Межсетевой экран для SMS-сообщений прикладного уровня, который устанавливается перед вашим SMSC и проверяет каждое входящее сообщение в режиме реального времени — фильтрация контента, аутентификация отправителя, ограничение скорости, интеллектуальная маршрутизация и защита от мошенничества на основе машинного обучения. Блокируйте спам, фишинг и несанкционированный трафик до того, как он достигнет вашей основной сети, с гарантированным сохранением дохода.
Мы также отправляем A2P трафик. Он проходит через ваш брандмауэр по тем же правилам, что и любой другой отправитель, и ваша команда отвечает за результаты проверки. Как брандмауэр обрабатывает наш трафик
BroadNet продаёт корпоративные сервисы сообщений и межсетевые экраны, которые их фильтруют, поэтому первый вопрос оператора вполне закономерен: что межсетевой экран делает с собственным трафиком BroadNet? Ответ заложен в то, как работает каждое внедрение.
«Именно потому, что тот же поставщик продаёт CPaaS нашим корпоративным клиентам, цифры действительно совпадают с отчётами».
Собственный корпоративный трафик BroadNet доходит до ваших абонентов через тот же межсетевой экран и по тем же правилам, что и трафик любого другого агрегатора или отправителя. Исключений для поставщика нет.
Правилами владеют ваши команды по борьбе с мошенничеством и гарантированию доходов. Каждое изменение версионируется и требует второго утверждающего (принцип четырёх глаз), а белыми списками ложных срабатываний управляет оператор. Каждый вердикт — решение вашей сети, и данные остаются вашими.
Каждое решение записывается в журнал вместе со сработавшим правилом и экспортируется в CSV, JSON или PDF для споров с партнёрами и запросов регулятора. Спор о трафике BroadNet разрешается по тем же журналам, что и любой другой.
Категории правил следуют GSMA FS.11 и FS.19, поэтому ваша команда и регулятор оценивают межсетевой экран по опубликованной отраслевой методике, а не по закрытой классификации поставщика.
Межсетевой экран работает прозрачно между вашими партнерами по межсетевому взаимодействию и вашим SMSC. Каждое входящее сообщение A2P и P2P проверяется, оценивается и принимает решение до того, как оно попадет в ядро сети — со скоростью сигнализации, с сохранением порядка сообщений.
Трафик MO и A2P поступает в SMSC и STP через привязки SMPP и каналы SS7 от партнеров по межсоединению.
Встроенная проверка TPDU, идентификатора отправителя, содержимого, UDH, источника сигнала. Оценка риска для каждого сообщения от 0 до 1,0 в субмиллисекундных интервалах.
Правила соответствуют счету, маршруту, партнеру, бренду. Вердикт: проход · карантин · блокировка · запись.
Безупречный трафик перенаправляется на существующий SMSC оператора. Без переадресации, без дублирования.
Абонент получает только легитимные, платные сообщения. Трафик, находящийся в карантине, возвращается по международному тарифу A2P.
Трафик MO и A2P поступает в SMSC и STP через привязки SMPP и каналы SS7 от партнеров по межсоединению.
Встроенная проверка TPDU, идентификатора отправителя, содержимого, UDH, источника сигнала. Оценка риска для каждого сообщения от 0 до 1,0 в субмиллисекундных интервалах.
Правила соответствуют счету, маршруту, партнеру, бренду. Вердикт: проход · карантин · блокировка · запись.
Безупречный трафик перенаправляется на существующий SMSC оператора. Без переадресации, без дублирования.
Абонент получает только легитимные, платные сообщения. Трафик, находящийся в карантине, возвращается по международному тарифу A2P.
Возможности
Фильтрация контента с помощью ИИ, аутентификация отправителя, ограничение скорости, интеллектуальная маршрутизация и защита от мошенничества на основе машинного обучения — все необходимые оператору средства управления, работающие в режиме реального времени непосредственно в SMSC.
Проверяйте каждое сообщение MAP, SMPP и HTTP на границе SMSC и сигнального канала. Декодируйте TPDU, идентификатор отправителя, содержимое, кодировку, заголовки UDH — не нарушая порядок сообщений.
