# Firewall SS7 contro le frodi di segnalazione e le grey route - URL canonico: https://www.broadnet.me/it/operators/ss7-firewall - Lingua: it - Ultimo aggiornamento: 2026-10-10 - Editore: BroadNet (https://www.broadnet.me) - Versione Markdown della pagina, generata dalla pagina pubblicata. Firewall SMS SS7 · Livello operatore Fermate le rotte non ufficiali. Monetizzare A2P. Proteggere il livello di segnalazione. Il firewall SS7 di BroadNet blocca le frodi di segnalazione e il traffico A2P su grey route per gli operatori mobili, ispezionando la segnalazione SS7 in linea prima che raggiunga il core di rete. Un firewall SS7 con filtraggio MAP/SCCP in linea tra l'STP internazionale e la rete centrale. Controllo dell'ID mittente, convalida del percorso, filtraggio della cache SRI-SM, filtraggio dei contenuti e monetizzazione A2P: tutto da un unico firewall a livello di segnalazione. Implementato presso operatori di livello 1 nella regione MENA. [Richiesta di revisione della sicurezza della segnalazione](https://www.broadnet.me/it/contact?topic=signaling-security&product=ss7-firewall) [Discutere la protezione della rete](https://www.broadnet.me/it/contact?topic=network-protection&product=ss7-firewall) <5ms Latenza di ispezione 99.99% Tempo di attività in linea 1,000+ Connessioni MNO Flusso di segnalazione · dati di esempio stp-edge-01 · mena-1 Bloccato 12,842 Consentito 184,902 In quarantena 317 Op · Origin GT Verdetto - AnyTimeInterrogation GT 882 16xxxxx Cat 1 BLOCK ↳ Tentativo di tracciamento della posizione - MT-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Corrispondenza cache SRI-SM - MT-ForwardSM GT 234 80xxxxx Cat 2 BLOCK ↳ Origine contraffatta · Perdita A2P - ProvideSubscriberInfo GT 7 921xxxxx Cat 1 BLOCK ↳ Sondaggio HLR estero - MO-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Corrispondenza del registro ID mittente - CAP InitialDP GT 850 2xxxxxx Cat 3 QUARANTINE ↳ Modello Wangiri · velocità - SendRoutingInfo GT 880 17xxxxx Cat 1 BLOCK ↳ Ricognizione IRSF Pacchetto di regole FS.11 · v2026.1 <5 ms / msg Latenza di ispezione <5ms Ogni unità MAP, CAP e SCCP viene decodificata, valutata e processata in linea all'STP Uptime in linea 99.99% Coppie di firewall active-active sul percorso di segnalazione internazionale MNO connessioni 1,000+ Connessioni dirette con gli operatori, bind diretti in 86 paesi, dal 2003 Operatori Tier-1 MENA Implementato presso operatori Tier-1 in tutta la regione MENA Come si colloca nel piano di segnalazione ## Dallo STP internazionale al core della rete di casa, in 5 salti. Un unico firewall sul percorso di segnalazione internazionale. Ogni unità MAP, CAP e SCCP viene decodificata per ogni IE, categorizzata secondo lo standard GSMA FS.11 e il verdetto viene restituito in meno di cinque millisecondi. Nessun reindirizzamento, nessun roaming interrotto. 1. 01 · Ingresso STP internazionale Collegamenti SS7 internazionali (SIGTRAN, M3UA) in entrata da partner di roaming e rotte grigie. nessun salto aggiunto 2. 02 · Decodifica Firewall di segnalazione Decodifica per-IE di MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizzati per la ricerca tramite policy. decodifica < 0,8 ms 3. 03 · Punteggio FS.11 · SRI-SM Classificazione categoria 1/2/3, validazione cache SRI-SM, controlli sender-ID e rotta, velocity bucket. punteggio < 2,0 ms 4. 04 · Verdetto DSL delle politiche Allow · modify · quarantine · drop · monetize. Per rotta, per partner, per abbonato. Regole approvate tramite processo maker-checker. verdetto < 1,0 ms 5. 