SS7信令检测
在信令路径上部署单一防火墙。在任何消息到达您的SMSC、HLR或MSC之前，MAP、CAP和SCCP都会经过解码、规范化，并根据单一策略引擎进行评分。
协议
MAP·CAP·SCCP
解码
按IE
模式
内联 / 带外
SS7短信防火墙 · 电信级
针对信令欺诈和灰色通道的SS7防火墙
停止使用灰色通道。实现A2P变现。保护信令层。
BroadNet SS7防火墙在SS7信令进入核心网之前进行内联检测，为移动运营商拦截信令欺诈和灰色路由A2P流量。在国际STP与您的核心网络之间提供内联MAP/SCCP过滤的SS7防火墙。具备发送者ID控制、通道验证、SRI-SM缓存过滤、内容过滤以及A2P变现功能 —— 这一切都通过单一的信令层防火墙实现。已部署于中东和北非地区的一级运营商。
<5ms
检测延迟
99.99%
在线可用性
1,000+
MNO连接
信令流 · 示例数据
stp-edge-01 · mena-1已拦截
12,842
已允许
184,902
隔离
317
Op · Origin GT判定
- AnyTimeInterrogationGT 882 16xxxxxCat 1BLOCK↳ 位置追踪尝试
- MT-ForwardSMGT 971 50xxxxxCat 3ALLOW↳ SRI-SM缓存匹配
- MT-ForwardSMGT 234 80xxxxxCat 2BLOCK↳ 仿冒来源 · A2P泄露
- ProvideSubscriberInfoGT 7 921xxxxxCat 1BLOCK↳ 国外HLR探测
- MO-ForwardSMGT 971 50xxxxxCat 3ALLOW↳ 发送者ID注册匹配
- CAP InitialDPGT 850 2xxxxxxCat 3QUARANTINE↳ Wangiri模式 · 速率
- SendRoutingInfoGT 880 17xxxxxCat 1BLOCK↳ IRSF侦测
FS.11规则包 · v2026.1<5 ms / msg
检测延迟
<5ms
所有MAP、CAP和SCCP单元均在STP端进行实时解码、评分和决策。
在线可用性
99.99%
国际信令路径上的双活防火墙对
MNO连接
1,000+
运营商直连，在86个国家拥有直连绑定，始于2003年
一线运营商
MENA
已部署于中东和北非地区的一级运营商
其在信令面上的
从国际 STP
到本地核心网，仅需 5 跳。
在国际信令路径上部署一个防火墙。每个MAP、CAP和SCCP单元都会按IE进行解码，并根据GSMA FS.11进行分类，在五毫秒内返回判定结果。无需重新路由，不会中断漫游。
- 01 · 入站国际STP
国际SS7（SIGTRAN，M3UA）通过漫游合作伙伴和灰色通道接收入站连接。
无额外跳转 - 02 · 解码信令防火墙
MAP、CAP和SCCP逐IE解码。GT、AC、CdPA/CgPA、IMSI、MSISDN已归一化，用于策略查询。
解码 < 0.8ms - 03 · 评分FS.11 · SRI-SM
类别1/2/3分类、SRI-SM缓存验证、发送者ID和通道检查、速率桶。
评分 < 2.0ms - 04 · 判定策略DSL
允许 · 修改 · 隔离 · 丢弃 · 变现。支持按通道、按合作伙伴、按用户进行判定。采用双人复核机制的规则管理。
判定 < 1.0ms - 05 · 核心功能HLR / SMSC / MSC
仅允许经过验证的信令到达归属网络。被隔离的消息将镜像备份，供欺诈团队审查。
总p99 < 5ms - ← 已签名审计 · 监管导出 · NOC流
01 · 入站
国际STP
国际SS7（SIGTRAN，M3UA）通过漫游合作伙伴和灰色通道接收入站连接。
无额外跳转
02 · 解码
信令防火墙
MAP、CAP和SCCP逐IE解码。GT、AC、CdPA/CgPA、IMSI、MSISDN已归一化，用于策略查询。
解码 < 0.8ms
03 · 评分
FS.11 · SRI-SM
类别1/2/3分类、SRI-SM缓存验证、发送者ID和通道检查、速率桶。
评分 < 2.0ms
04 · 判定
策略DSL
允许 · 修改 · 隔离 · 丢弃 · 变现。支持按通道、按合作伙伴、按用户进行判定。采用双人复核机制的规则管理。
