Il firewall SS7 di BroadNet blocca le frodi di segnalazione e il traffico A2P su grey route per gli operatori mobili, ispezionando la segnalazione SS7 in linea prima che raggiunga il core di rete. Un firewall SS7 con filtraggio MAP/SCCP in linea tra l'STP internazionale e la rete centrale. Controllo dell'ID mittente, convalida del percorso, filtraggio della cache SRI-SM, filtraggio dei contenuti e monetizzazione A2P: tutto da un unico firewall a livello di segnalazione. Implementato presso operatori di livello 1 nella regione MENA.
Un unico firewall sul percorso di segnalazione internazionale. Ogni unità MAP, CAP e SCCP viene decodificata per ogni IE, categorizzata secondo lo standard GSMA FS.11 e il verdetto viene restituito in meno di cinque millisecondi. Nessun reindirizzamento, nessun roaming interrotto.
Collegamenti SS7 internazionali (SIGTRAN, M3UA) in entrata da partner di roaming e rotte grigie.
Decodifica per-IE di MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizzati per la ricerca tramite policy.
Classificazione categoria 1/2/3, validazione cache SRI-SM, controlli sender-ID e rotta, velocity bucket.
Allow · modify · quarantine · drop · monetize. Per rotta, per partner, per abbonato. Regole approvate tramite processo maker-checker.
Solo i segnali convalidati raggiungono la rete domestica. I messaggi in quarantena vengono replicati per essere esaminati dal team antifrode.
Collegamenti SS7 internazionali (SIGTRAN, M3UA) in entrata da partner di roaming e rotte grigie.
Decodifica per-IE di MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizzati per la ricerca tramite policy.
Classificazione categoria 1/2/3, validazione cache SRI-SM, controlli sender-ID e rotta, velocity bucket.
Allow · modify · quarantine · drop · monetize. Per rotta, per partner, per abbonato. Regole approvate tramite processo maker-checker.
Solo i segnali convalidati raggiungono la rete domestica. I messaggi in quarantena vengono replicati per essere esaminati dal team antifrode.
Decodificati presso l'STP, valutati in tempo reale e elaborati in meno di cinque millisecondi. Un motore a livello di segnalazione gestisce MAP, CAP e SCCP; un DSL per le policy scrive le regole; un archivio di audit conserva le prove.
Un unico firewall sul percorso di segnalazione. MAP, CAP e SCCP vengono decodificati, normalizzati e valutati rispetto a un unico motore di policy prima che qualsiasi messaggio raggiunga il SMSC, HLR o MSC.
Pacchetti di regole pronti all'uso, allineati con GSMA FS.11 per l'interconnessione SS7. La Categoria 1 non attraversa mai il confine di rete; la Categoria 2 viene convalidata rispetto all'origine della rete domestica; la Categoria 3 viene valutata tramite velocity-scoring per singolo abbonato.
Ogni messaggio viene identificato tramite fingerprinting attraverso GT di origine, SCCP CdPA/CgPA, contesto dell'applicazione e modelli storici. I punteggi di anomalia alimentano un DSL di policy che decide se consentire, modificare, mettere in quarantena o bloccare in un singolo passaggio.
Gli abusi relativi a AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation e SendRoutingInfo vengono rilevati al primo contatto. I GT stranieri che tentano di individuare le coppie IMSI–MSC–VLR vengono bloccati prima ancora che un singolo abbonato venga geolocalizzato.
MT-ForwardSM viene convalidato rispetto a una cache SRI-SM attiva tramite la coppia IMSI/MSC/SMSC. Gli ID mittente falsificati, le fughe di dati A2P su percorsi non ufficiali e le attività di ricognizione tramite scambio di SIM vengono bloccate prima che l'SMSC le rilevi, non dopo.
Ogni decisione di segnalazione viene registrata in un archivio di controllo a prova di manomissione con catene di eventi firmate da HMAC. Esportazioni pronte per le autorità di regolamentazione, dashboard basate sui ruoli e riproduzioni degli incidenti: il tuo NOC vede ciò che ha visto il firewall, fotogramma per fotogramma.
Le cinque classi di attacchi di segnalazione che causano la maggior parte dei danni agli abbonati e delle perdite di fatturato agli operatori, e il livello a cui il firewall intercetta ciascuna di esse.
Indirizzi di origine falsificati per impersonare banche, marchi e servizi governativi. Rilevati tramite mancata corrispondenza nella cache SRI-SM e verifica incrociata del registro degli ID mittente.
I GT esteri interrogano il HLR per triangolare la cella di servizio di un abbonato. Bloccati al confine di rete come messaggi GSMA FS.11 di Categoria 1.
Gli aggressori cercano collegamenti IMSI-MSC prima di effettuare scambi tramite ingegneria sociale. I dati vengono valutati in base all'origine e poi messi in quarantena per la revisione da parte del team antifrode.
