# Межсетевой экран SS7 против мошенничества в сигнализации и серых маршрутов

- Канонический URL: https://www.broadnet.me/ru/operators/ss7-firewall
- Язык: ru
- Последнее обновление: 2026-10-10
- Издатель: BroadNet (https://www.broadnet.me)
- Markdown-версия страницы, созданная из опубликованной страницы.

Межсетевой экран SS7 SMS · Операторского класса

Остановите серые маршруты. Монетизируйте A2P. Защитите уровень сигнализации.

SS7-файрвол BroadNet блокирует сигнальное мошенничество и A2P-трафик по серым маршрутам для мобильных операторов, проверяя сигнализацию SS7 в линии до того, как она попадёт в опорную сеть. Межсетевой экран SS7 со встроенной фильтрацией MAP/SCCP между международным STP и вашей основной сетью. Контроль идентификатора отправителя, проверка маршрута, фильтрация кэша SRI-SM, фильтрация контента и монетизация A2P — все это с помощью единого межсетевого экрана сигнального уровня. Внедрено операторами первого уровня в регионе MENA.

[Запросить проверку безопасности сигналов](https://www.broadnet.me/ru/contact?topic=signaling-security&product=ss7-firewall) [Обсудите защиту сети.](https://www.broadnet.me/ru/contact?topic=network-protection&product=ss7-firewall)

<5ms

Задержка проверки

99.99%

Время безотказной работы в линии

1,000+

Соединения MNO

Поток сигнализации · пример данных

stp-edge-01 · mena-1

Заблокировано

12,842

Разрешено

184,902

На карантине

317

Op · Origin GT Вердикт

- AnyTimeInterrogation GT 882 16xxxxx Cat 1 BLOCK ↳ Попытка отслеживания местоположения
- MT-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Совпадение в кэше SRI-SM
- MT-ForwardSM GT 234 80xxxxx Cat 2 BLOCK ↳ Поддельный источник · Утечка A2P
- ProvideSubscriberInfo GT 7 921xxxxx Cat 1 BLOCK ↳ Иностранный запрос HLR
- MO-ForwardSM GT 971 50xxxxx Cat 3 ALLOW ↳ Соответствие идентификатора отправителя в реестре
- CAP InitialDP GT 850 2xxxxxx Cat 3 QUARANTINE ↳ Паттерн Wangiri · частота
- SendRoutingInfo GT 880 17xxxxx Cat 1 BLOCK ↳ Разведка IRSF

Набор правил FS.11 · v2026.1 <5 ms / msg

Задержка при проверке

<5ms

Каждый блок MAP, CAP и SCCP декодируется, оценивается и обрабатывается в режиме in-line на уровне STP

Доступность в режиме in-line

99.99%

Пары межсетевых экранов в режиме active-active на международном сигнальном пути

MNO соединений

1,000+

Прямые подключения к операторам, прямые привязки в 86 странах с 2003 года

Операторы Tier-1

MENA

Развернуто у операторов Tier-1 по всему региону MENA

Как он располагается в плоскости сигнализации

## От международного STP до ядра домашней сети — за 5 переходов.

Один межсетевой экран на международном сигнальном пути. Каждый блок MAP, CAP и SCCP декодируется для каждого информационного элемента, классифицируется по GSMA FS.11, и вердикт выдается менее чем за пять миллисекунд. Никакой перемаршрутизации, никакого нарушения роуминга.

1. 01 · Вход Международная СТП Международные каналы SS7 (SIGTRAN, M3UA) принимают входящий трафик от партнеров по роумингу и через серые маршруты. без дополнительных переходов
2. 02 · Декодировать межсетевой экран сигнализации Декодирование MAP, CAP и SCCP на уровне IE. Нормализация GT, AC, CdPA/CgPA, IMSI, MSISDN для поиска по политикам. декодирование < 0,8 мс
3. 03 · Оценка FS.11 · SRI-SM Классификация категорий 1/2/3, валидация кэша SRI-SM, проверка sender ID и маршрутов, анализ интенсивности (velocity buckets). оценка < 2,0 мс
4. 04 · Вердикт Политика DSL Разрешить · изменить · поместить в карантин · сбросить · монетизировать. На уровне маршрута, партнера или абонента. Правила, прошедшие проверку maker-checker. вердикт < 1,0 мс
5. 05 · Ядро HLR / SMSC / MSC До домашней сети доходят только подтвержденные сигналы. Сообщения, помещенные в карантин, дублируются для проверки группой по борьбе с мошенничеством. общий p99 < 5 мс
6. ← signed audit · regulator export · NOC stream

01 · Вход

Международная СТП

Международные каналы SS7 (SIGTRAN, M3UA) принимают входящий трафик от партнеров по роумингу и через серые маршруты.