05 · Nucleo HLR / SMSC / MSC Solo i segnali convalidati raggiungono la rete domestica. I messaggi in quarantena vengono replicati per essere esaminati dal team antifrode. p99 totale < 5ms 6. ← signed audit · regulator export · NOC stream 01 · Ingresso STP internazionale Collegamenti SS7 internazionali (SIGTRAN, M3UA) in entrata da partner di roaming e rotte grigie. nessun salto aggiunto 02 · Decodifica Firewall di segnalazione Decodifica per-IE di MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizzati per la ricerca tramite policy. decodifica < 0,8 ms 03 · Punteggio FS.11 · SRI-SM Classificazione categoria 1/2/3, validazione cache SRI-SM, controlli sender-ID e rotta, velocity bucket. punteggio < 2,0 ms 04 · Verdetto DSL delle politiche Allow · modify · quarantine · drop · monetize. Per rotta, per partner, per abbonato. Regole approvate tramite processo maker-checker. verdetto < 1,0 ms 05 · Nucleo HLR / SMSC / MSC Solo i segnali convalidati raggiungono la rete domestica. I messaggi in quarantena vengono replicati per essere esaminati dal team antifrode. p99 totale < 5ms Cosa fa il firewall ## Sei livelli, un motore di segnalazione. Decodificati presso l'STP, valutati in tempo reale e elaborati in meno di cinque millisecondi. Un motore a livello di segnalazione gestisce MAP, CAP e SCCP; un DSL per le policy scrive le regole; un archivio di audit conserva le prove. ### Ispezione della segnalazione SS7 Un unico firewall sul percorso di segnalazione. MAP, CAP e SCCP vengono decodificati, normalizzati e valutati rispetto a un unico motore di policy prima che qualsiasi messaggio raggiunga il SMSC, HLR o MSC. Protocolli MAP·CAP·SCCP Decodificare Per IE Modalità In linea / fuori banda ### Applicazione delle policy per la categoria GSMA FS.11 Pacchetti di regole pronti all'uso, allineati con GSMA FS.11 per l'interconnessione SS7. La Categoria 1 non attraversa mai il confine di rete; la Categoria 2 viene convalidata rispetto all'origine della rete domestica; la Categoria 3 viene valutata tramite velocity-scoring per singolo abbonato. FS.11 Cat. 1–3 Confine Cat. 1 bloccata Aggiornamenti Trimestrali ### Valutazione delle minacce in tempo reale Ogni messaggio viene identificato tramite fingerprinting attraverso GT di origine, SCCP CdPA/CgPA, contesto dell'applicazione e modelli storici. I punteggi di anomalia alimentano un DSL di policy che decide se consentire, modificare, mettere in quarantena o bloccare in un singolo passaggio. Punteggio Per messaggio Segnali Multipli Azioni 5 azioni ### Rilevamento della posizione Gli abusi relativi a AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation e SendRoutingInfo vengono rilevati al primo contatto. I GT stranieri che tentano di individuare le coppie IMSI–MSC–VLR vengono bloccati prima ancora che un singolo abbonato venga geolocalizzato. ATI Bloccato PSL Origine verificata SRI Validato da cache ### Frode via SMS a livello di segnalazione MT-ForwardSM viene convalidato rispetto a una cache SRI-SM attiva tramite la coppia IMSI/MSC/SMSC. Gli ID mittente falsificati, le fughe di dati A2P su percorsi non ufficiali e le attività di ricognizione tramite scambio di SIM vengono bloccate prima che l'SMSC le rilevi, non dopo. cache SRI TTL 24 h Parodia Bloccato Perdita di A2P Recuperato ### Registrazione degli audit forensi Ogni decisione di segnalazione viene registrata in un archivio di controllo a prova di manomissione con catene di eventi firmate da HMAC. Esportazioni pronte per le autorità di regolamentazione, dashboard basate sui ruoli e riproduzioni degli incidenti: il tuo NOC vede ciò che ha visto il firewall, fotogramma per fotogramma. Ritenzione 12 mesi Firmato HMAC Esportare Regolatore Catalogo delle minacce ## Ciò che vediamo oltrepassando il vostro confine. Le cinque classi di attacchi di segnalazione che causano la maggior parte dei danni agli abbonati e delle perdite di fatturato agli operatori, e il livello a cui il firewall intercetta ciascuna di esse. ### Spoofing degli SMS MAPPA · MT-ForwardSM Indirizzi di origine falsificati per impersonare banche, marchi e servizi governativi. Rilevati tramite mancata corrispondenza nella cache SRI-SM e verifica incrociata del registro degli ID mittente. ### Tracciamento della posizione