O firewall SS7 da BroadNet bloqueia fraudes de sinalização e tráfego A2P por rotas cinzentas para operadoras móveis, inspecionando a sinalização SS7 em linha antes que ela chegue ao núcleo da rede. Um firewall SS7 com filtragem MAP/SCCP em linha entre o STP internacional e a sua rede principal. Controlo de ID do remetente, validação de rotas, filtragem de cache SRI-SM, filtragem de conteúdo e monetização A2P — tudo a partir de um único firewall de camada de sinalização. Implantado em operadoras de nível 1 em toda a região MENA.
Um firewall no caminho de sinalização internacional. Cada unidade MAP, CAP e SCCP é decodificada por IE, categorizada de acordo com o GSMA FS.11 e um veredicto é devolvido em menos de cinco milissegundos. Sem redirecionamento, sem interrupção de roaming.
Ligações internacionais de SS7 (SIGTRAN, M3UA) provenientes de parceiros de roaming e rotas cinzentas.
Decodificação por IE de MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizados para consulta de política.
Classificação de Categoria 1/2/3, validação de cache de SRI-SM, verificações de sender-ID e rota, buckets de velocidade.
Permitir · modificar · colocar em quarentena · descartar · monetizar. Por rota, por parceiro, por subscritor. Regras promovidas via maker-checker.
Somente os sinais validados chegam à rede doméstica. As mensagens em quarentena são espelhadas para revisão da equipa antifraude.
Ligações internacionais de SS7 (SIGTRAN, M3UA) provenientes de parceiros de roaming e rotas cinzentas.
Decodificação por IE de MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizados para consulta de política.
Classificação de Categoria 1/2/3, validação de cache de SRI-SM, verificações de sender-ID e rota, buckets de velocidade.
Permitir · modificar · colocar em quarentena · descartar · monetizar. Por rota, por parceiro, por subscritor. Regras promovidas via maker-checker.
Somente os sinais validados chegam à rede doméstica. As mensagens em quarentena são espelhadas para revisão da equipa antifraude.
Decodificado no STP, pontuado em tempo real e processado em menos de cinco milissegundos. Um mecanismo de camada de sinalização lida com MAP, CAP e SCCP; uma DSL de política escreve as regras; um repositório de auditoria armazena as evidências.
Um firewall no caminho de sinalização. MAP, CAP e SCCP são decodificados, normalizados e pontuados contra um único motor de políticas antes que qualquer mensagem chegue ao seu SMSC, HLR ou MSC.
Pacotes de regras prontos para uso, alinhados com GSMA FS.11 para interconexão SS7. A Categoria 1 nunca atravessa o limite da rede; a Categoria 2 é validada em relação à origem da rede doméstica; a Categoria 3 é avaliada por score de velocidade por assinante.
Cada mensagem é analisada por meio de análise de impressão digital, incluindo GT de origem, SCCP CdPA/CgPA, contexto de aplicação e padrão histórico. As pontuações de anomalia alimentam uma DSL de política que decide permitir, modificar, colocar em quarentena ou descartar a mensagem num único salto.
Abusos de AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation e SendRoutingInfo são detetados no primeiro contacto. GTs estrangeiros que buscam tuplas IMSI–MSC–VLR são bloqueados antes que um único assinante seja geolocalizado.
O MT-ForwardSM é validado em relação a um cache SRI-SM ativo por meio da tupla IMSI/MSC/SMSC. IDs de remetente falsificados, fuga de A2P para rotas não oficiais e reconhecimento de troca de SIM são bloqueados antes que o SMSC os detete, e não depois.
Cada decisão de sinalização é registada num repositório de auditoria inviolável com cadeias de eventos assinadas por HMAC. Exportações prontas para regulamentação, painéis baseados em funções e reproduções de incidentes — o seu NOC vê o que o firewall viu, quadro a quadro.
As cinco classes de ataques de sinalização que são responsáveis pela maior parte dos danos aos assinantes e pela maior parte da perda de receita das operadoras — e a camada em que o firewall deteta cada uma delas.
Endereços de origem falsificados para se passar por bancos, marcas e serviços governamentais. Detetados por meio de incompatibilidade de cache SRI-SM e verificação cruzada do registo de ID do remetente.
GTs estrangeiros consultam a HLR para triangular a célula de serviço de um assinante. Bloqueado no limite da rede como mensagens GSMA FS.11 de Categoria 1.
Os atacantes investigam as ligações IMSI-MSC antes de realizarem trocas por engenharia social. Os padrões são pontuados por origem e, em seguida, colocados em quarentena para revisão pela equipa de combate à fraude.
