💻 computer science

StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

Ce papier présente StormShield, une solution basée sur xApp pour les réseaux 5G O-RAN qui utilise l'empreinte numérique pour détecter et atténuer les tempêtes de signalisation du contrôle de ressources radio (RRC) avec une précision de 97,6 % en 106,5 ms, empêchant ainsi efficacement l'épuisement des ressources du gNB dans des bancs d'essai réels en ondes hertziennes.

Auteurs originaux : Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Publié 2026-05-15

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez une antenne-relais 5G très fréquentée (appelée gNB) comme un café populaire. Les baristas (le réseau) sont prêts à servir les clients (votre téléphone), mais ils disposent d'un nombre limité de tasses et d'une quantité finie de temps pour prendre les commandes.

Le Problème : La Tempête de « Commandes Fictives »

Dans cet article, les auteurs décrivent un type spécifique de cyberattaque appelé une Tempête de Signalisation RRC.

Considérez un Utilisateur Malveillant (MUE) non pas comme un vrai client, mais comme un farceur se tenant dans la file d'attente. Chaque fois que le barista appelle : « Qui est le prochain ? », le farceur crie : « Moi ! Je veux un café ! » et tend une fausse carte d'identité. Le barista, étant poli, commence à préparer une tasse et à réserver une place au comptoir pour cette personne.

Cependant, le farceur ne commande jamais réellement ni ne paie. Il continue simplement de crier « Moi ! » encore et encore avec différents faux noms.

Le Résultat : Les baristas deviennent si occupés à réserver des tasses et des places pour ces faux clients qu'ils épuisent leurs ressources. Les vrais clients (téléphones légitimes) essayant d'acheter un café sont ignorés et ne peuvent pas entrer. Le café est effectivement fermé, non pas parce qu'il est trop fréquenté par de vraies personnes, mais parce que les farceurs accaparent l'espace du comptoir.

Le Défi : Distinguer le Chaos de la Foule

La partie délicate est que parfois, le café est simplement très fréquenté (un scénario de « haute charge »). Si cent vraies personnes entrent à la fois, les baristas sont également submergés.

Les anciennes défenses étaient comme un videur qui compte simplement combien de personnes crient. Si le nombre est élevé, il arrête tout le monde. Cela provoque de nombreuses fausses alarmes, excluant de vrais clients simplement parce que le café est populaire.
Le nouveau problème : Les farceurs continuent de changer leurs faux noms, de sorte que le barista ne peut pas simplement écrire « Méchant n°1 » sur une liste et les bannir.

La Solution : « StormShield »

Les auteurs ont construit un système de sécurité intelligent appelé StormShield. Ils l'ont installé dans une salle de contrôle « Temps Réel Proche » (partie de l'architecture O-RAN) qui surveille la file d'attente et prend des décisions en une fraction de seconde.

Voici comment StormShield fonctionne, en utilisant des analogies simples :

1. L'« Empreinte Digitale » (La Vérification d'Identité)

Au lieu de simplement compter les têtes, StormShield examine comment les gens crient.

Avance de Timing (TA) : Cela revient à mesurer exactement à quelle distance quelqu'un se tient du comptoir.
Puissance du Signal (RSSI) : Cela revient à mesurer le volume de leur voix.

Si 100 vrais clients différents entrent, ils se tiennent à des distances différentes et ont des volumes de voix différents. Leurs « empreintes digitales » sont toutes dispersées.
Mais, si un seul farceur crie 50 fois de suite, il se tient à exactement le même endroit avec exactement le même volume de voix à chaque fois. Leurs empreintes digitales forment un groupe compact et dense.

2. Le « Regroupement Intelligent » (Repérer le Farceur)

StormShield utilise un outil mathématique (appelé DBSCAN) pour examiner la foule.

Scénario A (Vraie Foule) : Les empreintes digitales sont dispersées dans toute la pièce. StormShield dit : « D'accord, c'est juste une journée chargée. Laissez entrer les clients. »
Scénario B (L'Attaque) : Le système voit un énorme blob dense d'empreintes digitales provenant toutes exactement du même endroit. StormShield dit : « Aha ! Une personne crie 50 fois. C'est le farceur. »

3. Le « Videur » (Bloquer l'Attaque)

Une fois que StormShield a identifié le « blob » de commandes fictives, il met instantanément à jour la liste du videur.

Il dit aux baristas : « Si quelqu'un essaie de commander avec cette distance et ce volume de voix spécifiques, arrêtez-le immédiatement. »
Crucialement, cela se produit avant que les baristas ne gaspillent du temps à préparer le café. La commande fictive est rejetée à la porte, économisant les tasses pour les vrais clients.
Le système est également assez intelligent pour « vieillir » la liste. Si le farceur arrête de crier, l'interdiction expire éventuellement afin que, si une vraie personne se trouve par hasard au même endroit plus tard, elle ne soit pas injustement bannie à jamais.

