只提供有价值的信息，杜绝冗余。
SS7与Diameter信令安全的工作原理
信令防火墙部署在互联节点的串联位置，在每个入站SS7 MAP和4G Diameter操作到达HLR、HSS或MSC之前对其进行检查。每条消息都会根据GSMA类别规则、发送者的全局标题（Global Title）信誉以及合理性（例如：该漫游更新在地理位置上是否合理？）进行校验，随后执行放行、限流或丢弃。所有决策均会被记录以供审计。参见/answers/what-is-ss7和/answers/ss7-map-explained.
它能拦截的威胁
通过SendRoutingInfoForSM信息收集获取用户的IMSI和服务MSC以进行位置追踪；ProvideSubscriberInfo和AnyTimeInterrogation位置查询；通过恶意MT-ForwardSM拦截短信；以及4G网络上对应的Diameter攻击。详见 /answers/ss7-map-send-routing-info-for-sm、/answers/ss7-map-provide-subscriber-info 和 /answers/diameter-s6a-explained。
GSMA标准：IR.82, IR.88, FS.07和FS.11
GSMA IR.82制定了SS7安全实施指南和第1/2/3类消息分类；IR.88涵盖了LTE/EPC的Diameter漫游；FS.07定义了SS7监控，FS.11定义了SS7互联安全控制。这些规范共同指导运营商根据对等体来决定拦截、限流或允许哪些跨网操作。参见/answers/gsma-fs07-fs11-signaling-firewall.
运营商获益
保护用户免受追踪和拦截，符合监管要求及GSMA合规性，提供防篡改的信令审计追踪，并能够将信令与A2P流量关联，以捕捉跨越两个层面的欺诈行为。BroadNet将信令防火墙与短信防火墙以及CDR智能结合，实现统一的策略视图。请参阅/operators/ss7-firewall和/platforms/signaling-cdr.
局限性与实际运行情况
信令防火墙的效能取决于其类别规则和信誉库——过度拦截会破坏合法的漫游，而调优不足则会导致攻击泄露。它必须同时覆盖SS7和Diameter，因为网络运行的是混合2G/3G/4G核心网，且它无法查看加密的5G基于服务的信令，后者需要独立的SEPP控制。请参阅/answers/what-is-sigtran.
SS7防火墙对比短信防火墙——区别在哪里？
SS7（信令）防火墙管控网络控制面 —— 即MAP和Diameter操作 —— 以阻止位置追踪和拦截。短信（A2P）防火墙管控应用层 —— 即消息内容、发送者ID和SMPP送达 —— 以阻止短信钓鱼和灰色通道。它们防御不同的层级，且协同部署时效果最强。BroadNet同时提供这两项服务。详见 /operators/sms-firewall和 /operators/ss7-firewall.