# Firewall SS7 contra fraude de sinalização e rotas cinzentas - URL canónico: https://www.broadnet.me/pt/operators/ss7-firewall - Idioma: pt - Última atualização: 2026-10-10 - Editor: BroadNet (https://www.broadnet.me) - Versão Markdown da página, gerada a partir da página publicada. Firewall SS7 SMS · Nível de operador Pare com as rotas cinzentas. Monetize o A2P. Proteja a camada de sinalização. O firewall SS7 da BroadNet bloqueia fraudes de sinalização e tráfego A2P por rotas cinzentas para operadoras móveis, inspecionando a sinalização SS7 em linha antes que ela chegue ao núcleo da rede. Um firewall SS7 com filtragem MAP/SCCP em linha entre o STP internacional e a sua rede principal. Controlo de ID do remetente, validação de rotas, filtragem de cache SRI-SM, filtragem de conteúdo e monetização A2P — tudo a partir de um único firewall de camada de sinalização. Implantado em operadoras de nível 1 em toda a região MENA. [Solicitar revisão de segurança de sinalização](https://www.broadnet.me/pt/contact?topic=signaling-security&product=ss7-firewall) [Discuta a proteção de rede](https://www.broadnet.me/pt/contact?topic=network-protection&product=ss7-firewall) <5ms Latência de inspeção 99.99% Tempo de atividade em linha 1,000+ Ligações MNO Fluxo de sinalização · dados de exemplo stp-edge-01 · mena-1 Bloqueado 12,842 Permitido 184,902 Em quarentena 317 Op · Origin GT Veredicto - AnyTimeInterrogation GT 882 16xxxxx Cat 1 BLOCK ↳ Tentativa de rastreio de localização - MT-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Correspondência de cache SRI-SM - MT-ForwardSM GT 234 80xxxxx Cat 2 BLOCK ↳ Origem falsificada · Fuga A2P - ProvideSubscriberInfo GT 7 921xxxxx Cat 1 BLOCK ↳ Sonda HLR estrangeira - MO-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Correspondência no registo de IDs de remetente - CAP InitialDP GT 850 2xxxxxx Cat 3 QUARANTINE ↳ Padrão Wangiri · velocidade - SendRoutingInfo GT 880 17xxxxx Cat 1 BLOCK ↳ Reconhecimento IRSF Pacote de regras FS.11 · v2026.1 <5 ms / msg Latência de inspeção <5ms Cada unidade MAP, CAP e SCCP é decodificada, pontuada e decidida em tempo real no STP Disponibilidade in-line 99.99% Pares de firewall active-active no caminho de sinalização internacional Conexões MNO 1,000+ Conexões diretas com operadoras, binds diretos em 86 países, desde 2003 Operadoras Tier-1 MENA Implementado em operadoras Tier-1 em toda a região MENA Como ele se posiciona no plano de sinalização ## Do STP internacional ao núcleo da rede de origem, em 5 saltos. Um firewall no caminho de sinalização internacional. Cada unidade MAP, CAP e SCCP é decodificada por IE, categorizada de acordo com o GSMA FS.11 e um veredicto é devolvido em menos de cinco milissegundos. Sem redirecionamento, sem interrupção de roaming. 1. 01 · Entrada STP Internacional Ligações internacionais de SS7 (SIGTRAN, M3UA) provenientes de parceiros de roaming e rotas cinzentas. nenhum salto adicional 2. 02 · Decodificar Firewall de sinalização Decodificação por IE de MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizados para consulta de política. decodificar < 0,8ms 3. 03 · Pontuação FS.11 · SRI-SM Classificação de Categoria 1/2/3, validação de cache de SRI-SM, verificações de sender-ID e rota, buckets de velocidade. pontuação < 2,0ms 4. 04 · Veredicto Política DSL Permitir · modificar · colocar em quarentena · descartar · monetizar. Por rota, por parceiro, por subscritor. Regras promovidas via maker-checker. veredicto < 1,0ms 5. 