判定 < 1.0ms
05 · 核心功能
HLR / SMSC / MSC
仅允许经过验证的信令到达归属网络。被隔离的消息将镜像备份，供欺诈团队审查。
总p99 < 5ms
防火墙功能
六层架构，单一信令引擎。
在STP进行解码，实时评分，并在五毫秒内执行。一个信令层引擎处理MAP、CAP和SCCP；一个策略DSL编写规则；一个审计存储库保存证据。
GSMA FS.11类别强制执行
开箱即用的规则包符合GSMA FS.11标准，用于SS7互联。第1类消息绝不跨越网络边界；第2类消息针对归属网络来源进行验证；第3类消息根据用户进行速率评分。
FS.11
第1–3类
边界
Cat 1丢弃
更新
每季度
实时威胁评分
每条消息都会根据源GT、SCCP CdPA/CgPA、应用上下文及历史模式进行指纹识别。异常评分将输入策略DSL，从而在单跳内决定允许、修改、隔离或丢弃。
评分
按条
信号
多重
操作
5个动词
位置追踪检测
AnyTimeInterrogation、ProvideSubscriberInfo、ProvideSubscriberLocation和SendRoutingInfo的滥用行为在首次接触时就会被拦截。探测IMSI–MSC–VLR元组的外国GT会在定位单个用户之前被拦截。
ATI
已拦截
PSL
已通过来源检查
SRI
缓存验证
信令层短信欺诈
MT-ForwardSM通过IMSI / MSC / SMSC元组针对实时SRI-SM缓存进行验证。在SMSC察觉之前，仿冒发送者ID、A2P向灰色通道泄露以及SIM交换侦察就会被拦截。
SRI缓存
24h TTL
仿冒
已拦截
A2P泄漏
已恢复
取证审计日志
每一项信令决策都会提交至具有HMAC签名事件链的防篡改审计存储中。提供符合监管要求的导出功能、基于角色的仪表板和事件回放——您的NOC可以逐帧查看防火墙所观察到的内容。
留存
12个月
已签名
HMAC
导出
监管机构
威胁目录
我们所监测的跨境流量。
导致大多数用户受损和运营商收入损失的五类信令攻击——以及防火墙拦截每一类攻击的层级。
短信仿冒
MAP · MT-ForwardSM
伪造发件地址以冒充银行、品牌和政府服务。通过SRI-SM缓存不匹配和发送者ID报备交叉检查进行拦截。
位置追踪
MAP · ATI / PSI / PSL
境外GT查询HLR以三角定位用户的服务小区。在网络边界处作为GSMA FS.11 Category 1消息被拦截。
SIM卡换号侦察
MAP · SendIMSI / UpdateLocation
攻击者在进行社会工程学换卡前会探测IMSI–MSC绑定关系。系统会根据来源进行模式评分，随后将其隔离以供欺诈团队审查。
欺诈电话与CLI仿冒
CAP · InitialDP / SS7 IAM
在信令层拦截国际收入分成欺诈、Wangiri环路和仿冒CLI，在用户手机响起前将其拦截。
A2P泄漏与灰色通道
MAP · MT-ForwardSM
通过漫游合作伙伴注入的未变现企业流量。将被强制引导至约定的商业通道，否则将被拦截并追回收入。
攻击目录 · MAP层
大多数信令滥用行为背后都涉及两种MAP操作。
目前向监管机构报告的订阅者隐私和OTP拦截事件中，有很大比例是由两种MAP操作引起的。防火墙在国际边缘即可处理这两类操作——在它们到达归属HLR或SMSC之前，完成分类、评分和签名。
GSMA FS.11第1类与第2类
FS.11 · Cat 1边界丢弃
MAP_PROVIDE_SUBSCRIBER_INFO
位置追踪
外国HLR探测会解析为服务小区ID，被监控运营商和滥用者用于三角定位用户的实际位置。防火墙将其分类为GSMA FS.11第1类，并在网络边界将其拦截，同时生成带有签名的审计条目以供监管机构存档。
运营商影响 · 用户隐私泄露
FS.11 · Cat 2边界丢弃
MAP_SEND_ROUTING_INFO_FOR_SM
短信拦截准备工作
SRI-SM查询可将用户映射到其所属的MSC/SMSC，这是在对OTP和2FA流量进行MT-ForwardSM劫持前的侦察步骤。防火墙会根据24小时SRI-SM缓存验证每条查询；来自外国GT的缓存未命中查询将被隔离，以供欺诈团队审查。
