# シグナリング詐欺およびグレールート対策用のSS7ファイアウォール - 正規URL: https://www.broadnet.me/ja/operators/ss7-firewall - 言語: ja - 最終更新日: 2026-10-19 - 発行者: BroadNet (https://www.broadnet.me) - レンダリングされたページから生成した、上記ページのMarkdown版です。 SS7 SMSファイアウォール · 通信事業者グレード グレールートを遮断A2Pを収益化シグナリング層を保護。 BroadNetのSS7ファイアウォールは、SS7シグナリングがコアネットワークに到達する前にインラインで検査し、移動体通信事業者のシグナリング詐欺とグレールートのA2Pトラフィックを遮断します。国際STPとコアネットワーク間のインラインMAP/SCCPフィルタリング機能を備えたSS7ファイアウォール。送信元ID制御、配信ルートの検証、SRI-SMキャッシュフィルタリング、コンテンツフィルタリング、そしてA2P収益化を、単一のシグナリング層ファイアウォールですべて実現します。中東・北アフリカ地域のTier-1通信事業者に導入されています。 [シグナリングのセキュリティレビューを依頼する](https://www.broadnet.me/ja/contact?topic=signaling-security&product=ss7-firewall) [ネットワーク保護について相談する](https://www.broadnet.me/ja/contact?topic=network-protection&product=ss7-firewall) <5ms 検査レイテンシ 99.99% インライン稼働率 1,000+ MNO接続 シグナリングストリーム · サンプルデータ stp-edge-01 · mena-1 ブロック済み 12,842 許可済み 184,902 隔離済み 317 Op · Origin GT判定 - AnyTimeInterrogation GT 882 16xxxxx Cat 1 BLOCK ↳ 位置情報の追跡試行 - MT-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ SRI-SMキャッシュマッチ - MT-ForwardSM GT 234 80xxxxx Cat 2 BLOCK ↳ なりすまし発信 · A2P漏洩 - ProvideSubscriberInfo GT 7 921xxxxx Cat 1 BLOCK ↳ 海外HLRプローブ - MO-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ 送信元IDレジストリ照合 - CAP InitialDP GT 850 2xxxxxx Cat 3 QUARANTINE ↳ ワンギリパターン · ベロシティ - SendRoutingInfo GT 880 17xxxxx Cat 1 BLOCK ↳ IRSF偵察 FS.11ルールパック · v2026.1 <5 ms / msg 検査レイテンシ <5ms すべてのMAP、CAP、SCCPユニットをSTP内でインラインにデコード、スコアリング、判定 インライン稼働率 99.99% 国際シグナリングパスにおけるアクティブ/アクティブ構成のファイアウォールペア MNO接続 1,000+ 通信事業者との直接接続、86か国で直接バインド、2003年から ティア1通信事業者 MENA 中東・北アフリカ地域のTier-1通信事業者に導入済み シグナリングプレーンでの配置 ## ​国際STPからホームコアまで、5ホップ。 国際シグナリングパス上に1つのファイアウォールを配置。すべてのMAP、CAP、SCCPユニットはIEごとにデコードされ、GSMA FS.11に基づいて分類され、5ミリ秒以内に判定結果が返されます。ルート変更やローミングの切断は発生しません。 1. 01 · 着信 国際STP ローミングパートナーやグレールートから着信する国際SS7（SIGTRAN、M3UA）リンク。 追加ホップなし 2. 02 · デコード シグナリングファイアウォール MAP、CAP、SCCPのIEごとのデコード。ポリシー照会用にGT、AC、CdPA/CgPA、IMSI、MSISDNを正規化。 デコード < 0.8ms 3. 03 · スコア FS.11 · SRI-SM カテゴリ1/2/3分類、SRI-SMキャッシュ検証、送信元IDおよび配信ルートのチェック、ベロシティバケット。 スコア < 2.0ms 4. 04 · 判定 Policy DSL 許可 · 変更 · 検疫 · ドロップ · 収益化。ルート別、パートナー別、加入者別。