MAPPA · ATI / PSI / PSL I GT esteri interrogano il HLR per triangolare la cella di servizio di un abbonato. Bloccati al confine di rete come messaggi GSMA FS.11 di Categoria 1. ### Ricognizione tramite scambio di SIM MAPPA · Invia IMSI / Aggiorna posizione Gli aggressori cercano collegamenti IMSI-MSC prima di effettuare scambi tramite ingegneria sociale. I dati vengono valutati in base all'origine e poi messi in quarantena per la revisione da parte del team antifrode. ### Chiamate fraudolente e spoofing della CLI CAP · InitialDP / SS7 IAM Frodi internazionali sulla ripartizione dei ricavi, loop di Wangiri e CLI contraffatti intercettati a livello di segnalazione prima che raggiungano l'abbonato. ### Perdite di dati A2P e percorsi grigi MAPPA · MT-ForwardSM Traffico aziendale non monetizzato iniettato tramite partner di roaming. Costretto a utilizzare il percorso commerciale concordato, oppure bloccato, con conseguente recupero dei ricavi. Catalogo degli attacchi · Livello MAPPA ## Due operazioni MAP sono alla base della maggior parte degli abusi di segnalazione. Due operazioni MAP spiegano una quota sproporzionata degli incidenti relativi alla privacy degli abbonati e all'intercettazione degli OTP che giungono oggi all'attenzione delle autorità di regolamentazione. Il firewall gestisce entrambi i tipi di traffico al confine internazionale, categorizzandoli, valutandoli e firmandoli, prima che raggiungano un HLR o un SMSC di origine. GSMA FS.11 Categorie 1 e 2 FS.11 · Cat 1 Caduta di confine MAP_PROVIDE_SUBSCRIBER_INFO ### Tracciamento della posizione Le sonde HLR straniere che si risolvono in un ID di cella di servizio, utilizzate da operatori di sorveglianza e malintenzionati per triangolare la posizione reale di un abbonato. Il firewall le classifica come GSMA FS.11 Categoria 1 e le blocca al confine della rete, con una voce di audit firmata per il file dell'autorità di regolamentazione. Impatto dell'operatore · Compromesso sulla privacy degli abbonati FS.11 · Cat 2 Caduta di confine MAP_SEND_ROUTING_INFO_FOR_SM ### Fondamenti per l'intercettazione degli SMS Le query SRI-SM che associano un abbonato al suo MSC/SMSC di riferimento rappresentano la fase di ricognizione precedente al dirottamento del traffico OTP e 2FA da parte di MT-ForwardSM. Il firewall convalida ogni query rispetto a una cache SRI-SM di 24 ore; le query provenienti da GT esteri che non trovano corrispondenza nella cache vengono messe in quarantena per essere esaminate dal team antifrode. Impatto dell'operatore · Abilitazione del bypass OTP/2FA Motore a regola a 3 pilastri ## Tecnico. Commerciale. Dinamico. Un solo verdetto. Il livello di segnalazione necessita di applicazione del protocollo, politiche commerciali e adattamento basato sul comportamento, il tutto integrato nello stesso motore. I tre pilastri operano come un unico percorso decisionale, con una latenza di ispezione inferiore a 5 ms per unità di segnalazione, in modo che il verdetto corretto raggiunga l'elemento di rete appropriato al primo passaggio. Pilastro 01 ### Regole tecniche Applicazione a livello di protocollo al livello di segnalazione. Consenti/nega l'operazione MAP, filtraggio del titolo globale, controlli del codice punto OPC/DPC, condizioni MCC/MNC per partner. Ogni unità di segnalazione malformata o fuori contesto viene scartata in fase di decodifica. MAP consente/nega Filtro GT OPC/DPC MCC/MNC Pilastro 02 ### Regole aziendali Politica commerciale e operativa espressa in termini di dati. Selezione del percorso in base all'accordo con il partner, politiche per classe di prodotto (OTP, transazionali, promozionali), monetizzazione del traffico di bypass verso i canali A2P concordati. Il firewall applica il contratto, non solo le specifiche. Politica di percorso Per partner OTP vs promo bypass della monetizzazione Pilastro 03 ### Controlli dinamici Applicazione delle policy