运营商影响 · OTP / 2FA绕过功能实现
三支柱规则引擎
技术。业务。动态。一个判定。
信令层需要在同一个引擎中实现协议强制执行、商业策略以及具备行为感知能力的自适应。三大支柱作为一个统一的决策路径运行——每个信令单元的检测延迟低于5毫秒——从而确保正确的判定在第一跳即可到达正确的网络元件。
支柱01
技术规则
在信令层进行协议级强制执行。包括MAP操作允许/拒绝、Global Title过滤、OPC/DPC点码控制以及针对合作伙伴的MCC/MNC条件。任何格式错误或脱离上下文的信令单元都会在解码时被丢弃。
MAP允许/拒绝GT过滤OPC/DPCMCC/MNC
支柱02
业务规则
以数据形式体现的商业与运营策略。根据合作伙伴协议进行通道选择，涵盖产品类别策略（OTP、事务性、推广性），以及将绕路流量变现至约定的A2P通道。防火墙执行的是合同约束，而非仅仅是技术规范。
路由策略按合作伙伴OTP与营销短信绕路变现
支柱03
动态控制
能够适应实时流量的行为感知执行机制。包括TPS阈值、突发检测、时段窗口以及基于源GT的速率控制。动态层可以捕捉静态规则无法识别的内容——如新兴的营销活动、新的SIM box农场以及突发的漫游异常。
TPS阈值突发检测时间窗口速率
信令检测延迟低于5 ms
每信令单元 · 解码+评分+判定
支持所有主流信令厂商双活STP对SIGTRAN M3UA · M2PA · SUAMAP · CAP · SCCP检测在线 · 部署在SMSC前端带外监听选项
策略DSL
您的信令工程师已熟悉的逻辑规则。
以可读的YAML形式呈现FS.11分类。MAP和CAP操作以名称而非编号标识。发送者ID、通道和A2P规则通过“制作人-审核人”机制进行管理——具备版本控制、签名和可审计性。
Example
# /etc/broadnet/ss7fw/rules.d/fs11-category1.yaml# GSMA FS.11 Category 1 — never crosses the network boundaryrule: cat1_ati_block match: application_context: anyTimeInterrogation origin: !is_home_network action: drop audit: regulator.signal_event fs_tag: FS.11-CAT1 rule: cat1_psi_block match: application_context: provideSubscriberInfo origin: !is_home_network action: drop fs_tag: FS.11-CAT1 # Category 2 — origin must be validated against home-network MAPrule: cat2_sri_sm_validate match: application_context: sendRoutingInfoForSM validate: msc_id: from sri_sm_cache(ttl=24h) on_mismatch: action: quarantine notify: fraud-ops@operator.tld运营商应用场景示例
信令防护在
生产环境中的实际效果。
一级GCC运营商MNO · GCC
挑战：用户位置追踪探测是监管机构高度关注的问题，而国内尚无威慑手段。方案：在国际SS7边缘进行FS.11分类，并结合SRI-SM缓存检测仿冒。
信令安全负责人
第1类
位置探测在边缘侧被拦截
SRI-SM
实时仿冒检测
西非MNO组MNO · 西非
挑战：跨多个供应商堆栈的国际STP使得季度监管报表成为一项手动工作。方案：通过单一策略DSL在每个边缘节点实现统一规则执行，并配备版本化审计追踪。
网络安全负责人
统一
一套规则包，覆盖所有STP边缘
隔离
灰色通道短信待审核
黎凡特地区MNOMNO · Levant
挑战：在年度审查期间，国家监管机构要求在短时间内提供FS.11合规性证明。方案：规则包版本化功能可在单次运行中生成签名清单以及IR.71 / IR.82回归报告。
高级信令工程师