без дополнительных переходов

02 · Декодировать

межсетевой экран сигнализации

Декодирование MAP, CAP и SCCP на уровне IE. Нормализация GT, AC, CdPA/CgPA, IMSI, MSISDN для поиска по политикам.

декодирование < 0,8 мс

03 · Оценка

FS.11 · SRI-SM

Классификация категорий 1/2/3, валидация кэша SRI-SM, проверка sender ID и маршрутов, анализ интенсивности (velocity buckets).

оценка < 2,0 мс

04 · Вердикт

Политика DSL

Разрешить · изменить · поместить в карантин · сбросить · монетизировать. На уровне маршрута, партнера или абонента. Правила, прошедшие проверку maker-checker.

вердикт < 1,0 мс

05 · Ядро

HLR / SMSC / MSC

До домашней сети доходят только подтвержденные сигналы. Сообщения, помещенные в карантин, дублируются для проверки группой по борьбе с мошенничеством.

общий p99 < 5 мс

Что делает межсетевой экран

## Шесть уровней, один сигнальный механизм.

Расшифровка на уровне STP, оценка в реальном времени и выполнение действий менее чем за пять миллисекунд. Один механизм сигнального уровня обрабатывает MAP, CAP и SCCP; один DSL для политик пишет правила; одно хранилище аудита хранит доказательства.

### Инспекция сигнализации SS7

Один межсетевой экран на сигнальном пути. MAP, CAP и SCCP декодируются, нормализуются и проверяются единым механизмом политик до того, как сообщение достигнет вашего SMSC, HLR или MSC.

Протоколы

MAP·CAP·SCCP

Расшифровка

По каждому IE

Режим

Inline / вне полосы

### Применение политик категории GSMA FS.11

Готовые наборы правил, соответствующие GSMA FS.11 для SS7 интерконнекта. Категория 1 никогда не пересекает границу сети; Категория 2 проверяется на соответствие домашней сети; Категория 3 оценивается по скорости (velocity score) для каждого абонента.

FS.11

Кат. 1–3

Граница

Кат. 1 блокируется

Обновления

Ежеквартально

### Оценка угроз в режиме реального времени

Каждое сообщение идентифицируется по следующим параметрам: исходный GT, SCCP CdPA/CgPA, контекст приложения и исторический шаблон. Показатели аномалий передаются в DSL-интерфейс для принятия решений о разрешении, изменении, помещении в карантин или удалении сообщений на одном этапе.

Подсчет очков

По каждому сообщению

Сигналы

Множество

Действия

5 действий

### Обнаружение отслеживания местоположения

Злоупотребления AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation и SendRoutingInfo выявляются при первом контакте. Иностранные GT, запрашивающие кортежи IMSI–MSC–VLR, блокируются до определения местоположения хотя бы одного абонента.

АТИ

Блокируется

ПСЛ

Проверка источника

ШРИ

Проверка по кэшу

### SMS-мошенничество на уровне сигнализации

MT-ForwardSM проверяется по реальному кэшу SRI-SM с помощью кортежа IMSI / MSC / SMSC. Поддельные идентификаторы отправителя, утечка A2P-трафика на «серые» маршруты и разведка подмены SIM-карт предотвращаются до того, как их обнаружит SMSC, а не после.

кэш SRI

TTL 24 ч

Пародия

Блокируется

Утечка A2P

Возвращён

### Журналирование судебно-бухгалтерского аудита

Каждое сигнальное решение сохраняется в защищенном от несанкционированного доступа хранилище аудита с цепочками событий, подписанными HMAC. Экспорт данных, готовый к использованию регулирующими органами, панели мониторинга на основе ролей и воспроизведение инцидентов — ваш центр управления сетью видит то, что видел межсетевой экран, кадр за кадром.

