BroadNet SS7 güvenlik duvarı, SS7 sinyalleşmesini çekirdek ağa ulaşmadan önce satır içi denetleyerek mobil operatörler için sinyalleşme dolandırıcılığını ve gri rota A2P trafiğini durdurur. Uluslararası STP ile çekirdek ağınız arasında satır içi MAP/SCCP filtreleme yapan bir SS7 güvenlik duvarı. Gönderici adı kontrolü, rota doğrulaması, SRI-SM önbellek filtreleme, içerik filtreleme ve A2P monetizasyonu — hepsi tek bir sinyalleşme katmanı güvenlik duvarından. MENA bölgesindeki Tier-1 operatörlerinde konuşlandırılmıştır.
Uluslararası sinyalleşme yolu üzerinde tek bir güvenlik duvarı bulunur. Her bir MAP, CAP ve SCCP birimi IE bazında çözümlenir, GSMA FS.11'e göre kategorize edilir ve beş milisaniyenin altında bir sonuç döndürülür. Yeniden yönlendirme veya roaming kesintisi yaşanmaz.
Roaming ortaklarından ve gri rotalardan gelen uluslararası SS7 (SIGTRAN, M3UA) bağlantıları.
IE başına MAP, CAP ve SCCP çözümlemesi. Politika sorgulama için GT, AC, CdPA/CgPA, IMSI ve MSISDN normalleştirilmiştir.
Kategori 1/2/3 sınıflandırması, SRI-SM önbellek doğrulaması, gönderici adı ve rota kontrolleri, hız limitleri (velocity buckets).
İzin ver · değiştir · karantinaya al · engelle · monetize et. Rota, iş ortağı ve abone bazlı. Maker-checker onaylı kurallar.
Sadece doğrulanmış sinyaller ana ağa ulaşır. Karantinaya alınan mesajlar, dolandırıcılık ekibinin incelemesi için aynalanır.
Roaming ortaklarından ve gri rotalardan gelen uluslararası SS7 (SIGTRAN, M3UA) bağlantıları.
IE başına MAP, CAP ve SCCP çözümlemesi. Politika sorgulama için GT, AC, CdPA/CgPA, IMSI ve MSISDN normalleştirilmiştir.
Kategori 1/2/3 sınıflandırması, SRI-SM önbellek doğrulaması, gönderici adı ve rota kontrolleri, hız limitleri (velocity buckets).
İzin ver · değiştir · karantinaya al · engelle · monetize et. Rota, iş ortağı ve abone bazlı. Maker-checker onaylı kurallar.
Sadece doğrulanmış sinyaller ana ağa ulaşır. Karantinaya alınan mesajlar, dolandırıcılık ekibinin incelemesi için aynalanır.
STP seviyesinde çözümlenir, gerçek zamanlı olarak puanlanır ve beş milisaniyenin altında işleme alınır. Tek bir sinyalleşme katmanı motoru MAP, CAP ve SCCP'yi yönetir; tek bir politika DSL'i kuralları yazar; tek bir denetim deposu ise kanıtları saklar.
Sinyalleşme yolunda tek bir güvenlik duvarı. Herhangi bir mesaj SMSC, HLR veya MSC'nize ulaşmadan önce MAP, CAP ve SCCP çözülür, normalize edilir ve tek bir politika motoruna göre puanlanır.
SS7 ara bağlantısı için GSMA FS.11 ile uyumlu hazır kural paketleri. Kategori 1 ağ sınırını asla geçmez; Kategori 2 ana ağ kaynağına göre doğrulanır; Kategori 3 ise abone başına hız puanlamasına tabi tutulur.
Her mesaj; kaynak GT, SCCP CdPA/CgPA, uygulama bağlamı ve geçmiş örüntü üzerinden parmak iziyle tanımlanır. Anomali puanları; tek bir adımda izin ver, değiştir, karantinaya al veya düşür kararı veren bir politika DSL'ini besler.
AnyTimeInterrogation, ProvideSubscriberInfo, ProvideSubscriberLocation ve SendRoutingInfo suistimalleri ilk temasta yakalanır. IMSI–MSC–VLR demetlerini sorgulayan yabancı GT'ler, tek bir abone coğrafi konumu belirlenmeden önce engellenir.
