💻 computer science

Unsupervised Cross-Protocol Anomaly Analysis in Mobile Core Networks via Multi-Embedding Models Consensus

Cet article propose un cadre non supervisé pour la détection d'anomalies inter-protocoles dans les réseaux de cœur mobiles en agrégeant les signalisations SS7, Diameter et GTP en enregistrements fusionnés et en exploitant un consensus de modèle multi-plongement pour distinguer efficacement les incohérences synthétiques du trafic normal, privilégiant ainsi un ensemble restreint et de haute confiance de candidats pour l'inspection de sécurité.

Auteurs originaux : Aayush Garg, Orlando Amaral Cejas

Publié 2026-07-02

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Aayush Garg, Orlando Amaral Cejas

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un réseau mobile comme un immense et trépidant aéroport international. Chaque passager (l'utilisateur de téléphone) interagit simultanément avec trois points de contrôle de sécurité différents :

Point de contrôle A (SS7) : Le vieux système radio analogique utilisé depuis des décennies.
Point de contrôle B (Diameter) : Le scanner d'identité numérique moderne.
Point de contrôle C (GTP) : Le système de bagages et de tunnels qui déplace les données.

Habituellement, chaque point de contrôle fonctionne dans son propre silo. Un garde de sécurité au Point de contrôle A peut voir un billet valide, et un garde au Point de contrôle B peut voir une pièce d'identité valide. Mais que se passe-t-il si le billet dit « Le passager est à Londres », l'identité dit « Le passager est à Paris », et le système de bagages dit « Le passager est à Tokyo » ? Individuellement, chaque document semble authentique. Ensemble, ils racontent un mensonge. C'est une incohérence inter-protocoles.

Le problème est que nous n'avons pas de liste de « menteurs connus » (attaques étiquetées) pour apprendre à un ordinateur ce qu'il doit chercher. Alors, les chercheurs ont posé la question suivante : Pouvons-nous construire un système capable de repérer ces contradictions sans avoir besoin d'un enseignant ?

La Solution : Le « Détective à Six Têtes »

Les chercheurs ont construit un système qui agit comme une équipe de six détectives différents, chacun ayant une façon unique de lire les registres de l'aéroport. Voici comment ils ont procédé :

1. La fusion des registres (La Fusion)
D'abord, ils ont pris tous les messages pour un même passager au cours d'une seule minute et les ont collés ensemble pour former un seul « enregistrement fusionné » géant. Considérez cela comme le fait de prendre le billet d'embarquement d'un passager, son scan d'identité numérique et son étiquette de bagage, puis de les agrafer dans un seul fichier.

2. Transformer les données en « phrases » (La Sérialisation)
Les ordinateurs ne peuvent pas lire facilement le code brut. Ils ont donc transformé ces fichiers assemblés en de longues chaînes de texte, comme une histoire décrivant le voyage du passager.

3. Les six détectives (Modèles d'incorporation/Embedding)
Ils ont soumis ces « histoires » à six modèles d'IA différents (les détectives). Chaque modèle est entraîné différemment et possède un « cerveau » unique.

Certains détectives sont excellents pour repérer les détails courts et percutants.
D'autres sont meilleurs pour comprendre des histoires longues et complexes.
Certains parlent de nombreuses langues ; d'autres se concentrent sur un jargon technique spécifique.

4. Le score de consensus (Le Vote)
Chaque détective examine l'histoire et vote : « Cela semble suspect » ou « Cela semble normal ».

Si un seul détective dit « Suspect », c'est une alerte faible.
Si les six détectives disent « Suspect », c'est un Consensus.

Les chercheurs ont découvert que lorsque les détectives sont tous d'accord, ils repèrent presque certainement une véritable contradiction. Lorsqu'ils ne sont pas d'accord, il s'agit souvent de simple bruit.

L'Expérience : Créer de « faux » menteurs

Comme ils ne disposaient pas de données d'attaques réelles pour tester le système, ils ont dû créer leurs propres « faux menteurs » pour voir si le système fonctionnait.

Ils ont pris deux fichiers de passagers normaux et ont effectué un « échange de terrain ». Imaginez que vous preniez le billet « Londres » du Passager A et que vous l'échangiez avec le billet « Paris » du Passager B.

Le Résultat : Le Passager A possède désormais un billet indiquant « Londres » mais une identité indiquant « Paris ».
L'Astuce : Pour les points de contrôle individuels, le billet semble toujours valide et l'identité semble également valide. Mais quand on les regarde ensemble, l'histoire n'a aucun sens.

Ils ont créé plus de 200 000 de ces histoires « échangées » pour tester leur système.

Les Résultats : Le Pouvoir de l'Accord

L'expérience a donné des résultats fascinants, que l'on peut résumer par une métaphore simple : La « Foule » contre le « Critique ».