basata sul comportamento, che si adatta al traffico in tempo reale. Soglie TPS, rilevamento di picchi di traffico, finestre temporali, velocità per GT di origine. Il livello dinamico rileva ciò che le regole statiche non riescono a individuare: campagne emergenti, nuove reti di SIM box, anomalie improvvise nel roaming. Soglie TPS Rilevamento raffica finestre temporali Velocità Latenza di ispezione inferiore a 5 ms per unità di segnalazione · decodifica + punteggio + verdetto Tutti i fornitori di segnaletica più comuni Coppie STP attivo-attivo SIGTRAN M3UA · M2PA · SUA Ispezione MAP · CAP · SCCP In linea · davanti all'SMSC Opzione di prelievo fuori banda DSL delle politiche ## Regole in cui i vostri ingegneri della segnaletica già ragionano. Categorizzazione FS.11 espressa in formato YAML leggibile. Operazioni MAP e CAP denominate, non numerate. Regole Sender-ID, route e A2P promosse tramite maker-checker: versionate, firmate e verificabili. ss7fw.operator.local · rule pack v2026.1 Esempio ``` 1# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml2# GSMA FS.11 Category 1 — never crosses the network boundary3rule: cat1_ati_block4 match:5 application_context: anyTimeInterrogation6 origin: !is_home_network7 action: drop8 audit: regulator.signal_event9 fs_tag: FS.11-CAT110 11rule: cat1_psi_block12 match:13 application_context: provideSubscriberInfo14 origin: !is_home_network15 action: drop16 fs_tag: FS.11-CAT117 18# Category 2 — origin must be validated against home-network MAP19rule: cat2_sri_sm_validate20 match:21 application_context: sendRoutingInfoForSM22 validate:23 msc_id: from sri_sm_cache(ttl=24h)24 on_mismatch:25 action: quarantine26 notify: fraud-ops@operator.tld ``` Scenari illustrativi per operatori ## Quale protezione della segnalazione sembra in produzione. Operatore tier-1 del GCC MNO · GCC SA Sfida: le sonde di tracciamento della posizione degli abbonati erano una preoccupazione attiva dell'autorità di regolamentazione, senza alcun deterrente nazionale. Approccio: categorizzazione FS.11 all'edge SS7 internazionale, più una cache SRI-SM per il rilevamento dello spoofing. Responsabile sicurezza della segnalazione Cat. 1 Sonde di localizzazione bloccate all'edge SRI-SM Rilevamento spoofing attivo Gruppo MNO dell'Africa occidentale MNO · Africa occidentale NG Sfida: gli STP internazionali distribuiti su più stack di fornitori rendevano la relazione trimestrale all'autorità un'attività manuale. Approccio: un unico DSL di policy ha unificato l'applicazione delle regole su ogni edge, con un audit trail versionato. Responsabile sicurezza di rete Unificato Un unico pacchetto di regole su ogni edge STP Quarantena SMS da rotte grigie trattenuti per revisione MNO del Levante MNO · Levante JO Sfida: l'autorità di regolamentazione nazionale ha richiesto con breve preavviso prove di conformità FS.11 durante una revisione annuale. Approccio: il versionamento dei pacchetti di regole ha prodotto un manifest firmato e un report di regressione IR.71 / IR.82 in un'unica esecuzione. Ingegnere senior di segnalazione Firmato Manifest di conformità FS.11 IR.82 Regressione in un'unica esecuzione Dove si trova ## Segnaletica internazionale in entrata. Traffico libero in uscita. In linea tra l'STP internazionale e la tua rete centrale. Ogni messaggio attraversa il firewall prima di raggiungere un HLR, SMSC o MSC e ogni decisione viene trasmessa in streaming al tuo NOC in tempo reale. STP internazionale SS7 / SIGTRAN Partner di roaming SS7 / MAP Percorso grigio GT non attendibile BroadNet Signaling Firewall Attivo / Attivo Decodificare ID mittente Controllo del percorso Cache SRI-SM Filtro contenuti Origine geografica Limitazione del traffico Policy DSL Registro di audit HLR SMSC MSC Billing Opzioni di implementazione ### In linea con l'STP ACTIVE / ACTIVE La coppia attivo-attivo si trova sul percorso di segnalazione internazionale. Le