Frodi internazionali sulla ripartizione dei ricavi, loop di Wangiri e CLI contraffatti intercettati a livello di segnalazione prima che raggiungano l'abbonato.
Traffico aziendale non monetizzato iniettato tramite partner di roaming. Costretto a utilizzare il percorso commerciale concordato, oppure bloccato, con conseguente recupero dei ricavi.
Due operazioni MAP spiegano una quota sproporzionata degli incidenti relativi alla privacy degli abbonati e all'intercettazione degli OTP che giungono oggi all'attenzione delle autorità di regolamentazione. Il firewall gestisce entrambi i tipi di traffico al confine internazionale, categorizzandoli, valutandoli e firmandoli, prima che raggiungano un HLR o un SMSC di origine.
Le sonde HLR straniere che si risolvono in un ID di cella di servizio, utilizzate da operatori di sorveglianza e malintenzionati per triangolare la posizione reale di un abbonato. Il firewall le classifica come GSMA FS.11 Categoria 1 e le blocca al confine della rete, con una voce di audit firmata per il file dell'autorità di regolamentazione.
Le query SRI-SM che associano un abbonato al suo MSC/SMSC di riferimento rappresentano la fase di ricognizione precedente al dirottamento del traffico OTP e 2FA da parte di MT-ForwardSM. Il firewall convalida ogni query rispetto a una cache SRI-SM di 24 ore; le query provenienti da GT esteri che non trovano corrispondenza nella cache vengono messe in quarantena per essere esaminate dal team antifrode.
Il livello di segnalazione necessita di applicazione del protocollo, politiche commerciali e adattamento basato sul comportamento, il tutto integrato nello stesso motore. I tre pilastri operano come un unico percorso decisionale, con una latenza di ispezione inferiore a 5 ms per unità di segnalazione, in modo che il verdetto corretto raggiunga l'elemento di rete appropriato al primo passaggio.
Applicazione a livello di protocollo al livello di segnalazione. Consenti/nega l'operazione MAP, filtraggio del titolo globale, controlli del codice punto OPC/DPC, condizioni MCC/MNC per partner. Ogni unità di segnalazione malformata o fuori contesto viene scartata in fase di decodifica.
Politica commerciale e operativa espressa in termini di dati. Selezione del percorso in base all'accordo con il partner, politiche per classe di prodotto (OTP, transazionali, promozionali), monetizzazione del traffico di bypass verso i canali A2P concordati. Il firewall applica il contratto, non solo le specifiche.
Applicazione delle policy basata sul comportamento, che si adatta al traffico in tempo reale. Soglie TPS, rilevamento di picchi di traffico, finestre temporali, velocità per GT di origine. Il livello dinamico rileva ciò che le regole statiche non riescono a individuare: campagne emergenti, nuove reti di SIM box, anomalie improvvise nel roaming.
Categorizzazione FS.11 espressa in formato YAML leggibile. Operazioni MAP e CAP denominate, non numerate. Regole Sender-ID, route e A2P promosse tramite maker-checker: versionate, firmate e verificabili.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Sfida: le sonde di tracciamento della posizione degli abbonati erano una preoccupazione attiva dell'autorità di regolamentazione, senza alcun deterrente nazionale. Approccio: categorizzazione FS.11 all'edge SS7 internazionale, più una cache SRI-SM per il rilevamento dello spoofing.
Sfida: gli STP internazionali distribuiti su più stack di fornitori rendevano la relazione trimestrale all'autorità un'attività manuale. Approccio: un unico DSL di policy ha unificato l'applicazione delle regole su ogni edge, con un audit trail versionato.
Sfida: l'autorità di regolamentazione nazionale ha richiesto con breve preavviso prove di conformità FS.11 durante una revisione annuale. Approccio: il versionamento dei pacchetti di regole ha prodotto un manifest firmato e un report di regressione IR.71 / IR.82 in un'unica esecuzione.
In linea tra l'STP internazionale e la tua rete centrale. Ogni messaggio attraversa il firewall prima di raggiungere un HLR, SMSC o MSC e ogni decisione viene trasmessa in streaming al tuo NOC in tempo reale.
La coppia attivo-attivo si trova sul percorso di segnalazione internazionale. Le decisioni vengono applicate in tempo reale: bloccare, consentire, modificare, monetizzare.
Utilizzo dei dati provenienti dall'STP per la definizione dei parametri di riferimento e per le analisi. Passaggio all'applicazione in linea quando la policy e i tassi di falsi positivi si stabilizzano.
Il sistema edge internazionale opera in modalità inline, mentre il sistema centrale nazionale opera in modalità detect-and-alert. Piano di policy comune, archivio di audit comune, dashboard operatore unificata.
La categorizzazione GSMA FS.11 per l'interconnessione SS7 è imposta di default e gestita dal team di sicurezza della segnalazione di BroadNet, con esportazioni pronte per le autorità di regolamentazione su richiesta.
