Um firewall SMS de camada de aplicação que fica à frente do seu SMSC e inspeciona cada mensagem recebida em tempo real — filtragem de conteúdo, autenticação do remetente, limitação de taxa, encaminhamento inteligente e antifraude baseado em aprendizagem automática. Bloqueie spam, phishing e tráfego não autorizado antes que cheguem ao seu núcleo, com garantia de receita integrada.
Também enviamos tráfego A2P. Ele passa pelo seu firewall seguindo as mesmas regras que todos os outros remetentes, e a sua equipa é responsável pelos veredictos. Como o firewall trata o nosso tráfego
A BroadNet vende mensagens corporativas e os firewalls que a filtram, então a primeira pergunta de uma operadora é justa: o que o firewall faz com o tráfego da própria BroadNet? A resposta está embutida na forma como cada implantação funciona.
“O facto de o mesmo fornecedor vender CPaaS aos nossos clientes corporativos é o motivo pelo qual os números realmente batem com os relatórios.”
O tráfego corporativo da BroadNet chega aos seus assinantes pelo mesmo firewall e sob as mesmas regras que o de qualquer outro agregador ou remetente. Não há isenção para o fornecedor.
As suas equipas de fraude e de garantia de receita são donas das regras. Toda alteração é versionada e exige um segundo aprovador (princípio dos quatro olhos), e as listas de permissão de falsos positivos são controladas pela operadora. Cada veredicto é uma decisão da sua rede, e os dados continuam a ser seus.
Cada decisão é registada com a regra acionada e pode ser exportada em CSV, JSON ou PDF para disputas com parceiros e consultas do regulador. Uma disputa sobre tráfego da BroadNet é resolvida com os mesmos registos que qualquer outra.
As categorias de regras seguem o GSMA FS.11 e o FS.19, então a sua equipa e o seu regulador avaliam o firewall com base num framework publicado do setor, não na taxonomia privada de um fornecedor.
O firewall opera de forma transparente entre os seus parceiros de interconexão e o seu SMSC. Cada mensagem A2P e P2P recebida é inspecionada, classificada e decidida antes de chegar ao núcleo — na velocidade de sinalização, com a ordem das mensagens preservada.
O tráfego MO e A2P entra no SMSC e no STP por meio de conexões SMPP e links SS7 de parceiros de interconexão.
Inspeção em linha de TPDU, ID do remetente, conteúdo, UDH e origem da sinalização. Pontuação de risco por mensagem de 0 a 1,0 em sub-ms.
As regras correspondem à pontuação, rota, parceiro e marca. Veredito: aprovado · quarentena · bloqueado · registado.
Tráfego limpo encaminhado para o SMSC existente da operadora. Sem reordenação, sem duplicação.
O assinante recebe apenas mensagens legítimas e faturadas. O tráfego em quarentena é oferecido de volta à tarifa internacional A2P.
O tráfego MO e A2P entra no SMSC e no STP por meio de conexões SMPP e links SS7 de parceiros de interconexão.
Inspeção em linha de TPDU, ID do remetente, conteúdo, UDH e origem da sinalização. Pontuação de risco por mensagem de 0 a 1,0 em sub-ms.
As regras correspondem à pontuação, rota, parceiro e marca. Veredito: aprovado · quarentena · bloqueado · registado.
Tráfego limpo encaminhado para o SMSC existente da operadora. Sem reordenação, sem duplicação.
O assinante recebe apenas mensagens legítimas e faturadas. O tráfego em quarentena é oferecido de volta à tarifa internacional A2P.
Capacidades
Filtragem de conteúdo por IA, autenticação de remetentes, limitação de taxa, encaminhamento inteligente e antifraude por aprendizagem automática — todos os controlos que uma operadora precisa, executados em linha no SMSC em tempo real.
Inspecione cada envio MAP, SMPP e HTTP no SMSC e na borda de sinalização. Decodifique TPDU, ID do remetente, conteúdo, codificação e cabeçalhos UDH — sem quebrar a ordem das mensagens.
Sistema de pontuação de risco por mensagem, treinado com base em tráfego rotulado de operadoras Tier-1 reais. Deteta padrões emergentes de spam, kits de phishing e estratégias de bypass horas após o seu surgimento.
Análise comportamental de velocidade, rotatividade de IMSI, diversidade de destinatários, origem da sinalização e homogeneidade do conteúdo. Identifique fazendas de SIM antes que elas prejudiquem as suas taxas de terminação.
Validação criptográfica e baseada em registo de cada remetente alfanumérico. Deteta falsificações de marcas de bancos, governos e empresas de telecomunicações antes que o SMS chegue ao assinante.
Validação de rotas em relação a acordos comerciais. Origens SS7, contas SMPP e IPs de origem são verificados em relação à lista de parceiros monetizados da operadora. O tráfego de bypass é descartado ou colocado em quarentena para fins de monetização.