Maker-checker（作成者と承認者の分離）を促進するルール。 判定 < 1.0ms 5. 05 · コア HLR / SMSC / MSC 検証済みのシグナリングのみがホームネットワークに到達します。検疫されたメッセージは、不正対策チームの確認用にミラーリングされます。 合計p99 < 5ms 6. ← 署名済み監査 · 規制当局向けエクスポート · NOCストリーム 01 · 着信 国際STP ローミングパートナーやグレールートから着信する国際SS7（SIGTRAN、M3UA）リンク。 追加ホップなし 02 · デコード シグナリングファイアウォール MAP、CAP、SCCPのIEごとのデコード。ポリシー照会用にGT、AC、CdPA/CgPA、IMSI、MSISDNを正規化。 デコード < 0.8ms 03 · スコア FS.11 · SRI-SM カテゴリ1/2/3分類、SRI-SMキャッシュ検証、送信元IDおよび配信ルートのチェック、ベロシティバケット。 スコア < 2.0ms 04 · 判定 Policy DSL 許可 · 変更 · 検疫 · ドロップ · 収益化。ルート別、パートナー別、加入者別。Maker-checker（作成者と承認者の分離）を促進するルール。 判定 < 1.0ms 05 · コア HLR / SMSC / MSC 検証済みのシグナリングのみがホームネットワークに到達します。検疫されたメッセージは、不正対策チームの確認用にミラーリングされます。 合計p99 < 5ms ファイアウォールの機能 ## 6つのレイヤー、1つのシグナリングエンジン。 STPでデコードされ、リアルタイムでスコアリングされ、5ミリ秒未満で実行されます。一つのシグナリングレイヤーエンジンがMAP、CAP、およびSCCPを処理し、一つのポリシーDSLがルールを書き込み、一つの監査ストアが証拠を保持します。 ### SS7シグナリング検査 シグナリングパス上の単一のファイアウォール。メッセージが貴社のSMSC、HLR、またはMSCに到達する前に、MAP、CAP、およびSCCPをデコード、正規化し、単一のポリシーエンジンでスコアリングします。 プロトコル MAP·CAP·SCCP デコード Per-IE モード インライン / OOB ### GSMA FS.11カテゴリの適用 SS7相互接続に向けた、GSMA FS.11に準拠した即時利用可能なルールパック。カテゴリー1はネットワーク境界を越えません。カテゴリー2はホームネットワークの送信元に対して検証が行われます。カテゴリー3は加入者ごとに速度スコアリングが実施されます。 FS.11 Cat 1–3 境界 Cat 1ドロップ アップデート 四半期 ### リアルタイム脅威スコアリング すべてのメッセージは、送信元GT、SCCP CdPA/CgPA、アプリケーションのコンテキスト、および過去のパターンに基づいてフィンガープリント（指紋照合）されます。異常スコアはポリシーDSLにフィードバックされ、単一ホップ内で許可、修正、隔離、または破棄を決定します。 スコアリング メッセージ単位 シグナル Multi アクション 5つの動詞 ### 位置追跡検知 AnyTimeInterrogation、ProvideSubscriberInfo、ProvideSubscriberLocation、およびSendRoutingInfoの悪用は、最初の接触時に検知されます。IMSI–MSC–VLRのタプルを探索する海外GTは、加入者の位置情報が特定される前にブロックされます。 ATI ブロック済み PSL 送信元チェック済み SRI キャッシュ検証済み ### シグナリング層におけるSMS不正 MT-ForwardSMは、IMSI / MSC / SMSCの組み合わせにより、リアルタイムのSRI-SMキャッシュと照合して検証されます。なりすまし送信元ID、グレールートへのA2Pの流出、SIMスワップのための偵察は、SMSCに届く前に遮断されます。 SRIキャッシュ 24h TTL なりすまし ブロック済み A2P漏洩 復旧済み ### フォレンジック監査ログ すべてのシグナリング決定は、HMAC署名付きのイベントチェーンを備えた、改ざん検知可能な監査ストアに記録されます。規制当局への提出用エクスポート、ロールベースのダッシュボード、インシデントの再現機能により、貴社のNOCはファイアウォールが検知した内容をフレーム単位で詳細に把握できます。 継続率 12 mo 署名済み HMAC エクスポート 規制当局 脅威カタログ ## 国境を越えて流入するトラフィックの可視化 加入者への被害と通信事業者の収益損失の大部分を占める5つのシグナリング攻撃クラスと、ファイアウォールがそれらを検知するレイヤーについて。 ### SMSなりすまし MAP · MT-ForwardSM 銀行、ブランド、政府機関を装うために偽造された発信元アドレス。これらはSRI-SMキャッシュの不一致および送信元IDの登録照合によって検知されます。 ### 位置トラッキング MAP · ATI / PSI / PSL 海外のGTがHLRにクエリを送信し、加入者のサービスセルを特定しようとします。これらはネットワーク境界でGSMA FS.11カテゴリ1メッセージとしてブロックされます。 ### SIMスワップ偵察 MAP · SendIMSI / UpdateLocation 攻撃者はソーシャルエンジニアリングによるSIMスワップに先立ち、IMSI–MSCバインディングを調査します。発信元ごとにパターン評価を行い、不正調査チームによる確認のために隔離します。 ### 不正電話およびCLIなりすまし CAP · InitialDP / SS7 IAM 国際的なレベニューシェア詐欺、ワンガリ（Wangiri）ループ、およびなりすましCLIを、加入者の端末が鳴る前のシグナリング層で遮断します。 ### A2P漏洩およびグレールート MAP · MT-ForwardSM ローミングパートナー経由で注入される、収益化されていない法人向けSMSトラフィック。合意された商用ルートへ強制的に誘導するか、ブロックして収益を回収します。 攻撃カタログ · MAPレイヤー ## ほとんどのシグナリング悪用の背後にある2つのMAP操作 2つのMAP操作が、現在規制当局に報告されている加入者プライバシー侵害およびOTP傍受事案の大部分を占めています。ファイアウォールは、これらがホームHLRやSMSCに到達する前に、国際エッジにおいて（分類、スコアリング、署名を行い）両方を処理します。 GSMA FS.11カテゴリ1 & 2 FS.11 · Cat 1境界ドロップ MAP_PROVIDE_SUBSCRIBER_INFO ### 位置トラッキング サービングセルIDを特定する海外HLRプローブであり、監視目的の通信事業者や悪用者が加入者の実際の位置を特定するために使用されます。ファイアウォールはこれらをGSMA FS.11カテゴリ1として分類し、ネットワーク境界で破棄するとともに、規制当局への提出用に署名付きの監査エントリを作成します。 通信事業者への影響 · 加入者のプライバシー侵害 FS.11 · Cat 2境界ドロップ MAP_SEND_ROUTING_INFO_FOR_SM ### SMS傍受の下準備 加入者をサービス提供中のMSC/SMSCに紐付けるSRI-SMクエリは、OTPおよび2FAのトラフィックに対するMT-ForwardSMハイジャックの前段階となる偵察ステップです。ファイアウォールは、各クエリを24時間のSRI-SMキャッシュと照合して検証します。海外GTからのキャッシュミスが発生したクエリは、不正対策チームによる確認のために隔離されます。 通信事業者への影響 · OTP / 2FAバイパスの有効化 3本柱のルールエンジン ## テクニカル。ビジネス。ダイナミック。たった一つの判定を。 シグナリングレイヤーには、プロトコルの強制、商用ポリシー、および振る舞い検知に基づく適応を同一エンジン内で実現する必要があります。これら3つの柱は単一の判定パスとして動作し、シグナリングユニットあたりの検査レイテンシは5ms未満であるため、最初のホップで正しい判定を適切なネットワーク要素に届けることができます。 柱 01 ### 技術ルール シグナリング層におけるプロトコルレベルの強制適用。MAP操作の許可/拒否、グローバルタイトルのフィルタリング、OPC/DPCポイントコード制御、パートナーごとのMCC/MNC条件。不正な形式や文脈にそぐわないシグナリングユニットは、すべてデコード時に破棄されます。 MAP許可/拒否GTフィルタOPC/DPC MCC/MNC Pillar 02 ### ビジネスルール データとして表現される商用および運用ポリシー。パートナー契約に基づく配信ルートの選択、製品クラスごとのポリシー（OTP、トランザクション、プロモーション）、および合意されたA2Pチャネルへのバイパストラフィックの収益化。ファイアウォールは、単なる仕様だけでなく、契約を遵守します。 配信ルートポリシーパートナー別OTP vsプロモーションバイパスの収益化 Pillar 03 ### ダイナミックコントロール ライブトラフィックに適応する振る舞い検知型の強制適用。TPSしきい値、バースト検知、時間帯ウィンドウ、送信元GTごとのベロシティ。このダイナミックレイヤーは、新しいキャンペーン、新たなSIM-boxファーム、突然のローミング異常など、静的なルールでは捉えられないものを検知します。 