MT-ForwardSM, IMSI / MSC / SMSC demeti tarafından canlı bir SRI-SM önbelleğine karşı doğrulanır. Sahte gönderici adları, A2P'in gri rotalara sızması ve SIM değişimi keşfi, SMSC bunları görmeden önce durdurulur, sonra değil.
Her sinyalleşme kararı, HMAC imzalı olay zincirleri ile müdahaleye karşı dayanıklı bir denetim deposuna kaydedilir. Mevzuata uygun dışa aktarımlar, rol tabanlı paneller ve olay yeniden oynatma özellikleri sayesinde NOC biriminiz, güvenlik duvarının gördüğünü kare kare görebilir.
Abonilere en çok zarar veren ve operatör gelir kaybının çoğuna neden olan beş sinyal saldırı sınıfı — ve güvenlik duvarının her birini yakaladığı katman.
Bankaları, markaları ve devlet hizmetlerini taklit etmek için uydurulan başlatıcı adresler. SRI-SM önbellek uyumsuzluğu ve gönderici adı sicili çapraz kontrolü ile yakalanır.
Yabancı GT'ler, bir abonenin hizmet veren hücresini üçgenlemek için HLR'yi sorgular. Ağ sınırında GSMA FS.11 Kategori 1 mesajları olarak engellenir.
Saldırganlar, sosyal mühendislik tabanlı SIM değişimlerinden önce IMSI–MSC eşleşmelerini sorgular. Kaynağa göre desen puanlaması yapılır ve ardından dolandırıcılık ekibinin incelemesi için karantinaya alınır.
Uluslararası gelir paylaşımı dolandırıcılığı, Wangiri döngüleri ve taklit edilmiş CLI'lar, aboneye ulaşmadan önce sinyalleşme katmanında engellenir.
Roaming ortakları aracılığıyla enjekte edilen, paraya dönüştürülmemiş kurumsal trafik. Anlaşılan ticari rotaya zorlanır — veya engellenerek gelir geri kazanılır.
İki MAP operasyonu, günümüzde düzenleyicilere ulaşan abone gizliliği ve OTP engelleme olaylarının orantısız bir kısmını açıklamaktadır. Güvenlik duvarı, olaylar yerel bir HLR veya SMSC'ye ulaşmadan önce, uluslararası uç noktada bunları kategorize eder, puanlar ve imzalar.
Gözetim operatörleri ve kötü niyetli kişiler tarafından bir abonenin gerçek dünyadaki konumunu üçgenleme yöntemiyle belirlemek için kullanılan ve bir hizmet hücresi kimliğine (cell ID) çözümlenen yabancı HLR probları. Güvenlik duvarı bunları GSMA FS.11 Kategori 1 olarak sınıflandırır ve ağ sınırında, düzenleyici dosya için imzalı bir denetim kaydıyla birlikte engeller.
Aboneyi hizmet veren MSC/SMSC ile eşleştiren SRI-SM sorguları, OTP ve 2FA trafiğinin MT-ForwardSM ele geçirilmesinden önceki keşif adımıdır. Güvenlik duvarı, her sorguyu 24 saatlik bir SRI-SM önbelleğine karşı doğrular; yabancı GT'lerden gelen önbellek kaçırma (cache-miss) sorguları, dolandırıcılık ekibinin incelemesi için karantinaya alınır.
Sinyalleşme katmanının; protokol uygulamasını, ticari politikayı ve davranış odaklı adaptasyonu aynı motor içerisinde gerçekleştirmesi gerekir. Üç temel sütun tek bir karar yolu olarak çalışır — sinyal birimi başına 5 ms'nin altında inceleme gecikmesi (latency) sağlanır — böylece doğru karar, ilk sıçramada (hop) doğru ağ bileşenine ulaşır.
Sinyalleşme katmanında protokol düzeyinde uygulama. MAP operasyonu izin/red, Global Title filtreleme, OPC/DPC nokta kodu kontrolleri, iş ortağı başına MCC/MNC koşulları. Hatalı veya bağlam dışı her sinyalleşme birimi kod çözme aşamasında düşürülür.
Veri olarak ifade edilen ticari ve operasyonel politika. Ortaklık anlaşmasına göre rota seçimi, ürün sınıfı politikaları (OTP, işlemsel, promosyonel) ve bypass trafiğinin üzerinde anlaşılan A2P kanallarına paraya dönüştürülmesi. Güvenlik duvarı sadece teknik özellikleri değil, sözleşmeyi uygular.
