SMSC防火墙 · 应用层 · 适用于MNO

SMSC防火墙，内置AI内容过滤。

应用层短信防火墙部署在您的SMSC前端，实时检测每条入向消息——提供内容过滤、发送者认证、速率限制、智能路由以及机器学习驱动的反欺诈功能。在垃圾短信、网络钓鱼和未经授权的流量到达您的核心网之前将其拦截，并内置收入保障功能。

预约短信防火墙评估预估A2P漏损挽回

我们同时也发送A2P流量。它遵循与其他发送者相同的防火墙规则通过，且您的团队拥有最终判定权。防火墙如何处理我们的流量

MNO级安全防护GSMA准会员内置营收保障功能

实时·短信防火墙

防火墙智能技术

e& Egypt

运营商部署

+23%

A2P营收，第一年

60+

防火墙部署

中立性与治理

我们也发送A2P流量。以下是您的防火墙如何处理这些流量。

BroadNet既销售企业短信服务，也销售用于过滤短信的防火墙，因此运营商提出的第一个问题非常合理：防火墙会对BroadNet自身的流量做什么？答案已内置于每项部署的运行方式中。

“正因为同一家供应商向我们的企业客户销售CPaaS，数据才能与报告完全吻合。”

中东及北非（MENA）一级移动运营商批发与消息服务负责人（匿名）

与运营商工程师共同审查治理模型

对所有发送者执行统一规则

BroadNet自身的企业流量通过与所有其他聚合商和发送者相同的防火墙及规则到达您的用户。不存在供应商豁免。

规则集与判定权由您掌控

您的欺诈与收入保障团队拥有规则的所有权。每一次变更都经过版本控制并需要第二人审批（复核机制），且误报白名单由运营商控制。每一项判定均为您网络的决策，数据始终归您所有。

基于记录进行审计与争议处理

每项决策都会记录触发的规则，并可导出为CSV、JSON或PDF格式，用于合作伙伴争议和监管查询。针对BroadNet流量的争议将依据与其他争议相同的记录进行裁定。

符合GSMA FS.11

规则类别遵循GSMA FS.11和FS.19，因此您的团队和监管机构可以根据已发布的行业框架来审查防火墙，而非供应商的私有分类法。

网络部署架构

从互联接入
到洁净交付，仅需 5 跳。

防火墙透明地部署在您的互联伙伴与您的SMSC之间。每一条入站A2P和P2P消息在触达核心网之前，都会经过检查、评分和决策——处理速度达到信令级，并保持消息顺序。

01 · 入站
入站SMPP / SS7
MO和A2P流量通过互联合作伙伴的SMPP绑定和SS7链路进入SMSC和STP。
0增加跳数
02 · 防火墙
DPI + ML
对TPDU、发送者ID、内容、UDH及信令来源进行实时检测。单条消息风险评分范围为0–1.0，处理延迟在亚毫秒级。
p99 < 1.4ms
03 · 策略
判定引擎
匹配规则评分、通道、合作伙伴及品牌。判定结果：通过 · 隔离 · 拦截 · 记录。
p50 < 0.6ms
04 · 核心
运营商SMSC
清洗后的流量将转发至运营商现有的SMSC。无乱序，无重复。
保持顺序
05 · 终端
用户
用户仅接收合规且已计费的消息。被隔离的流量可按A2P国际费率重新提供。
仅限合法消息
← CDR · 监管日志 · RA争议馈送

