzato a raggiungere l'abbonato".
Le aziende registrate inviano ID mittente e modelli di messaggio approvati. Il traffico in entrata viene confrontato con la whitelist: i mittenti approvati con modelli approvati superano il controllo senza intoppi; i mittenti sconosciuti sono soggetti a una valutazione più rigorosa. Il sistema è in grado di riconoscere lingue e caratteri Unicode, inclusi script complessi.
Ogni URL viene estratto, normalizzato e valutato rispetto a un feed di reputazione in tempo reale per individuare kit di phishing noti, distributori di malware e domini simili appena registrati. I link sospetti inviano l'intero messaggio prima che l'abbonato lo visualizzi.
Autenticazione per account, limiti di velocità di trasmissione, classi di contenuto consentite, prefissi ID mittente consentiti e intervalli di destinazione consentiti: questi parametri vengono applicati al momento dell'associazione e riapplicati a ogni invio. Gli account SMPP sono oggetti di policy di primaria importanza, non semplici credenziali.
scala di produzione
La capacità massima a cui la piattaforma opera attualmente, considerando tutti gli operatori che instradano i loro SMS A2P, P2P e di roaming attraverso il piano di ispezione di BroadNet.
Capacità di ispezione per cluster, nell'ambito di SMPP e SS7.
Reti di operatori che utilizzano il firewall BroadNet in MENA, Africa e Asia.
La copertura delle reti di telecomunicazioni alimenta la base di riferimento globale per l'intelligence sulle minacce.
Dashboard dei ricavi recuperati
Ogni messaggio bloccato, messo in quarantena o rifatturato viene attribuito a un percorso, un partner, un mittente o una firma. La visualizzazione dei ricavi recuperati è affiancata alla visualizzazione della protezione, in modo che i team finanziari, di amministrazione e di sicurezza possano consultare la stessa fonte di informazioni, suddivisa per percorso e classe di firma.
Perché una piattaforma unica
Suddividere la protezione dalle frodi derivanti dalla monetizzazione A2P su due piattaforme diverse significa perdere due volte i ricavi: una volta a causa del canale non ufficiale e un'altra a causa della tassa di integrazione. BroadNet gestisce il rilevamento, l'applicazione delle policy e il recupero dei ricavi sullo stesso motore, con la stessa traccia di controllo e la stessa dashboard per l'operatore.
Dall'avvio alla fase di applicazione a livello di produzione, inclusi la baseline di mirroring passivo, la messa a punto del pacchetto di regole in base al traffico dell'operatore e il flusso di lavoro di creazione e verifica che promuove la prima regola in linea. Lo stesso percorso seguito da ogni implementazione di livello 1.
Come gli operatori si attivano
Nessun passaggio repentino e repentino. Ogni fase è subordinata all'approvazione dell'operatore e a dati misurabili, ovvero al modo in cui le reti degli operatori adottano effettivamente le nuove apparecchiature in linea.
Implementazione in modalità mirror passiva presso l'SMSC e il punto di accesso SS7. Ispezione del 100% del traffico A2P e P2P in entrata senza rischio di consegna. Prima baseline antifrode pronta in 7 giorni.
È ora disponibile il sistema di punteggio ML per singolo messaggio. ID mittente, percorso, contenuto, comportamento e reputazione storica confluiscono in un unico valore di rischio. Gli operatori possono personalizzare le soglie per ciascun percorso.
Attivare l'applicazione delle restrizioni per rotta, per partner e per ID mittente. Rotte non ufficiali, SIM box e marchi contraffatti vengono bloccati sul nascere. L'esperienza dell'abbonato migliora immediatamente.
Il traffico bypass in quarantena viene offerto agli originatori alla tariffa commerciale A2P. I ricavi A2P internazionali, precedentemente persi a causa delle rotte non ufficiali, tornano a confluire nel conto economico dell'operatore.
Politica e integrazione
Regole YAML dichiarative, un'API di punteggio per messaggio e una lista di elementi consentiti SS7 MAP che i tuoi ingegneri STP riconosceranno: controllo di versione, promozione maker-checker, audit di default.
# /etc/broadnet/firewall/rules.d/grey-route.yaml# Drop SMPP traffic from non-commercial partnersrule: block_unauthorized_smpp match: bind_system_id: !in [partners.commercial.list] source_ip: !in [partners.allowlist.cidrs] action: quarantine bill_at: a2p_international_rate rule: smpp_simbox_velocity match: msisdn_velocity: "> 12/min" recipient_unique: "> 80% in 5m" content_homology: "> 0.92" action: block notify: fraud-ops@operator.tld rule: spoofed_bank_senders match: sender_id: !registered_in [tdra.sender_registry] content: matches /OTP|verification|password/i action: drop audit: regulator_report.csvConformità e certificazione
Membro associato GSMA. I controlli del firewall sono allineati alle linee guida GSMA per la sicurezza della messaggistica e della segnalazione (la FS-series ).
In linea con il Codice di condotta per l'identificazione del mittente SMS di MEF e con le linee guida sulla fiducia nelle comunicazioni aziendali.
Gestito su un'infrastruttura certificata ISO 27001 con controlli SOC 2 Tipo II, residenza dei dati conforme al GDPR e tracciabilità completa delle operazioni.