Удержание

12 мес.

Подпись

HMAC

Экспорт

Регулятору

каталог угроз

## То, что мы видим, пересекая вашу границу.

Пять классов сигнальных атак, которые наносят наибольший ущерб абонентам и приводят к наибольшим потерям доходов операторов, а также уровень, на котором межсетевой экран обнаруживает каждую из них.

### подмена SMS

MAP · MT-ForwardSM

Адреса отправителя подделываются для имитации банков, брендов и государственных служб. Обнаружено с помощью несоответствия кэша SRI-SM и перекрестной проверки реестра идентификаторов отправителя.

### Отслеживание местоположения

MAP · ATI / PSI / PSL

Иностранные GT запрашивают HLR для триангуляции обслуживающей соты абонента. Блокируются на границе сети как GSMA FS.11 сообщения Категории 1.

### Разведка с целью замены SIM-карты

КАРТА · SendIMSI / UpdateLocation

Злоумышленники проверяют наличие связей IMSI–MSC перед проведением операций по обмену данными с использованием методов социальной инженерии. Данные оцениваются по каждому источнику, после чего данные помещаются в карантин для проверки группой специалистов по борьбе с мошенничеством.

### Мошеннические звонки и подмена CLI

CAP · InitialDP / SS7 IAM

Международное мошенничество с распределением доходов, петли Wangiri и поддельные CLI, перехваченные на уровне сигнализации до того, как они поступят к абоненту.

### Утечки A2P и серые маршруты

MAP · MT-ForwardSM

Немонетизированный корпоративный трафик, перенаправляемый через роуминговых партнеров. Направляется по согласованному коммерческому маршруту — или блокируется, а полученная прибыль возвращается.

Каталог атак · Слой карты

## За большинством случаев злоупотребления сигнальными системами стоят две операции MAP.

Две операции MAP объясняют непропорционально большую долю инцидентов, связанных с нарушением конфиденциальности абонентов и перехватом одноразовых паролей, которые сегодня попадают в руки регулирующих органов. Межсетевой экран обрабатывает оба типа инцидентов на международном уровне — классифицирует, оценивает и подписывает — прежде чем они достигнут домашнего HLR или SMSC.

GSMA FS.11 Категории 1 и 2

FS.11 · Категория 1 Падение границы

MAP_PROVIDE_SUBSCRIBER_INFO

### Отслеживание местоположения

Иностранные зондирующие сигналы HLR, которые определяют идентификатор обслуживающей соты, используются операторами слежки и злоумышленниками для триангуляции реального местоположения абонента. Межсетевой экран классифицирует их как GSMA FS.11 Категория 1 и отбрасывает на границе сети, добавляя подписанную запись в журнал аудита для файла регулятора.

Влияние оператора · Компромисс в отношении конфиденциальности абонента

FS.11 · Категория 2 Падение границы

MAP_SEND_ROUTING_INFO_FOR_SM

### подготовительная работа по перехвату SMS-сообщений

Запросы SRI-SM, сопоставляющие абонента с обслуживающим его MSC/SMSC, представляют собой этап разведки перед перехватом трафика OTP и 2FA с помощью MT-ForwardSM. Межсетевой экран проверяет каждый запрос по 24-часовому кэшу SRI-SM; запросы, не попавшие в кэш, от иностранных GT помещаются в карантин для проверки группой по борьбе с мошенничеством.

Влияние оператора · Включение обхода OTP/2FA

механизм правила трех столпов

## Технический. Деловой. Динамичный. Один вердикт.

На уровне сигнализации необходимо обеспечить соблюдение протокола, реализовать коммерческую политику и адаптироваться с учетом поведения в одном и том же механизме. Три основных компонента работают как единый путь принятия решений — задержка проверки на единицу сигнализации составляет менее 5 мс — поэтому правильный вердикт достигает нужного элемента сети на первом этапе.

Столб 01

### Технические правила

Применение протокольных мер на уровне сигнализации. Разрешение/запрет операций MAP, глобальная фильтрация заголовка, управление точечными кодами OPC/DPC, условия MCC/MNC для каждого партнера. Каждый некорректный или не соответствующий контексту сигнальный блок отбрасывается при декодировании.