01 · 入站

入站SMPP / SS7

MO和A2P流量通过互联合作伙伴的SMPP绑定和SS7链路进入SMSC和STP。

0增加跳数

02 · 防火墙

DPI + ML

对TPDU、发送者ID、内容、UDH及信令来源进行实时检测。单条消息风险评分范围为0–1.0，处理延迟在亚毫秒级。

p99 < 1.4ms

03 · 策略

判定引擎

匹配规则评分、通道、合作伙伴及品牌。判定结果：通过 · 隔离 · 拦截 · 记录。

p50 < 0.6ms

04 · 核心

运营商SMSC

清洗后的流量将转发至运营商现有的SMSC。无乱序，无重复。

保持顺序

05 · 终端

用户

用户仅接收合规且已计费的消息。被隔离的流量可按A2P国际费率重新提供。

仅限合法消息

功能特性

一个防火墙。六个欺诈潜伏点。

AI内容过滤、发送者认证、速率限制、智能路由和机器学习反欺诈——运营商所需的每项控制功能，均在SMSC实时在线运行。

深度包检测

在SMSC和信令边缘检查每一个MAP、SMPP和HTTP提交。解码TPDU、发送者ID、内容、编码、UDH报头——且不破坏消息顺序。

SMPPMAP/SS7HTTP

基于机器学习的欺诈评分

基于来自真实一级运营商标注流量训练的单条消息风险评分。在新型垃圾信息特征、钓鱼工具包和绕路模式出现后数小时内即可检测到。

0.0–1.0分值自我重训运营商白名单

SIM Box检测

涵盖发送速率、IMSI变更、接收者多样性、信令来源及内容同质性的行为指纹识别。在SIM卡池侵蚀您的落地费率之前将其识别出来。

速率IMSI流失地理围栏

发送者ID仿冒检测

对每个字母数字发送者进行加密和基于注册的验证。在短信到达用户之前，拦截针对银行、政府和移动运营商的品牌仿冒行为。

基于注册信息银行级实时

拦截灰色通道

根据商业协议进行通道验证。将SS7来源、SMPP账户和源IP与运营商的已变现合作伙伴列表进行交叉核对。绕过的流量将被丢弃或隔离以便变现。

单通道策略隔离自动计费

发送者ID报备集成

与国家及运营商私有的发送者ID报备系统原生集成。根据司法管辖区强制执行注册发送者，实现品牌入驻自动化，并生成符合监管要求的审计日志。

国家注册机构按品牌审计日志

威胁覆盖范围

每一个A2P威胁、控制措施及结果。

攻击向量	防火墙控制	结果
灰色通道与SIM农场A2P绕过	根据商业协议进行通道验证，并针对发送频率、IMSI变更和内容同质性进行SIM box指纹识别。	绕路流量在以线速处理的同时被丢弃或隔离，以实现变现。
发送者ID仿冒与品牌冒充	基于注册库，针对每个字母数字发送者向运营商和国家发送者ID注册库进行验证。	在仿冒银行、政府和移动运营商的行为到达用户之前将其拦截。
短信钓鱼与网络钓鱼内容	通过具备自我训练能力的机器学习欺诈引擎，对TPDU、内容、编码和URL进行深度包检测并评分。	恶意内容和链接将根据策略进行隔离，而合规的A2P流量不受影响。
未注册/跨司法管辖区的发送者	按各司法管辖区要求，强制执行国家级及运营商私有的发送者ID注册库规则。	仅注册的发起者可通过验证；其余消息将被拦截并保留，同时生成符合监管要求的日志以供入驻。
SS7注入及非网内提交	SS7 MAP来源白名单将与变现合作伙伴列表进行交叉检查。	违规的SS7来源在触及核心网之前会被标记并丢弃。
垃圾短信洪流与吞吐量突发	按通道划分的频率区间及单条消息风险评分。	洪流流量会被早期限流；同时确保合法流量和消息顺序不受影响。

三支柱规则引擎

技术。业务。动态。一个判定。

应用层需要在同一个引擎中实现协议强制执行、商业策略以及感知行为的自适应。这三大支柱作为一个决策路径运行——每条消息增加的延迟低于10毫秒。

支柱01

技术规则

协议级执行。MAP操作允许/拒绝（细粒度的MAP_MT_FORWARD_SM与MAP_SEND_ROUTING_INFO控制）、OPC/DPC点码过滤、Global Title控制、以及针对每个合作伙伴的MCC/MNC条件。任何格式错误的信令单元在解码时均会被丢弃。

MAP控制GT过滤OPC/DPCMCC/MNC

支柱02

业务规则

将商业策略转化为数据。根据合作伙伴协议进行通道选择，执行产品类别规则（OTP、交易类、推广类），并将绕路流量向约定的A2P通道进行变现。防火墙执行的是合同，而非仅仅是技术规范。

按合作伙伴按产品路由策略变现

支柱03

动态控制

具备行为感知能力的执行机制。包括TPS阈值、突发检测、时段窗口、每个来源GT或SMPP账户的速率。动态层可以捕捉静态规则无法识别的内容——如新兴的营销活动、新出现的SIM box农场以及突发的漫游异常。

TPS阈值突发时间窗口速率

反流量生成 · ATG

持续不断的机器学习与启发式调优。

反流量生成（Anti Traffic Generation）是持续学习层，确保防火墙始终领先于灰色通道运营商。模型利用运营商自身的基准数据，并结合来自更广泛BroadNet检测平面的匿名化信号进行重新训练。启发式规则保持人类可读，以便欺诈团队可以对任何特征进行审计、定位或否决。