Sì. Il firewall si presenta come un peer di segnalazione SCCP/SIGTRAN e si integra con le comuni piattaforme STP utilizzate oggi dagli operatori, anche in ambienti con vendor misti. Non è necessaria alcuna modifica alle tabelle di routing STP, oltre al reindirizzamento dei point code internazionali attraverso la coppia di firewall.
Quasi sempre iniziamo con un mirror out-of-band dall'STP per 14–30 giorni. Ciò fornisce ai team di sicurezza e RA una linea di base pulita del traffico internazionale e ci permette di ottimizzare il pacchetto di regole FS.11 in base al mix reale di partner di roaming dell'operatore. Una volta concordato per iscritto il margine di falsi positivi, il firewall passa alla modalità inline active-active. Lo stato operativo standard è solitamente ibrido (inline sul perimetro internazionale, mirror sul core domestico).
Il team di sicurezza della segnalazione di BroadNet pubblica un pacchetto di regole con versioni diverse ogni trimestre, con patch di correzione rapida per le nuove informazioni sulle minacce rilasciate in pochi giorni. Ogni pacchetto di regole include i pacchetti di test di conformità IR.71, IR.81 e IR.82, in modo che il team possa eseguire test di regressione prima di promuoverlo. L'operatore può bloccare o rifiutare qualsiasi versione dalla dashboard: nessuna versione viene promossa automaticamente in produzione.
Per unità di segnalazione ispezionata (MAP/CAP), suddivise per volume mensile. Nessun costo per link, per point code o per Erlang. È previsto un NRE una tantum per l'integrazione STP e una piccola quota di manutenzione annuale che copre gli aggiornamenti dei pacchetti di regole, il feed di threat intelligence e le revisioni trimestrali dell'architettura. Gli operatori solitamente ottengono il ritorno sull'investimento grazie al recupero dei ricavi A2P e all'evitata perdita per frodi.
Sì. Il DSL della policy è lo stesso utilizzato internamente dal nostro team di sicurezza. Gli operatori scrivono regolarmente regole per far rispettare i propri accordi di roaming bilaterale, per inserire in whitelist le query di localizzazione autorizzate dalle forze dell'ordine, per monetizzare specifici flussi di bypass invece di scartarli e per inviare i verdetto ai propri sistemi SIEM e alle piattaforme anti-frode interne. Le regole personalizzate seguono lo stesso processo di approvazione maker-checker delle nostre, con un audit trail completo.
Il TTL è impostato a 24 ore per impostazione predefinita ed è configurabile per ciascun operatore. La cache viene popolata a partire da SRI-SM legittimi osservati e aggiornata a ogni MT-ForwardSM andato a buon fine. Rendiamo disponibili i dati relativi a tassi di successo, tassi di insuccesso e tassi di quarantena per ciascun GT del partner, in modo che i team di RA possano individuare un improvviso picco di insuccessi nella cache (di solito il primo segnale di una campagna di spoofing o di un partner che modifica le proprie chiavi SMSC GT).
Sì. Ogni decisione è firmata da HMAC, scritta in un archivio a prova di manomissione e conservata per tutta la durata del periodo di validità della licenza dell'operatore. Forniamo modelli di esportazione preconfigurati per TRC (Giordania), CST (Arabia Saudita), NCC (Nigeria), TDRA (Emirati Arabi Uniti), CRA (Qatar), TRA (Oman), TRA (Bahrein), ARPT (Algeria), ANRT (Marocco) e INT-T (Tunisia). Il modulo di esportazione genera anche il manifesto di conformità FS.11, richiesto da diverse autorità di regolamentazione della regione MENA al momento del rinnovo della licenza.
In condizioni di regime, i falsi positivi verso i partner di roaming legittimi sono molto bassi. Misuriamo il tasso settimanalmente e mostriamo il numero per ogni partner nella dashboard, in modo che i team RA possano sempre monitorarlo. La fase di test in mirror-mode serve esattamente a garantire che questo perimetro venga concordato e approvato prima che l'applicazione delle regole diventi operativa.
Avete bisogno del manifesto di conformità FS.11 o di una sessione di lavoro con i nostri ingegneri specializzati in segnalamento? Richiedi una revisione della sicurezza della segnalazione
Firewall SMS a livello applicativo posizionato sull'interfaccia SMPP verso il tuo SMSC.
Acquisizione e correlazione indipendenti dal fornitore per SS7, SIGTRAN e SIP: il livello di intelligence complementare.
Centro servizi SMSC ospitato con routing multiplo, multilingue e fatturazione unificata.
Osservabilità in tempo reale su firewall, SMSC, segnalazione e routing.
Pianifica un briefing per gli operatori. Analizzeremo la categorizzazione FS.11, la cache SRI-SM, il modello di monetizzazione A2P e il piano di implementazione per la tua rete, con il supporto del NOC di BroadNet disponibile 24 ore su 24, 7 giorni su 7.
Risorse
Scheda Firewall SS7
Approfondisci i concetti alla base di questo prodotto.