TPSしきい値バースト検知タイムウィンドウベロシティ 5 ms未満の検査レイテンシ シグナリングユニットあたり · デコード +スコアリング +判定 主要なシグナリングベンダーすべてに対応Active-active STPペアSIGTRAN M3UA · M2PA · SUA MAP · CAP · SCCPインスペクションインライン · SMSCの前面に配置アウトオブバンド・タップオプション Policy DSL ## シグナリングエンジニアが既に考慮しているルール 読み取り可能なYAMLとして表現されるFS.11分類。MAPおよびCAP操作は番号ではなく名称で指定されます。送信元ID、配信ルート、およびA2Pルールは、メーカー・チェッカー方式を通じて管理され、バージョン管理、署名、および監査が可能です。 ss7fw.operator.local · rule pack v2026.1 Example ``` 1# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml2# GSMA FS.11 Category 1 — never crosses the network boundary3rule: cat1_ati_block4 match:5 application_context: anyTimeInterrogation6 origin: !is_home_network7 action: drop8 audit: regulator.signal_event9 fs_tag: FS.11-CAT110 11rule: cat1_psi_block12 match:13 application_context: provideSubscriberInfo14 origin: !is_home_network15 action: drop16 fs_tag: FS.11-CAT117 18# Category 2 — origin must be validated against home-network MAP19rule: cat2_sri_sm_validate20 match:21 application_context: sendRoutingInfoForSM22 validate:23 msc_id: from sri_sm_cache(ttl=24h)24 on_mismatch:25 action: quarantine26 notify: fraud-ops@operator.tld ``` 通信事業者の活用事例イメージ ## シグナリング保護の本番環境での姿。 Tier-1 GCC通信事業者MNO · GCC SA 課題：加入者の位置情報追跡プローブが規制当局の懸念事項となっていたが、国内での抑止策がなかった。アプローチ：国際的なSS7エッジでのFS.11分類に加え、なりすまし検知のためのSRI-SMキャッシュを導入。 シグナリングセキュリティ担当 Cat 1 エッジでのロケーションプローブのブロック SRI-SM なりすまし検知を稼働中 西アフリカMNOグループMNO · 西アフリカNG 課題：複数のベンダーのスタックにまたがる国際STPにより、四半期ごとの規制当局への報告が手作業となっていました。アプローチ：バージョン管理された監査証跡を備えた単一のポリシーDSLにより、すべてのエッジで統一されたルール適用を実現。 ネットワークセキュリティ責任者 統合型 すべてのSTPエッジに共通のルールパックを 検疫 グレールートSMSが審査待ちです Levant MNO MNO · Levant JO 課題：年次審査の際、国の規制当局から短期間でFS.11への準拠証明を求められました。アプローチ：ルールパックのバージョニングにより、署名付きマニフェストとIR.71 / IR.82回帰レポートを一度の実行で生成しました。 シニア・シグナリング・エンジニア 署名済み FS.11準拠マニフェスト IR.82 1回の実行で回帰テストを完了 検知の仕組み ## 国際シグナリングを入力し、クリーンなトラフィックを出力する。 国際STPとコアシステムの間にインラインで配置。すべてのメッセージは、HLR、SMSC、またはMSCに到達する前にファイアウォールを通過し、すべての決定はリアルタイムで貴社のNOCにストリーミングされます。 国際STP SS7 / SIGTRAN ローミングパートナー SS7 / MAP グレールート 信頼できないGT BroadNetシグナリングファイアウォール アクティブ/アクティブ デコード 送信元ID ルートチェック SRI-SMキャッシュ コンテンツフィルタ 地理 / 送信元 レート制限 Policy DSL 監査ログ HLR SMSC MSC 料金 導入オプション ### STPへのインライン配置 ACTIVE / ACTIVE アクティブ/アクティブ構成のペアが国際シグナリングパスに配置されます。