💻 computer science

StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

Este artículo presenta StormShield, una solución basada en xApp para redes O-RAN 5G que utiliza huellas dactilares para detectar y mitigar tormentas de señalización de Control de Recursos de Radio (RRC) con una precisión del 97,6 % en 106,5 ms, previniendo eficazmente el agotamiento de recursos del gNB en entornos de prueba reales en el aire.

Autores originales: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Publicado 2026-05-15

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagine una torre de celda 5G concurrida (llamada gNB) como una cafetería popular. Los baristas (la red) están listos para atender a los clientes (tu teléfono), pero tienen un número limitado de tazas y una cantidad finita de tiempo para tomar pedidos.

El Problema: La Tormenta de "Pedidos Falsos"

En este artículo, los autores describen un tipo específico de ciberataque llamado Tormenta de Señalización RRC.

Piensa en un Usuario Malicioso (MUE) no como un cliente real, sino como un bromista que está en la fila. Cada vez que el barista pregunta: "¿Quién es el siguiente?", el bromista grita: "¡Yo! ¡Quiero un café!" y entrega una identificación falsa. El barista, siendo amable, comienza a preparar una taza y reserva un espacio en el mostrador para esta persona.

Sin embargo, el bromista nunca realmente pide ni paga. Solo sigue gritando "¡Yo!" una y otra vez con diferentes nombres falsos.

El Resultado: Los baristas se ocupan tanto reservando tazas y espacios para estos clientes falsos que se quedan sin recursos. Los clientes reales (teléfonos legítimos) que intentan comprar café son ignorados y no pueden entrar. La tienda se cierra efectivamente, no porque esté demasiado ocupada con personas reales, sino porque los bromistas están acaparando el espacio del mostrador.

El Desafío: Distinguir el Caos de las Multitudes

La parte complicada es que a veces la cafetería está simplemente muy concurrida (un escenario de "alta carga"). Si cien personas reales entran a la vez, los baristas también se ven desbordados.

Las defensas antiguas eran como un portero que solo contaba cuántas personas gritaban. Si el número era alto, detenía a todos. Esto causaba muchas falsas alarmas, expulsando a clientes reales solo porque la tienda era popular.
El nuevo problema: Los bromistas siguen cambiando sus nombres falsos, por lo que el barista no puede simplemente escribir "Malhechor #1" en una lista y prohibirles la entrada.

La Solución: "StormShield"

Los autores construyeron un sistema de seguridad inteligente llamado StormShield. Lo instalaron en una sala de control de "Casi Tiempo Real" (parte de la arquitectura O-RAN) que vigila la fila y toma decisiones en fracciones de segundo.

Así es como funciona StormShield, usando analogías simples:

1. La "Huella Dactilar" (La Verificación de Identidad)

En lugar de solo contar cabezas, StormShield observa cómo grita la gente.

Avance de Tiempo (TA): Esto es como medir exactamente qué tan lejos está alguien parado del mostrador.
Fuerza de la Señal (RSSI): Esto es como medir qué tan fuerte es su voz.

Si 100 clientes reales diferentes entran, están parados a diferentes distancias y tienen diferentes volúmenes de voz. Sus "huellas dactilares" están todas dispersas.
Pero, si un bromista grita 50 veces seguidas, está parado en el mismo lugar exacto con el mismo volumen de voz exacto cada vez. Sus huellas dactilares forman un grupo compacto y denso.

2. El "Agrupamiento Inteligente" (Detectando al Bromista)

StormShield utiliza una herramienta matemática (llamada DBSCAN) para observar a la multitud.

Escenario A (Multitud Real): Las huellas dactilares están dispersas por toda la sala. StormShield dice: "Bien, esto es solo un día ajetreado. Dejen entrar a los clientes".
Escenario B (El Ataque): El sistema ve una gran mancha densa de huellas dactilares que provienen todas del mismo lugar exacto. StormShield dice: "¡Ajá! Una persona está gritando 50 veces. Ese es el bromista".

3. El "Portero" (Bloqueando el Ataque)

Una vez que StormShield identifica la "mancha" de pedidos falsos, actualiza instantáneamente la lista del portero.

Le dice a los baristas: "Si alguien intenta pedir con esta distancia y volumen de voz específicos, deténganlo inmediatamente".
Crucialmente, esto ocurre antes de que los baristas pierdan tiempo preparando el café. El pedido falso es rechazado en la puerta, ahorrando las tazas para los clientes reales.
El sistema también es lo suficientemente inteligente para "envejecer" la lista. Si el bromista deja de gritar, la prohibición eventualmente expira para que, si una persona real termina parada en ese mismo lugar más tarde, no sea injustamente prohibida para siempre.

