💻 computer science

StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

यह शोध पत्र StormShield प्रस्तुत करता है, जो O-RAN 5G नेटवर्क के लिए एक xApp-आधारित समाधान है जो वास्तविक दुनिया के ओवर-द-एयर टेस्टबेड्स में gNB संसाधन रिक्तीकरण को प्रभावी ढंग से रोकने के लिए 106.5 ms के भीतर 97.6% सटीकता के साथ रेडियो रिसोर्स कंट्रोल (RRC) सिग्नलिंग तूफानों का पता लगाने और उन्हें कम करने के लिए फिंगरप्रिंटिंग का उपयोग करता है।

मूल लेखक: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

प्रकाशित 2026-05-15

📖 6 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

एक व्यस्त 5G सेल टॉवर (जिसे gNB कहा जाता है) की कल्पना एक लोकप्रिय कॉफी शॉप के रूप में करें। बरिस्ता (नेटवर्क) ग्राहकों (आपके फोन) की सेवा करने के लिए तैयार हैं, लेकिन उनके पास कपों की एक सीमित संख्या और ऑर्डर लेने के लिए एक निश्चित समय है।

समस्या: "नकली ऑर्डर" का तूफान

इस शोध पत्र में, लेखक एक विशिष्ट प्रकार के साइबर हमले का वर्णन करते हैं जिसे RRC सिग्नलिंग स्टॉर्म (RRC Signaling Storm) कहा जाता है।

एक दुर्भावनापूर्ण उपयोगकर्ता (MUI) को एक वास्तविक ग्राहक के बजाय, लाइन में खड़े एक शरारती व्यक्ति (प्रैंकस्टर) के रूप में सोचें। हर बार जब बरिस्ता पुकारता है, "अगला कौन है?", तो वह शरारती व्यक्ति चिल्लाता है, "मैं! मुझे कॉफी चाहिए!" और एक नकली आईडी थमा देता है। बरिस्ता, विनम्र होने के नाते, इस व्यक्ति के लिए एक कप तैयार करना शुरू कर देता है और काउंटर पर एक जगह सुरक्षित रख देता है।

हालांकि, वह शरारती व्यक्ति वास्तव में कभी ऑर्डर नहीं देता या भुगतान नहीं करता। वे बस अलग-अलग नकली नामों के साथ बार-बार "मैं!" चिल्लाते रहते हैं।

परिणाम: बरिस्ता इन नकली ग्राहकों के लिए कप और जगह सुरक्षित रखने में इतने व्यस्त हो जाते हैं कि उनके पास संसाधन खत्म हो जाते हैं। वास्तविक ग्राहक (वैध फोन) जो कॉफी खरीदने की कोशिश कर रहे हैं, उन्हें अनदेखा कर दिया जाता है और वे अंदर नहीं आ पाते। दुकान प्रभावी रूप से बंद हो जाती है, इसलिए नहीं कि वह असली लोगों से बहुत व्यस्त है, बल्कि इसलिए क्योंकि शरारती लोग काउंटर की जगह पर कब्जा कर लेते हैं।

चुनौती: अराजकता और भीड़ के बीच अंतर करना

पेचीदा बात यह है कि कभी-कभी कॉफी शॉप वास्तव में व्यस्त होती है (एक "हाई-लोड" परिदृश्य)। यदि एक साथ सौ असली लोग अंदर आते हैं, तो बरिस्ता भी परेशान हो जाते हैं।

पुराने बचाव तंत्र एक बाउंसर की तरह थे जो केवल सिरों की गिनती करता था। यदि संख्या अधिक होती है, तो वे सभी को रोक देते हैं। इससे बहुत सारे गलत अलार्म बजते हैं, जिससे वास्तविक ग्राहकों को भी बाहर निकाल दिया जाता है क्योंकि दुकान लोकप्रिय है।
नई समस्या: शरारती लोग अपने नकली नाम बदलते रहते हैं, इसलिए बरिस्ता केवल "बुरे आदमी #1" को सूची में लिखकर उन्हें प्रतिबंधित नहीं कर सकता।

समाधान: "स्टॉर्मशील्ड" (StormShield)

लेखकों ने StormShield नामक एक स्मार्ट सुरक्षा प्रणाली बनाई है। उन्होंने इसे एक "नियर-रियल-टाइम" (Near-Real-Time) कंट्रोल रूम में स्थापित किया है (जो O-RAN आर्किटेक्चर का हिस्सा है) जो लाइन पर नज़र रखता है और पलक झपकते ही निर्णय लेता है।

यहाँ बताया गया है कि StormShield कैसे काम करता है, सरल उपमाओं का उपयोग करते हुए:

1. "फिंगरप्रिंट" (ID चेक)

केवल सिरों की गिनती करने के बजाय, StormShield देखता है कि लोग कैसे चिल्ला रहे हैं।

टाइमिंग एडवांस (TA): यह बिल्कुल ऐसा है जैसे यह मापना कि कोई काउंटर से कितनी दूर खड़ा है।
सिग्नल स्ट्रेंथ (RSSI): यह मापने जैसा है कि उनकी आवाज़ कितनी तेज़ है।

यदि 100 अलग-अलग वास्तविक ग्राहक आते हैं, तो वे अलग-अलग दूरियों पर खड़े होंगे और उनकी आवाज़ का स्तर भी अलग होगा। उनके "फिंगरप्रिंट" बिखरे हुए होंगे।
लेकिन, यदि एक शरारती व्यक्ति लगातार 50 बार चिल्ला रहा है, तो वह ठीक उसी जगह खड़ा होगा और उसकी आवाज़ का स्तर हर बार एक जैसा होगा। उनके फिंगरप्रिंट एक घने समूह (क्लस्टर) के रूप में दिखाई देंगे।

2. "स्मार्ट क्लस्टरिंग" (शरारती व्यक्ति की पहचान)

StormShield भीड़ को देखने के लिए एक गणितीय उपकरण (जिसे DBSCAN कहा जाता है) का उपयोग करता है।

परिदृश्य A (वास्तविक भीड़): फिंगरप्रिंट कमरे में चारों ओर बिखरे हुए हैं। StormShield कहता है, "ठीक है, यह बस एक व्यस्त दिन है। ग्राहकों को अंदर आने दें।"
परिदृश्य B (हमला): सिस्टम फिंगरप्रिंट्स का एक बड़ा, घना समूह देखता है जो ठीक एक ही स्थान से आ रहा है। StormShield कहता है, "अहा! एक व्यक्ति एक ही जगह से 50 बार चिल्ला रहा है। यह वही शरारती व्यक्ति है।"

3. "बाउंसर" (हमले को रोकना)

एक बार जब StormShield नकली ऑर्डर के "समूह" की पहचान कर लेता है, तो वह तुरंत बाउंसर की सूची को अपडेट कर देता है।

यह बरिस्ता को बताता है: "यदि कोई इस विशिष्ट दूरी और आवाज़ के स्तर के साथ ऑर्डर करने की कोशिश करता है, तो उन्हें तुरंत रोक दें।"
महत्वपूर्ण रूप से, यह इससे पहले होता है कि बरिस्ता कॉफी बनाने में समय बर्बाद करें। नकली ऑर्डर को दरवाजे पर ही खारिज कर दिया जाता है, जिससे असली ग्राहकों के लिए कप बच जाते हैं।
सिस्टम इतना स्मार्ट भी है कि यह सूची को "एज" (Age) कर सकता है। यदि शरारती व्यक्ति चिल्लाना बंद कर देता है, तो प्रतिबंध समाप्त हो जाता है ताकि यदि बाद में कोई वास्तविक व्यक्ति उसी स्थान पर खड़ा होता है, तो उसे गलत तरीके से प्रतिबंधित न किया जाए।

परीक्षण: वास्तविक दुनिया का प्रमाण

लेखकों ने इसे केवल कंप्यूटर पर सिम्युलेट नहीं किया; उन्होंने एक वास्तविक परीक्षण लैब बनाई।

उन्होंने वास्तविक 5G उपकरणों (जिसमें वाणिज्यिक रेडियो यूनिट और सॉफ्टवेयर-डिफाइंड रेडियो शामिल हैं) का उपयोग किया।
उन्होंने एक "शरारती" फोन बनाया जो वास्तव में नकली ऑर्डर चिल्ला रहा था।
उन्होंने परीक्षण किया कि शराराती व्यक्ति स्थिर खड़ा है या चल रहा है (कमरे में घूम रहा है)।

परिणाम:

सटीकता: StormShield ने 97.6% बार शरारती व्यक्ति की सही पहचान की।
गति: इसने हमले को लगभग 106 मिलीसेकंड (पलक झपकने से भी कम समय) में पकड़ लिया।
सुरक्षा: इसने शरारती व्यक्ति को बरिस्ता के संसाधनों को खत्म करने से सफलतापूर्वक रोका, जिससे वास्तविक ग्राहकों को हमले के दौरान भी अपनी कॉफी मिल सकी।