La « Foule » (Faible accord) : Lorsque le système signalait tout enregistrement qu'au moins un détective jugeait étrange, il détectait environ 44 % de tous les enregistrements. C'est beaucoup de bruit ! C'est comme un agent de sécurité qui crie « Arrêtez ! » chaque fois qu'un passager passe la porte.
Le « Critique » (Accord élevé) : Lorsqu'ils ont élevé le niveau d'exigence et n'ont examiné que les enregistrements où les six détectives étaient d'accord sur le fait que c'était étrange, le nombre d'enregistrements signalés a chuté de manière spectaculaire pour descendre à moins de 1 %.
La Magie : Voici le plus important : dans ce minuscule groupe de 1 % où les six détectives étaient d'accord, 100 % des enregistrements étaient les « faux menteurs » qu'ils avaient créés. Le système n'a signalé aucun passager normal.

Ce que cela signifie (en termes simples)

Cette étude prouve qu'il n'est pas nécessaire de savoir exactement à quoi ressemble une attaque pour la trouver. Il suffit d'avoir une équipe de modèles d'IA diversifiés qui examinent les données sous plusieurs angles.

Faible accord : Beaucoup de fausses alertes.
Accord élevé : Une précision presque parfaite.

En attendant que l'équipe soit d'accord, les chercheurs peuvent filtrer le bruit et se concentrer uniquement sur la infime poignée d'enregistrements qui sont véritablement contradictoires. C'est comme avoir un jury de six experts ; si une seule personne pense qu'un suspect est coupable, on peut se tromper. Mais si les six experts sont d'accord, on peut être très confiant.

L'essentiel

Cette étude montre qu'en combinant différents modèles d'IA pour examiner les données de réseau mobile sous plusieurs angles (SS7, Diameter et GTP), nous pouvons automatiquement détecter des situations « impossibles » où les données se contredisent. Cela permet aux opérateurs de réseau d'ignorer les milliers de fausses alertes et de concentrer l'attention humaine sur les très rares cas hautement suspects où le système hurle à l'unisson.

Résumé Technique : Analyse d'Anomalies Trans-Protocolaires Non Supervisée dans les Réseaux de Cœur de Réseau Mobiles

Énoncé du Problème
Les réseaux de cœur de réseau mobiles exploitent plusieurs protocoles de signalisation (SS7, Diameter et GTP) en parallèle. De nombreux problèmes critiques pour la sécurité, tels que les incohérences d'identité, les fausses indications d'itinérance ou les erreurs de routage, ne deviennent visibles que lorsque ces protocoles sont analysés conjointement pour un même abonné et une même fenêtre temporelle. Cependant, la détection de ces anomalies trans-protocolaires est difficile car :

Rareté des Données : Les exemples étiquetés d'attaques réelles et de mauvaises configurations trans-protocolaires sont rarement disponibles dans les environnements opérationnels, ce qui entrave le déploiement de méthodes d'apprentissage supervisé.
Limites des Approches Existantes : La surveillance basée sur des règles repose sur des signatures créées par des experts, qui passent souvent à côté de problèmes coordonnés ou de nouvelles étapes multiples. De plus, les approches antérieures d'apprentissage non supervisé et d'apprentissage de représentation sont généralement limitées à un seul protocole, négligeant les dépendances causales entre les plans de contrôle et d'utilisateurs.

Méthodologie
Les auteurs proposent un cadre non supervisé qui fusionne les données de signalisation et exploite un consensus de modèles de multi-plongements (embeddings) pour détecter les incohérences sans étiquettes humaines. La méthodologie se compose de quatre étapes principales :