Canlı trafiğe uyum sağlayan, davranış odaklı uygulama. TPS eşikleri, ani trafik (burst) tespiti, günün belirli saatleri için pencereler, kaynak GT başına hız. Dinamik katman, statik kuralların yakalayamayacağını yakalar — yeni ortaya çıkan kampanyalar, yeni SIM-box çiftlikleri, ani roaming anomalileri.
Okunabilir YAML olarak ifade edilen FS.11 kategorizasyonu. MAP ve CAP operasyonları numaralandırılmamış, isim olarak belirtilmiştir. Gönderici adı, rota ve A2P kuralları maker-checker aracılığıyla teşvik edilir — versiyonlanmış, imzalanmış ve denetlenebilir.
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld
Zorluk: Abone konum takibi sorguları, yerel bir caydırıcı bulunmadığı için düzenleyici kurumların aktif bir endişesiydi. Yaklaşım: Uluslararası SS7 sınırında FS.11 kategorizasyonu ve spoof tespiti için bir SRI-SM önbelleği (cache).
Zorluk: Birden fazla tedarikçi yığınına sahip uluslararası STP'lar, üç aylık düzenleyici bildirimini manuel bir iş haline getiriyordu. Yaklaşım: Tek bir politika DSL'i, versiyonlanmış bir denetim izi ile her uç noktada kural uygulamasını birleştirdi.
Zorluk: Ulusal düzenleyici kurum, yıllık inceleme sırasında kısa sürede FS.11 uyumluluk kanıtı talep etti. Yaklaşım: Kural paketi versiyonlama işlemi, tek bir çalıştırmada imzalı bir manifestoya ek olarak bir IR.71 / IR.82 regresyon raporu oluşturdu.
Uluslararası STP ile çekirdek sisteminiz arasında yer alır. Her mesaj bir HLR, SMSC veya MSC'ye ulaşmadan önce güvenlik duvarından geçer — ve her karar gerçek zamanlı olarak NOC biriminize aktarılır.
Active-active çifti, uluslararası sinyalleşme yolu üzerinde konumlanır. Kararlar gerçek zamanlı olarak uygulanır — engelle, izin ver, değiştir, paraya dönüştür.
Temel veri oluşturma ve analitik için STP'den yansıtılan veri akışı. Politika ve yanlış pozitif oranları stabilize olduğunda doğrudan uygulama (in-line enforcement) aşamasına geçin.
Uluslararası uç nokta (edge) hat içi (in-line), yerel çekirdek ise tespit et ve uyar (detect-and-alert) modunda çalışır. Ortak politika katmanı, ortak denetim deposu ve tek bir operatör paneli.
SS7 ara bağlantısı (interconnect) için GSMA FS.11 kategorizasyonu varsayılan olarak uygulanır ve BroadNet sinyalleşme güvenliği ekibi tarafından yönetilir; talep üzerine düzenleyiciye hazır dışa aktarımlar sağlanır.
Evet. Güvenlik duvarı bir SCCP/SIGTRAN sinyalizasyon eşi (peer) olarak görünür ve operatörlerin bugün karma tedarikçi yığınlarında çalıştırdığı ortak STP platformlarıyla entegre olur. Uluslararası nokta kodlarını güvenlik duvarı çifti üzerinden yönlendirmek dışında herhangi bir STP yönlendirme tablosu müdahalesi gerekmez.
Neredeyse her zaman 14–30 gün boyunca STP'den alınan bir out-of-band ayna (mirror) ile başlarız. Bu, güvenlik ve RA ekiplerine uluslararası trafik için temiz bir temel sağlar ve FS.11 kural paketini operatörün gerçek roaming ortağı karmasına göre optimize etmemize olanak tanır. Yanlış pozitif aralığı yazılı olarak onaylandıktan sonra, güvenlik duvarı inline active-active moduna geçer. Hibrit yapı (uluslararası uçta inline, yerel çekirdekte mirror) yaygın olan kararlı durumdur.
BroadNet sinyalizasyon güvenliği ekibi, her çeyrekte versiyonlanmış bir kural paketi yayınlar ve yeni tehdit istihbaratı için hızlı düzeltme yamaları (hot-fix) birkaç gün içinde sunulur. Her kural paketi, ekibinizin yayına almadan önce regresyon testi yapabilmesi için IR.71, IR.81 ve IR.82 uygunluk test paketleriyle birlikte gelir. Operatör, panel üzerinden herhangi bir versiyonu sabitleyebilir veya veto edebilir; hiçbir şey otomatik olarak canlı ortama (production) alınmaz.