Integração nativa com registos nacionais e privados de identificadores de remetentes. Imponha remetentes registados por jurisdição, automatize a integração de marcas e gere registos de auditoria prontos para os órgãos reguladores.
Cobertura de ameaças
| Vetor de ataque | Controlo de firewall | Resultado |
|---|---|---|
| Rota cinza e desvio A2P da fazenda SIM | Validação de rotas em relação a acordos comerciais, além de identificação da velocidade do SIM box, rotatividade do IMSI e homogeneidade do conteúdo. | Tráfego ignorado, descartado ou em quarentena para monetização — à taxa de linha. |
| Falsificação Sender-ID e personificação de marca | Validação, com respaldo em registo, de cada remetente alfanumérico em comparação com o registo sender-ID da operadora e o registo nacional. | A falsificação de identidade de bancos, órgãos governamentais e empresas de telecomunicações é bloqueada antes de chegar ao assinante. |
| Conteúdo de smishing e phishing | Inspeção profunda de pacotes (TPDUs), conteúdo, codificação e URLs, com pontuação obtida pelo mecanismo de deteção de fraudes de aprendizagem automática com capacidade de auto-formação. | Conteúdos e links maliciosos são colocados em quarentena de acordo com a política, enquanto fluxos A2P limpos permanecem intactos. |
| Remetentes não registados/fora da jurisdição | Aplicação do registo nacional e do registo privado sender-ID por operadora, conforme a jurisdição. | Apenas os originadores registados são aprovados; os demais ficam retidos para integração com um registo pronto para os órgãos reguladores. |
| SS7 - injetado e envios fora da rede | A lista de permissões de origem SS7 MAP foi comparada com a lista de parceiros monetizados. | As origens SS7 fora do acordo são sinalizadas e descartadas antes de atingirem o núcleo. |
| Inundações de spam e picos de tráfego | Faixas de velocidade por rota e pontuação de risco por mensagem. | Inundações controladas precocemente; tráfego legítimo e ordem de mensagens preservados. |
mecanismo de regras de 3 pilares
A camada de aplicação precisa de imposição de protocolo, política comercial e adaptação com base no comportamento, tudo num mesmo mecanismo. Os três pilares funcionam como um único caminho de decisão — latência adicional inferior a 10 ms por mensagem.
Aplicação de protocolo em nível de protocolo. Permitir/negar operação MAP (controlo granular MAP_MT_FORWARD_SM vs MAP_SEND_ROUTING_INFO), filtragem de código de ponto OPC/DPC, controlos de título global, condições MCC/MNC por parceiro. Toda unidade de sinalização malformada é descartada na decodificação.
Política comercial expressa em dados. Seleção de rotas conforme acordo com o parceiro, regras de classe de produto (OTP, transacional, promocional), monetização do tráfego de bypass para canais A2P acordados. O firewall garante o cumprimento do contrato, não apenas da especificação.
Aplicação de regras com base no comportamento. Limiares de TPS, deteção de picos de tráfego, janelas horárias, velocidade por conta GT ou SMPP de origem. A camada dinâmica deteta o que as regras estáticas não conseguem — campanhas emergentes, novos conjuntos de SIM boxes, anomalias repentinas de roaming.
Geração Antitráfego · ATG
A camada de aprendizagem contínua Anti Traffic Generation mantém o firewall à frente dos operadores de rotas alternativas. Os modelos são retreinados com base nos dados reais dos próprios operadores, combinados com sinais anonimizados da ampla rede de inspeção BroadNet. As heurísticas são mantidas num formato legível para humanos, permitindo que a equipa antifraude audite, identifique ou vete qualquer assinatura.
Velocidade sustentada em menos de um segundo a partir de um pequeno conjunto de MSISDN, característica de padrões de rotação de bancos de SIM. Limiar e formato de rajada aprendidos por rota.
Alta entropia de Shannon nos MSISDNs de destino combinada com baixa entropia no conteúdo — a pegada típica de um SIM box.
Conteúdo repetido com remetentes rotativos, remetentes alfanuméricos que nunca se registaram, formatos de remetente inconsistentes com a geografia aparente.
Incompatibilidade entre a origem declarada (GT, MCC/MNC) e o caminho SCCP que a mensagem realmente percorreu na rede.
Controlos de conteúdo e identidade
Três controlos que, juntos, reduzem a lacuna entre "a mensagem é tecnicamente válida" e "a mensagem deve ser permitida chegar a um assinante".
Empresas registadas enviam IDs de remetente e modelos de mensagem aprovados. O tráfego de entrada é comparado com a lista de permissões — remetentes aprovados com modelos aprovados passam com o mínimo de atrito; remetentes desconhecidos enfrentam uma pontuação mais rigorosa. Compatível com idiomas e Unicode, incluindo scripts complexos.