05 · Núcleo HLR / SMSC / MSC Somente os sinais validados chegam à rede doméstica. As mensagens em quarentena são espelhadas para revisão da equipa antifraude. p99 total < 5ms 6. ← signed audit · regulator export · NOC stream 01 · Entrada STP Internacional Ligações internacionais de SS7 (SIGTRAN, M3UA) provenientes de parceiros de roaming e rotas cinzentas. nenhum salto adicional 02 · Decodificar Firewall de sinalização Decodificação por IE de MAP, CAP e SCCP. GT, AC, CdPA/CgPA, IMSI, MSISDN normalizados para consulta de política. decodificar < 0,8ms 03 · Pontuação FS.11 · SRI-SM Classificação de Categoria 1/2/3, validação de cache de SRI-SM, verificações de sender-ID e rota, buckets de velocidade. pontuação < 2,0ms 04 · Veredicto Política DSL Permitir · modificar · colocar em quarentena · descartar · monetizar. Por rota, por parceiro, por subscritor. Regras promovidas via maker-checker. veredicto < 1,0ms 05 · Núcleo HLR / SMSC / MSC Somente os sinais validados chegam à rede doméstica. As mensagens em quarentena são espelhadas para revisão da equipa antifraude. p99 total < 5ms O que o firewall faz ## Seis camadas, um mecanismo de sinalização. Decodificado no STP, pontuado em tempo real e processado em menos de cinco milissegundos. Um mecanismo de camada de sinalização lida com MAP, CAP e SCCP; uma DSL de política escreve as regras; um repositório de auditoria armazena as evidências. ### Inspeção de sinalização SS7 Um firewall no caminho de sinalização. MAP, CAP e SCCP são decodificados, normalizados e pontuados contra um único motor de políticas antes que qualquer mensagem chegue ao seu SMSC, HLR ou MSC. Protocolos MAP·CAP·SCCP Decodificar Por IE Modo Em linha / fora de banda ### Aplicação de categoria GSMA FS.11 Pacotes de regras prontos para uso, alinhados com GSMA FS.11 para interconexão SS7. A Categoria 1 nunca atravessa o limite da rede; a Categoria 2 é validada em relação à origem da rede doméstica; a Categoria 3 é avaliada por score de velocidade por assinante. FS.11 Cat. 1–3 Limite Cat. 1 bloqueada Atualizações Trimestrais ### Avaliação de ameaças em tempo real Cada mensagem é analisada por meio de análise de impressão digital, incluindo GT de origem, SCCP CdPA/CgPA, contexto de aplicação e padrão histórico. As pontuações de anomalia alimentam uma DSL de política que decide permitir, modificar, colocar em quarentena ou descartar a mensagem num único salto. Pontuação Por mensagem Sinais Múltiplos Ações 5 ações ### deteção de rastreio de localização Abusos de AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation e SendRoutingInfo são detetados no primeiro contacto. GTs estrangeiros que buscam tuplas IMSI–MSC–VLR são bloqueados antes que um único assinante seja geolocalizado. ATI Bloqueado PSL Origem verificada SRI Validado por cache ### Fraude por SMS na camada de sinalização O MT-ForwardSM é validado em relação a um cache SRI-SM ativo por meio da tupla IMSI/MSC/SMSC. IDs de remetente falsificados, fuga de A2P para rotas não oficiais e reconhecimento de troca de SIM são bloqueados antes que o SMSC os detete, e não depois. cache SRI TTL 24 h Paródia Bloqueado Fuga A2P Recuperado ### Registo de auditoria forense Cada decisão de sinalização é registada num repositório de auditoria inviolável com cadeias de eventos assinadas por HMAC. Exportações prontas para regulamentação, painéis baseados em funções e reproduções de incidentes — o seu NOC vê o que o firewall viu, quadro a quadro. Retenção 12 meses Assinado HMAC Exportar Regulador Catálogo de ameaças ## O que vemos ao cruzar a sua fronteira. As cinco classes de ataques de sinalização que são responsáveis pela maior parte dos danos aos assinantes e pela maior parte da perda de receita das operadoras — e a camada em que o firewall deteta cada uma delas. ### Spoofing de SMS MAPA · MT-ForwardSM Endereços de origem falsificados para se passar por bancos, marcas e serviços governamentais. Detetados por