MAP разрешить/запретить фильтр GT OPC/DPC MCC/MNC

Столб 02

### Бизнес-правила

Коммерческая и операционная политика, выраженная в виде данных. Выбор маршрута в соответствии с партнерским соглашением, политика в отношении классов продуктов (OTP, транзакционные, рекламные), монетизация обходного трафика по согласованным каналам A2P. Межсетевой экран обеспечивает соблюдение контракта, а не только спецификации.

Политика маршрутизации На каждого партнера OTP против промо Монетизация обход

Столб 03

### Динамическое управление

Применение правил с учетом поведения пользователей, адаптирующееся к реальному трафику. Пороговые значения TPS, обнаружение всплесков трафика, временные окна, скорость трафика для каждого источника. Динамический уровень выявляет то, что не могут статические правила — новые кампании, новые фермы SIM-боксов, внезапные аномалии роуминга.

Пороговые значения TPS Обнаружение вспышки Временные окна Скорость

Задержка проверки менее 5 мс

за единицу сигнализации · декодирование + оценка + вердикт

Все распространенные производители сигнального оборудования Активные пары STP SIGTRAN M3UA · M2PA · SUA Инспекция MAP · CAP · SCCP Вдоль линии · перед SMSC Возможность внеполосного подключения

Политика DSL

## Правила, которые ваши инженеры по сигнализации уже учитывают.

Классификация FS.11 представлена в виде читаемого YAML-файла. Операции MAP и CAP имеют имена, а не номера. Идентификатор отправителя, правила маршрутизации и A2P передаются через средство проверки авторизации — версионируются, подписываются и подлежат аудиту.

ss7fw.operator.local · rule pack v2026.1

Пример

```
1# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml2# GSMA FS.11 Category 1 — never crosses the network boundary3rule: cat1_ati_block4  match:5    application_context: anyTimeInterrogation6    origin: !is_home_network7  action: drop8  audit: regulator.signal_event9  fs_tag: FS.11-CAT110 11rule: cat1_psi_block12  match:13    application_context: provideSubscriberInfo14    origin: !is_home_network15  action: drop16  fs_tag: FS.11-CAT117 18# Category 2 — origin must be validated against home-network MAP19rule: cat2_sri_sm_validate20  match:21    application_context: sendRoutingInfoForSM22  validate:23    msc_id: from sri_sm_cache(ttl=24h)24  on_mismatch:25    action: quarantine26    notify: fraud-ops@operator.tld
```

Иллюстративные сценарии для операторов

## Что такое защита сигналов? Похоже, что производство идёт полным ходом.

Оператор первого эшелона в странах ССАГПЗ MNO · ССАГПЗ SA

Задача: зондирование местоположения абонентов вызывало активную обеспокоенность регулятора, а внутренних сдерживающих мер не было. Подход: категоризация по FS.11 на международной границе SS7 плюс кэш SRI-SM для обнаружения подмены.

Руководитель по безопасности сигнализации

Кат. 1

Запросы местоположения блокируются на границе

SRI-SM

Обнаружение подмены активно

Группа MNO в Западной Африке MNO · Западная Африка NG

Задача: международные STP на стеках нескольких вендоров превращали ежеквартальную отчётность для регулятора в ручную работу. Подход: единый DSL политик унифицировал применение правил на всех границах с версионируемым журналом аудита.

Руководитель по сетевой безопасности

Унифицировано

Один пакет правил для каждой границы STP

Карантин

SMS серых маршрутов задерживаются для проверки

MNO в Леванте MNO · Левант JO

Задача: национальный регулятор в сжатые сроки потребовал доказательства соответствия FS.11 в ходе ежегодной проверки. Подход: версионирование пакетов правил сформировало подписанный манифест и отчёт регрессионного тестирования IR.71 / IR.82 за один прогон.

Старший инженер по сигнализации

Подписано

Манифест соответствия FS.11

IR.82

Регрессия за один прогон

Где оно находится

## Международная сигнализация на въезде. Свободный выезд.

Соединение между международным протоколом STP и вашей магистральной сетью. Каждое сообщение проходит через межсетевой экран, прежде чем достигнет HLR, SMSC или MSC, и каждое решение передается в ваш центр управления сетью в режиме реального времени.