Sì. Il motore di verdetto separa P2P da A2P utilizzando una combinazione di associazione alla sorgente, origine della segnalazione, formato dell'ID mittente e impronta comportamentale. I tassi di falsi positivi P2P derivanti dalle nostre implementazioni di livello 1 sono inferiori allo 0,002% degli ordini di acquisto ispezionati, ben al di sotto dei limiti di tolleranza stabiliti dalle autorità di regolamentazione nelle giurisdizioni TDRA, CRA e NTRA. Il tasso di falsi positivi per singolo bucket è disponibile nella dashboard dell'operatore, in modo che i team di RA possano verificarlo settimanalmente.
Tutti e tre. Quasi sempre iniziamo in modalità mirror su un punto di accesso passivo all'SMSC e all'SS7 edge per 7-21 giorni, il che fornisce ai team antifrode e di RA una base di riferimento pulita senza rischi per la consegna. Una volta concordate le soglie di applicazione, gli stessi nodi passano alla modalità inline con disponibilità di livello carrier. La modalità ibrida è comune per le infrastrutture SMSC multi-vendor: inline sui moderni front-end di livello 1, mirror dietro i vecchi SMSC.
Ci posizioniamo in modo trasparente davanti all'SMSC tramite SMPP 3.4/5.0 standard e dietro l'STP per SS7. Ci siamo integrati con tutti i principali fornitori di SMSC di livello 1 e con diverse soluzioni interne. Non è necessaria alcuna modifica alla configurazione dell'SMSC: il firewall si presenta come un altro partner SMPP a monte e preserva l'ordine dei messaggi, il passaggio DLR e la semantica CDR.
Il modello antifrode viene riaddestrato ogni notte sul traffico etichettato proveniente dai dati reali dell'operatore (controversie con le autorità di regolamentazione, code di reclami, avvisi delle autorità di controllo) combinati con segnali anonimizzati provenienti dal feed globale di BroadNet. Le firme critiche (un kit di phishing appena rilevato, un nuovo schema di velocità delle SIM box) vengono attivate come regole prioritarie in pochi minuti dal nostro team antifrode di Dubai. Gli operatori possono bloccare o porre il veto su qualsiasi versione del modello dalla dashboard.
Sì. In qualità di membro associato GSMA, ci allineiamo alle linee guida di sicurezza GSMA applicabili e il firewall viene fornito con i pacchetti di test IR.71, IR.81 e IR.82 in modo che il vostro team di sicurezza possa eseguire test di regressione dopo ogni modifica delle regole. La categorizzazione 2 3 1 viene applicata per collegamento e per associazione e il motore delle policy impone il trattamento raccomandato GSMA per categoria, inclusi i blocchi silenziosi di categoria 3 con traccia di controllo richiesti da diverse autorità di regolamentazione MENA.
Per ogni messaggio ispezionato, con tariffazione basata sul volume mensile, senza costi per associazione o per collegamento. È previsto un costo NRE una tantum per l'integrazione e una piccola quota di manutenzione annuale che copre gli aggiornamenti delle firme, il team antifrode e le revisioni trimestrali dell'architettura. La maggior parte delle implementazioni di livello 1 si ripaga entro il primo trimestre di applicazione grazie al solo recupero dei ricavi A2P.
Ogni verdetto viene registrato in un registro a prova di manomissione, conservato per tutta la durata del periodo di validità normativa dell'operatore (in genere da 12 a 84 mesi). Il modulo di reporting include modelli per TDRA (Emirati Arabi Uniti), CST (Arabia Saudita), CRA (Qatar), TRA (Oman), TRA (Bahrein), NTRA (Egitto), TRC (Giordania), ARPT (Algeria), ANRT (Marocco) e INT-T (Tunisia). I rendiconti trimestrali vengono esportati in formato CSV, XML o PDF firmato.
Sì. Le soglie sono gerarchiche: operatore predefinito → percorso → partner → marchio → ID mittente. La dashboard mostra la soglia effettiva per ogni singolo verdetto e consente al team di Regulatory Authority (RA) di eseguire un test A/B di una nuova soglia rispetto al traffico degli ultimi 30 giorni prima di promuoverla in produzione. Le promozioni sono soggette a un flusso di lavoro di verifica e creazione con tracciabilità completa.
Hai bisogno del brief sull'architettura del progetto o di una sessione di lavoro con i nostri ingegneri specializzati in telecomunicazioni? Prenota la valutazione del firewall SMS
I firewall SMS e SS7 all'interno della rete bloccano i percorsi non ufficiali e le frodi alla velocità di linea, mentre il traffico legittimo continua a fluire indisturbato.
Una sessione di lavoro di 30 minuti con gli ingegneri che installano queste apparecchiature presso gli operatori di primo livello. Portate con voi la mappa del percorso e il conto economico A2P dell'ultimo trimestre: vi indicheremo dove si trova la perdita.
Osserva il firewall mentre decide quale traffico utilizzare per i campioni.
Smishing, SMS pumping, spoofing del mittente e una via alternativa non ufficiale: verdetto, motivazioni, tempistiche e azioni, viste dal punto di vista dell'operatore e dell'azienda.
Risorse
Scheda Firewall SMS
Approfondisci i concetti alla base di questo prodotto.