Cada URL é extraída, normalizada e avaliada em relação a um feed de reputação em tempo real para kits de phishing conhecidos, distribuidores de malware e domínios semelhantes recém-registados. Links suspeitos enviam a mensagem completa pela rede, antes que o assinante a veja.
Autenticação por conta, envelopes de throughput, classes de conteúdo permitidas, prefixos de ID do remetente permitidos e intervalos de destino permitidos — aplicados no momento da vinculação e reforçados a cada envio. As contas SMPP são objetos de política de primeira classe, não apenas credenciais.
Escala de produção
A capacidade operacional atual da plataforma abrange todas as operadoras que encaminham os seus SMS A2P, P2P e em roaming através do plano de inspeção da BroadNet.
Capacidade de inspeção por cluster, abrangendo SMPP e SS7.
Redes de operadoras que utilizam o firewall da BroadNet na região MENA, em África e na Ásia.
O alcance das operadoras alimenta a base global de inteligência de ameaças.
Painel de receitas recuperadas
Cada mensagem bloqueada, em quarentena ou refaturada é atribuída a uma rota, parceiro, remetente ou assinatura. A visualização da receita recuperada fica ao lado da visualização da proteção — assim, as equipas de finanças, de receita recuperada e de segurança consultam a mesma fonte de dados, detalhada por rota e classe de assinatura.
Porque uma plataforma única?
Separar a proteção contra fraudes da monetização A2P em duas plataformas diferentes é a forma como a receita se perde duas vezes — uma vez para a rota cinzenta e outra para a taxa de integração. O BroadNet executa deteção, aplicação de políticas e recuperação de receita no mesmo mecanismo, com o mesmo histórico de auditoria e o mesmo painel de controlo para o operador.
Do início ao fim, até um plano de aplicação de regras de nível de produção — incluindo a linha de base de espelhamento passivo, o ajuste do pacote de regras com base no tráfego do próprio operador e o fluxo de trabalho de criação e verificação que promove a primeira regra embutida. O mesmo caminho percorrido por todas as implementações de Nível 1.
Como os operadores implantam
Sem grandes mudanças repentinas. Cada fase é condicionada à aprovação da operadora e a evidências mensuráveis — da mesma forma que as redes de operadoras realmente adotam novos equipamentos em linha.
Implantação em modo de espelhamento passivo no SMSC e na borda SS7. Inspeção de 100% do tráfego A2P e P2P de entrada com risco zero para a entrega. Primeira linha de base de deteção de fraude pronta em 7 dias.
A pontuação de aprendizagem automática por mensagem entra em operação. ID do remetente, rota, conteúdo, comportamento e reputação histórica se combinam num único valor de risco. Os operadores ajustam os limites por rota.
Ative a aplicação de restrições por rota, por parceiro e por ID de remetente. Rotas não autorizadas, SIM box e marcas falsificadas são bloqueadas na rede. A experiência do assinante melhora imediatamente.
O tráfego alternativo em quarentena é oferecido aos originadores à tarifa comercial A2P. A receita internacional A2P, anteriormente perdida para rotas não oficiais, regressa ao balanço da operadora.
Política e integração
Conjuntos de regras YAML declarativas, uma API de pontuação por mensagem e uma lista de permissões SS7 MAP que os seus engenheiros de STP reconhecerão — com controlo de versão, promoção por verificador de código e auditoria por predefinição.
# /etc/broadnet/firewall/rules.d/grey-route.yaml# Drop SMPP traffic from non-commercial partnersrule: block_unauthorized_smpp match: bind_system_id: !in [partners.commercial.list] source_ip: !in [partners.allowlist.cidrs] action: quarantine bill_at: a2p_international_rate rule: smpp_simbox_velocity match: msisdn_velocity: "> 12/min" recipient_unique: "> 80% in 5m" content_homology: "> 0.92" action: block notify: fraud-ops@operator.tld rule: spoofed_bank_senders match: sender_id: !registered_in [tdra.sender_registry] content: matches /OTP|verification|password/i action: drop audit: regulator_report.csvConformidade e certificação
Membro associado da GSMA. Os controlos de firewall estão alinhados às diretrizes de segurança de mensagens e sinalização da GSMA ( FS-series ).
Em conformidade com o Código de Conduta de Identificação do Remetente de SMS da MEF e com as diretrizes de Confiança em Comunicações Empresariais.
Operado em infraestrutura com certificação ISO 27001, controlos SOC 2 Tipo II, residência de dados em conformidade com o GDPR e pista de auditoria completa.