Международный STP

SS7 / SIGTRAN

Партнер по роумингу

SS7 / MAP

Серый маршрут

Ненадежный GT

BroadNet Signaling Firewall

Активный / Активный

Декодирование

Идентификатор отправителя

Проверка маршрута

кэш SRI-SM

Фильтр содержимого

Гео / источник

Ограничение частоты

Policy DSL

Журнал аудита

HLR

SMSC

MSC

Billing

Варианты развертывания

### В линию на очистных сооружениях

ACTIVE / ACTIVE

Активная пара находится на международном сигнальном пути. Решения принимаются в режиме реального времени — блокировка, разрешение, изменение, монетизация.

### Внеполосный отвод

DETECT ONLY

Зеркальное отображение данных из STP для установления базовых показателей и анализа. Переход к встроенному контролю за соблюдением правил произойдет после стабилизации показателей политики и количества ложноположительных результатов.

### Гибридная периферия + ядро

EDGE + CORE

Международная периферия работает в режиме онлайн, внутреннее ядро — в режиме обнаружения и оповещения. Единая плоскость политик, единое хранилище аудита, единая панель управления оператора.

Согласие

## Соответствует стандартам, с которыми уже ознакомился ваш регулирующий орган.

Классификация GSMA FS.11 для межсоединений SS7 применяется по умолчанию и поддерживается группой обеспечения безопасности сигнализации BroadNet, при этом экспорт, готовый к одобрению регулирующими органами, осуществляется по запросу.

Ассоциированный член GSMA

BroadNet является ассоциированным членом GSMA

GSMA FS.11

Категоризация безопасности интерконнекта SS7 (Cat 1–3)

Revenue assurance (гарантия доходности)

Встроенные инструменты для монетизации A2P и борьбы с серыми маршрутами

Экспорт регулятора

Отчеты по сигнализации по отдельным странам по запросу

Проверка благонадежности оператора

## Восемь ответов для включения в короткий список запросов информации.

Да. Межсетевой экран представляется как сигнальный пир SCCP/SIGTRAN и интегрируется с общими STP-платформами, которые используют операторы, в средах с оборудованием разных вендоров. Не требуется вмешательства в таблицы маршрутизации STP, кроме перенаправления международных point-кодов через пару межсетевых экранов.

Как правило, мы начинаем с зеркалирования трафика (out-of-band mirror) с STP на 14–30 дней. Это дает командам по безопасности и RA чистую базу данных международного трафика и позволяет нам настроить набор правил FS.11 под реальный состав роуминговых партнеров оператора. Как только объем ложноположительных срабатываний согласован в письменном виде, межсетевой экран переключается в режим inline active-active. Гибридный режим (inline на границе международного трафика и mirror в домашнем ядре) является стандартным рабочим состоянием.

Команда BroadNet по безопасности сигналов выпускает версионированный пакет правил каждый квартал, а исправления для новых угроз выпускаются в течение нескольких дней. Каждый пакет правил поставляется с пакетами тестов на соответствие стандартам IR.71, IR.81 и IR.82, чтобы ваша команда могла провести регрессионное тестирование перед его внедрением. Оператор закрепляет или отклоняет любую версию с панели управления — ничего не внедряется автоматически в рабочую среду.

За каждую проверенную единицу сигнализации (MAP/CAP), с разбивкой по ежемесячному объему. Без оплаты за каждый канал, point-код или Erlang. Предусмотрен разовый NRE за интеграцию с STP и небольшая ежегодная плата за техническую поддержку, которая покрывает обновление наборов правил, фид данных об угрозах (threat-intel) и ежеквартальный аудит архитектуры. Операторы обычно окупают затраты за счет возврата A2P выручки и предотвращения потерь от фрода.

Да. DSL-политика — это тот же язык, который наша команда безопасности использует внутри компании. Операторы регулярно пишут правила для соблюдения соглашений о двустороннем роуминге, внесения в белый список разрешенных запросов геолокации от правоохранительных органов, монетизации определенных обходных потоков (bypass flows) вместо их блокировки, а также для передачи вердиктов во внутренние SIEM-системы и платформы защиты от фрода. Пользовательские правила проходят тот же процесс проверки «maker-checker», что и наши, с полным аудиторским следом.