meio de incompatibilidade de cache SRI-SM e verificação cruzada do registo de ID do remetente. ### Rastreio de localização MAPA · ATI / PSI / PSL GTs estrangeiros consultam a HLR para triangular a célula de serviço de um assinante. Bloqueado no limite da rede como mensagens GSMA FS.11 de Categoria 1. ### reconhecimento de troca de SIM MAPA · Enviar IMSI / Atualizar localização Os atacantes investigam as ligações IMSI-MSC antes de realizarem trocas por engenharia social. Os padrões são pontuados por origem e, em seguida, colocados em quarentena para revisão pela equipa de combate à fraude. ### Chamadas fraudulentas e falsificação de CLI CAP · InitialDP / SS7 IAM Fraude internacional de partilha de receitas, loops Wangiri e CLIs falsificados intercetados na camada de sinalização antes de tocarem no assinante. ### Fuga A2P e rotas cinzentas MAPA · MT-ForwardSM Tráfego empresarial não monetizado injetado por meio de parceiros de roaming. Direcionado para a rota comercial acordada — ou bloqueado, com a receita recuperada. Catálogo de ataques · Camada MAPA ## Duas operações MAP estão por trás da maioria dos abusos de sinalização. Duas operações do MAP explicam uma parcela desproporcional dos incidentes de privacidade do assinante e interceção de OTP que chegam aos órgãos reguladores atualmente. O firewall lida com ambos na borda internacional — categorizando, classificando e assinando os dados — antes que cheguem a um HLR ou SMSC local. GSMA FS.11 Categorias 1 e 2 FS.11 · Cat 1 queda de limite MAP_PROVIDE_SUBSCRIBER_INFO ### Rastreio de localização Sondas HLR externas que resolvem para um ID de célula servidora, usadas por operadores de vigilância e abusadores para triangular a posição real de um assinante. O firewall classifica essas sondas como GSMA FS.11 Categoria 1 e as descarta no limite da rede, com uma entrada de auditoria assinada para o arquivo do regulador. Impacto do operador · Compromisso com a privacidade do assinante FS.11 · Cat 2 queda de limite MAP_SEND_ROUTING_INFO_FOR_SM ### trabalho preparatório para a interceção de SMS As consultas SRI-SM mapeiam um assinante para o seu MSC/SMSC de serviço, a etapa de reconhecimento antes do sequestro do tráfego OTP e 2FA pelo MT-ForwardSM. O firewall valida cada consulta em relação a um cache SRI-SM de 24 horas; consultas com falha de cache provenientes de GTs externos são colocadas em quarentena para revisão pela equipa de prevenção a fraudes. Impacto do operador · Habilitação para ignorar OTP/2FA mecanismo de regras de 3 pilares ## Técnico. Comercial. Dinâmico. Um veredito. A camada de sinalização precisa de aplicação de protocolo, política comercial e adaptação com base no comportamento, tudo num mesmo mecanismo. Os três pilares funcionam como um único caminho de decisão — latência de inspeção inferior a 5 ms por unidade de sinalização — para que o veredicto correto chegue ao elemento de rede correto no primeiro salto. Pilar 01 ### Regras técnicas Aplicação de protocolos na camada de sinalização. Permite/nega operações MAP, filtragem de títulos globais, controlos de código de ponto OPC/DPC, condições MCC/MNC por parceiro. Toda unidade de sinalização malformada ou fora de contexto é descartada na decodificação. MAP permitir/negar Filtro GT OPC/DPC MCC/MNC Pilar 02 ### Regras de negócio Política comercial e operacional expressa em dados. Seleção de rotas conforme acordo com o parceiro, políticas de classe de produto (OTP, transacional, promocional), monetização do tráfego de bypass para canais A2P acordados. O firewall garante o cumprimento do contrato, não apenas da especificação. Política de rota Por parceiro OTP vs promoção Monetizar o bypass Pilar 03 ### Controlos dinâmicos Aplicação