Система оценки риска для каждого сообщения, обученная на размеченном трафике от реальных операторов связи первого уровня. Обнаруживает появляющиеся признаки спама, фишинговые наборы и схемы обхода защиты спустя несколько часов после их появления.
Идентификация поведенческих характеристик на основе скорости передачи данных, оттока IMSI, разнообразия получателей, происхождения сигналов и однородности контента. Выявление SIM-ферм до того, как они начнут снижать ваши тарифы на завершение вызовов.
Криптографическая и регистровая проверка каждого буквенно-цифрового отправителя. Выявление подделки брендов банков, государственных учреждений и телекоммуникационных компаний до того, как SMS-сообщение достигнет абонента.
Проверка маршрута на соответствие коммерческим соглашениям. Источники SS7, учетные записи SMPP и исходные IP-адреса сверяются со списком монетизируемых партнеров оператора. Обходной трафик отбрасывается или помещается в карантин для монетизации.
Встроенная интеграция с национальными и частными реестрами идентификаторов отправителей. Обеспечение регистрации отправителей в каждой юрисдикции, автоматизация процесса регистрации бренда и создание аудиторских журналов, соответствующих требованиям регулирующих органов.
охват угроз
| Вектор атаки | контроль брандмауэра | Исход |
|---|---|---|
| Обход A2P соединения по серому маршруту и SIM-ферме | Проверка маршрута на соответствие коммерческим соглашениям, а также идентификация SIM-бокса по скорости, изменению IMSI и однородности контента. | Обходной трафик, отброшенный или помещенный в карантин для монетизации — по тарифу за линию. |
| Подмена Sender-ID и имитация бренда | Проверка каждого буквенно-цифрового отправителя с использованием данных реестра путем сопоставления с реестром операторов связи и национальным реестром sender-ID. | Подделка данных, осуществляемая под банки, государственные структуры и телекоммуникационные компании, блокируется еще до того, как сообщение достигнет абонента. |
| Смишинг и фишинг. | Глубокий анализ пакетов TPDU, содержимого, кодировки и URL-адресов, оцениваемый самообучающимся механизмом обнаружения мошенничества на основе машинного обучения. | Вредоносный контент и ссылки помещаются в карантин в соответствии с политикой, в то время как чистые A2P каналы остаются нетронутыми. |
| Незарегистрированные отправители / отправители, находящиеся вне юрисдикции | Внедрение национальных и частных реестров sender-ID в соответствии с законодательством каждой юрисдикции. | Проходят проверку только зарегистрированные инициаторы; остальные отбывают проверку для включения в реестр и составления протокола, соответствующего требованиям регулирующих органов. |
| Внесетевые и внесетевые заявки SS7 | Список разрешенных источников SS7 MAP сверен со списком монетизированных партнеров. | Источники происхождения, не предусмотренные соглашением SS7 выявляются и исключаются еще до того, как достигнут ядра. |
| Спам-атаки и всплески пропускной способности | Сегментация скорости для каждого маршрута и оценка риска для каждого сообщения. | Наводнения были пресечены на раннем этапе; легитимный трафик и порядок обработки сообщений сохранены. |
механизм правила трех столпов
На прикладном уровне необходимо, чтобы в одном механизме выполнялись обеспечение соблюдения протокола, коммерческая политика и адаптация с учетом поведения. Все три компонента работают как единый путь принятия решений — дополнительная задержка на сообщение составляет менее 10 мс.
Применение на уровне протокола. Разрешение/запрет операций MAP (детальный контроль MAP_MT_FORWARD_SM против MAP_SEND_ROUTING_INFO), фильтрация кодов точек OPC/DPC, глобальный контроль заголовка, условия MCC/MNC для каждого партнера. Каждый некорректно сформированный сигнальный блок отбрасывается при декодировании.
