Международные SMS-файрволы работают на интерконнекте. Они защищают трафик, поступающий из-за рубежа. Они не видят внутрисетевой спам, внутренние SMS-штормы, серые маршруты через локальные SIM-боксы, злоупотребления flash-звонками и подмену sender ID вашего банка или государственного органа. Local SMSC Firewall устанавливается перед вашим Local SMSC или рядом с ним и закрывает каждую из этих угроз.
Операторы, сочетающие международный файрвол с файрволом для локального ядра
Проверка в линию без риска для трафика в линии. Каждое правило работает в режиме мониторинга до момента блокировки; каждое решение можно атрибутировать к правилу, которое его приняло.
Сквозная накладная задержка на каждое сообщение, работа в линию.
Каждое правило может работать в режиме журналирования до перехода к блокировке.
Разрешить, заблокировать, ограничить, пометить и перенаправить.
Совместное управление, самообслуживание или полное управление.
Файрвол устанавливается между каждым источником трафика и вашим ядром мессаджинга — SMPP, HTTP, внутренними API, внутренними приложениями, внешними партнёрами — и проверяет каждое сообщение до того, как оно попадёт в Local SMSC.
SMPP, HTTP, внутренние API — как внутренние приложения, так и внешние партнеры. В зону действия входит любой путь доступа к ядру системы обмена сообщениями.
Обнаружен тип: A2P, P2P, мгновенный звонок, тестовый трафик, системные сообщения. Контекст помечен до срабатывания любого правила.
Совокупность правил, учитывающих содержание, поведение и контекст. Для каждого маршрута, отправителя, сегмента и часа суток.
Разрешить · заблокировать · ограничить · пометить и проложить маршрут. Каждое решение регистрируется с указанием правила, которое его приняло.
Одобренный трафик перенаправлен в местный SMSC. Заблокированный трафик отклонен, запись об этом сохранена.
SMPP, HTTP, внутренние API — как внутренние приложения, так и внешние партнеры. В зону действия входит любой путь доступа к ядру системы обмена сообщениями.
Обнаружен тип: A2P, P2P, мгновенный звонок, тестовый трафик, системные сообщения. Контекст помечен до срабатывания любого правила.
Совокупность правил, учитывающих содержание, поведение и контекст. Для каждого маршрута, отправителя, сегмента и часа суток.
Разрешить · заблокировать · ограничить · пометить и проложить маршрут. Каждое решение регистрируется с указанием правила, которое его приняло.
Одобренный трафик перенаправлен в местный SMSC. Заблокированный трафик отклонен, запись об этом сохранена.
Четыре причины, по которым операторы устанавливают выделенный файрвол на Local SMSC, даже уже имея международный файрвол на интерконнекте.
Международные файрволы защищают входящий A2P-трафик из-за рубежа. Внутренние SMS-штормы, внутрисетевой фишинг, серые маршруты через локальные SIM-боксы и подмена sender ID местных банков возникают изнутри сети — и требуют файрвола внутри сети.
Проверка в линию неприемлема, если она добавляет заметную задержку. Файрвол спроектирован для быстрого принятия решений на ядре мессаджинга и непрерывно измеряется относительно базовых показателей вашего собственного SMSC.
Ни одно правило не блокирует продуктивный трафик, пока предварительно не отработает в режиме журналирования на реальном трафике и не подтвердит свою долю ложных срабатываний. Перевод в режим принудительного применения — это одно изменение с полным аудиторским журналом, и каждая блокировка обратима.
Чёткое разделение между политикой, определяемой оператором, и рекомендациями BroadNet. Процессы согласования для критичных изменений правил. Полный аудиторский журнал: кто, что и когда изменил и почему.
Четыре типа действий
Движок правил сочетает сигналы по содержимому, поведению и контексту, но итоговое действие всегда одно из четырёх. Каждое поддаётся аудиту, обратимо и сначала внедряется в режиме мониторинга.
Маршрутизировать в обычном режиме на Local SMSC. Без ограничений. Фиксируется в журнале вместе с правилом, которое дало разрешение, для целей аудита.
Отклонить сообщение и сохранить причину. Доказательства сохраняются для запросов RA, регулятора или защиты бренда.
Применить ограничение скорости по отправителю, IP-адресу, аккаунту или партнёру. Сообщение продолжает идти, но поток контролируется.
Прикрепить метаданные или перенаправить на альтернативный путь для особой обработки, монетизации или дополнительной проверки.