सारांश

StormShield 5G नेटवर्क के लिए एक स्मार्ट सुरक्षा गार्ड है। केवल कनेक्शन अनुरोधों की संख्या गिनने के बजाय (जो व्यस्त दिनों को हमलों के साथ भ्रमित कर देता है), यह अनुरोध के भौतिक "फिंगरप्रिंट" को देखता है। यदि यह देखता है कि एक डिवाइस बार-बार एक ही स्थान से जुड़ने की कोशिश कर रहा है, तो यह उस विशिष्ट डिवाइस को तुरंत ब्लॉक कर देता है, जिससे नेटवर्क बाकी सभी के लिए खुला रहता है।

तकनीकी सारांश: StormShield – O-RAN 5G RANs में फिंगरप्रिंट-आधारित डिटेक्शन और मिटिगेशन (शमन)

समस्या विवरण
यद्यपि 5G नेटवर्क उन्नत क्षमताएं प्रदान करते हैं, लेकिन कंट्रोल प्लेन (control plane) हमलों के प्रति संवेदनशील बना हुआ है, विशेष रूप से रेडियो रिसोर्स कंट्रोल (RRC) सिग्नलिंग तूफानों (signaling storms) के प्रति। इस अटैक वेक्टर में, एक दुर्भावनापूर्ण यूजर इक्विपमेंट (MUI) बार-बार कनेक्शन प्रक्रिया शुरू करता है, जिसमें विविध रेडियो नेटवर्क टेम्परेरी आइडेंटिफायर (RNTIs) के साथ RRC सेटअप रिक्वेस्ट (MSG3) भेजी जाती है, लेकिन जानबूझकर अंतिम RRC सेटअप कम्प्लीट (MSG5) संदेश को छोड़ दिया जाता है। यह व्यवहार gNB को कंट्रोल-प्लेन संसाधनों को आवंटित करने और अन-ऑथेंटिकेटेड सत्रों के लिए RRC कॉन्टेक्स्ट बनाए रखने के लिए मजबूर करता है। इसके परिणामस्वरूप, gNB का RRC कॉन्टेक्स्ट पूल समाप्त हो जाता है, जिससे वैध यूजर इक्विपमेंट्स (UEs) के लिए कनेक्शन स्थापित करना असंभव हो जाता है।

मौजूदा सुरक्षा प्रणालियाँ महत्वपूर्ण सीमाओं का सामना करती हैं:

भेदभाव करने में कठिनाई: हमले का प्रारंभिक व्यवहार वैध उच्च-लोड नेटवर्क स्थितियों (कनेक्शन अनुरोधों के उछाल) की नकल करता है, जिससे रेट-आधारित थ्रेशोल्ड (सीमा) गलत अलार्म (false alarms) उत्पन्न करने के प्रति संवेदनशील हो जाते हैं।
पहचान से बचना (Identity Evasion): चूंकि MUEs कभी भी ऑथेंटिकेशन पूरा नहीं करते, इसलिए उनके अस्थायी पहचानकर्ता (RNTIs) हर प्रयास के साथ बदल जाते हैं, जिससे प्रति-UE ब्लॉकिंग नीतियां अप्रभावी हो जाती हैं।
स्थिर धारणाएं (Static Assumptions): पूर्ववर्ती कार्य अक्सर सिमुलेशन, स्थिर सेटअप या एकल संकेतकों (जैसे टाइमिंग एडवांस) पर निर्भर करते हैं जो घने या इनडोर वातावरण में विफल हो जाते हैं जहाँ स्थानिक पैरामीटर ओवरलैप होते हैं।
मिटिगेशन (शमन) का अभाव: अधिकांश मौजूदा समाधान केवल डिटेक्शन (पता लगाने) पर ध्यान केंद्रित करते हैं, न कि सक्रिय मिटिगेशन पर।

कार्यप्रणाली (Methodology)
लेखक StormShield का प्रस्ताव करते हैं, जो एक O-RAN Near-Real-Time (near-RT) RAN इंटेलिजेंट कंट्रोलर (RIC) पर एक xApp के रूप में कार्यान्वित किया गया है। यह समाधान RAN डेटा प्लेन में संशोधन किए बिना फाइन-ग्रेन्ड की परफॉरमेंस मेट्रिक्स (KPMs) एकत्र करने और नियंत्रण क्रियाओं को लागू करने के लिए ओपन RAN आर्किटेक्चर के ओपन इंटरफेस का लाभ उठाता है।

मुख्य तर्क दो चरणों में कार्य करता है:

फिंगरप्रिंट-आधारित डिटेक्शन:
- इनपुट: सिस्टम RRC मैसेज काउंट (MSG3, MSG4, MSG5) और रेडियो-स्तरीय फिंगरप्रिंट्स जैसे टाइमिंग एडवांस (TA) और रिसीव्ड सिग्नल स्ट्रेंथ इंडिकेटर (RSSI) की निगरानी करता है।
- कोर्स-ग्रेन्ड विश्लेषण: यह पूर्णता अनुपात ( $R_1 = MSG5/MSG3$ और $R_2 = MSG5/MSG4$ ) की गणना करता है। MSG3 का उच्च वॉल्यूम और कम पूर्णता अनुपात एक संभावित हमले के अलर्ट को ट्रिगर करता है।
- फाइन-ग्रेन्ड क्लस्टरिंग: हमलों को सौहार्दपूर्ण (benign) उच्च-लोड परिदृश्यों से अलग करने के लिए, सिस्टम (TA, RSSI) फिंगरप्रिंट इतिहास पर DBSCAN क्लस्टरिंग एल्गोरिदम लागू करता है।
  - हमला परिदृश्य (Attack Scenario): एक एकल MUE जो एक निश्चित या धीरे-धीरे चलते स्थान से बार-बार अनुरोध भेजता है, समान फिंगरप्रिंट्स का एक घना क्लस्टर बनाता है।
  - सौहार्दपूर्ण परिदृश्य (Benign Scenario): वैध उच्च लोड में कई अलग-अलग UEs शामिल होते हैं, जिसके परिणामस्वरूप फिंगरप्रिंट्स का बिखरा हुआ वितरण होता है।
- निर्णय: यदि किसी क्लस्टर का घनत्व एक थ्रेशोल्ड ( $T_3$ ) से अधिक हो जाता है, तो उस क्लस्टर के सेंट्रॉइड (centroid) को दुर्भावनापूर्ण फिंगरप्रिंट के रूप में पहचाना जाता है।
प्री-ऑथेंटिकेशन मिटिगेशन:
- ब्लॉकलिस्ट प्रबंधन: gNB दुर्भावनापूर्ण फिंगरप्रिंट्स (सेंट्रॉइड्स) की एक एडेप्टिव ब्लॉकलिस्ट बनाए रखता है।
- एजिंग मैकेनिज्म (Aging Mechanism): प्रविष्टियों में एक मैच काउंटर और एक टाइमआउट शामिल है। बार-बार होने वाले मैचों के खिलाफ ब्लॉकिंग को मजबूत करने के लिए टाइमआउट रैखिक रूप से बढ़ता है, लेकिन यदि कोई नया मैच नहीं होता है तो यह स्वतः समाप्त हो जाता है, जिससे उन सौहार्दपूर्ण UEs को दीर्घकालिक बहिष्करण से बचाया जा सके जो समान क्षणिक रेडियो स्थितियों को साझा कर सकते हैं।
- क्रिया (Action): जब एक नया कनेक्शन अनुरोध आता है, तो gNB उसके वर्तमान (TA, RSSI) फिंगरप्रिंट को मापता है। यदि यह परिभाषित सहनशीलता ( $\epsilon_{TA}, \epsilon_{RSSI}$ ) के भीतर एक ब्लॉक किए गए सेंट्रॉइड से मेल खाता है, तो कनेक्शन को तुरंत अस्वीकार कर दिया जाता है, और संसाधनों को पूरी तरह से आवंटित करने से पहले ही RRC कॉन्टेक्स्ट को ड्रॉप कर दिया जाता है।

प्रायोगिक सेटअप (Experimental Setup)
लेखकों ने OpenAirInterface (OAI) 5G प्रोटोकॉल स्टैक का उपयोग करके दो अलग-अलग ओवर-द-एयर (OTA) टेस्टबेड्स पर StormShield को मान्य किया:

SDR सेटअप: एक USRP X410 सॉफ्टवेयर-डिफाइंड रेडियो (SDR) जिसमें 8.1 फंक्शनल स्प्लिट है।
कमर्शियल RU सेटअप: एक Foxconn रेडियो यूनिट (RU) जिसमें 7.2 फंक्शनल स्प्लिट है, जो एक NVIDIA Aerial एक्सेलेरेटेड gNB से जुड़ा है।

टेस्टबेड्स ने मोबाइल हमलावरों, सिंगल और मल्टीपल कंकरेंट MUEs और वैध पीड़ितों के रूप में कमर्शियल स्मार्टफोन के उपयोग सहित विभिन्न परिदृश्यों का समर्थन किया। MUE का अनुकरण (emulation) OAI UE RRC स्टेट मशीन को संशोधित करके किया गया था ताकि MSG5 को ड्रॉप किया जा सके।