decisioni vengono applicate in tempo reale: bloccare, consentire, modificare, monetizzare. ### Tappo fuori banda DETECT ONLY Utilizzo dei dati provenienti dall'STP per la definizione dei parametri di riferimento e per le analisi. Passaggio all'applicazione in linea quando la policy e i tassi di falsi positivi si stabilizzano. ### Bordo ibrido + nucleo EDGE + CORE Il sistema edge internazionale opera in modalità inline, mentre il sistema centrale nazionale opera in modalità detect-and-alert. Piano di policy comune, archivio di audit comune, dashboard operatore unificata. Conformità ## In linea con gli standard che il vostro ente regolatore già consulta. La categorizzazione GSMA FS.11 per l'interconnessione SS7 è imposta di default e gestita dal team di sicurezza della segnalazione di BroadNet, con esportazioni pronte per le autorità di regolamentazione su richiesta. Membro associato GSMA BroadNet è membro associato della GSMA GSMA FS.11 Categorizzazione della sicurezza dell'interconnessione SS7 (Cat 1–3) Revenue assurance Monetizzazione A2P e recupero delle rotte grigie, integrate nel sistema Esportazioni di regolatori Report di segnalazione specifici per paese, disponibili su richiesta. Due diligence dell'operatore ## Otto risposte per la lista ristretta di candidati RFI. Sì. Il firewall si presenta come un peer di segnalazione SCCP/SIGTRAN e si integra con le comuni piattaforme STP utilizzate oggi dagli operatori, anche in ambienti con vendor misti. Non è necessaria alcuna modifica alle tabelle di routing STP, oltre al reindirizzamento dei point code internazionali attraverso la coppia di firewall. Quasi sempre iniziamo con un mirror out-of-band dall'STP per 14–30 giorni. Ciò fornisce ai team di sicurezza e RA una linea di base pulita del traffico internazionale e ci permette di ottimizzare il pacchetto di regole FS.11 in base al mix reale di partner di roaming dell'operatore. Una volta concordato per iscritto il margine di falsi positivi, il firewall passa alla modalità inline active-active. Lo stato operativo standard è solitamente ibrido (inline sul perimetro internazionale, mirror sul core domestico). Il team di sicurezza della segnalazione di BroadNet pubblica un pacchetto di regole con versioni diverse ogni trimestre, con patch di correzione rapida per le nuove informazioni sulle minacce rilasciate in pochi giorni. Ogni pacchetto di regole include i pacchetti di test di conformità IR.71, IR.81 e IR.82, in modo che il team possa eseguire test di regressione prima di promuoverlo. L'operatore può bloccare o rifiutare qualsiasi versione dalla dashboard: nessuna versione viene promossa automaticamente in produzione. Per unità di segnalazione ispezionata (MAP/CAP), suddivise per volume mensile. Nessun costo per link, per point code o per Erlang. È previsto un NRE una tantum per l'integrazione STP e una piccola quota di manutenzione annuale che copre gli aggiornamenti dei pacchetti di regole, il feed di threat intelligence e le revisioni trimestrali dell'architettura. Gli operatori solitamente ottengono il ritorno sull'investimento grazie al recupero dei ricavi A2P e all'evitata perdita per frodi. Sì. Il DSL della policy è lo stesso utilizzato internamente dal nostro team di sicurezza. Gli operatori scrivono regolarmente regole per far rispettare i propri accordi di roaming bilaterale, per inserire in whitelist le query di localizzazione autorizzate dalle forze dell'ordine, per monetizzare specifici flussi di bypass invece di scartarli e per inviare i verdetto ai propri sistemi SIEM e alle piattaforme anti-frode interne. Le regole personalizzate seguono lo stesso processo di approvazione maker-checker delle nostre, con un audit trail completo. Il TTL è impostato a 24 ore per impostazione predefinita ed è configurabile per ciascun operatore. La cache viene popolata a partire da SRI-SM legittimi osservati e aggiornata