持续重新训练基于运营商的真实数据可审计启发式算法复核机制推广

SIM box行为特征

速率与突发指纹

来自少量MSISDN池的持续亚秒级速率，这是SIM银行轮换模式的典型特征。针对每个通道学习阈值和突发形态。

接收者多样性熵

目标MSISDN的香农熵较高，而内容熵较低 —— 这是典型的SIM-box特征。

发送者模式同质化

内容重复但发送者轮换、从未注册过的字母数字发送者、以及发送者格式与表面地理位置不符。

信令源异常

声称的源GT、MCC/MNC与消息实际进入网络的SCCP路径之间存在不匹配。

内容与身份控制

已批准的发送者。已批准的模板。可信的链接。

通过三项控制措施，共同弥补“消息在技术上有效”与“消息应当允许送达订阅者”之间的差距。

发送者ID+模板白名单

注册企业提交经批准的发送者ID和消息模板。入站流量将与白名单进行匹配——经批准的发送者使用经批准的模板时几乎畅通无阻；未知发送者则面临更严格的评分。支持多语言和Unicode，包括复杂文字。

按品牌划分的模板
批量导入 / 导出
语言感知

URL与域名信誉

提取所有URL，并根据实时信誉源进行标准化评分，以识别已知的网络钓鱼工具、恶意软件分发器以及新注册的仿冒域名。可疑链接会在线路上直接丢弃整条消息，确保用户无法看到。

实时馈送
相似特征检测
单通道策略

SMPP账户控制

针对每个账户进行身份验证、吞吐量配额、允许的内容类别、允许的发送者ID前缀以及允许的目标范围——在绑定时强制执行，并在每次提交时重新校验。SMPP账户是核心策略对象，而不仅仅是凭据。

每个绑定通道的吞吐量
允许的内容
允许的发送者

生产规模

为运营商级业务量打造，而非实验室基准。

平台目前的实际容量范围——涵盖了通过BroadNet检测平面路由其A2P、P2P和漫游短信的运营商。

10K+

持续TPS

每个集群在SMPP和SS7上的检测能力。

60+

运营商网络

运营商网络在整个中东及北非、非洲和亚洲地区运行着BroadNet的防火墙。

1,000+

运营商直连

为全球威胁情报基线提供数据的运营商覆盖。

挽回收入仪表板

安全与变现，尽在一屏。

每一条被拦截、隔离或重新计费的消息都会追溯到具体的通道、合作伙伴、发送者或签名。收入回收视图与防护视图并列显示——使财务、收入保障（RA）和安全团队能够基于相同的单一事实来源进行分析，并按通道和签名类别进行细分。

按通道归因按签名拆解财务 · RA · 安全CSV · API导出

为何选择单一平台

一体化安全平台与变现。

将欺诈防护与A2P变现拆分在两个不同的技术栈中，会导致收入遭受双重损失——一次流向灰色通道，另一次则损失在集成成本上。BroadNet在同一个引擎上运行检测、策略执行和收入回收，并共享相同的审计追踪和运营商仪表板。

检测平面

策略DSL

审计与财务日志

生存时间

约在15个工作日内上线。

从项目启动到生产级执行平面——包括被动镜像基线、基于运营商自身流量的规则包调优，以及推动首条串联规则生效的双人复核流程。每个一级运营商部署都走过同样的路径。

镜像基准规则调优在线切换运营商移交

运营商部署方式

通过四个步骤从镜像实现变现。

无需大规模切换。每个阶段都以运营商审批和可衡量的证据为准——这正是运营商网络采用新型在线设备的方式。

STEP 01

探测

在SMSC和SS7边缘以被动镜像模式部署。100%检查入站A2P和P2P流量，对送达率零风险。7天内即可完成首个欺诈基准分析。

STEP 02

评分

单条消息机器学习评分上线。发送者ID、通道、内容、行为和历史信誉被整合为单一风险值。运营商可按通道调整阈值。

STEP 03

阻断

按通道、按合作伙伴、按发送者ID切换执行策略。灰色通道、SIM box和仿冒品牌将在网关层面被拦截。用户体验将立即提升。

STEP 04

变现

被隔离的绕路流量将以商业A2P费率提供给发起方。此前因灰色通道流失的国际A2P收入将重新回到运营商的损益表中。

策略与集成

您的欺诈团队真正看得懂的规则。

声明式YAML规则集、单条消息评分API以及STP工程师能够识别的SS7 MAP白名单——支持版本控制、双人复核机制，并默认进行审计。

fw.operator.local · prod

Example

1# /etc/broadnet/firewall/rules.d/grey-route.yaml
2# Drop SMPP traffic from non-commercial partners
3rule: block_unauthorized_smpp
4  match:
5    bind_system_id: !in [partners.commercial.list]
6    source_ip:      !in [partners.allowlist.cidrs]
7  action: quarantine
8  bill_at: a2p_international_rate
9 
10rule: smpp_simbox_velocity
11  match:
12    msisdn_velocity:   "> 12/min"
13    recipient_unique:  "> 80% in 5m"
14    content_homology:  "> 0.92"
15  action: block
16  notify: fraud-ops@operator.tld
17 
18rule: spoofed_bank_senders
19  match:
20    sender_id: !registered_in [tdra.sender_registry]
21    content:   matches /OTP|verification|password/i
22  action: drop
23  audit:  regulator_report.csv

