StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

ملخص تقني: StormShield – الكشف عن عواصف إشارات RRC والحد منها بناءً على بصمة الإصبع في شبكات O-RAN 5G

بيان المشكلة
بينما توفر شبكات الجيل الخامس (5G) قدرات معززة، لا تزال طبقة التحكم عرضة لهجمات حجب الخدمة (DoS)، وتحديداً عواصف إشارات التحكم في الموارد اللاسلكية (RRC signaling storms). في هذا المسار الهجومي، يقوم مستخدم غير مشروع (MUE) بتكرار إجراءات الاتصال عن طريق إرسال طلبات إعداد RRC (رسالة MSG3) مع تغيير معرفات الشبكة الراديوية المؤقتة (RNTIs) بشكل متعمد، مع تعمد إغفال رسالة "إتمام إعداد RRC" (رسالة MSG5) النهائية. هذا السلوك يجبر عقدة القاعدة من الجيل التالي (gNB) على تخصيص موارد طبقة التحكم والحفاظ على سياقات RRC لجلسات غير موثقة دون إتمام المصافحة. ونتيسباً لذلك، تُستنفد مجموعة سياقات RRC في الـ gNB، مما يمنع أجهزة المستخدم (UEs) المشروعة من إنشاء اتصالات.

تواجه الدفاعات الحالية قيوداً كبيرة:

1. صعوبة التمييز: يحاكي السلوك الأولي للهجوم ظروف الحمل العالي المشروعة للشبكة (اندفاعات طلبات الاتصال)، مما يجعل عتبات المعدل (rate-based thresholds) عرضة للإنذارات الخاطئة.
2. التملص من الهوية: بما أن الـ MUEs لا تكمل عملية المصادقة أبداً، فإن معرفاتها المؤقتة (RNTIs) تتغير مع كل محاولة، مما يجعل سياسات الحظر لكل جهاز (per-UE) غير فعالة.
3. الافتراضات الثابتة: تعتمد الأعمال السابقة غالباً على المحاكاة، أو الإعدادات الثابتة، أو المؤشرات الفردية (مثل التقديم الزمني - Timing Advance) التي تفشل في البيئات الكثيفة أو الداخلية حيث تتداخل المعلمات المكانية.
4. نقص التخفيف: تركز معظم الحلول الموجودة فقط على الكشف بدلاً من التخفيف الاستباقي.

المنهجية
يقترح المؤلفون StormShield، وهو إطار عمل للكشف والتخفيف يتم تنفيذه كـ xApp على متحكم RAN ذكي قريب الزمن الحقيقي (near-RT RIC) ضمن بنية O-RAN. يستفيد الحل من واجهات O-RAN المفتوحة لجمع مقاييس الأداء الرئيسية (KPMs) الدقيقة وفرض إجراءات التحكم دون تعديل طبقة البيانات في الـ RAN.

تعمل المنطق الأساسي على مرحلتين:

1. الكشف القائم على بصمة الإصبع:

   • المدخلات: يراقب النظام أعداد رسائل RRC (MSG3، MSG4، MSG5) والبصمات الراديوية: التقديم الزمني (TA) ومؤشر قوة الإشارة المستلمة (RSSI).
   • التحليل خشن الحبيبات (Coarse-Grained): يقوم النظام بحساب نسب الإتمام ($R_1 = MSG5/MSG3$ و $R_2 = MSG5/MSG4$). يؤدي حجم كبير من MSG3 مع نسب إتمام منخفضة إلى إطلاق تنبيه هجوم محتمل.
   • التجميع دقيق الحبيبات (Fine-Grained Clustering): للتمييز بين الهجمات وحالات الحمل العالي الحميدة، يطبق النظام خوارزمية التجميع DBSCAN على تاريخ بصمة (TA, RSSI).
     • سيناريو الهجوم: يقوم MUE واحد بإرسال طلبات متكررة من موقع ثابت أو متحرك ببطء، مما يولد عنقوداً كثيفاً من البصمات المتشابهة.
     • السيناريو الحميد: يتضمن الحمل العالي المشروع العديد من أجهزة UE المتميزة، مما ينتج عنه توزيع مشتت للبصمات.
   • القرار: إذا تجاوزت كثافة العنقود عتبة معينة ($T_3$)، يتم تحديد مركز ذلك العنقود كبصمة خبيثة.

