Unsupervised Cross-Protocol Anomaly Analysis in Mobile Core Networks via Multi-Embedding Models Consensus

Riepilogo Tecnico: Analisi delle Anomalie Cross-Protocollo Non Supervisionata nelle Reti Core Mobile

Problematica
Le reti core mobile operano molteplici protocolli di segnalazione (SS7, Diameter e GTP) in parallelo. Molte problematiche rilevanti per la sicurezza, come le incongruenze di identità, le false indicazioni di roaming e i malindirizzamenti, diventano visibili solo quando questi protocolli vengono analizzati congiuntamente per lo stesso abbonato e la stessa finestra temporale. Tuttavia, il rilevamento di queste anomalie cross-protocollo è complesso perché:

1. Scarsità di Dati: Gli esempi etichettati di attacchi reali e di configurazioni errate cross-protocollo sono raramente disponibili in contesti operativi, ostacolando l'implementazione di metodi di apprendimento supervisionato.
2. Limitazioni degli Approcci Esistenti: Il monitoraggio basato su regole si affida a firme create da esperti che spesso perdono di vista problemi coordinati o nuovi di tipo multi-step. Inoltre, precedenti approcci di apprendimento non supervisionato e di rappresentazione sono tipicamente limitati a singoli protocolli, trascurando le dipendenze causali tra i piani di controllo e utente.

Metodologia
Gli autori propongono un framework non supervisionato che fonde i dati di segnalazione e sfrutta un consenso di modelli di multi-embedding per rilevare incongruenze senza lari etichette umane. La metodologia si compone di quattro fasi principali:

1. Fusione Per-Abbonato, Per-Minuto:
   Il sistema aggrega i messaggi decodificati SS7, Diameter e GTP per ogni abbonato all'interno di una finestra di un minuto. Questi messaggi vengono raggruppati in un unico "record fuso" contenente i campi JSON grezzi di tutti e tre i protocolli. Solo le finestre contenenti messaggi provenienti da almeno due famiglie di protocolli vengono mantenute per l'analisi.

2. Costruzione di Anomalie Sintetiche (Ground Truth di Valutazione):
   Per valutare il sistema senza etichette manuali, gli autori generano anomalie sintetiche "cross-protocol-plausible". Ciò viene ottenuto scambiando gruppi di campi specifici tra coppie di record fusi. Gli scambi sono progettati per mantenere i messaggi dei singoli protocolli sintatticamente validi, creando però contraddizioni nella visione congiunta. Sono state definite tredici famiglie di mutazione, che coprono campi critici quali:

   • SS7: Calling/Called-Party Global Titles (CGGT/CDDT), Point Codes (OPC/DPC) e Application Context.
   • Diameter: User-Name, Session-Id, Origin-Host, Visited-PLMN-Id e APN Service-Selection.
   • GTP: TEID, APN, User Location Information e indirizzi PDN IP.

3. Serializzazione Testuale ed Embedding:
   Ogni record fuso viene serializzato in una stringa JSON a riga singola normalizzata. Queste stringhe vengono passate a sei diversi modelli di embedding pre-addestrati (inclusi varianti di bge-m3, jina-embeddings-v2, nomic-embed-text e snowflake-arctic-embed). I modelli generano rappresentazioni vettoriali per i record che rientrano nelle loro specifiche finestre di contesto senza troncamenti.

4. Rilevamento Non Supervisionato e Punteggio di Consenso:
   Per ogni modello di embedding, un rilevatore non supervisionato (Isolation Forest) viene addestrato sul traffico di background (con una piccola iniezione del 5% di anomalie sintetiche per modellare il paesaggio di densità, ma senza utilizzare etichette per l'adattamento). Il rilevatore assegna una decisione binaria (anomala o benigna) a ciascun record.
   Un Punteggio di Consenso ($S$) viene calcolato per ogni record, rappresentando il numero di modelli (su sei) che segnalano il record come anomalo. Questo punteggio funge da meccanismo di classificazione per dare priorità ai candidati per l'ispezione.

Contributi Chiave

1. Pipeline di Fusione: Un metodo per aggregare i record SS7, Diameter e GTP per abbonato e per minuto preservando i campi grezzi necessari per i controlli di coerenza cross-protocollo.
2. Generatore di Anomalie Sintetiche: Un approccio basato sulla mutazione per creare incongruenze plausibili dal punto di vista del protocollo per la valutazione, evitando la necessità di etichettatura manuale di attacchi reali.
3. Ensemble Non Supervisionato: Un sistema di classifica basato sul consenso che combina molteplici modelli di embedding e rilevatori per modello per identificare anomalie.
4. Framework di Valutazione: Un metodo che collega i livelli di consenso alla precisione sulle anomalie sintetiche e analizza la separazione dei record nello spazio di embedding.

Risultati
La valutazione è stata condotta su un corpus di 219.294 record fusi (8.122 record di background originali e 211.172 anomalie sintetiche).

• Distribuzione del Consenso: Alla soglia più bassa ($S \ge 1$), il 44,15% dei record è stato segnalato da almeno un modello. Man mano che il requisito di consenso aumentava, la frazione di record segnalati diminuiva drasticamente. Al pieno accordo ($S \ge 6$), solo lo 0,97% dei record è stato segnalato.
• Precisione e Separazione:
  • Per le soglie $k = 1$ a $4$, i record segnalati come anomali erano centinaia di volte più probabili di essere sintetici rispetto agli originali (Rapporti di probabilità tra 236 e 572).
  • Per le soglie $k \ge 5$, zero record originali (di background) sono stati segnalati. Tutti i record segnalati a questi livelli erano sintetici, indicando una separazione perfetta tra le anomalie sintetiche e il traffico di background nella configurazione testata.
  • I test statistici (test esatto di Fisher e Chi-quadro) hanno prodotto p-value estremamente piccoli ($< 10^{-35}$), confermando la forte associazione tra l'alto consenso e le anomalie sintetiche.
• Analisi dello Spazio di Embedding: Le misurazioni della distanza coseno tra i record sintetici e i loro corrispettivi originali hanno mostrato che le distanze aumentano con il livello di consenso. Ciò suggerisce che i record con maggiore accordo tra i modelli sono più chiaramente separati dal traffico normale nello spazio di embedding.

Significatività e Rivendicazioni
L'articolo sostiene che il consenso di multi-modelli di embedding sia un meccanismo efficace per dare priorità a un set molto più piccolo di candidati per le incongruenze cross-protocollo destinati all'ispezione. Aumentando la soglia di consenso, gli operatori possono ridurre significativamente il volume di record che richiedono una revisione manuale, mantenendo al contempo un'alta probabilità che i candidati rimanenti rappresentino genuine contraddizioni cross-protocollo.

Gli autori sottolineano che le loro scoperte sono specifiche per il design delle anomalie sintetiche e per l'ensemble di modelli selezionato. Non pretendono che il sistema rilevi tutti gli attacchi nel mondo reale, osservando che gli incidenti reali potrebbero comportare cambiamenti coordinati multipli o scale temporali più lunghe non catturate dallo scambio di singoli campi. Tuttavia, i risultati supportano l'utilità dell'apprendimento di rappresentazioni congiunte e non supervisionate per identificare incongruenze strutturate che sono invisibili nelle viste a singolo protocollo.