ブロック、許可、変更、収益化といった決定がリアルタイムで実行されます。 ### アウトオブバンド・タップ DETECT ONLY ベースライン確立と分析のためのSTPからのミラーフィード。ポリシーと誤検知率が安定した段階で、インラインでの強制適用へ移行します。 ### ハイブリッド・エッジとコア EDGE + CORE Internationalエッジはインラインで動作し、国内コアは検知・アラート方式で動作します。共通のポリシープレーン、共通の監査ストア、単一の通信事業者ダッシュボードを提供します。 コンプライアンス ## 規制当局がすでに参照している標準規格に準拠しています。 SS7相互接続のためのGSMA FS.11カテゴリ分けがデフォルトで適用され、BroadNetシグナリングセキュリティチームによって維持されます。必要に応じて規制当局向けのレポート出力も可能です。 GSMAアソシエイトメンバー BroadNetはGSMAアソシエイトメンバーです GSMA FS.11 SS7インターコネクト・セキュリティ分類 (Cat 1–3) 収益保証 A2P収益化とグレールート回収を標準搭載 規制当局へのエクスポート オンデマンドで提供される国別のシグナリングレポート 通信事業者のデューデリジェンス ## 8つの回答： RFIの候補選定に向けて。 はい。ファイアウォールはSCCP/SIGTRANシグナリングピアとして機能し、通信事業者が現在運用している一般的なSTPプラットフォームと、ベンダーが混在するスタック間でも統合可能です。ファイアウォールペアを介して国際ポイントコードをリダイレクトする以外に、STPルーティングテーブルの複雑な操作は必要ありません。 当社では、ほぼ常にSTPからのアウトオブバンド・ミラーリングを14〜30日間実施することから始めます。これにより、セキュリティチームおよびRAチームは国際トラフィックのクリーンなベースラインを取得でき、通信事業者の実際のローミングパートナー構成に合わせてFS.11ルールパックを調整することが可能になります。誤検知の範囲について書面で合意が得られ次第、ファイアウォールはインラインのActive-Activeモードに切り替わります。ハイブリッド構成（国際エッジではインライン、国内コアではミラーリング）が一般的な安定状態となります。 BroadNetのシグナリングセキュリティチームは、四半期ごとにバージョン管理されたルールパックを公開しており、新しい脅威インテリジェンスに対するホットフィックスパッチは数日以内に配信されます。各ルールパックにはIR.71、IR.81、およびIR.82準拠テストパックが含まれているため、チームは本番適用前に回帰テストを実行できます。通信事業者はダッシュボードから任意のバージョンを固定または拒否でき、本番環境へ自動的にプロモートされることはありません。 検査されたシグナリングユニット（MAP/CAP）ごとに、月間ボリュームに応じて課金されます。リンクごと、ポイントコードごと、またはErlangごとの料金は発生しません。STP統合のための初回NRE（非反復費用）と、ルールパックの更新、脅威インテリジェンスフィード、および四半期ごとのアーキテクチャレビューをカバーする少額の年間保守費用がかかります。通信事業者は通常、回収されたA2Pの収益と、回避された不正損失によって投資回収を実現します。 はい。ポリシーDSLは、当社のセキュリティチームが内部で使用しているものと同じです。通信事業者は、二国間ローミング契約を遵守するためのルール作成、認可された法執行機関による位置情報照会のホワイトリスト登録、特定のバイパスフローを遮断するのではなく収益化するための設定、そして判定結果を社内のSIEMや不正対策プラットフォームへフィードするためのルール作成を日常的に行っています。カスタムルールも当社と同様に、完全な監査証跡を備えたメーカー・チェッカー方式の昇格プロセスを経て適用されます。 TTLはデフォルトで24時間であり、通信事業者ごとに調整可能です。キャッシュは観測された正当なSRI-SMから生成され、MT-ForwardSMが成功するたびに更新されます。パートナーGTごとのヒット率、ミス率、隔離率を公開しているため、RAチームはキャッシュミスの急増（通常、なりすましキャンペーンやパートナーによるSMSC GTの再キーイングの最初の兆候となります）を即座に察知できます。 はい。すべての決定はHMACによって署名され、改ざん防止機能を持つストアに書き込まれ、通信事業者の規制期間に従って保持されます。