По умолчанию TTL составляет 24 часа и может быть настроен для каждого оператора. Кэш заполняется на основе наблюдаемых легитимных SRI-SM и обновляется при каждом успешном MT-ForwardSM. Мы отображаем коэффициент попаданий, коэффициент промахов и коэффициент карантина для каждого партнерского GT, чтобы команды реагирования на инциденты могли обнаружить внезапный всплеск промахов кэша (обычно это первый признак кампании по подделке или повторной генерации ключей партнером для своего SMSC GT).

Да. Каждое решение подписывается HMAC-сертификатом, записывается в защищенное от подделки хранилище и сохраняется в течение всего периода действия лицензии оператора. Мы поставляем готовые шаблоны экспорта для TRC (Иордания), CST (Саудовская Аравия), NCC (Нигерия), TDRA (ОАЭ), CRA (Катар), TRA (Оман), TRA (Бахрейн), ARPT (Алжир), ANRT (Марокко) и INT-T (Тунис). Модуль экспорта также формирует манифест соответствия FS.11, который теперь запрашивают несколько регуляторов стран Ближнего Востока и Северной Африки при продлении лицензии.

В стабильном режиме количество ложноположительных срабатываний (false positives) в отношении добросовестных партнеров по роумингу крайне низко. Мы еженедельно измеряем этот показатель и отображаем данные по каждому партнеру в панели управления, чтобы команды RA всегда имели к ним доступ. Фаза тестирования в зеркальном режиме (mirror-mode) предусмотрена именно для того, чтобы согласовать и утвердить эти границы до момента активации правил.

Нужен манифест соответствия стандарту FS.11 или рабочая встреча с нашими инженерами по сигнализации? [Запросить аудит безопасности сигнализации](https://www.broadnet.me/ru/contact?topic=signaling-security&product=ss7-firewall)

## Сопутствующие товары для операторов

[Все продукты операторов](https://www.broadnet.me/ru/operators)

[SMS-брандмауэр Межсетевой экран SMS прикладного уровня, расположенный на интерфейсе SMPP вашего SMSC. Узнать больше](https://www.broadnet.me/ru/operators/sms-firewall) [Сигнальная и разведывательная информация CDR Независимый от поставщика механизм захвата и корреляции данных для SS7, SIGTRAN и SIP — сопутствующий интеллектуальный уровень. Узнать больше](https://www.broadnet.me/ru/platforms/signaling-cdr) [Шлюз SMSC Размещенный на сервере SMSC с поддержкой многомаршрутизации, многоязычности и единой системой выставления счетов. Узнать больше](https://www.broadnet.me/ru/operators/smsc-gateway) [Система производительности Наблюдение в реальном времени за работой межсетевого экрана, SMSC, сигнализации и маршрутов. Узнать больше](https://www.broadnet.me/ru/platforms/performance-system)

Защита сигналов · операторского класса

## Защитите систему сигнализации. Прекратите использование «серых» маршрутов.

Запланируйте инструктаж для операторов. Мы подробно расскажем о категоризации FS.11, кэше SRI-SM, модели монетизации A2P и плане развертывания вашей сети — при поддержке круглосуточной службы NOC BroadNet.

[Запросить проверку безопасности сигналов](https://www.broadnet.me/ru/contact?topic=signaling-security&product=ss7-firewall) [Обсудите защиту сети.](https://www.broadnet.me/ru/contact?topic=network-protection&product=ss7-firewall)

$ ss7fw --policy fs11 --mode inline --audit signed

Ресурсы

Техническое описание SS7-файрвол

[Скачать описание· PDF, 100 кБ](https://www.broadnet.me/resources/datasheets/broadnet-ss7-firewall-datasheet.pdf) [Технические описания продуктов](https://www.broadnet.me/ru/resources)

Связанные руководства и ответы

Углубитесь в концепции, лежащие в основе этого продукта.

[Что такое SS7 Читать](https://www.broadnet.me/ru/answers/what-is-ss7) [Как работает система безопасности SS7 и Diameter Читать](https://www.broadnet.me/ru/answers/ss7-signaling-security) [Как работает система безопасности сигнализации Diameter Читать](https://www.broadnet.me/ru/answers/diameter-signaling-security) [Как работает система предотвращения мошенничества в телекоммуникационной отрасли Читать](https://www.broadnet.me/ru/answers/telecom-fraud-prevention)