Уровни обслуживания
Три операционные модели. Большинство операторов начинают с совместного управления на этапе пилота и переходят к предпочитаемой их командой модели после того, как освоятся с набором правил.
Ваша команда отвечает за повседневную эксплуатацию: изменение правил, разбор оповещений, окна изменений. BroadNet поддерживает сложную настройку, обновления по угрозам и эскалацию инцидентов.
Полный контроль над рамками политики. BroadNet предоставляет обучение, документацию, руководства по эксплуатации и линию эскалации по вопросам платформы. Идеально для операторов со зрелыми командами безопасности.
BroadNet отвечает за управление правилами, мониторинг, настройку и реагирование на инциденты. Оператор определяет направление политики и рассматривает результаты ежемесячно. Вариант с минимальными накладными расходами.
Возможности
Неправильно настроенные внутренние системы создают циклы, способные вывести Local SMSC из строя за считаные минуты. Ограничения скорости по источнику, обнаружение всплесков и автоматическое ограничение останавливают шторм до того, как о нём узнает служба поддержки.
Ведение белых списков одобренных sender ID банков, госорганов и OTT-сервисов в координации с брендом. Блокировка похожих написаний, имитаций с изменённым регистром и незарегистрированных отправителей, претендующих на защищённые идентификаторы.
Повторяющиеся короткие звонки для OTP-верификации сопоставляются с активностью по SMS. Коммерческое решение: заблокировать, разрешить с мониторингом или направить по платному пути. Связано с /operators/flash-call.
A2P-трафик, доставляемый через потребительские SIM-карты, обходит коммерческие соглашения. Анализ паттернов выявляет поведение SIM-боксов в вашей собственной сети; заблокированный трафик формирует доказательства для команды RA.
Каждое правило может сначала работать в режиме только журналирования, не блокируя трафик. Проверьте его на реальном продуктивном трафике, измерьте долю ложных срабатываний, а затем переведите в режим применения одним кликом с полным журналом изменений.
Подробные журналы сообщений с указанием сработавшего правила, экспортируемые в CSV / JSON / PDF для урегулирования споров с партнёрами и запросов регулятора. Срок хранения настраивается в соответствии с вашей политикой ИТ и комплаенса.
охват угроз
| Вектор атаки | Локальный контроль брандмауэра | Исход |
|---|---|---|
| Внутренние SMS штормы и петли | Ограничение скорости передачи данных для каждого источника, обнаружение всплесков активности и автоматическое регулирование на локальном ядре сети. | Шторм удалось локализовать до того, как территория местного SMSC была полностью разрушена. |
| Внутрисетевая подмена sender-ID от имени местных банков). | Списки разрешенных адресов, согласованные с брендом, с обнаружением похожих адресов, адресов с разным регистром и незарегистрированных отправителей. | Попытки подделки под местный бренд блокируются с полным журналом аудита. |
| Внутрисетевые A2P маршруты (локальные SIM-боксы) | Анализ шаблонов A2P и P2P и идентификация SIM-бокса в вашей собственной сети. | Обходной маршрут заблокирован, и это подтверждено команде RA. |
| Злоупотребление мгновенными звонками и голосовыми OTP | Корреляция между кратковременными подтверждающими звонками и активностью SMS, определяемая политикой компании. | Блокировка, мониторинг или перенаправление на платный путь — это коммерческий выбор, а не слепое решение. |
| Изменения в правилах чреваты ложными срабатываниями. | Перед применением каждое правило запускается в режиме мониторинга только логов, отслеживая реальный трафик. | Сначала измеряется частота ложных срабатываний; продвижение к принудительному исполнению осуществляется одним щелчком мыши, подлежащим аудиту. |
Задача: неправильно настроенная внутренняя маркетинговая платформа начала зацикленно рассылать одно и то же уведомление всей абонентской базе, создавая угрозу перегрузки SMSC в часы пик. Подход: ограничение скорости по внутреннему источнику уже было развёрнуто в режиме мониторинга и было переведено в режим применения в рамках того же окна изменений.
Задача: подмена sender ID крупных местных банков подрывала доверие абонентов к SMS как каналу верификации. Подход: одобренные белые списки sender ID были загружены в партнёрстве с банками, с обнаружением похожих написаний и незарегистрированных идентификаторов.
Задача: OTP-трафик от flash-звонков OTT-провайдеров расходовал ресурсы голосовой сигнализации, не принося выручки, и был неотличим от обычных коротких звонков. Подход: правила корреляции голоса и SMS выявили повторяющиеся паттерны flash-звонков; коммерческая политика предусмотрела монетизацию высокообъёмных источников и блокировку остальных.