当社は、TRC（ヨルダン）、CST（サウジアラビア）、NCC（ナイジェリア）、TDRA（UAE）、CRA（カタール）、TRA（オマーン）、TRA（バーレーン）、ARPT（アルジェリア）、ANRT（モロッコ）、およびINT-T（チュニジア）向けの構築済みエクスポートテンプレートを提供しています。また、エクスポートモジュールは、現在複数のMENA地域の規制当局がライセンス更新時に要求しているFS.11適合マニフェストも生成します。 定常状態において、正当なローミングパートナーに対する誤検知は非常に低く抑えられています。当社は毎週その率を測定し、ダッシュボードにパートナーごとの数値を表示するため、RAチームは常に状況を把握できます。ミラーモードによる検証フェーズを設けているのは、強制適用を開始する前に、この許容範囲を合意し承認するためです。 FS.11準拠マニフェストが必要ですか？それとも、弊社のシグナリングエンジニアとのワークセッションをご希望でしょうか？ [シグナリングのセキュリティレビューを依頼する](https://www.broadnet.me/ja/contact?topic=signaling-security&product=ss7-firewall) ## 関連する通信事業者向け製品 [すべての通信事業者製品](https://www.broadnet.me/ja/operators) [SMSファイアウォール SMSCへのSMPPインターフェース上に配置される、アプリケーション層のSMSファイアウォール。 詳細を見る](https://www.broadnet.me/ja/operators/sms-firewall) [シグナリングおよびCDRインテリジェンス SS7、SIGTRAN、SIPのためのベンダーに依存しないキャプチャと相関分析 — インテリジェンス層を補完します。 詳細を見る](https://www.broadnet.me/ja/platforms/signaling-cdr) [SMSCゲートウェイ マルチルーティング、多言語対応、および統合請求を備えたホスト型SMSC 詳細を見る](https://www.broadnet.me/ja/operators/smsc-gateway) [パフォーマンスシステム ファイアウォール、SMSC、シグナリング、および配信ルートにわたるリアルタイムのオブザーバビリティ。 詳細を見る](https://www.broadnet.me/ja/platforms/performance-system) シグナリング保護 · キャリアグレード ## シグナリングを保護し、グレールートを遮断する。 通信事業者向けブリーフィングをご予約ください。FS.11の分類、SRI-SMキャッシュ、A2P収益化モデル、および貴社ネットワークへの導入計画についてご説明します。24時間365日体制のBroadNet NOCサポートがバックアップいたします。 [シグナリングのセキュリティレビューを依頼する](https://www.broadnet.me/ja/contact?topic=signaling-security&product=ss7-firewall) [ネットワーク保護について相談する](https://www.broadnet.me/ja/contact?topic=network-protection&product=ss7-firewall) $ ss7fw --policy fs11 --mode inline --audit signed リソース SS7ファイアウォール データシート [データシートをダウンロード· PDF, 100 KB](https://www.broadnet.me/resources/datasheets/broadnet-ss7-firewall-datasheet.pdf) [製品データシート](https://www.broadnet.me/resources) 関連ガイドと回答 本製品のコンセプトについて詳しく見る [SS7とは？ 詳しく読む](https://www.broadnet.me/answers/what-is-ss7) [SS7およびDiameterのシグナリングセキュリティの仕組みは？ 詳しく読む](https://www.broadnet.me/ja/answers/ss7-signaling-security) [Diameterシグナリングセキュリティの仕組みは？ 詳しく読む](https://www.broadnet.me/answers/diameter-signaling-security) [通信詐欺防止はどのように機能しますか？ 詳しく読む](https://www.broadnet.me/ja/answers/telecom-fraud-prevention)