Fraude internacional de partilha de receitas, loops Wangiri e CLIs falsificados intercetados na camada de sinalização antes de tocarem no assinante.
Tráfego empresarial não monetizado injetado por meio de parceiros de roaming. Direcionado para a rota comercial acordada — ou bloqueado, com a receita recuperada.
Duas operações do MAP explicam uma parcela desproporcional dos incidentes de privacidade do assinante e interceção de OTP que chegam aos órgãos reguladores atualmente. O firewall lida com ambos na borda internacional — categorizando, classificando e assinando os dados — antes que cheguem a um HLR ou SMSC local.
Sondas HLR externas que resolvem para um ID de célula servidora, usadas por operadores de vigilância e abusadores para triangular a posição real de um assinante. O firewall classifica essas sondas como GSMA FS.11 Categoria 1 e as descarta no limite da rede, com uma entrada de auditoria assinada para o arquivo do regulador.
As consultas SRI-SM mapeiam um assinante para o seu MSC/SMSC de serviço, a etapa de reconhecimento antes do sequestro do tráfego OTP e 2FA pelo MT-ForwardSM. O firewall valida cada consulta em relação a um cache SRI-SM de 24 horas; consultas com falha de cache provenientes de GTs externos são colocadas em quarentena para revisão pela equipa de prevenção a fraudes.
A camada de sinalização precisa de aplicação de protocolo, política comercial e adaptação com base no comportamento, tudo num mesmo mecanismo. Os três pilares funcionam como um único caminho de decisão — latência de inspeção inferior a 5 ms por unidade de sinalização — para que o veredicto correto chegue ao elemento de rede correto no primeiro salto.
Aplicação de protocolos na camada de sinalização. Permite/nega operações MAP, filtragem de títulos globais, controlos de código de ponto OPC/DPC, condições MCC/MNC por parceiro. Toda unidade de sinalização malformada ou fora de contexto é descartada na decodificação.
Política comercial e operacional expressa em dados. Seleção de rotas conforme acordo com o parceiro, políticas de classe de produto (OTP, transacional, promocional), monetização do tráfego de bypass para canais A2P acordados. O firewall garante o cumprimento do contrato, não apenas da especificação.
Aplicação de regras com base no comportamento do tráfego, adaptando-se ao tráfego em tempo real. Limiares de TPS, deteção de picos de tráfego, janelas horárias e velocidade por GT de origem. A camada dinâmica deteta o que as regras estáticas não conseguem — campanhas emergentes, novos conjuntos de SIM boxes e anomalias repentinas de roaming.
Categorização FS.11 expressa em YAML legível. Operações MAP e CAP nomeadas, não numeradas. Regras de Sender-ID, rota e A2P promovidas por meio do verificador de criação — versionadas, assinadas e auditáveis.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Desafio: as sondas de rastreio de localização de assinantes eram uma preocupação ativa do regulador, sem qualquer elemento dissuasor nacional. Abordagem: categorização FS.11 na borda SS7 internacional, mais um cache SRI-SM para deteção de falsificação.
Desafio: STPs internacionais distribuídos por várias pilhas de fornecedores tornavam o relatório trimestral ao regulador um exercício manual. Abordagem: uma única DSL de políticas unificou a aplicação de regras em todas as bordas, com pista de auditoria versionada.
Desafio: o regulador nacional exigiu, com pouca antecedência, evidência de conformidade FS.11 durante uma revisão anual. Abordagem: o versionamento dos pacotes de regras produziu um manifesto assinado e um relatório de regressão IR.71 / IR.82 numa única execução.
Interligado entre o STP internacional e o seu núcleo. Cada mensagem passa pelo firewall antes de chegar a um HLR, SMSC ou MSC — e cada decisão é transmitida para o seu NOC em tempo real.
O par ativo-ativo está situado na rota de sinalização internacional. As decisões são executadas em tempo real — bloquear, permitir, modificar, monetizar.
Transmissão espelhada do STP para estabelecimento de linha de base e análises. A aplicação da política em linha será implementada quando as taxas de falsos positivos e de políticas se estabilizarem.
A borda internacional opera em linha, o núcleo doméstico opera em modo de deteção e alerta. Plano de políticas comum, repositório de auditoria comum, um único painel de controlo para o operador.
A categorização GSMA FS.11 para interconexão SS7 é aplicada por predefinição e mantida pela equipa de segurança de sinalização da BroadNet, com exportações prontas para regulamentação a pedido.