Коммерческая политика, выраженная в виде данных. Выбор маршрута в соответствии с партнерским соглашением, правила классификации продуктов (OTP, транзакционные, рекламные), монетизация обходного трафика по согласованным каналам A2P. Межсетевой экран обеспечивает соблюдение контракта, а не только спецификации.
Применение правил с учетом поведения пользователей. Пороговые значения TPS, обнаружение всплесков активности, временные окна, скорость для каждого исходного GT или SMPP-аккаунта. Динамический уровень выявляет то, что не могут статические правила — новые кампании, новые фермы SIM-боксов, внезапные аномалии роуминга.
Генерация антитрафика · ATG
Система противодействия генерации трафика — это слой непрерывного обучения, который позволяет межсетевому экрану опережать операторов, работающих в «серых» маршрутах. Модели переобучаются на основе собственных эталонных данных оператора, смешанных с анонимизированными сигналами из более широкой плоскости проверки BroadNet. Эвристические алгоритмы остаются понятными для человека, чтобы группа по борьбе с мошенничеством могла проверять, блокировать или отклонять любую подпись.
Устойчивая скорость менее секунды, достигаемая за счет небольшого пула MSISDN, характерная для схем ротации SIM-банков. Пороговое значение и форма импульса изучаются для каждого маршрута.
Высокая энтропия Шеннона по целевым MSISDN в сочетании с низкой энтропией по содержимому — типичная структура SIM-карты.
Повторяющийся контент с постоянно меняющимися отправителями, буквенно-цифровые отправители, которые никогда не регистрировались, форматы отправителей, не соответствующие очевидному географическому местоположению.
Несоответствие между заявленным источником GT, MCC/MNC и фактическим путем SCCP, по которому сообщение проникло в сеть.
Контроль контента и идентификации
Три фактора, которые в совокупности устраняют разрыв между «сообщение технически корректно» и «сообщение должно быть разрешено к доставке подписчику».
Зарегистрированные предприятия предоставляют утвержденные идентификаторы отправителей и шаблоны сообщений. Входящий трафик сопоставляется с белым списком — утвержденные отправители с утвержденными шаблонами проходят проверку с минимальными препятствиями; неизвестные отправители сталкиваются с более строгими критериями оценки. Учитываются языки программирования и поддержка Unicode, включая сложные системы письма.
Каждый URL-адрес извлекается, нормализуется и оценивается по актуальной базе данных репутации известных фишинговых наборов, распространителей вредоносного ПО и недавно зарегистрированных похожих доменов. Подозрительные ссылки передают всё сообщение целиком, прежде чем его увидит подписчик.
Аутентификация для каждой учетной записи, параметры пропускной способности, разрешенные классы контента, разрешенные префиксы идентификаторов отправителя и разрешенные диапазоны адресов назначения — применяются во время привязки и повторно применяются при каждой отправке. Учетные записи SMPP являются первоклассными объектами политики, а не просто учетными данными.
Масштабы производства
Фактический диапазон пропускной способности платформы на сегодняшний день — это пропускная способность сетей операторов, которые передают свои SMS-сообщения A2P, P2P и роуминг через контрольную плоскость BroadNet.
Пропускная способность инспекционных пунктов по кластерам в рамках SMPP и SS7.
Сети операторов в регионе MENA, Африке и Азии, где работает межсетевой экран BroadNet.
Охват операторов связи, питающий глобальную базу данных об угрозах.
Панель мониторинга восстановленной выручки
Каждое заблокированное, помещенное в карантин или повторно выставленное к оплате сообщение привязывается к маршруту, партнеру, отправителю или подписи. Раздел «Возмещенный доход» расположен рядом с разделом «Защита» — таким образом, финансовые, оценочные и службы безопасности используют один и тот же источник достоверной информации, разбитый по маршрутам и классам подписей.
Почему именно единая платформа?
Разделение защиты от мошенничества и монетизации A2P-платформ на две разные системы приводит к двойной потере доходов — сначала из-за нелегальных методов, а затем из-за налога на интеграцию. BroadNet использует один и тот же механизм для обнаружения мошенничества, обеспечения соблюдения политик и возврата доходов, с одним и тем же журналом аудита и одной и той же панелью управления оператора.
