As firewalls internacionais de SMS situam-se no interconnect. Protegem o tráfego que chega do estrangeiro. Não veem o spam on-net, as tempestades internas de SMS, as rotas cinzentas via SIM box locais, o abuso de flash call, nem o spoofing de sender ID do seu banco ou governo. A Firewall Local do SMSC situa-se à frente do — ou junto do — o seu SMSC Local, e resolve cada um destes problemas.
Operadoras que combinam a firewall internacional com uma firewall de núcleo local
Inspeção em linha, sem risco em linha. Cada regra corre em modo de monitorização antes de bloquear seja o que for; cada decisão é atribuível à regra que a produziu.
Sobrecarga em linha, ponta a ponta, por mensagem.
Todas as regras podem correr apenas em registo, antes de bloquearem seja o que for.
Permitir, bloquear, limitar, etiquetar e encaminhar.
Cogerido, self-service, ou totalmente gerido.
A firewall situa-se entre cada fonte de tráfego e o seu núcleo de mensagens — SMPP, HTTP, APIs internas, aplicações internas, parceiros externos — e inspeciona cada mensagem antes de esta chegar ao SMSC Local.
SMPP, HTTP, APIs internas — tanto para aplicações internas quanto para parceiros externos. Todos os caminhos de acesso ao núcleo de mensagens estão dentro do âmbito.
Tipos detetados: A2P, P2P, chamada flash, tráfego de teste, mensagens do sistema. Contexto marcado antes de qualquer regra ser acionada.
Combinação de regras de conteúdo, comportamentais e contextuais. Por rota, por remetente, por segmento, por hora do dia.
Permitir · bloquear · limitar · etiquetar e encaminhar. Cada decisão é registada com a regra que a gerou.
Tráfego aprovado encaminhado ao SMSC local. Tráfego bloqueado removido, com registo de evidências mantido.
SMPP, HTTP, APIs internas — tanto para aplicações internas quanto para parceiros externos. Todos os caminhos de acesso ao núcleo de mensagens estão dentro do âmbito.
Tipos detetados: A2P, P2P, chamada flash, tráfego de teste, mensagens do sistema. Contexto marcado antes de qualquer regra ser acionada.
Combinação de regras de conteúdo, comportamentais e contextuais. Por rota, por remetente, por segmento, por hora do dia.
Permitir · bloquear · limitar · etiquetar e encaminhar. Cada decisão é registada com a regra que a gerou.
Tráfego aprovado encaminhado ao SMSC local. Tráfego bloqueado removido, com registo de evidências mantido.
Quatro razões que levam as operadoras a colocar uma firewall dedicada no SMSC Local, mesmo quando já têm uma firewall internacional no interconnect.
As firewalls internacionais protegem o A2P recebido do estrangeiro. As tempestades internas de SMS, o phishing on-net, as rotas cinzentas de SIM box locais e o spoofing de sender ID de bancos locais têm origem dentro da rede — e precisam de uma firewall no interior.
A inspeção em linha só é viável se não acrescentar latência percetível. A firewall é concebida para decisões de fast-path sobre o núcleo de mensagens, e é medida continuamente face à referência do seu próprio SMSC.
Nenhuma regra bloqueia tráfego de produção sem primeiro correr apenas em registo sobre tráfego real, comprovando a sua taxa de falsos positivos. A promoção a aplicação é uma única alteração, com registo de auditoria completo, e todo o bloqueio é reversível.
Separação clara entre a política definida pela operadora e as recomendações da BroadNet. Fluxos de aprovação para alterações de regras sensíveis. Registo de auditoria completo de quem alterou o quê, quando e porquê.
Quatro tipos de ação
O motor de regras combina sinais de conteúdo, comportamentais e contextuais, mas a ação que executa é sempre uma de quatro. Cada uma é auditável, reversível, e implementada primeiro em modo de monitorização.
Encaminhar normalmente para o SMSC Local. Sem restrições. Registado com a regra que o aprovou, para efeitos de auditoria.
Rejeitar a mensagem e reter o motivo. Evidência retida para inquéritos de revenue assurance, do regulador, ou de proteção de marca.
Aplicar um limite de taxa por remetente, IP, conta ou parceiro. A mensagem continua, mas o fluxo é controlado.
Anexar metadados ou redirecionar para um caminho alternativo, para tratamento especial, monetização ou inspeção adicional.
Níveis de serviço
Três modelos operacionais. A maioria das operadoras começa em regime cogerido durante o piloto, e transita para o modelo que a sua equipa preferir assim que fica confortável com o conjunto de regras.