Fusion par Abonné et par Minute :
Le système agrège les messages décodés SS7, Diameter et GTP pour chaque abonné au sein d'une fenêtre d'une minute. Ces messages sont regroupés en un seul « enregistrement fusionné » contenant les champs JSON bruts des trois protocoles. Seules les fenêtres contenant des messages provenant d'au moins deux familles de protocoles sont conservées pour l'analyse.
Construction d'Anomalies Synthétiques (Vérité de Terrain d'Évaluation) :
Pour évaluer le système sans étiquettes manuelles, les auteurs génèrent des anomalies synthétiques « plausibles au niveau trans-protocolaire ». Cela est réalisé en échangeant des groupes de champs spécifiques entre des paires d'enregistrements fusionnés. Les échanges sont conçus pour que les messages de protocoles individuels restent syntaxiquement valides tout en créant des contradictions dans la vue conjointe. Treize familles de mutations ont été définies, couvrant des champs critiques tels que :
- SS7 : Titres globaux de l'appelant/de l'appelé (CGGT/CDGT), codes de point (OPC/DPC) et contexte d'application.
- Diameter : User-Name, Session-Id, Origin-Host, Visited-PLMN-Id et APN Service-Selection.
- GTP : TEIDs, APN, informations de localisation de l'utilisateur et adresses IP PDN.
Sérialisation Textuelle et Plongement (Embedding) :
Chaque enregistrement fusionné est sérialisé en une chaîne JSON normalisée sur une seule ligne. Ces chaînes sont transmises à six modèles de plongement pré-entraînés différents (incluant des variantes de bge-m3, jina-embeddings-v2, nomic-embed-text et snowflake-arctic-embed). Les modèles génèrent des représentations vectorielles pour les enregistrements qui s'insèrent dans leurs fenêtres de contexte spécifiques sans troncature.
Détection Non Supervisée et Score de Consensus :
Pour chaque modèle de plongement, un détecteur non supervisé (Isolation Forest) est entraîné sur le trafic de fond (avec une petite injection de 5 % d'anomalies synthétiques pour façonner le paysage de densité, mais sans utiliser d'étiquettes pour l'ajustement). Le détecteur attribue une décision binaire (anomalie ou bénin) à chaque enregistrement.
Un Score de Consensus ( $S$ ) est calculé pour chaque enregistrement, représentant le nombre de modèles (sur six) ayant signalé l'enregistrement comme anomalie. Ce score sert de mécanisme de classement pour prioriser les candidats à l'inspection.

Principales Contributions

Pipeline de Fusion : Une méthode pour agréger les enregistrements SS7, Diameter et GTP par abonné et par minute tout en préservant les champs bruts nécessaires aux vérifications de cohérence trans-protocolaire.
Générateur d'Anomalies Synthétiques : Une approche basée sur la mutation pour créer des incohérences plausibles au niveau des protocoles pour l'évaluation, évitant ainsi le besoin d'étiquetage manuel d'attaques réelles.
Ensemble Non Supervisé : Un système de classement basé sur le consensus qui combine plusieurs modèles de plongement et des détecteurs par modèle pour identifier les anomalies.
Cadre d'Évaluation : Une méthode reliant les niveaux de consensus à la précision sur les anomalies synthétiques et analysant la séparation des enregistrements dans l'espace de plongement.

Résultats
L'évaluation a été menée sur un corpus de 219 294 enregistrements fusionnés (8 122 enregistrements de fond originaux et 211 172 anomalies synthétiques).

Distribution du Consensus : Au seuil le plus bas ( $S \ge 1$ ), 44,15 % des enregistrements ont été signalés par au moins un modèle. À mesure que l'exigence de consensus augmentait, la fraction des enregistrements signalés chutait drastiquement. À l'accord total ( $S \ge 6$ ), seuls 0,97 % des enregistrements ont été signalés.
Précision et Séparation :
- Pour les seuils $k = 1$ à $4$, les enregistrements signalés comme anomaux étaient des centaines de fois plus susceptibles d'être synthétiques que d'origine (Ratios de chances [Odds Ratios] allant de 236 à 572).
- Pour les seuils $k \ge 5$ , aucun enregistrement original (de fond) n'a été signalé. Tous les enregistrements signalés à ces niveaux étaient synthétiques, indiquant une séparation parfaite entre les anomalies synthétiques et le trafic de fond dans la configuration testée.
- Les tests statistiques (test exact de Fisher et test du Khi-deux) ont produit des p-valeurs extrêmement faibles ( $< 10^{-35}$ ), confirmant la forte association entre un consensus élevé et les anomalies synthétiques.
Analyse de l'Espace de Plongement : Les mesures de distance cosinus entre les enregistrements synthétiques et leurs homologues originaux ont montré que les distances augmentaient avec le niveau de consensus. Cela suggère que les enregistrements présentant un plus haut degré d'accord entre les modèles sont plus nettement séparés du trafic normal dans l'espace d'embedding.

Signification et Revendications
L'article affirme que le consensus de multi-modèles de plongement est un mécanisme efficace pour prioriser un ensemble beaucoup plus restreint d'incohérences trans-protocolaires pour une inspection ultérieure. En augmentant le seuil de consensus, les opérateurs peuvent réduire considérablement le volume d'enregistrements nécessitant une revue manuelle tout en maintenant une haute probabilité que les candidats restants représentent de véritables contradictions trans-protocolaires.

Les auteurs soulignent que leurs conclusions sont spécifiques à la conception des anomalies synthétiques et à l'ensemble de modèles sélectionnés. Ils ne prétendent pas que le système détecte toutes les attaques réelles, notant que les incidents réels pourraient impliquer des changements coordonnés multiples ou des échelles de temps plus longues non capturées par des échanges de champs uniques. Cependant, les résultats soutiennent l'utilité de l'apprentissage de représentation conjoint et non supervisé pour identifier des incohérences structurées qui sont invisibles dans les vues de protocoles uniques.