01 · 覆盖范围
您的互联防火墙无法察觉的威胁。
国际防火墙保护来自海外的入站A2P。内部短信风暴、网内网络钓鱼、本地SIM行为的灰色通道以及针对本地银行的发送者ID仿冒都源自网络内部——因此需要在内部部署防火墙。
On-net应对的威胁
将国际防火墙与本地核心防火墙配对使用的运营商
一级GCC运营商MENA运营商集团泛非运营商南亚MNO加勒比运营商区域MVNO多国运营商集团黎凡特地区MNO
运营形态
旨在确保足够安全，以便明天即可启用。
无在线风险的在线检测。每条规则在执行拦截前均以监控模式运行；每个决策均可追溯至触发它的规则。
检测
<10ms
增加的延迟
每条消息的端到端内联开销。
部署
监控
优先模式
每条规则在执行拦截前，均可先进行仅记录模式运行。
决策
4
操作类型
允许、拦截、限流、标记并路由。
运营模式
3
支持层级
共同管理、自助服务或全托管。
内联 · 代理
位于
本地SMSC之前的一跳。
防火墙位于每个流量源与您的消息核心之间——包括SMPP、HTTP、内部API、内部应用、外部合作伙伴——并在消息触达本地SMSC之前对其进行检查。
- 01 · 入站流量来源
SMPP、HTTP、内部API——无论是内部应用还是外部合作伙伴。所有进入消息核心的路径均在管控范围内。
p50 < 2ms - 02 · 分类分类
检测到的类型：A2P、P2P、闪呼、测试流量、系统消息。在任何规则触发前完成上下文标记。
p50 < 1ms - 03 · 策略规则引擎
结合内容、行为及上下文规则。支持按通道、按发送者、按分段及按时段进行管控。
p50 < 5ms - 04 · 执行决策
允许 · 拦截 · 限流 · 打标并路由。每项决策都会连同触发它的规则一并记录。
p50 < 1ms - 05 · 转发本地SMSC
批准的流量转发至本地SMSC。拦截的流量被丢弃，并保留证据记录。
p50 < 1ms - ← 决策日志 · 证据包
01 · 入站
流量来源
SMPP、HTTP、内部API——无论是内部应用还是外部合作伙伴。所有进入消息核心的路径均在管控范围内。
p50 < 2ms
02 · 分类
分类
检测到的类型：A2P、P2P、闪呼、测试流量、系统消息。在任何规则触发前完成上下文标记。
p50 < 1ms
03 · 策略
规则引擎
结合内容、行为及上下文规则。支持按通道、按发送者、按分段及按时段进行管控。
p50 < 5ms
04 · 执行
决策
允许 · 拦截 · 限流 · 打标并路由。每项决策都会连同触发它的规则一并记录。
p50 < 1ms
05 · 转发
本地SMSC
批准的流量转发至本地SMSC。拦截的流量被丢弃，并保留证据记录。
p50 < 1ms
运营商为何将本地与国际防护结合使用
本地核心网威胁需要本地核心网防火墙。
即使运营商已在互联点部署了国际防火墙，仍需在本地SMSC部署专用防火墙，原因有四。
02 · 延迟
低于10毫秒每条消息增加的延迟——在线实时处理，适用于生产环境。
如果在线检测会带来明显的延迟，那么它将无法投入使用。该防火墙专为消息核心的快速路径决策而设计，并根据您自身的SMSC基准进行持续测量。
<10ms增加的延迟
03 · 安全
监控模式首先。每一条规则。每一次。
在没有针对真实流量进行仅日志记录测试并证明其误报率之前，任何规则都不会拦截生产流量。升级为强制执行只需进行一次变更并附带完整的审计追踪，且每一次拦截都是可逆的。
Log-only强制执行前
04 · 治理
您掌控政策— BroadNet提供技术支持。
运营商定义的策略与BroadNet建议之间有明确的分离。针对敏感规则变更设有审批工作流。提供完整的审计追踪，记录谁在何时更改了什么以及原因。
RBAC+审批流
四种操作类型
每一条消息，
都对应四种结果之一。
规则引擎结合内容、行为和上下文信号，但其采取的操作始终是四种结果之一。每项操作均可审计、可逆，并首先以监控模式进行部署。