Sim. O firewall apresenta-se como um par de sinalização SCCP/SIGTRAN e integra-se com as plataformas STP comuns que as operadoras utilizam hoje, em stacks de fornecedores mistos. Não é necessária nenhuma alteração na tabela de encaminhamento do STP, além de redirecionar os códigos de ponto internacionais através do par de firewalls.
Quase sempre começamos com um espelhamento out-of-band do STP por 14–30 dias. Isso fornece às equipas de segurança e de RA uma base limpa do tráfego internacional e permite ajustar o pacote de regras FS.11 de acordo com o mix real de parceiros de roaming da operadora. Assim que o limite de falsos positivos for acordado por escrito, o firewall muda para o modo inline active-active. O modelo híbrido (inline na borda internacional e espelhamento no core doméstico) é o estado estável mais comum.
A equipa de segurança de sinalização da BroadNet publica um pacote de regras versionado a cada trimestre, com correções rápidas para novas informações sobre ameaças, disponibilizadas em poucos dias. Cada pacote de regras é fornecido com os pacotes de teste de conformidade IR.71, IR.81 e IR.82, para que a sua equipa possa executar testes de regressão antes de promovê-lo. O operador fixa ou veta qualquer versão a partir do painel de controlo — nada é promovido automaticamente para produção.
Por unidade de sinalização inspecionada (MAP/CAP), agrupadas por volume mensal. Sem taxas por link, por código de ponto ou por Erlang. Existe um NRE único para a integração com o STP e uma pequena taxa de manutenção anual que cobre as atualizações do pacote de regras, o feed de inteligência de ameaças e revisões trimestrais de arquitetura. As operadoras geralmente obtêm o retorno do investimento através da recuperação de receita A2P e da prevenção de perdas por fraude.
Sim. A DSL de política é a mesma que a nossa equipa de segurança utiliza internamente. As operadoras escrevem regras rotineiramente para aplicar os seus acordos de roaming bilateral, para colocar em whitelist consultas de localização autorizadas por autoridades policiais, para monetizar fluxos de bypass específicos em vez de os descartar, e para enviar veredictos para as suas plataformas internas de SIEM e fraude. As regras personalizadas passam pelo mesmo processo de maker-checker que as nossas, com pista de auditoria completa.
O TTL é de 24 horas por predefinição e pode ser ajustado por operadora. O cache é preenchido a partir de SRI-SM legítimos observados e atualizado a cada MT-ForwardSM bem-sucedido. Exibimos a taxa de acertos, a taxa de erros e a taxa de quarentena por GT de parceiro para que as equipas de RA possam identificar um pico repentino de erros de cache (geralmente o primeiro sinal de uma campanha de spoofing ou de um parceiro que está a alterar a chave do seu SMSC GT).
Sim. Todas as decisões são assinadas pelo HMAC, registadas num sistema inviolável e mantidas durante o período regulatório do operador. Fornecemos modelos de exportação pré-configurados para TRC (Jordânia), CST (Arábia Saudita), NCC (Nigéria), TDRA (Emirados Árabes Unidos), CRA (Catar), TRA (Omã), TRA (Bahrein), ARPT (Argélia), ANRT (Marrocos) e INT-T (Tunísia). O módulo de exportação também gera o manifesto de conformidade FS.11, que diversas autoridades reguladoras do Médio Oriente e Norte de África agora exigem na renovação da licença.
Em estado de estabilidade, os falsos positivos contra parceiros de roaming legítimos são muito baixos. Medimos a taxa semanalmente e expomos o número por parceiro no dashboard, para que as equipas de RA possam sempre visualizá-lo. A fase de teste em mirror-mode existe precisamente para que este intervalo seja acordado e aprovado antes da aplicação em tempo real.
Precisa do manifesto de conformidade FS.11 ou de uma sessão de trabalho com os nossos engenheiros de sinalização? Solicitar revisão de segurança da sinalização
Firewall SMS de camada de aplicação localizado na interface SMPP do seu SMSC.
Captura e correlação independentes de fornecedor para SS7, SIGTRAN e SIP — a camada de inteligência complementar.
SMSC alojado com encaminhamento múltiplo, suporte a múltiplos idiomas e faturação unificada.
Observabilidade em tempo real em firewall, SMSC, sinalização e rotas.
Agende uma reunião com o operador. Explicaremos a categorização FS.11, o cache SRI-SM, o modelo de monetização A2P e o plano de implementação para a sua rede — com suporte 24 horas por dia, 7 dias por semana, do NOC da BroadNet.
Recursos
Ficha técnica Firewall SS7
Aprofunde-se nos conceitos por trás deste produto.