От начала проекта до внедрения системы контроля на уровне, пригодном для производственной эксплуатации, — включая базовый уровень пассивного зеркалирования, настройку пакета правил на основе собственного трафика оператора и рабочий процесс «создатель-проверяющий», который продвигает первое встроенное правило. Тот же путь, который прошли все развертывания первого уровня.
Как операторы развертывают
Никаких резких переходов. Каждый этап контролируется оператором и подтверждается измеримыми результатами — так же, как сети операторов связи фактически внедряют новое оборудование.
Развертывание в режиме пассивного зеркалирования на границе SMSC и SS7. Проверка 100% входящего A2P и P2P трафика с нулевым риском для доставки. Первый базовый тест на выявление мошенничества будет готов через 7 дней.
Вводится система оценки рисков на основе машинного обучения для каждого сообщения. Идентификатор отправителя, маршрут, содержимое, поведение и историческая репутация объединяются в единое значение риска. Операторы настраивают пороговые значения для каждого маршрута.
Контроль качества коммутации осуществляется для каждого маршрута, каждого партнера и каждого идентификатора отправителя. Серые маршруты, SIM-боксы и поддельные бренды блокируются на этапе передачи данных. Качество обслуживания абонентов улучшается немедленно.
Запрещенные к использованию объездные маршруты предлагаются отправителям по коммерческому тарифу A2P. Доходы от международных маршрутов A2P, ранее терявшиеся из-за «серых» маршрутов, возвращаются в прибыль и убытки оператора.
Политика и интеграция
Декларативные наборы правил YAML, API для оценки каждого сообщения и список разрешенных сообщений SS7 MAP, которые будут знакомы вашим инженерам STP — с контролем версий, поддержкой maker-checker и проверкой по умолчанию.
# /etc/broadnet/firewall/rules.d/grey-route.yaml# Drop SMPP traffic from non-commercial partnersrule: block_unauthorized_smpp match: bind_system_id: !in [partners.commercial.list] source_ip: !in [partners.allowlist.cidrs] action: quarantine bill_at: a2p_international_rate rule: smpp_simbox_velocity match: msisdn_velocity: "> 12/min" recipient_unique: "> 80% in 5m" content_homology: "> 0.92" action: block notify: fraud-ops@operator.tld rule: spoofed_bank_senders match: sender_id: !registered_in [tdra.sender_registry] content: matches /OTP|verification|password/i action: drop audit: regulator_report.csvСоответствие требованиям и сертификация
Ассоциированный член GSMA. Настройки брандмауэра соответствуют рекомендациям GSMA по безопасности обмена сообщениями и сигнализации ( FS-series ).
Соответствует Кодексу поведения MEF в отношении идентификаторов отправителей SMS и рекомендациям по обеспечению доверия в корпоративных коммуникациях.
Работает на инфраструктуре, сертифицированной по стандарту ISO 27001, с контролем SOC 2 Type II, размещением данных в соответствии с GDPR и полным журналом аудита.
Да. Система распознавания трафика разделяет P2P- и A2P-соединения, используя комбинацию привязки источника, источника сигнализации, формата идентификатора отправителя и поведенческого отпечатка. Уровень ложноположительных результатов P2P-сообщений в наших развертываниях уровня Tier-1 составляет менее 0,002% от проверенных MO — что находится в пределах допустимых значений, установленных регуляторами в юрисдикциях TDRA, CRA и NTRA. Мы отображаем уровень ложноположительных результатов для каждого сегмента в панели управления оператора, чтобы группы по регулированию могли проводить еженедельный аудит.
Все три варианта. Мы почти всегда начинаем работу в зеркальном режиме на пассивном ответвлении на границе SMSC и SS7 в течение 7–21 дня, что дает командам по борьбе с мошенничеством и регулированию чистую базовую линию без риска для доставки. После согласования пороговых значений контроля те же узлы переключаются в режим инлайна при доступности операторского класса. Гибридный режим распространен для сетей SMSC от разных производителей: инлайн на современных фронтендах первого уровня, зеркалирование за устаревшими устройствами SMSC.