2. التخفيف ما قبل المصادقة:

   • إدارة القائمة السوداء: تحتفظ الـ gNB بقائمة سوداء تكيفية للبصمات الخبيثة (المراكز).
   • آلية التقادم (Aging Mechanism): تتضمن المدخلات عداد مطابقة ووقت انتهاء الصلاحية. يزداد وقت الانتهاء خطياً مع المطابقات المتكررة لتعزيز الحظر ضد المهاجمين المستمرين، ولكنه ينتهي تلقائياً في حال عدم وجود مطابقات جديدة، مما يمنع الاستبعاد طويل الأمد للمستخدمين المشروعة الذين قد يتشاركون في نفس الظروف الراديوية العابرة.
   • الإجراء: عند وصول محاولة اتصال جديدة، تقوم الـ gNB بقياس بصمة (TA, RSSI) الحالية. إذا تطابقت مع مركز محظور ضمن تفاوتات محددة ($\epsilon_{TA}, \epsilon_{RSSI}$)، يتم رفض الاتصال فوراً، ويتم إسقاط سياق RRC قبل تخصيص الموارد بالكامل.

الإعداد التجريبي
تحقق المؤلفون من صحة StormShield على منصتي اختبار مختبريتين (OTA) باستخدام مكدس بروتوكول 5G الخاص بـ OpenAirInterface (OAI):

1. إعداد SDR: راديو معرف برمجي (USRP X410) مع تقسيم وظيفي 8.1.
2. إعداد وحدة راديو تجارية: وحدة راديو (RU) من نوع Foxconn بتقسيم وظيفي 7.2، متصلة بـ gNB مسرع بواسطة NVIDIA Aerial.

دعمت منصات الاختبار سيناريوهات مختلفة، بما في ذلك المهاجمين الثابتين والمتحركين، والمهاجمين المنفردين والمتعددين المتزامنين، واستخدام هواتف ذكية تجارية كضحايا مشروعة. تم محاكاة الـ MUE عبر تعديل آلة حالة RRC في OAI لإسقاط رسالة MSG5.

النتائج الرئيسية

• دقة الكشف: حقق StormShield متوسط دقة كشف بلغت 97.6% عبر جميع السيناريوهات المختبرة.
• وقت الاستجابة: حدد النظام الهجمات وحظرها بمتوسط زمن استجابة قدره 106.5 مللي ثانية من بدء الهجوم. وهذا أسرع بكثير من الوقت اللازم لاستنزاف موارد الـ gNB (والذي تراوح بين 312 مللي ثانية إلى 326 مللي ثانية في غياب التخفيف).
• القوة: ظل الحل فعالاً مع وجود مهاجمين متعددين وMUEs متحركة.
• الحظر الجانبي (Collateral Blocking): في السيناريوهات الثابتة، كان معدل الحظر الجانبي (CBR) - حيث يتم حظر أجهزة UE مشروعة عن طريق الخطأ - يتراوح بين 17% و25% اعتماداً على عدد المهاجمين والإعداد الراديوي. في السيناريوهات المتحركة، ارتفع CBR قليلاً إلى 25%، ويُعزى ذلك إلى الطبيعة الديناميكية لقيم RSSI وTA.
• حساسية المعلمات: أظهرت تجارب الضبط الدقيق أن النظام حساس لنصف قطر التجميع ($\epsilon_{RSSI}$) وعتبات الرسائل ($T_1, T_2$). تم تحديد التكوين الأمثل (E1) الذي وازن بين معدلات الإيجاب الحقيقي العالية مع صفر حالات إيجابية خاطئة وصفر حظر جانبي في الظروف الثابتة المثالية.

الأهمية والادعاءات
يزعم البحث أن StormShield يعالج فجوة حرجة في أمن 5G من خلال الانتقال من مجرد الكشف أو النهج القائم على المحاكاة إلى استراتيجية تخفيف ما قبل المصادقة في العالم الحقيقي. تكمن أهميته في:

1. إثبات الجدوى: إثبات إمكانية إعادة إنتاج ودراسة عواصف إشارات RRC على منصات اختبار 5G واقعية (OTA) مع مراعاة الحركة وتعدد المهاجمين.
2. القدرة على التمييز: النجاح في التمييز بين عواصف إشارات RRC الخبيثة وحالات الحمل العالي الحميدة للشبكة باستخدام مزيج من إحصائيات RRC والبصمات المكانية، وهو تحدٍ فشلت فيه الطرق السابقة القائمة على العتبات.
3. التكامل مع O-RAN: إظهار آلية تحكم مغلقة الحلقة داخل near-RT RIC الخاص بـ O-RAN لا تتطلب أي تغييرات في طبقة بيانات RAN الأساسية، وذلك باستخدام نموذج خدمة (SM) مخصص للقياس والتحكم.
4. التخفيف التكيفي: تقديم آلية تقادم للقوائم السوداء تمنع الحظر الدائم للمستخدمين المشروعة مع الحفاظ على الحماية ضد المهاجمين المستمرين.

يخلص المؤلفون إلى أنه بينما يعد النظام فعالاً للغاية، فإن العمل المستقبلي سيركز على دمج ميزات إضافية خاصة بالأجهزة (مثل تحليل عينات I/Q) من أجل بصمة أكثر قوة، وتوسيع نموذج التهديد ليشمل الخصوم الأكثر دهاءً القادرين على إتمام مصادقة جزئية.