CLIF: Cross-layer LEO-ISL Fingerprinting for Physical and Network Attack Detection in Dense LEO Constellations

Resumen Técnico: CLIF – Huella Digital de Capa Cruzada para LEO-ISL para la Detección de Ataques Físicos y de Red en Constelaciones LEO Densas

Planteamiento del Problema
El rápido despliegue de megaconstelaciones de Órbita Terrestre Baja (LEO) (p. ej., Starlink, Kuiper) depende de enlaces intersatelitales (ISL) ópticos para formar redes de malla autónomas. A medida que estas constelaciones evolucionan hacia el intercambio de datos (peering) de alta densidad y multioperador, la integridad de los ISL se vuelve crítica tanto para la disponibilidad comercial como para la seguridad nacional. Sin embargo, los enfoques de seguridad existentes sufren tres brechas principales:

1. Falta de Marcos de Capa Cruzada: Los métodos actuales están aislados; la Autenticación de Capa Física (PLA) detecta satélites no autorizados pero es ciega a la manipulación de la capa de red, mientras que la verificación criptográfica rechaza entidades no autorizadas pero no logra detectar infiltrados comprometidos con credenciales válidas. Los enfoques de resiliencia estructural pasan por alto las mediciones de la capa física.
2. Escasez de Datos: No existe un conjunto de datos público que capture el comportamiento realista de un ISL bajo ataque a escala de constelación. Las evaluaciones previas suelen depender de topologías simplificadas (hasta 60 satélites) o tipos de ataque únicos sin una verdad de terreno (ground truth).
3. Puntos Ciegos Multioperador: Ningún trabajo existente aborda las amenazas específicas del intercambio de datos entre múltiples operadores, como el secuestro de tráfico inter-constelación.

Metodología
Los autores proponen CLIF, un marco de huella digital de comportamiento de capa cruzada y ligero, diseñado para la detección de anomalías no supervisada por cada satélite.

• Construcción del Espacio de Características: El marco fusiona mediciones de la capa física a bordo con datos de la capa de red en un vector de características de 12 dimensiones para cada ISL activo:
  • Capa Física (3 características): Desajuste de rango, desajuste de velocidad y desajuste de dirección. Estos se derivan al comparar las mediciones directas de la terminal (rango, Doppler, línea de visión) contra las predicciones de una efemérides de Órbita Geoestacionaria (GEO) de confianza transmitida.
  • Capa de Red (9 características): Rendimiento (throughput), utilización del enlace, profundidad de colas de emisor/receptor, retraso de cola, latencia extremo a extremo, tasa de pérdida de paquetes, recuento de vecinos y asimetría de tráfico.
• Modelos de Detección: Se evalúan tres detectores no supervisados y por satélite, entrenados exclusivamente con datos normales para evitar el envenenamiento:
  1. Mahalanobis de Capa Cruzada (CLM): Calcula la distancia de Mahalanobis de una observación desde el centroide de características normales utilizando una matriz de covarianza precalculada.
  2. Bosque de Aislamiento (IF): Un método de ensamble que aísla anomalías basándose en la longitud del camino en árboles aleatorios.
  3. Autoencoder de Alimentación Directa (AE): Una red neuronal entrenada para reconstruir vectores de características normales; un error de reconstrucción elevado indica anomalías.
• Simulación y Conjunto de Datos: Los autores construyeron una simulación fundamentada en la física utilizando propagación orbital SGP4 y modelos de colas M/M/1/K. Generaron un conjunto de datos que cubre 24 horas de operación para tres escenarios: Starlink (1,584 satélites), Kuiper (1,156 satélites) y un escenario conjunto multioperador (2,740 satélites). Se inyectaron diez tipos de ataques, que van desde el engaño físico (Satélite Rogue) y la manipulación de red (Blackhole, DoS) hasta ataques compuestos (Rogue Sinkhole) y explotación multioperador (Secuestro Inter-constelación).

Contribuciones Clave

1. Marco de Capa Cruzada: El primer marco de detección de anomalías no supervisado y por satélite que fusiona características físicas y de red para detectar ataques compuestos sin requerir coordinación entre satélites.
2. Conjunto de Datos Exhaustivo: La creación y publicación de un gran conjunto de datos (más de 15 millones de observaciones de ISL en el escenario multioperador) que cubre topologías realistas y diez tipos distintos de ataques, llenando un vacío crítico en la investigación de seguridad LEO.
3. Evaluación Multioperador: Demostración de que el marco se generaliza a través de diferentes configuraciones de constelación y límites de operador, incluyendo la amenaza específica del secuestro de tráfico inter-constelación.

Resultados
El estudio evaluó los tres detectres a través de los tres escenarios de constelación:

• Desempeño: El detector CLM (Mahalanobis) logró el mejor desempeño general, alcanzando un 99.5% de recall en Starlink, 99.4% en Kuiper y 94.8% en la constelación multioperador, manteniendo una Tasa de Falsos Positivos (FPR) por debajo del 0.7%.
• Comparación: El CLM superó al Autoencoder (AE) por aproximadamente 5.5 puntos porcentuales en el recall promedio y superó significativamente al Bosque de Aislamiento (IF), el cual sufrió de un recall muy bajo (26.9%) a pesar de su alta precisión.
• Especificidad de Ataque: El CLM logró un recall casi perfecto en la mayoría de los tipos de ataque. Los ataques más desafiantes fueron "Grayhole" (debido al solapamiento con la congestión natural) y "Sybil" en escenarios multioperador (debido a la alta variabilidad en el recuento de vecinos en los enlaces cruzados).
• Eficiencia: Se identificó al CLM como el más eficiente computacionalmente, requiriendo solo 169 parámetros almacenados y ~337 operaciones de punto flotante por observación. Esto es más de dos órdenes de magnitud más ligero que el IF y 40 veces más ligero que el AE, lo que lo hace adecuado para procesadores de a bordo de satélites con recursos limitados.

Significado y Reivindicaciones
El artículo afirma que la fusión de características de capa cruzada no solo es necesaria, sino altamente rentable para asegurar las constelaciones LEO. Los resultados demuestran que:

1. Cobertura Integral: La fusión de las capas física y de red permite la detección de una taxonomía completa de ataques, incluyendo aquellos que los enfoques de una sola capa omiten (p. ej., infiltrados comprometidos que manipulan el tráfico).
2. La Simplicidad es Suficiente: Un detector estadístico ligero (distancia de Mahalanobis) es suficiente para esta tarea, superando a modelos complejos de ensambles basados en árboles y modelos de aprendizaje profundo sin la carga computacional asociada.
3. Escalabilidad: El marco escala eficazmente a redes densas y multioperador con una degradación marginal de capacidad, abordando la realidad emergente de las coaliciones de intercambio de datos espaciales.

Los autores concluyen que, si bien los resultados se derivan de simulaciones, el marco proporciona una base necesaria para la seguridad de los ISL, ofreciando una solución práctica y de baja sobrecarga que se ajusta a los estrictos presupuestos de energía a bordo mientras aborda los puntos ciegos de las defensas actuales de solo capa física o solo de capa de red.