Les Tests : Preuve du Monde Réel

Les auteurs n'ont pas seulement simulé cela sur un ordinateur ; ils ont construit un véritable laboratoire d'essai.

Ils ont utilisé de vrais équipements 5G (y compris des unités radio commerciales et des radios logicielles).
Ils ont créé un téléphone « farceur » qui criait réellement de fausses commandes.
Ils l'ont testé avec le farceur restant immobile et même alors que le farceur se déplaçait (marchant dans la pièce).

Les Résultats :

Précision : StormShield a correctement identifié le farceur dans 97,6 % des cas.
Vitesse : Il a détecté l'attaque en environ 106 millisecondes (moins d'un clignement d'œil).
Protection : Il a réussi à empêcher le farceur d'épuiser les ressources des baristas, permettant aux vrais clients d'obtenir leur café même pendant l'attaque.

Résumé

StormShield est un garde de sécurité intelligent pour les réseaux 5G. Au lieu de simplement compter le nombre de demandes de connexion entrantes (ce qui confond les jours chargés avec les attaques), il examine la « empreinte digitale » physique de la demande. S'il voit un appareil essayer frénétiquement de se connecter exactement au même endroit encore et encore, il bloque cet appareil spécifique instantanément, gardant le réseau ouvert pour tout le monde.

Résumé technique : StormShield – Détection et atténuation des tempêtes de signalisation RRC basées sur l'empreinte digitale dans les RAN 5G O-RAN

Énoncé du problème
Bien que les réseaux 5G offrent des capacités améliorées, le plan de contrôle reste vulnérable aux attaques par déni de service (DoS), en particulier les tempêtes de signalisation Radio Resource Control (RRC). Dans ce vecteur d'attaque, un Équipement Utilisateur Malveillant (MUE) initie à plusieurs reprises des procédures de connexion en envoyant des demandes de configuration RRC (MSG3) avec des Identifiants Temporaires de Réseau Radio (RNTI) variables, mais omet intentionnellement le message final de configuration RRC complète (MSG5). Ce comportement force la Station de Base de Nouvelle Génération (gNB) à allouer des ressources du plan de contrôle et à maintenir des contextes RRC pour des sessions non authentifiées sans achever la poignée de main. Par conséquent, le pool de contextes RRC de la gNB s'épuise, empêchant les Équipements Utilisateurs (UE) légitimes d'établir des connexions.

Les défenses existantes présentent des limitations significatives :

Difficulté de différenciation : Le comportement initial d'une attaque imite des conditions de réseau à charge élevée légitimes (rafales de demandes de connexion), rendant les seuils basés sur le taux sujets aux fausses alarmes.
Évasion d'identité : Puisque les MUE n'achèvent jamais l'authentification, leurs identifiants temporaires (RNTI) changent à chaque tentative, rendant les politiques de blocage par UE inefficaces.
Hypothèses statiques : Les travaux antérieurs reposent souvent sur des simulations, des configurations statiques ou des indicateurs uniques (comme l'Avance Temporelle) qui échouent dans des environnements denses ou intérieurs où les paramètres spatiaux se chevauchent.
Absence d'atténuation : La plupart des solutions existantes se concentrent uniquement sur la détection plutôt que sur une atténuation proactive.

Méthodologie
Les auteurs proposent StormShield, un cadre de détection et d'atténuation implémenté en tant qu'xApp sur un Contrôleur Intelligent RAN (RIC) Temps Réel Proche (near-RT) O-RAN. La solution exploite les interfaces ouvertes de l'architecture Open RAN pour collecter des Métriques de Performance Clé (KPM) à grain fin et appliquer des actions de contrôle sans modifier le plan de données RAN.

La logique centrale opère en deux étapes :

Détection basée sur l'empreinte digitale :
- Entrée : Le système surveille les comptes de messages RRC (MSG3, MSG4, MSG5) et les empreintes digitales au niveau radio : l'Avance Temporelle (TA) et l'Indicateur de Puissance du Signal Reçu (RSSI).
- Analyse à grain grossier : Il calcule les ratios de complétion ( $R_1 = MSG5/MSG3$ et $R_2 = MSG5/MSG4$ ). Un volume élevé de MSG3 combiné à de faibles ratios de complétion déclenche une alerte d'attaque potentielle.
- Clustering à grain fin : Pour distinguer les attaques des scénarios de charge élevée bénins, le système applique l'algorithme de clustering DBSCAN à l'historique des empreintes digitales (TA, RSSI).
  - Scénario d'attaque : Un seul MUE envoyant à plusieurs reprises des demandes depuis un emplacement fixe ou se déplaçant lentement génère un cluster dense d'empreintes digitales similaires.
  - Scénario bénin : Une charge élevée légitime implique de nombreux UE distincts, résultant en une distribution dispersée d'empreintes digitales.
- Décision : Si la densité d'un cluster dépasse un seuil ( $T_3$ ), le centroïde de ce cluster est identifié comme une empreinte digitale malveillante.
Atténuation pré-authentification :
- Gestion de la liste de blocage : La gNB maintient une liste de blocage adaptative des empreintes digitales malveillantes (centroïdes).
- Mécanisme de vieillissement : Les entrées incluent un compteur de correspondance et un délai d'expiration. Le délai d'expiration augmente linéairement avec les correspondances répétées pour renforcer le blocage contre les attaquants persistants, mais expire automatiquement si aucune nouvelle correspondance ne se produit, empêchant l'exclusion à long terme des UE bénins qui pourraient partager des conditions radio transitoires similaires.
- Action : Lorsqu'une nouvelle tentative de connexion arrive, la gNB mesure son empreinte digitale (TA, RSSI) actuelle. Si elle correspond à un centroïde bloqué dans des tolérances définies ( $\epsilon_{TA}, \epsilon_{RSSI}$ ), la connexion est rejetée immédiatement et le contexte RRC est abandonné avant que les ressources ne soient pleinement allouées.