A sua equipa é responsável pela operação diária: alterações de regras, triagem de alertas, janelas de mudança. A BroadNet apoia o ajuste fino, as atualizações de informação de ameaças, e a escalada de incidentes.
Controlo total do enquadramento de políticas. A BroadNet fornece formação, documentação, runbooks, e uma linha de escalada para questões ao nível da plataforma. Ideal para operadoras com equipas de segurança maduras.
A BroadNet trata da gestão de regras, monitorização, ajuste e resposta a incidentes. A operadora define a orientação da política e revê os resultados mensalmente. A opção de menor esforço.
Capacidades
Sistemas internos mal configurados criam ciclos capazes de derrubar um SMSC Local em minutos. Limites de taxa por origem, deteção de rajadas, e limitação automática travam a tempestade antes de o apoio ao cliente sequer ter conhecimento.
Mantenha listas brancas de sender ID aprovados de bancos, governo e OTT, em coordenação com a marca. Bloqueie semelhanças, usurpações com maiúsculas/minúsculas trocadas, e remetentes não registados que reivindicam identidades protegidas.
Chamadas repetidas de curta duração, para verificação por OTP, correlacionadas com a atividade de SMS. Decida comercialmente: bloquear, permitir com monitorização, ou encaminhar para um caminho pago. Ligação cruzada com /operators/flash-call.
O tráfego A2P entregue através de cartões SIM de consumidor contorna os acordos comerciais. A análise de padrões identifica comportamento de SIM box na sua própria rede; o tráfego bloqueado gera evidência para a equipa de revenue assurance.
Cada regra pode correr em modo apenas de registo, antes de bloquear seja o que for. Valide face a tráfego real de produção, meça a taxa de falsos positivos, e depois promova a regra a aplicação com um único clique e um registo de alterações completo.
Registos detalhados de mensagens, com a regra que foi acionada, exportáveis em CSV / JSON / PDF, para disputas com parceiros e inquéritos regulatórios. Retenção configurada de acordo com a sua política de TI e conformidade.
Cobertura de ameaças
| Vetor de ataque | Controlo de firewall local | Resultado |
|---|---|---|
| Tempestades e loops SMS internos | Limites de taxa por fonte, deteção de rajadas e limitação automática no núcleo local. | A tempestade é contida antes que o SMSC local seja completamente destruído. |
| Falsificação sender-ID na mesma rede de bancos locais | Listas brancas coordenadas pela marca com deteção de remetentes semelhantes, com uso misto de maiúsculas e minúsculas e não registados. | A falsificação de marcas locais foi bloqueada com um histórico completo de auditoria. |
| Rotas cinza A2P na mesma rede (dispositivos SIM locais) | Análise de padrões A2P versus P2P e identificação de SIM boxes na sua própria rede. | O desvio foi bloqueado e comprovado para a equipa de RA. |
| Abuso de chamadas instantâneas e de voz com OTP (palavra-passe de uso único). | Correlação entre chamadas de verificação de curta duração e atividade SMS, definida por política. | Bloquear, monitorizar ou direcionar para um caminho pago — uma escolha comercial, não um encaminhamento aleatório. |
| Alterações nas regras podem gerar falsos positivos | Cada regra é executada em modo de monitorização somente de logs no tráfego real antes de ser aplicada. | A taxa de falsos positivos é medida primeiro; a promoção para reforçar o pedido consiste num clique auditável. |
Desafio: uma plataforma de marketing interna mal configurada começou a repetir em ciclo o mesmo SMS de notificação para toda a base de subscritores, ameaçando a sobrecarga do SMSC nas horas de ponta. Abordagem: já estava implementado, em modo de monitorização, um limite de taxa por origem interna, que foi promovido a aplicação dentro da janela de mudança.
Desafio: o spoofing de sender ID de grandes bancos locais estava a corroer a confiança dos subscritores no SMS como canal de verificação. Abordagem: as listas brancas de sender ID aprovados foram integradas em parceria com os bancos, com deteção de semelhanças em correspondências próximas e identidades não registadas.
Desafio: o tráfego de OTP por flash call, proveniente de fornecedores OTT, estava a consumir recursos de sinalização de voz sem gerar receita, e era indistinguível de chamadas curtas legítimas. Abordagem: as regras de correlação voz ↔ SMS identificaram flash calls com padrão repetido; a política comercial optou por monetizar as fontes de maior volume e bloquear as restantes.