01
允许
正常通过通道发送至本地SMSC。无限制。记录批准该操作的规则，以供审计。
02
阻断
拒绝该消息并记录原因。保留证据以供RA/监管机构/品牌保护查询。
03
限流
按发送者、IP、账户或合作伙伴应用速率上限。消息继续发送，但流量受到控制。
04
标签 · 通道
附加元数据或重定向至备选路径，以进行特殊处理、变现或进一步检查。
服务层级
您希望自行运营的规模有多大？
三种运营模式。大多数运营商在试点阶段采用共同管理模式，待熟悉规则集后，再转为团队更倾向的任何一种模式。
01 · Co-managed
由您的NOC主导，我们的工程师全程协作。
您的团队负责日常运营：规则编辑、告警分拣及变更窗口。BroadNet支持复杂的调优、威胁情报更新及事件升级。
- 联合规则审查
- 季度调优会议
- 针对重大事件提供24/7升级响应
02 · Self-service
您负责运营，我们提供平台。
拥有对策略框架的完全控制权。BroadNet提供培训、文档、操作手册以及针对平台级问题的升级渠道。非常适合拥有成熟安全团队的运营商。
- 运营商管理策略
- 培训+操作手册
- 平台级升级
03 · Fully-managed
BroadNet运行防火墙，您制定策略。
BroadNet负责规则管理、监控、调优及事件响应。运营商设定策略方向并审核每月结果。这是开销最小的方案。
- BroadNet运营的NOC
- 月度业务回顾
- 端到端所有权
功能特性
本地防火墙具备的六大功能。
短信风暴防护
内部系统配置错误会导致循环，可能在几分钟内瘫痪本地SMSC。通过设置单源速率限制、突发检测和自动限流，在客服部门接到投诉前即可拦截流量风暴。
突发检测自动限流单源限额
发送者ID仿冒防护
与品牌方协作，维护经批准的银行、政府及OTT发送者ID白名单。拦截相似名称、大小写混淆的冒充者以及声称拥有受保护身份的未注册发送者。
品牌白名单相似名称检测审计追踪
闪呼与语音验证码关联分析
将用于OTP验证的重复短时通话与短信活动进行关联。您可以根据业务需求决定：拦截、允许并监控，或路由至付费通道。查看/operators/flash-call.相关链接
语音 ↔ 短信策略驱动报告
灰色通道治理
通过消费者SIM卡传输的A2P流量会绕过商业协议。模式分析可识别您自有网络上的SIM行为；被拦截的流量可为监管机构（RA）团队提供证据。
A2P vs P2PSIM-box模式风险评估证据
监控模式规则
每条规则在正式生效拦截前，均可先以仅记录模式运行。通过真实生产流量进行验证，测量误报率，随后即可一键升级为强制执行模式，并保留完整的变更日志。
先进行仅记录模式测试误报率测量一键升级执行
取证与风险评估证据
提供包含触发规则的详细消息日志，支持导出为CSV / JSON / PDF格式，以应对合作伙伴争议和监管查询。保留期限可根据您的IT和合规政策进行配置。
CSV / JSON / PDF规则归属防篡改
威胁覆盖范围
网内威胁、本地控制及最终结果。
| 攻击向量 | 本地防火墙控制 | 结果 |
|---|---|---|
| 内部短信风暴与循环 | 在本地核心网执行针对每个源的速率限制、突发检测和自动限流。 | 在本地SMSC被攻破前，风暴已被遏制。 |
| 本地银行的网内发送者ID仿冒 | 品牌协同白名单，具备仿冒检测、大小写混淆检测及未注册发送者检测功能。 | 通过完整的审计追踪，拦截仿冒本地品牌行为。 |
| 网内A2P灰色通道（本地SIM box） | 在您的自有网络上进行A2P与P2P模式分析及SIM设备指纹识别。 | 绕过被拦截的消息，并为RA团队提供证据。 |
| 闪呼与语音验证码滥用 | 根据策略，将短时验证通话与短信活动进行关联分析。 | 拦截、监控或路由至付费通道——这是商业决策，而非盲目丢弃。 |