İncelenen sinyal birimi (MAP/CAP) başına, aylık hacme göre kademelendirilmiştir. Bağlantı başına, nokta kodu başına veya Erlang başına ücret alınmaz. STP entegrasyonu için tek seferlik bir NRE ve kural paketi güncellemelerini, tehdit istihbaratı akışını ve üç aylık mimari incelemeleri kapsayan küçük bir yıllık bakım ücreti bulunmaktadır. Operatörler genellikle geri kazanılan A2P geliri ve önlenen dolandırıcılık kaybı sayesinde yatırımın geri dönüşünü görürler.
Evet. Politika DSL'i, güvenlik ekibimizin kurum içinde kullandığı ile aynıdır. Operatörler; ikili dolaşım (roaming) anlaşmalarını uygulamak, yetkili kolluk kuvvetlerinin konum sorgularını beyaz listeye almak, belirli bypass akışlarını engellemek yerine bunları paraya dönüştürmek ve kararları kurum içi SIEM ve dolandırıcılık platformlarına iletmek için rutin olarak kurallar yazarlar. Özel kurallar, tam denetim izi ile bizimkilerle aynı maker-checker onay sürecinden geçer.
TTL varsayılan olarak 24 saattir ve operatör başına ayarlanabilir. Önbellek, gözlemlenen meşru SRI-SM verileriyle doldurulur ve her başarılı MT-ForwardSM işleminde yenilenir. RA ekiplerinin ani bir önbellek kaçırma (cache miss) artışını (genellikle bir taklit kampanyasının veya bir ortağın SMSC GT bilgilerini yenilemesinin ilk belirtisidir) tespit edebilmesi için ortak GT başına isabet oranı (hit rate), kaçırma oranı (miss rate) ve karantina oranını sunuyoruz.
Evet. Her karar HMAC tarafından imzalanır, değiştirilmesi engellenmiş bir depolama alanına yazılır ve operatörün yasal saklama süresi boyunca tutulur. TRC (Ürdün), CST (Suudi Arabistan), NCC (Nijerya), TDRA (BAE), CRA (Katar), TRA (Umman), TRA (Bahreyn), ARPT (Cezayir), ANRT (Fas) ve INT-T (Tunus) için önceden hazırlanmış dışa aktarma şablonları sunuyoruz. Dışa aktarma modülü, aynı zamanda birçok MENA düzenleyicisinin lisans yenileme sırasında talep ettiği FS.11 uygunluk beyannamesini de oluşturur.
Kararlı durumda, gerçek roaming ortaklarına yönelik hatalı pozitifler çok düşüktür. Oranı haftalık olarak ölçeriz ve panelde ortak başına numarayı gösteririz, böylece RA ekipleri bunu her zaman görebilir. Aynalama modu (mirror-mode) hazırlık aşaması, uygulama devreye girmeden önce bu sınırların üzerinde mutabık kalınması ve onaylanması için mevcuttur.
FS.11 uygunluk beyanına mı yoksa sinyalleşme mühendislerimizle bir çalışma oturumuna mı ihtiyacınız var? Sinyalleşme güvenliği incelemesi talep edin
SMSC sisteminize giden SMPP arayüzü üzerinde çalışan uygulama katmanı SMS güvenlik duvarı.
SS7, SIGTRAN ve SIP için sağlayıcı bağımsız yakalama ve korelasyon — tamamlayıcı zeka katmanı.
Çoklu yönlendirme, çoklu dil ve birleşik faturalandırma özellikli barındırılan SMSC.
Güvenlik duvarı, SMSC, sinyalleşme ve rotalar genelinde gerçek zamanlı gözlemlenebilirlik.
Bir operatör bilgilendirmesi planlayın. 24/7 BroadNet NOC desteğiyle desteklenen FS.11 kategorizasyonunu, SRI-SM önbelleğini, A2P monetizasyon modelini ve ağınız için dağıtım planını size açıklayalım.
Kaynaklar
SS7 Güvenlik Duvarı veri sayfası
Bu ürünün arkasındaki kavramları daha derinlemesine inceleyin.