de regras com base no comportamento do tráfego, adaptando-se ao tráfego em tempo real. Limiares de TPS, deteção de picos de tráfego, janelas horárias e velocidade por GT de origem. A camada dinâmica deteta o que as regras estáticas não conseguem — campanhas emergentes, novos conjuntos de SIM boxes e anomalias repentinas de roaming. Limiares TPS deteção de rajada Janelas de tempo Velocidade Latência de inspeção inferior a 5 ms por unidade de sinalização · decodificar + pontuar + veredicto Todos os fornecedores de sinalização comuns Pares STP ativo-ativo SIGTRAN M3UA · M2PA · SUA Inspeção de MAP · CAP · SCCP Em linha · em frente ao SMSC Opção de tap fora da banda Política DSL ## Regras que os seus engenheiros de sinalização já consideram. Categorização FS.11 expressa em YAML legível. Operações MAP e CAP nomeadas, não numeradas. Regras de Sender-ID, rota e A2P promovidas por meio do verificador de criação — versionadas, assinadas e auditáveis. ss7fw.operator.local · rule pack v2026.1 Exemplo ``` 1# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml2# GSMA FS.11 Category 1 — never crosses the network boundary3rule: cat1_ati_block4 match:5 application_context: anyTimeInterrogation6 origin: !is_home_network7 action: drop8 audit: regulator.signal_event9 fs_tag: FS.11-CAT110 11rule: cat1_psi_block12 match:13 application_context: provideSubscriberInfo14 origin: !is_home_network15 action: drop16 fs_tag: FS.11-CAT117 18# Category 2 — origin must be validated against home-network MAP19rule: cat2_sri_sm_validate20 match:21 application_context: sendRoutingInfoForSM22 validate:23 msc_id: from sri_sm_cache(ttl=24h)24 on_mismatch:25 action: quarantine26 notify: fraud-ops@operator.tld ``` Cenários ilustrativos de operadores ## Que proteção de sinalização Parece que está em produção. Operadora tier-1 do CCG MNO · CCG SA Desafio: as sondas de rastreio de localização de assinantes eram uma preocupação ativa do regulador, sem qualquer elemento dissuasor nacional. Abordagem: categorização FS.11 na borda SS7 internacional, mais um cache SRI-SM para deteção de falsificação. Responsável de segurança de sinalização Cat. 1 Sondas de localização bloqueadas na borda SRI-SM Deteção de falsificação ativa Grupo MNO da África Ocidental MNO · África Ocidental NG Desafio: STPs internacionais distribuídos por várias pilhas de fornecedores tornavam o relatório trimestral ao regulador um exercício manual. Abordagem: uma única DSL de políticas unificou a aplicação de regras em todas as bordas, com pista de auditoria versionada. Responsável de segurança de rede Unificado Um pacote de regras em cada borda STP Quarentena SMS de rotas cinzentas retidos para revisão MNO do Levante MNO · Levante JO Desafio: o regulador nacional exigiu, com pouca antecedência, evidência de conformidade FS.11 durante uma revisão anual. Abordagem: o versionamento dos pacotes de regras produziu um manifesto assinado e um relatório de regressão IR.71 / IR.82 numa única execução. Engenheiro sénior de sinalização Assinado Manifesto de conformidade FS.11 IR.82 Regressão numa única execução Onde fica? ## Sinalização internacional de entrada. Tráfego limpo de saída. Interligado entre o STP internacional e o seu núcleo. Cada mensagem passa pelo firewall antes de chegar a um HLR, SMSC ou MSC — e cada decisão é transmitida para o seu NOC em tempo real. STP Internacional SS7 / SIGTRAN Parceiro de roaming SS7 / MAP Rota cinza GT não confiável BroadNet Signaling Firewall Ativo / Ativo Decodificar ID do remetente Verificação de rota Cache SRI-SM Filtro de conteúdo Geo / origem Limite de taxa Policy DSL Registo de auditoria HLR SMSC MSC Billing Opções de implantação ### Em linha com a STP ACTIVE / ACTIVE