Las Pruebas: Evidencia del Mundo Real

Los autores no solo simuló esto en una computadora; construyeron un laboratorio de pruebas real.

Utilizaron equipos 5G reales (incluyendo unidades de radio comerciales y radios definidos por software).
Crearon un teléfono "bromista" que realmente gritaba pedidos falsos.
Lo probaron con el bromista parado quieto e incluso mientras el bromista se movía (caminando por la sala).

Los Resultados:

Precisión: StormShield identificó correctamente al bromista el 97.6% de las veces.
Velocidad: Detectó el ataque en aproximadamente 106 milisegundos (menos de un parpadeo).
Protección: Logró detener al bromista de agotar los recursos de los baristas, permitiendo que los clientes reales obtuvieran su café incluso durante el ataque.

Resumen

StormShield es un guardia de seguridad inteligente para redes 5G. En lugar de solo contar cuántas solicitudes de conexión llegan (lo que confunde los días concurridos con los ataques), observa la "huella dactilar" física de la solicitud. Si ve que un dispositivo intenta conectarse frenéticamente desde el mismo lugar exacto una y otra vez, bloquea ese dispositivo específico instantáneamente, manteniendo la red abierta para todos los demás.

Resumen Técnico: StormShield – Detección y Mitigación Basada en Huellas Dactilares de Tormentas de Señalización RRC en RAN 5G O-RAN

Declaración del Problema
Aunque las redes 5G ofrecen capacidades mejoradas, el plano de control sigue siendo vulnerable a ataques de Denegación de Servicio (DoS), específicamente tormentas de señalización de Control de Recursos de Radio (RRC). En este vector de ataque, un Equipo de Usuario Malicioso (MUE) inicia repetidamente procedimientos de conexión enviando Solicitudes de Configuración RRC (MSG3) con Identificadores Temporales de Red de Radio (RNTI) variables, pero omite intencionalmente el mensaje final de Configuración RRC Completada (MSG5). Este comportamiento obliga a la Estación Base de Nodo de Próxima Generación (gNB) a asignar recursos del plano de control y mantener contextos RRC para sesiones no autenticadas sin completar el intercambio de claves. En consecuencia, el grupo de contextos RRC de la gNB se agota, impidiendo que los Equipos de Usuario (UE) legítimos establezcan conexiones.

Las defensas existentes enfrentan limitaciones significativas:

Dificultad de Diferenciación: El comportamiento inicial de un ataque imita condiciones de red de alta carga legítima (ráfagas de solicitudes de conexión), lo que hace que los umbrales basados en tasas sean propensos a falsas alarmas.
Evasión de Identidad: Dado que los MUE nunca completan la autenticación, sus identificadores temporales (RNTI) cambian con cada intento, lo que hace ineficaces las políticas de bloqueo por UE.
Suposiciones Estáticas: Trabajos anteriores a menudo dependen de simulaciones, configuraciones estáticas o indicadores únicos (como el Avance de Tiempo) que fallan en entornos densos o interiores donde los parámetros espaciales se superponen.
Falta de Mitigación: La mayoría de las soluciones existentes se centran únicamente en la detección en lugar de en la mitigación proactiva.

Metodología
Los autores proponen StormShield, un marco de detección y mitigación implementado como una xApp en un Controlador Inteligente de RAN (RIC) de Tiempo Casi Real (near-RT) O-RAN. La solución aprovecha las interfaces abiertas de la arquitectura Open RAN para recopilar Métricas Clave de Rendimiento (KPM) de alta granularidad y aplicar acciones de control sin modificar el plano de datos de la RAN.

La lógica central opera en dos etapas:

Detección Basada en Huellas Dactilares:
- Entrada: El sistema monitorea las cantidades de mensajes RRC (MSG3, MSG4, MSG5) y huellas dactilares a nivel de radio: Avance de Tiempo (TA) e Indicador de Intensidad de Señal Recibida (RSSI).
- Análisis de Granos Gruesos: Calcula las relaciones de finalización ( $R_1 = MSG5/MSG3$ y $R_2 = MSG5/MSG4$ ). Un alto volumen de MSG3 combinado con relaciones de finalización bajas desencadena una alerta de ataque potencial.
- Agrupación de Granos Finos: Para distinguir ataques de escenarios de alta carga benigna, el sistema aplica el algoritmo de agrupación DBSCAN al historial de huellas dactilares (TA, RSSI).
  - Escenario de Ataque: Un único MUE enviando repetidamente solicitudes desde una ubicación fija o de movimiento lento genera un grupo denso de huellas dactilares similares.
  - Escenario Benigno: Una alta carga legítima implica muchos UEs distintos, lo que resulta en una distribución dispersa de huellas dactilares.
- Decisión: Si la densidad de un grupo supera un umbral ( $T_3$ ), el centroide de ese grupo se identifica como una huella dactilar maliciosa.
Mitigación Pre-Autenticación:
- Gestión de Listas de Bloqueo: La gNB mantiene una lista de bloqueo adaptativa de huellas dactilares maliciosas (centroides).
- Mecanismo de Envejecimiento: Las entradas incluyen un contador de coincidencias y un tiempo de espera. El tiempo de espera aumenta linealmente con coincidencias repetidas para reforzar el bloqueo contra atacantes persistentes, pero caduca automáticamente si no ocurren nuevas coincidencias, evitando la exclusión a largo plazo de UEs benignos que podrían compartir condiciones de radio transitorias similares.
- Acción: Cuando llega un nuevo intento de conexión, la gNB mide su huella dactilar (TA, RSSI) actual. Si coincide con un centroide bloqueado dentro de las tolerancias definidas ( $\epsilon_{TA}, \epsilon_{RSSI}$ ), la conexión se rechaza inmediatamente y el contexto RRC se descarta antes de que se asignen completamente los recursos.