Развёртывается локально, готово к аудиту, признаётся регуляторами на каждом рынке, где мы работаем.
Сочетается с
Международный файрвол A2P на интерконнекте. Пара к защите локального ядра — вместе они покрывают и трафик из-за рубежа, и внутрисетевые угрозы.
Узнать большеВыделенное обнаружение обхода верификации OTT на международном голосовом входе. Используется Local SMSC Firewall для корреляции голоса и SMS.
Узнать большеМессаджинговое ядро операторского уровня. В большинстве внедрений Local SMSC Firewall работает в линию / как прокси перед этим шлюзом.
Узнать большеМеждународные файрволы защищают трафик, поступающий из-за рубежа, — они работают на интерконнекте. Local SMSC Firewall устанавливается перед вашим Local SMSC или рядом с ним и защищает ядро мессаджинга. Он закрывает угрозы, которые возникают внутри вашей сети или обходят международную защиту: неправильно настроенные внутренние системы, внутрисетевой спам, серые маршруты через локальные SIM-боксы, подмену sender ID местных брендов и злоупотребления flash-звонками. Оба решения взаимодополняющие, и большинство операторов используют оба.
Как правило, менее 10 миллисекунд на сообщение, сквозная задержка. Проверка и принятие решения выполняются в реальном времени по оптимизированным путям в оперативной памяти. Для сравнения: обычные колебания в сети часто составляют 50–100 мс, поэтому файрвол добавляет лишь малую долю от этого. Мы измеряем и публикуем задержку по каждому правилу в ходе пилота.
Каждое правило можно сначала развернуть в режиме мониторинга — оно фиксирует каждое совпадение, но никогда не блокирует. Вы точно видите, что было бы отклонено, измеряете долю ложных срабатываний и переводите правило в режим применения только тогда, когда будете к этому готовы. Если ложное срабатывание всё же произойдёт после включения блокировки, подробный журнал покажет точное правило и содержимое, которое его вызвало, а правило можно скорректировать или добавить отправителя в белый список в течение нескольких минут.
Возможны оба варианта. Доступны три уровня: полное управление (BroadNet эксплуатирует файрвол, вы устанавливаете политику), совместное управление (ваша команда ведёт повседневную работу, BroadNet поддерживает сложную настройку и инциденты) и самообслуживание (вы делаете всё сами, BroadNet предоставляет обучение, документацию и эскалацию уровня платформы). Большинство операторов начинают с совместного управления на этапе пилота и затем переходят к предпочитаемой их командой модели.
Файрвол, как правило, развёртывается локально в вашем дата-центре. Содержимое сообщений анализируется в реальном времени и не сохраняется — журналируются только метаданные и доказательства срабатывания правил. Срок хранения журналов и контроль доступа соответствуют вашей внутренней политике ИТ и комплаенса. Никакое содержимое не покидает вашу сеть без явного согласия.
Типичный проект начинается с технического воркшопа между вашими командами по сети, безопасности и ИТ и инженерами BroadNet, за которым следует пилот на подмножестве маршрутов или партнёров (каждое правило сначала работает только в режиме мониторинга), а затем — поэтапное внедрение принудительных мер. Полный путь от воркшопа до полного применения занимает у большинства проектов несколько месяцев; точные сроки зависят от сложности окружения и желаемого темпа настройки правил.
Подробные журналы сообщений атрибутируют каждое решение к правилу, которое его приняло. Заблокированные попытки серого маршрута, трафик с паттернами SIM-боксов и несанкционированная доставка A2P под видом P2P экспортируются как пакеты доказательств — CSV / JSON / PDF — для урегулирования споров с партнёрами и запросов регулятора. Команда RA получает атрибутируемые доказательства того, что ранее невидимая потеря выявлена и устранена.
Да. Файрвол интегрируется с распространёнными системами мониторинга, тикетинга и платформами SIEM через API и syslog. События безопасности появляются в операционных процессах, которыми уже пользуются ваши команды. Конкретные интеграции определяются в ходе технического воркшопа.
Вопроса здесь нет? Обратитесь к нашей инженерной команде
Внутрисетевые SMS и межсетевые экраны SS7 блокируют нелегальные маршруты и мошенничество на уровне абонентской платы, в то время как легитимный трафик остается нетронутым.
Приведите ваши команды по сети, безопасности и ИТ. Мы оценим интеграцию, спроектируем начальный набор правил и запустим первый этап в режиме мониторинга — без блокировки продуктивного трафика до вашего решения.