O par ativo-ativo está situado na rota de sinalização internacional. As decisões são executadas em tempo real — bloquear, permitir, modificar, monetizar. ### Derivação fora da banda DETECT ONLY Transmissão espelhada do STP para estabelecimento de linha de base e análises. A aplicação da política em linha será implementada quando as taxas de falsos positivos e de políticas se estabilizarem. ### Híbrido de borda + núcleo EDGE + CORE A borda internacional opera em linha, o núcleo doméstico opera em modo de deteção e alerta. Plano de políticas comum, repositório de auditoria comum, um único painel de controlo para o operador. Conformidade ## Em conformidade com as normas que o seu regulador já utiliza. A categorização GSMA FS.11 para interconexão SS7 é aplicada por predefinição e mantida pela equipa de segurança de sinalização da BroadNet, com exportações prontas para regulamentação a pedido. Membro associado da GSMA BroadNet é membro associado da GSMA GSMA FS.11 Categorização de segurança de interconexão SS7 (Cat 1–3) Garantia de receita Monetização A2P e recuperação de rota cinzenta integradas Exportações do regulador Relatórios de sinalização específicos para cada país, a pedido. diligência prévia do operador ## Oito respostas para a lista restrita do RFI. Sim. O firewall apresenta-se como um par de sinalização SCCP/SIGTRAN e integra-se com as plataformas STP comuns que as operadoras utilizam hoje, em stacks de fornecedores mistos. Não é necessária nenhuma alteração na tabela de encaminhamento do STP, além de redirecionar os códigos de ponto internacionais através do par de firewalls. Quase sempre começamos com um espelhamento out-of-band do STP por 14–30 dias. Isso fornece às equipas de segurança e de RA uma base limpa do tráfego internacional e permite ajustar o pacote de regras FS.11 de acordo com o mix real de parceiros de roaming da operadora. Assim que o limite de falsos positivos for acordado por escrito, o firewall muda para o modo inline active-active. O modelo híbrido (inline na borda internacional e espelhamento no core doméstico) é o estado estável mais comum. A equipa de segurança de sinalização da BroadNet publica um pacote de regras versionado a cada trimestre, com correções rápidas para novas informações sobre ameaças, disponibilizadas em poucos dias. Cada pacote de regras é fornecido com os pacotes de teste de conformidade IR.71, IR.81 e IR.82, para que a sua equipa possa executar testes de regressão antes de promovê-lo. O operador fixa ou veta qualquer versão a partir do painel de controlo — nada é promovido automaticamente para produção. Por unidade de sinalização inspecionada (MAP/CAP), agrupadas por volume mensal. Sem taxas por link, por código de ponto ou por Erlang. Existe um NRE único para a integração com o STP e uma pequena taxa de manutenção anual que cobre as atualizações do pacote de regras, o feed de inteligência de ameaças e revisões trimestrais de arquitetura. As operadoras geralmente obtêm o retorno do investimento através da recuperação de receita A2P e da prevenção de perdas por fraude. Sim. A DSL de política é a mesma que a nossa equipa de segurança utiliza internamente. As operadoras escrevem regras rotineiramente para aplicar os seus acordos de roaming bilateral, para colocar em whitelist consultas de localização autorizadas por autoridades policiais, para monetizar fluxos de bypass específicos em vez de os descartar, e para enviar veredictos para as suas plataformas internas de SIEM e fraude. As regras personalizadas passam pelo mesmo processo de maker-checker que as nossas, com pista de auditoria completa. O TTL é de 24 horas por predefinição e pode ser ajustado por operadora. O cache é preenchido