已签名
FS.11合规清单
IR.82
单次运行回归
发生位置
国际信令接入。纯净流量输出。
位于国际STP与您的核心网之间。每条消息在到达HLR、SMSC或MSC之前都会经过防火墙——且所有决策都会实时流向您的NOC。
国际STP
SS7 / SIGTRAN
漫游合作伙伴
SS7 / MAP
灰色通道
不可信GT
BroadNet信令防火墙
双活解码
发送者ID
通道检查
SRI-SM缓存
内容过滤器
地理 / 来源
速率限制
策略DSL
审计日志
HLR
SMSC
MSC
计费
部署方案
STP在线部署
双活对部署在国际信令路径上。实时执行决策——拦截、允许、修改、变现。
带外监听
通过STP镜像馈送进行基准建立和分析。当策略和误报率稳定后，可切换至在线拦截模式。
混合边缘+核心
国际边缘侧采用在线拦截模式，国内核心侧采用检测并告警模式。统一的策略平面、统一的审计存储，以及统一的运营商仪表板。
合规
符合您监管机构现有的标准。
SS7互联默认执行GSMA FS.11分类，并由BroadNet信令安全团队维护，可根据需求提供符合监管要求的导出数据。
GSMA准会员
BroadNet是GSMA准会员
GSMA FS.11
SS7互联安全分类（Cat 1–3）
营收保障
内置A2P变现与灰色通道拦截功能，
助力监管合规
按需提供特定国家的信令报告
运营商尽职调查
八个答案
用于RFI入围名单。
是的。防火墙表现为SCCP/SIGTRAN信令对等体，并能与运营商目前使用的各类厂商混合堆栈中的通用STP平台集成。除了通过防火墙对等体重定向国际点码外，无需进行STP路由表手术。
我们几乎总是从STP获取带外镜像，持续14至30天。这能为安全和RA团队提供国际流量的清晰基准，并让我们能够根据运营商实际的漫游合作伙伴组合来调整FS.11规则包。一旦书面确认了误报范围，防火墙将切换到在线双活模式。混合模式（在国际边缘采用在线模式，在本地核心采用镜像模式）是常见的稳定状态。
BroadNet的信令安全团队每季度发布一次版本化的规则包，并针对新的威胁情报在几天内推送热修复补丁。每个规则包都附带IR.71、IR.81和IR.82合规测试包，以便您的团队在发布前进行回归测试。运营商可以通过控制台锁定或否决任何版本——不会有任何内容被自动发布到生产环境。
按月处理的每单位信令（MAP/CAP）分级计费。不收取每链路、每点码或每Erlang费用。STP集成需支付一次性NRE费用，并需支付少量年度维护费，涵盖规则包更新、威胁情报推送及季度架构评估。运营商通常可以通过挽回的A2P收入和避免的欺诈损失实现回本。
是的。策略DSL与我们安全团队内部使用的完全一致。运营商通常会编写规则来执行其双边漫游协议、将授权执法机构的位置查询列入白名单、将特定的绕路流量进行变现而非直接丢弃，并将判定结果反馈给内部的SIEM和欺诈平台。自定义规则将通过与我们相同的“制作人-审核人”流程进行发布，并拥有完整的审计追踪。
TTL默认值为24h，可根据运营商进行调整。缓存根据观察到的合法SRI-SM进行填充，并在每次成功的MT-ForwardSM时进行刷新。我们针对每个合作伙伴GT提供命中率、未命中率和隔离率，以便RA团队能够发现突然出现的缓存未命中峰值（这通常是仿冒攻击或合作伙伴重新配置其SMSC GT的首要迹象）。
是的。每一项决策都经过HMAC签名，写入防篡改存储库，并根据运营商的监管要求进行保留。我们提供针对TRC（约旦）、CST（沙特阿拉伯）、NCC（尼日利亚）、TDRA（阿联酋）、CRA（卡塔尔）、TRA（阿曼）、TRA（巴林）、ARPT（阿尔及利亚）、ANRT（摩洛哥）以及INT-T（突尼斯）的预构建导出模板。导出模块还会生成FS.11合规清单，这是目前多个中东和北非（MENA）监管机构在许可证续期时要求的。
在稳定运行状态下，针对合法漫游伙伴的误报率非常低。我们每周测量该比率，并在仪表板中展示每个合作伙伴的具体数值，以便RA团队随时查看。设置镜像模式预热阶段的目的，正是为了在强制执行生效前，就此范围达成一致并获得签核。
需要FS.11合规清单，还是需要与我们的信令工程师进行技术会议？ 申请信令安全审查
资源
SS7防火墙 数据手册
相关指南与问答
深入了解该产品背后的核心概念。