a ogni MT-ForwardSM andato a buon fine. Rendiamo disponibili i dati relativi a tassi di successo, tassi di insuccesso e tassi di quarantena per ciascun GT del partner, in modo che i team di RA possano individuare un improvviso picco di insuccessi nella cache (di solito il primo segnale di una campagna di spoofing o di un partner che modifica le proprie chiavi SMSC GT). Sì. Ogni decisione è firmata da HMAC, scritta in un archivio a prova di manomissione e conservata per tutta la durata del periodo di validità della licenza dell'operatore. Forniamo modelli di esportazione preconfigurati per TRC (Giordania), CST (Arabia Saudita), NCC (Nigeria), TDRA (Emirati Arabi Uniti), CRA (Qatar), TRA (Oman), TRA (Bahrein), ARPT (Algeria), ANRT (Marocco) e INT-T (Tunisia). Il modulo di esportazione genera anche il manifesto di conformità FS.11, richiesto da diverse autorità di regolamentazione della regione MENA al momento del rinnovo della licenza. In condizioni di regime, i falsi positivi verso i partner di roaming legittimi sono molto bassi. Misuriamo il tasso settimanalmente e mostriamo il numero per ogni partner nella dashboard, in modo che i team RA possano sempre monitorarlo. La fase di test in mirror-mode serve esattamente a garantire che questo perimetro venga concordato e approvato prima che l'applicazione delle regole diventi operativa. Avete bisogno del manifesto di conformità FS.11 o di una sessione di lavoro con i nostri ingegneri specializzati in segnalamento? [Richiedi una revisione della sicurezza della segnalazione](https://www.broadnet.me/it/contact?topic=signaling-security&product=ss7-firewall) ## Prodotti correlati dell'operatore [Tutti i prodotti dell'operatore](https://www.broadnet.me/it/operators) [Firewall SMS Firewall SMS a livello applicativo posizionato sull'interfaccia SMPP verso il tuo SMSC. Saperne di più](https://www.broadnet.me/it/operators/sms-firewall) [Informazioni di segnalazione e CDR Acquisizione e correlazione indipendenti dal fornitore per SS7, SIGTRAN e SIP: il livello di intelligence complementare. Saperne di più](https://www.broadnet.me/it/platforms/signaling-cdr) [Gateway SMSC Centro servizi SMSC ospitato con routing multiplo, multilingue e fatturazione unificata. Saperne di più](https://www.broadnet.me/it/operators/smsc-gateway) [Sistema di prestazioni Osservabilità in tempo reale su firewall, SMSC, segnalazione e routing. Saperne di più](https://www.broadnet.me/it/platforms/performance-system) Protezione della segnalazione · livello operatore ## Proteggere la segnaletica. Bloccare i percorsi non ufficiali. Pianifica un briefing per gli operatori. Analizzeremo la categorizzazione FS.11, la cache SRI-SM, il modello di monetizzazione A2P e il piano di implementazione per la tua rete, con il supporto del NOC di BroadNet disponibile 24 ore su 24, 7 giorni su 7. [Richiesta di revisione della sicurezza della segnalazione](https://www.broadnet.me/it/contact?topic=signaling-security&product=ss7-firewall) [Discutere la protezione della rete](https://www.broadnet.me/it/contact?topic=network-protection&product=ss7-firewall) $ ss7fw --policy fs11 --mode inline --audit signed Risorse Scheda Firewall SS7 [Scarica la scheda· PDF, 100 kB](https://www.broadnet.me/resources/datasheets/broadnet-ss7-firewall-datasheet.pdf) [Schede prodotto](https://www.broadnet.me/it/resources) Guide e risposte correlate Approfondisci i concetti alla base di questo prodotto. [Cos'è SS7 Leggi](https://www.broadnet.me/it/answers/what-is-ss7) [Come funziona la sicurezza della segnalazione SS7 e Diameter Leggi](https://www.broadnet.me/it/answers/ss7-signaling-security) [Come funziona la sicurezza della segnalazione Diameter Leggi](https://www.broadnet.me/it/answers/diameter-signaling-security) [Come funziona la prevenzione delle frodi nelle telecomunicazioni Leggi](https://www.broadnet.me/it/answers/telecom-fraud-prevention)