Sim. O mecanismo de veredicto separa P2P de A2P usando uma combinação de vinculação de origem, origem da sinalização, formato do ID do remetente e impressão digital comportamental. As taxas de falsos positivos de P2P nas nossas implantações de nível 1 ficam abaixo de 0,002% das transações inspecionadas — bem dentro dos limites de tolerância dos órgãos reguladores nas jurisdições TDRA, CRA e NTRA. Exibimos a taxa de falsos positivos por bucket no painel do operador para que as equipas de auditoria possam auditá-la semanalmente.
Todas as três opções. Quase sempre começamos em modo espelho num tap passivo no SMSC e na borda SS7 por 7 a 21 dias, o que fornece às equipas de prevenção a fraudes e de auditoria uma base de referência limpa, sem risco para a entrega. Assim que os limites de aplicação da lei são definidos, os mesmos nós passam para o modo inline com disponibilidade de nível de operadora. O modo híbrido é comum em ambientes SMSC com múltiplos fornecedores: inline nos modernos servidores front-end de nível 1 e espelhamento atrás dos servidores SMSC legados.
A nossa solução se posiciona de forma transparente à frente do SMSC via SMPP 3.4/5.0 padrão e atrás do STP para SS7. Integramos com todos os principais fornecedores de SMSC de nível 1 e com diversas soluções internas. Nenhuma alteração na configuração do SMSC é necessária — o firewall se apresenta como mais um parceiro SMPP upstream, preservando a ordem das mensagens, a passagem de DLR e a semântica de CDR.
O modelo de deteção de fraudes é reconfigurado diariamente com base no tráfego rotulado proveniente dos próprios dados de referência da operadora (disputas de RA, filas de reclamações, avisos de reguladores), combinado com sinais anonimizados do feed global da BroadNet. Assinaturas críticas (um kit de phishing recém-observado, um novo padrão de velocidade de SIM box) são implementadas como regras prioritárias em minutos pela nossa equipa de operações antifraude no Dubai. As operadoras podem aprovar ou vetar qualquer versão do modelo a partir do painel de controlo.
Sim. Como membro associado da GSMA, estamos alinhados com as diretrizes de segurança aplicáveis GSMA, e o firewall é fornecido com os pacotes de teste IR.71, IR.81 e IR.82 para que a sua equipa de segurança possa executar testes de regressão após cada alteração de regra. A categorização de categoria 1 é aplicada por link e por vinculação, e o mecanismo de políticas impõe o tratamento recomendado GSMA para cada categoria — incluindo o descarte silencioso 3 categoria 3 com pista de auditoria 2 exigida por diversas agências reguladoras do Médio Oriente e Norte de África (MENA).
Por mensagem inspecionada, com preços definidos por volume mensal, sem taxas por vinculação ou por link. Há uma taxa única de desenvolvimento não recorrente (NRE) para a integração e uma pequena taxa anual de manutenção que cobre atualizações de assinatura, a equipa de operações antifraude e revisões trimestrais da arquitetura. A maioria das implementações de Nível 1 se paga no primeiro trimestre de aplicação da lei, apenas com a receita recuperada de A2P.
Cada veredicto é registado num arquivo inviolável, mantido durante o período regulatório do operador (normalmente de 12 a 84 meses). O módulo de relatórios inclui modelos para TDRA (Emirados Árabes Unidos), CST (Arábia Saudita), CRA (Catar), TRA (Omã), TRA (Bahrein), NTRA (Egito), TRC (Jordânia), ARPT (Argélia), ANRT (Marrocos) e INT-T (Tunísia). Os relatórios trimestrais são exportados em formato CSV, XML ou PDF assinado.
Sim. Os limites são hierárquicos: padrão do operador → rota → parceiro → marca → ID do remetente. O painel de controlo exibe o limite efetivo para qualquer veredicto e permite que a sua equipa de Assuntos Regulatórios (RA) teste um novo limite com base no tráfego dos últimos 30 dias antes de promovê-lo para produção. As promoções são controladas por um fluxo de trabalho de criação e verificação com registo completo de auditoria.
Precisa de um resumo da arquitetura ou de uma sessão de trabalho com os nossos engenheiros de operadoras? Agende uma avaliação do SMS Firewall.
Os firewalls SMS e SS7 na rede bloqueiam rotas não autorizadas e fraudes na velocidade da linha, enquanto o tráfego legítimo flui sem ser afetado.
Uma sessão de trabalho de 30 minutos com os engenheiros que implementam esse equipamento em operadoras de nível 1. Traga o seu mapa de rotas e o relatório de lucros e perdas A2P do último trimestre — nós lhe diremos onde está o problema.
Observe o firewall decidir sobre o tráfego de amostra.
Smishing, envio massivo SMS, falsificação de remetente e bypass de rotas alternativas: veredicto, justificativa, latência e ação, sob a perspetiva da operadora e da empresa.
Recursos
Ficha técnica Firewall SMS
Aprofunde-se nos conceitos por trás deste produto.