Implementável on-premise, pronta para auditoria, reconhecida pelo regulador em todos os mercados que servimos.
Combine com
Firewall A2P internacional no interconnect. O par da proteção de núcleo local — juntas, cobrem tanto as ameaças recebidas do estrangeiro como as ameaças on-net.
Saber maisDeteção dedicada ao contorno de verificação por OTT, na entrada internacional de voz. Utilizada pela Firewall Local do SMSC para a correlação voz ↔ SMS.
Saber maisNúcleo de mensagens de nível operadora. Na maioria das implementações, a Firewall Local do SMSC situa-se em linha / proxy à frente deste gateway.
Saber maisAs firewalls internacionais protegem o tráfego recebido do estrangeiro — situam-se no interconnect. A Firewall Local do SMSC situa-se à frente, ou junto, do seu SMSC Local, e protege o núcleo de mensagens. Resolve ameaças que têm origem dentro da sua rede ou que contornam as proteções internacionais: sistemas internos mal configurados, spam on-net, rotas cinzentas via SIM box locais, spoofing de sender ID de marcas locais, e abuso de flash call. As duas soluções são complementares, e a maioria das operadoras utiliza ambas.
Tipicamente, menos de 10 milissegundos por mensagem, ponta a ponta. A inspeção e a decisão correm em tempo real, sobre caminhos otimizados em memória. Para referência, a variação normal da rede é muitas vezes de 50 a 100 ms, pelo que a firewall representa apenas uma fração desse valor. Medimos e publicamos a latência por regra, durante o piloto.
Cada regra pode ser implementada primeiro em modo de monitorização — regista cada correspondência, mas nunca bloqueia. A operadora vê exatamente o que seria rejeitado, mede a taxa de falsos positivos, e só promove a regra a aplicação quando estiver confortável. Se ocorrer um falso positivo já em modo de aplicação, o registo detalhado mostra exatamente a regra e o conteúdo que o desencadearam, e a regra pode ser ajustada, ou o remetente colocado em lista branca, em minutos.
Ambos funcionam. Estão disponíveis três níveis: totalmente gerido (a BroadNet opera a firewall, a operadora define a política), cogerido (a sua equipa conduz a operação diária, a BroadNet apoia o ajuste fino complexo e os incidentes), e self-service (a operadora gere tudo, a BroadNet fornece formação, documentação e escalada ao nível da plataforma). A maioria das operadoras começa em regime cogerido durante o piloto, e transita para o modelo que a sua equipa preferir.
A firewall é tipicamente implementada on-premise, dentro do seu centro de dados. O conteúdo das mensagens é analisado em tempo real e não é retido — apenas os metadados e a evidência de correspondência de regras são registados. A retenção de registos e os controlos de acesso seguem as suas políticas internas de TI e conformidade. Nenhum conteúdo sai da sua rede sem a sua aprovação explícita.
Um projeto típico começa com um workshop técnico entre as suas equipas de rede, segurança e TI e os engenheiros da BroadNet, seguido de um piloto sobre um subconjunto de rotas ou parceiros (com todas as regras a correr, inicialmente, apenas em modo de monitorização), e depois uma implementação progressiva de aplicação. O percurso completo — do workshop à aplicação total — demora vários meses na maioria das implementações, com o calendário exato dependente da complexidade do ambiente e da cadência de ajuste de regras pretendida.
Os registos detalhados de mensagens atribuem cada decisão à regra que a produziu. As tentativas de rota cinzenta bloqueadas, o tráfego com padrão de SIM box, e as entregas A2P-como-P2P não autorizadas são exportáveis como pacotes de evidência — CSV / JSON / PDF — para disputas com parceiros e inquéritos do regulador. A equipa de revenue assurance obtém evidência atribuível de que uma perda anteriormente invisível foi quantificada e resolvida.
Sim. A firewall integra-se com stacks de monitorização comuns, sistemas de ticketing e plataformas SIEM, via API e syslog. Os eventos de segurança surgem nos fluxos operacionais que as suas equipas já utilizam. As integrações específicas são definidas durante o workshop técnico.
A sua pergunta não está aqui? Consulte a nossa equipa de engenharia
Os firewalls SMS e SS7 na rede bloqueiam rotas não autorizadas e fraudes na velocidade da linha, enquanto o tráfego legítimo flui sem ser afetado.
Traga as suas equipas de rede, segurança e TI. Definimos o âmbito da integração, concebemos o conjunto inicial de regras, e corremos a primeira fase em modo de monitorização — sem bloqueio em produção até a operadora decidir.