a partir de SRI-SM legítimos observados e atualizado a cada MT-ForwardSM bem-sucedido. Exibimos a taxa de acertos, a taxa de erros e a taxa de quarentena por GT de parceiro para que as equipas de RA possam identificar um pico repentino de erros de cache (geralmente o primeiro sinal de uma campanha de spoofing ou de um parceiro que está a alterar a chave do seu SMSC GT). Sim. Todas as decisões são assinadas pelo HMAC, registadas num sistema inviolável e mantidas durante o período regulatório do operador. Fornecemos modelos de exportação pré-configurados para TRC (Jordânia), CST (Arábia Saudita), NCC (Nigéria), TDRA (Emirados Árabes Unidos), CRA (Catar), TRA (Omã), TRA (Bahrein), ARPT (Argélia), ANRT (Marrocos) e INT-T (Tunísia). O módulo de exportação também gera o manifesto de conformidade FS.11, que diversas autoridades reguladoras do Médio Oriente e Norte de África agora exigem na renovação da licença. Em estado de estabilidade, os falsos positivos contra parceiros de roaming legítimos são muito baixos. Medimos a taxa semanalmente e expomos o número por parceiro no dashboard, para que as equipas de RA possam sempre visualizá-lo. A fase de teste em mirror-mode existe precisamente para que este intervalo seja acordado e aprovado antes da aplicação em tempo real. Precisa do manifesto de conformidade FS.11 ou de uma sessão de trabalho com os nossos engenheiros de sinalização? [Solicitar revisão de segurança da sinalização](https://www.broadnet.me/pt/contact?topic=signaling-security&product=ss7-firewall) ## Produtos relacionados para operadores [Todos os produtos do operador](https://www.broadnet.me/pt/operators) [Firewall SMS Firewall SMS de camada de aplicação localizado na interface SMPP do seu SMSC. Saber mais](https://www.broadnet.me/pt/operators/sms-firewall) [Inteligência de sinalização e CDR Captura e correlação independentes de fornecedor para SS7, SIGTRAN e SIP — a camada de inteligência complementar. Saber mais](https://www.broadnet.me/pt/platforms/signaling-cdr) [Portal SMSC SMSC alojado com encaminhamento múltiplo, suporte a múltiplos idiomas e faturação unificada. Saber mais](https://www.broadnet.me/pt/operators/smsc-gateway) [Sistema de desempenho Observabilidade em tempo real em firewall, SMSC, sinalização e rotas. Saber mais](https://www.broadnet.me/pt/platforms/performance-system) Proteção de sinalização · nível de operador ## Proteja a sinalização. Elimine as rotas clandestinas. Agende uma reunião com o operador. Explicaremos a categorização FS.11, o cache SRI-SM, o modelo de monetização A2P e o plano de implementação para a sua rede — com suporte 24 horas por dia, 7 dias por semana, do NOC da BroadNet. [Solicitar revisão de segurança de sinalização](https://www.broadnet.me/pt/contact?topic=signaling-security&product=ss7-firewall) [Discuta a proteção de rede](https://www.broadnet.me/pt/contact?topic=network-protection&product=ss7-firewall) $ ss7fw --policy fs11 --mode inline --audit signed Recursos Ficha técnica Firewall SS7 [Descarregar ficha técnica· PDF, 100 kB](https://www.broadnet.me/resources/datasheets/broadnet-ss7-firewall-datasheet.pdf) [Fichas técnicas de produto](https://www.broadnet.me/pt/resources) Guias e respostas relacionados Aprofunde-se nos conceitos por trás deste produto. [O que é SS7 Ler](https://www.broadnet.me/pt/answers/what-is-ss7) [Como funcionam as sinalizações de segurança SS7 e Diameter Ler](https://www.broadnet.me/pt/answers/ss7-signaling-security) [Como funciona a segurança de sinalização Diameter Ler](https://www.broadnet.me/pt/answers/diameter-signaling-security) [Como funciona a prevenção de fraudes em telecomunicações Ler](https://www.broadnet.me/pt/answers/telecom-fraud-prevention)