प्रमुख परिणाम

डिटेक्शन सटीकता: StormShield ने सभी परीक्षण किए गए परिदृश्यों में औसतन 97.6% डिटेक्शन सटीकता प्राप्त की।
रिस्पॉन्स टाइम: सिस्टम ने हमले की शुरुआत से औसतन 106.5 ms के रिस्पॉन्स टाइम के साथ हमलों की पहचान की और उन्हें ब्लॉक किया। यह मिटिगेशन की अनुपस्थिति में gNB संसाधनों के समाप्त होने के लिए आवश्यक समय (जो 312 ms से 326 ms के बीच था) से काफी तेज है।
मजबूती (Robustness): समाधान कई हमलावरों और मोबाइल MUEs के साथ प्रभावी रहा।
कोलेटरल ब्लॉकिंग (Collateral Blocking): स्टैटिक परिदृश्यों में, कोलेटरल ब्लॉकिंग रेट (CBR)—जहाँ वैध UEs को गलती से ब्लॉक कर दिया गया—हमलावरों की संख्या और रेडियो सेटअप के आधार पर 17% से 25% के बीच था। मोबाइल परिदृश्यों में, RSSI और TA मानों की गतिशील प्रकृति के कारण CBR थोड़ा बढ़कर 25% हो गया।
पैरामीटर संवेदनशीलता: फाइन-ट्यूनिंग प्रयोगों ने प्रदर्शित किया कि सिस्टम क्लस्टरिंग रेडियस ( $\epsilon_{RSSI}$ ) और मैसेज थ्रेशोल्ड ( $T_1, T_2$ ) के प्रति संवेदनशील है। एक अनुकूलतम कॉन्फ़िगरेशन (E1) की पहचान की गई जो उच्च ट्रू-पॉजिटिव दरों के साथ आदर्श स्थिर स्थितियों में शून्य फाल्स पॉजिटिव और शून्य कोलेटरल ब्लॉकिंग को संतुलित करता है।

महत्व और दावे
पेपर का दावा है कि Storm-Shield केवल डिटेक्शन-ओनली या सिमुलेशन-आधारित दृष्टिकोणों से आगे बढ़कर एक रियल-वर्ल्ड, प्री-ऑथेंटिकेशन मिटिगेशन रणनीति के माध्यम से 5G सुरक्षा में एक महत्वपूर्ण अंतर को संबोधित करता है। इसकी महत्ता निम्नलिखित में निहित है:

व्यवहार्यता प्रदर्शन: यह सिद्ध करना कि RRC सिग्नलिंग तूफानों को गतिशीलता और मल्टीपल हमलावरों के साथ वास्तविक 5G OTA टेस्टबेड्स पर पुनरुत्पादित और अध्ययन किया जा सकता है।
विभेदन क्षमता: स्पैटियल फिंगरप्रिंट्स और RRC सांख्यिकी के संयोजन का उपयोग करके दुर्भावनापूर्ण सिग्नलिंग तूफानों और सौहार्दपूर्ण उच्च-लोड नेटवर्क स्थितियों के बीच सफलतापूर्वक अंतर करना, जहाँ पिछले थ्रेशोल्ड-आधारित तरीके विफल रहे थे।
O-RAN एकीकरण: O-RAN के नियर-रियल-टाइम RIC के भीतर एक क्लोज्ड-लूप कंट्रोल मैकेनिज्म का प्रदर्शन करना, जिसके लिए अंडरलाइंग RAN डेटा प्लेन में किसी बदलाव की आवश्यकता नहीं है, और टेलीमेट्री एवं कंट्रोल के लिए एक कस्टम सर्विस मॉडल (SM) का उपयोग किया गया है।
एडेप्टिव मिटिगेशन: ब्लॉकलिस्ट में एक एजिंग मैकेनिज्म पेश करना जो निरंतर हमलावरों के खिलाफ सुरक्षा बनाए रखते हुए सौहार्दपूर्ण उपयोगकर्ताओं को स्थायी ब्लॉकिंग से बचाता है।

लेखक निष्कर्ष निकालते हैं कि हालांकि सिस्टम अत्यधिक प्रभावी है, भविष्य के कार्य अधिक मजबूत फिंगरप्रिंटिंग के लिए अतिरिक्त हार्डवेयर-विशिष्ट सुविधाओं (जैसे I/Q सैंपल विश्लेषण) को एकीकृत करने और आंशिक ऑथेंटिकेशन को पूरा करने में सक्षम अधिक सूक्ष्म (stealthy) विरोधियों को शामिल करने वाले थ्रेट मॉडल का विस्तार करने पर केंद्रित होंगे।