| 规则变更可能导致误报 | 每条规则在正式执行前，都会针对实时流量以“仅日志”监控模式运行。 | 首先测量误报率；通过一次可审计的点击即可升级为强制执行模式。 |
运营商应用场景示例
本地防火墙的变化内容
生产环境中的变化。
一级GCC运营商电信 · 海湾地区
挑战：配置错误的内部营销平台开始向全体用户循环发送相同的通知短信，威胁到高峰时段的SMSC负载。方案：内部源限速功能已在监控模式下部署，并在变更窗口期内升级为强制执行模式。
消息服务运营主管
监控 → 执行
规则路径
MENA运营商集团电信 · 黎凡特
挑战：当地主要银行的发送者ID仿冒行为正在削弱用户对短信作为验证渠道的信任。方案：通过与银行合作，导入经批准的发送者ID白名单，并对近似匹配及未注册身份进行类品牌检测。
欺诈与滥用线索
证据
符合监管要求
泛非运营商电信 · 撒哈拉以南
挑战：来自OTT供应商的闪呼OTP流量在不产生收入的情况下消耗了语音信令资源，且无法与合法的短通话区分开来。方案：语音↔短信关联规则识别出了重复模式的闪呼；商业策略选择对高流量来源进行变现，并拦截其余流量。
营收保障经理
策略驱动
拦截vs变现
支持本地化部署，符合审计要求，并获得我们所服务的所有市场的监管认可。
ISO27001ISO9001ISO22301GSMA成员GDPR准备就绪TDRAUAECSTKSA
买家常见问题
八个买家常见问题，
在研讨会开始前为您解答。
国际防火墙负责保护来自海外的流量——它们部署在互联节点。本地SMSC防火墙部署在您的本地SMSC前端或与之并列，用于保护消息核心。它能够应对源自您内部网络或绕过国际防护的威胁：包括内部系统配置错误、网内垃圾短信、通过本地SIM box的灰色通道、针对本地品牌的发送者ID仿冒以及闪呼滥用。这两种解决方案相辅相成，大多数运营商都会同时部署。
端到端每条消息通常低于10毫秒。检测和决策过程在优化的内存路径上实时运行。作为参考，正常的网络波动通常在50–100 ms之间，因此防火墙带来的延迟仅为其中的一小部分。我们会在试点期间测量并公布每条规则的延迟。
每条规则都可以先以监控模式部署——它会记录每一次匹配，但不会进行拦截。您可以准确查看哪些内容会被拦截，从而衡量误报率，并在确认无误后才将规则升级为强制执行模式。如果强制执行后确实发生了误报，详细日志会显示触发该规则的具体内容，您可以在几分钟内调整规则或将发送者加入白名单。
两种模式均可行。提供三个层级：全托管（由BroadNet运营防火墙，您负责设置策略）、共同管理（您的团队负责日常操作，BroadNet支持复杂的调优和突发事件处理）以及自助服务（您负责所有操作，BroadNet提供培训、文档和平台层级的升级支持）。大多数运营商在试点期间从共同管理模式开始，随后转向其团队更倾向的任何一种模式。
防火墙通常部署在您数据中心内的本地环境。消息内容会进行实时分析且不会被保留——仅记录元数据和规则匹配证据。日志保留和访问控制遵循您内部的IT及合规政策。未经您的明确批准，任何内容都不会离开您的网络。
典型的合作流程始于您的网络、安全和IT团队与BroadNet工程师之间的技术研讨会，随后是对部分通道或合作伙伴进行试点（所有规则最初均以仅监控模式运行），最后是逐步实施强制执行。在大多数部署中，从研讨会到全面强制执行的完整路径需要几个月时间，具体时间表取决于环境复杂程度以及您希望的规则调优频率。
详细的消息日志可将每一项决策归因于产生该决策的规则。被拦截的灰色通道尝试、SIM box模式流量以及未经授权的A2P-as-P2P投递，均可作为证据包（CSV / JSON / PDF）导出，用于合作伙伴争议和监管机构查询。收入保障（RA）团队可以获得可追溯的证据，证明此前难以察觉的损失已被量化并解决。
是的。防火墙通过API和syslog与常见的监控栈、工单系统和SIEM平台集成。安全事件会出现在您的团队已经在使用的业务流程中。具体的集成方案将在技术研讨会期间进行评估。
没有您想问的问题？请咨询我们的工程团队