Мы работаем прозрачно перед SMSC по стандартному протоколу SMPP 3.4/5.0 и за протоколом STP для SS7. Мы интегрировались со всеми основными поставщиками SMSC первого уровня и несколькими собственными стеками. Изменение конфигурации SMSC не требуется — межсетевой экран позиционирует себя как еще один партнер SMPP выше по цепочке и сохраняет порядок сообщений, сквозную передачу DLR и семантику CDR.
Модель обнаружения мошенничества ежедневно переобучается на размеченном трафике из собственных данных оператора (споры с RA, очереди жалоб, рекомендации регуляторов), смешанном с анонимизированными сигналами из глобального потока BroadNet. Критические сигнатуры (вновь обнаруженный набор фишинговых инструментов, новый шаблон скорости SIM-бокса) в течение нескольких минут внедряются в качестве активных правил нашей командой по борьбе с мошенничеством в Дубае. Операторы могут закрепить или наложить вето на любую версию модели с панели управления.
Да. Будучи ассоциированным членом GSMA, мы придерживаемся применимых рекомендаций GSMA по безопасности, и межсетевой экран поставляется с тестовыми пакетами IR.71, IR.81 и IR.82, чтобы ваша команда безопасности могла проводить регрессионное тестирование после каждого изменения правил. Категоризация по категориям 1 применяется для каждого 3 связи и каждого соединения, а механизм политик обеспечивает соблюдение рекомендованного GSMA подхода для каждой категории, включая скрытое отключение каналов категории 3 с журналом аудита, требуемое несколькими регуляторами MENA.
За каждое проверенное сообщение, сгруппированное по ежемесячному объему, без платы за привязку или соединение. Предусмотрены единовременные затраты на разработку и внедрение, а также небольшая ежегодная плата за техническое обслуживание, которая покрывает обновления сигнатур, работу группы по борьбе с мошенничеством и ежеквартальные обзоры архитектуры. Большинство внедрений первого уровня окупаются в течение первого квартала после начала применения мер за счет возврата доходов от A2P-преступлений.
Каждый вердикт записывается в защищенный от подделки журнал, который хранится в течение всего периода действия нормативных требований оператора (обычно 12–84 месяца). Модуль отчетности поставляется с шаблонами для TDRA (ОАЭ), CST (Саудовская Аравия), CRA (Катар), TRA (Оман), TRA (Бахрейн), NTRA (Египет), TRC (Иордания), ARPT (Алжир), ANRT (Марокко) и INT-T (Тунис). Ежеквартальные отчеты экспортируются в форматы CSV, XML или подписанный PDF.
Да. Пороговые значения имеют иерархическую структуру — по умолчанию для оператора → маршрут → партнер → бренд → идентификатор отправителя. Панель управления отображает фактический порог для каждого конкретного решения и позволяет вашей команде RA установить новый пороговый уровень на основе трафика за последние 30 дней, прежде чем переводить его в рабочую среду. Перевод в рабочую среду осуществляется на основе рабочего процесса «создатель-проверяющий» с полным журналом аудита.
Нужен бриф по архитектуре или рабочая встреча с нашими инженерами-разработчиками? Заказать оценку SMS-брандмауэра
Внутрисетевые SMS и межсетевые экраны SS7 блокируют нелегальные маршруты и мошенничество на уровне абонентской платы, в то время как легитимный трафик остается нетронутым.
30-минутная рабочая встреча с инженерами, которые внедряют это оборудование у ведущих операторов. Принесите свою карту маршрута и отчет о прибылях и убытках за прошлый квартал — мы укажем вам, где находится утечка.
Посмотрите, как межсетевой экран принимает решение по поводу тестового трафика.
Смишинг, SMS фишинг, подмена отправителя и обход «серого маршрута»: вердикт, причины, задержка и действия, рассмотренные с точки зрения оператора и предприятия.
Ресурсы
Техническое описание SMS-файрвол
Углубитесь в концепции, лежащие в основе этого продукта.