Configuration expérimentale
Les auteurs ont validé StormShield sur deux bancs d'essai Over-The-Air (OTA) distincts utilisant la pile de protocoles 5G OpenAirInterface (OAI) :

Configuration SDR : Une Radio Logicielle Définie par Logiciel (SDR) USRP X410 avec une séparation fonctionnelle 8.1.
Configuration RU commerciale : Une Unité Radio (RU) Foxconn avec une séparation fonctionnelle 7.2, connectée à une gNB accélérée par NVIDIA Aerial.

Les bancs d'essai ont pris en charge divers scénarios, y compris des attaquants statiques et mobiles, des MUE uniques et multiples simultanés, et l'utilisation de smartphones commerciaux en tant que victimes légitimes. Le MUE a été émulé en modifiant la machine à états RRC UE d'OAI pour abandonner le MSG5.

Résultats clés

Précision de détection : StormShield a atteint une précision de détection moyenne de 97,6 % sur tous les scénarios testés.
Temps de réponse : Le système a identifié et bloqué les attaques avec un temps de réponse moyen de 106,5 ms depuis le début de l'attaque. Ceci est significativement plus rapide que le temps nécessaire pour épuiser les ressources de la gNB (qui variait de 312 ms à 326 ms en l'absence d'atténuation).
Robustesse : La solution est restée efficace avec plusieurs attaquants et des MUE mobiles.
Blocage collatéral : Dans les scénarios statiques, le Taux de Blocage Collatéral (CBR) — où des UE légitimes ont été bloqués par erreur — était compris entre 17 % et 25 % selon le nombre d'attaquants et la configuration radio. Dans les scénarios mobiles, le CBR a légèrement augmenté pour atteindre 25 %, attribué à la nature dynamique des valeurs RSSI et TA.
Sensibilité des paramètres : Des expériences de réglage fin ont démontré que le système est sensible au rayon de clustering ( $\epsilon_{RSSI}$ ) et aux seuils de messages ( $T_1, T_2$ ). Une configuration optimale (E1) a été identifiée, équilibrant des taux de vrais positifs élevés avec zéro faux positif et zéro blocage collatéral dans des conditions statiques idéales.

Signification et revendications
L'article revendique que StormShield comble une lacune critique dans la sécurité 5G en allant au-delà des approches de détection uniquement ou basées sur la simulation pour adopter une stratégie d'atténuation pré-authentification dans le monde réel. Sa signification réside dans :

Démonstration de faisabilité : Prouver que les tempêtes de signalisation RRC peuvent être reproduites et étudiées sur des bancs d'essai 5G OTA réalistes avec mobilité et plusieurs attaquants.
Capacité de différenciation : Distinguer avec succès les tempêtes de signalisation malveillantes des conditions de réseau à charge élevée bénignes en utilisant une combinaison de statistiques RRC et d'empreintes digitales spatiales, un défi où les méthodes antérieures basées sur des seuils ont échoué.
Intégration O-RAN : Démontrer un mécanisme de contrôle en boucle fermée au sein du RIC near-RT O-RAN qui ne nécessite aucune modification du plan de données RAN sous-jacent, en utilisant un Modèle de Service (SM) personnalisé pour la télémétrie et le contrôle.
Atténuation adaptative : Introduire un mécanisme de vieillissement pour les listes de blocage qui empêche le blocage permanent des utilisateurs bénins tout en maintenant la protection contre les attaquants persistants.

Les auteurs concluent que, bien que le système soit hautement efficace, les travaux futurs se concentreront sur l'intégration de fonctionnalités supplémentaires spécifiques au matériel (par exemple, l'analyse des échantillons I/Q) pour un meilleur fingerprinting et l'élargissement du modèle de menace pour inclure des adversaires plus furtifs capables d'achever une authentification partielle.