Configuración Experimental
Los autores validaron StormShield en dos bancos de prueba Over-The-Air (OTA) distintos utilizando la pila de protocolos 5G OpenAirInterface (OAI):

Configuración SDR: Una Radio Definida por Software (SDR) USRP X410 con una división funcional 8.1.
Configuración de RU Comercial: Una Unidad de Radio (RU) Foxconn con una división funcional 7.2, conectada a una gNB acelerada por NVIDIA Aerial.

Los bancos de prueba soportaron diversos escenarios, incluidos atacantes estáticos y móviles, MUE individuales y múltiples concurrentes, y el uso de teléfonos inteligentes comerciales como víctimas legítimas. El MUE fue emulado modificando la máquina de estados RRC del UE de OAI para descartar MSG5.

Resultados Clave

Precisión de Detección: StormShield logró una precisión de detección promedio del 97.6% en todos los escenarios probados.
Tiempo de Respuesta: El sistema identificó y bloqueó ataques con un tiempo de respuesta promedio de 106.5 ms desde el inicio del ataque. Esto es significativamente más rápido que el tiempo requerido para agotar los recursos de la gNB (que osciló entre 312 ms y 326 ms en ausencia de mitigación).
Robustez: La solución permaneció efectiva con múltiples atacantes y MUE móviles.
Bloqueo Colateral: En escenarios estáticos, la Tasa de Bloqueo Colateral (CBR), donde UEs legítimos fueron bloqueados erróneamente, estuvo entre el 17% y el 25% dependiendo del número de atacantes y la configuración de radio. En escenarios móviles, la CBR aumentó ligeramente al 25%, atribuido a la naturaleza dinámica de los valores RSSI y TA.
Sensibilidad de Parámetros: Los experimentos de ajuste fino demostraron que el sistema es sensible al radio de agrupación ( $\epsilon_{RSSI}$ ) y a los umbrales de mensajes ( $T_1, T_2$ ). Se identificó una configuración óptima (E1) que equilibró altas tasas de verdaderos positivos con cero falsos positivos y cero bloqueo colateral en condiciones estáticas ideales.

Significado y Afirmaciones
El artículo afirma que StormShield aborda una brecha crítica en la seguridad 5G al ir más allá de los enfoques de solo detección o basados en simulación hacia una estrategia de mitigación pre-autenticación del mundo real. Su importancia radica en:

Demostración de Viabilidad: Probar que las tormentas de señalización RRC pueden reproducirse y estudiarse en bancos de prueba 5G OTA realistas con movilidad y múltiples atacantes.
Capacidad de Diferenciación: Distinguir con éxito entre tormentas de señalización maliciosas y condiciones de red de alta carga benigna utilizando una combinación de estadísticas RRC y huellas dactilares espaciales, un desafío donde los métodos anteriores basados en umbrales fallaron.
Integración O-RAN: Demostrar un mecanismo de control de bucle cerrado dentro del RIC near-RT de O-RAN que no requiere cambios en el plano de datos subyacente de la RAN, utilizando un Modelo de Servicio (SM) personalizado para telemetría y control.
Mitigación Adaptativa: Introducir un mecanismo de envejecimiento para listas de bloqueo que previene el bloqueo permanente de usuarios benignos mientras mantiene la protección contra atacantes persistentes.

Los autores concluyen que, aunque el sistema es altamente efectivo, el trabajo futuro se centrará en integrar características adicionales específicas de hardware (por ejemplo, análisis de muestras I/Q) para una huella dactilar más robusta y en expandir el modelo de amenazas para incluir adversarios más sigilosos capaces de completar autenticaciones parciales.