合规与认证

电信级、经过审计、符合监管要求。

GSMA准会员

GSMA准会员 — 符合安全标准

GSMA协会成员。防火墙控制符合GSMA的消息服务和信令安全指南（FS系列）。

MEF行为准则

移动生态论坛

符合MEF的短信发送者ID行为准则及企业通信信任指南。

ISO 27001 · SOC 2

信息安全基准

运行在通过ISO 27001认证且具备SOC 2 Type II控制、GDPR数据驻留功能及完整审计追踪的架构之上。

GSMAISO 27001ISO 9001ISO 22301SOC 2GDPRMEF

运营商尽职调查

八个答案
用于RFI入围名单。

是的。判定引擎结合源绑定、信令来源、发送者ID格式和行为指纹，将P2P与A2P区分开来。我们在一级部署中的P2P误报率低于受检MO的0.002%，完全处于TDRA、CRA和NTRA司法管辖区监管机构的容忍范围内。我们在运营商仪表板中公开每个分类的误报率，以便RA团队每周进行审计。

以上三者皆是。我们几乎总是先在SMSC和SS7边缘通过被动分流进行7–21天的镜像模式运行，这为反欺诈和RA团队提供了一个干净的基准，且不会对送达产生风险。一旦执行阈值达成一致，相同的节点将以电信级可用性切换为在线模式。对于多供应商SMSC环境，混合模式很常见：在现代一级前端使用在线模式，在传统SMSC设备后使用镜像模式。

我们透明地部署在标准SMPP 3.4 / 5.0的SMSC之前，并位于SS7的STP之后。我们已完成与所有主要的Tier-1 SMSC供应商以及多个自研技术栈的集成。无需进行任何SMSC配置更改——防火墙本身表现为上游的另一个SMPP合作伙伴，并能保持消息顺序、DLR透传以及CDR语义。

欺诈模型每晚都会根据运营商自身的真实数据（RA争议、投诉队列、监管机构公告）与来自BroadNet全球数据源的匿名信号进行混合训练。关键特征（例如新发现的钓鱼工具包、新的SIM box速度模式）会在几分钟内由我们迪拜的欺诈运营团队作为热规则推送。运营商可以通过控制面板固定或否决任何模型版本。

是的。作为GSMA的准会员，我们遵循适用的GSMA安全指南，且防火墙附带IR.71、IR.81和IR.82测试包，以便您的安全团队在每次规则变更后进行回归测试。类别1/2/3的分类将应用于每个链路和每个绑定，策略引擎会根据类别执行GSMA推荐的处理方式——包括中东和北非（MENA）多家监管机构要求的带有审计轨迹的类别3静默丢弃。

根据检查的消息按月发送量分档计费，不收取单次绑定或单次链路费用。集成需支付一次性NRE费用，并需支付少量的年度维护费，用于涵盖签名更新、欺诈运营团队以及季度架构审查。大多数Tier-1部署仅通过回收的A2P收入，即可在执行后的第一个季度内实现回本。

每项判定结果都会写入防篡改日志，并按运营商的监管窗口期（通常为12–84个月）进行保留。报告模块内置了针对TDRA（阿联酋）、CST（沙特）、CRA（卡塔尔）、TRA（阿曼）、TRA（巴林）、NTRA（埃及）、TRC（约旦）、ARPT（阿尔及利亚）、ANRT（摩洛哥）和INT-T（突尼斯）的模板。季度报表可导出为CSV、XML或签名PDF格式。

是的。阈值采用层级结构——运营商默认值→通道→合作伙伴→品牌→发送者ID。控制面板会显示任何给定判定结果的有效阈值，并允许您的营收保障（RA）团队在将新阈值投入生产之前，针对过去30天的流量进行A/B测试。所有上线操作都必须通过具有完整审计追踪的“经办人-复核人”工作流进行审批。

需要架构简报或与我们的运营商工程师进行工作会议吗？预约短信防火墙评估

电信级

在信令层实现防护与变现。

网络内短信和SS7防火墙能以线速拦截灰色通道和欺诈，同时确保合法流量不受影响。

200+

国家

99.99%

可用性