💻 computer science

StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

Questo documento presenta StormShield, una soluzione basata su xApp per le reti O-RAN 5G che utilizza il fingerprinting per rilevare e mitigare le tempeste di segnalazione Radio Resource Control (RRC) con un'accuratezza del 97,6% entro 106,5 ms, prevenendo efficacemente l'esaurimento delle risorse gNB in ambienti di prova over-the-air reali.

Autori originali: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Pubblicato 2026-05-15

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina una torre cellulare 5G affollata (chiamata gNB) come una caffetteria molto frequentata. I baristi (la rete) sono pronti a servire i clienti (il tuo telefono), ma hanno un numero limitato di tazze e una quantità finita di tempo per prendere gli ordini.

Il Problema: La Tempesta di "Ordini Falsi"

In questo documento, gli autori descrivono un tipo specifico di attacco informatico chiamato Tempesta di Segnalazione RRC.

Pensa a un Utente Malintenzionato (MUE) non come a un vero cliente, ma come a un burlone in fila. Ogni volta che il barista chiama: "Chi è il prossimo?", il burlone grida: "Io! Voglio un caffè!" e consegna un falso documento d'identità. Il barista, essendo gentile, inizia a preparare una tazza e a riservare un posto al bancone per questa persona.

Tuttavia, il burlone non ordina mai davvero né paga. Continua semplicemente a gridare "Io!" ripetutamente con nomi falsi diversi.

Il Risultato: I baristi diventano così occupati nel riservare tazze e posti per questi clienti finti da esaurire le risorse. I clienti reali (telefoni legittimi) che cercano di acquistare un caffè vengono ignorati e non riescono a entrare. Il locale viene di fatto chiuso, non perché sia troppo affollato di persone vere, ma perché i burloni stanno occupando lo spazio del bancone.

La Sfida: Distinguere il Caos dalla Folla

La parte difficile è che a volte la caffetteria è semplicemente molto affollata (uno scenario di "carico elevato"). Se cento persone vere entrano tutte insieme, anche i baristi sono sopraffatti.

Le vecchie difese erano come un buttafuori che conta semplicemente quante persone stanno gridando. Se il numero è alto, bloccano tutti. Questo causa molti falsi allarmi, espellendo clienti reali solo perché il locale è popolare.
Il nuovo problema: I burloni continuano a cambiare i loro nomi falsi, quindi il barista non può semplicemente scrivere "Cattivo #1" su una lista e vietargli l'accesso.

La Soluzione: "StormShield"

Gli autori hanno costruito un sistema di sicurezza intelligente chiamato StormShield. L'hanno installato in una sala di controllo "Quasi in Tempo Reale" (parte dell'architettura O-RAN) che osserva la fila e prende decisioni in frazioni di secondo.

Ecco come funziona StormShield, usando semplici analogie:

1. L'"Impronta Digitale" (Il Controllo del Documento)

Invece di contare solo le teste, StormShield osserva come le persone stanno gridando.

Timing Advance (TA): Questo è come misurare esattamente quanto lontano una persona sta dal bancone.
Potenza del Segnale (RSSI): Questo è come misurare quanto è alta la loro voce.

Se 100 clienti veri diversi entrano, stanno a distanze diverse e hanno volumi di voce diversi. Le loro "impronte digitali" sono tutte sparse.
Ma, se un burlone grida 50 volte di fila, si trova nello stesso identico punto con lo stesso identico volume di voce ogni volta. Le loro impronte digitali formano un raggruppamento stretto e denso.

2. Il "Clustering Intelligente" (Individuare il Burlone)

StormShield utilizza uno strumento matematico (chiamato DBSCAN) per osservare la folla.

Scenario A (Folla Reale): Le impronte digitali sono sparse in tutta la stanza. StormShield dice: "Ok, è solo una giornata affollata. Lasciate entrare i clienti."
Scenario B (L'Attacco): Il sistema vede un'enorme, densa macchia di impronte digitali che provengono tutte dallo stesso identico punto. StormShield dice: "Aha! Una persona sta gridando 50 volte. Quello è il burlone."

3. Il "Buttafuori" (Bloccare l'Attacco)

Una volta che StormShield identifica la "macchia" di ordini falsi, aggiorna istantaneamente la lista del buttafuori.

Dice ai baristi: "Se qualcuno prova a ordinare con questa specifica distanza e questo specifico volume di voce, fermatelo immediatamente."
Fondamentalmente, questo avviene prima che i baristi sprechino tempo a preparare il caffè. L'ordine falso viene rifiutato all'ingresso, risparmiando le tazze per i clienti reali.
Il sistema è anche abbastanza intelligente da "invecchiare" la lista. Se il burlone smette di gridare, il divieto scade alla fine, così che se una persona vera capita di stare in quello stesso punto in seguito, non venga ingiustamente bandita per sempre.

I Test: Prove nel Mondo Reale

Gli autori non hanno solo simulato questo su un computer; hanno costruito un vero laboratorio di test.

Hanno utilizzato attrezzature 5G reali (inclusi apparati radio commerciali e radio definite via software).
Hanno creato un telefono "burlone" che effettivamente gridava ordini falsi.
L'hanno testato con il burlone fermo e persino mentre il burlone si muoveva (camminando per la stanza).

I Risultati:

Accuratezza: StormShield ha identificato correttamente il burlone nel 97,6% dei casi.
Velocità: Ha intercettato l'attacco in circa 106 millisecondi (meno di un battito di ciglia).
Protezione: Ha fermato con successo il burlone dall'esaurire le risorse dei baristi, permettendo ai clienti reali di ottenere il loro caffè anche durante l'attacco.

Riepilogo

StormShield è una guardia di sicurezza intelligente per le reti 5G. Invece di contare semplicemente quante richieste di connessione arrivano (il che confonde i giorni affollati con gli attacchi), esamina l'"impronta digitale" fisica della richiesta. Se vede un dispositivo che tenta freneticamente di connettersi dallo stesso identico punto ripetutamente, blocca quel dispositivo specifico istantaneamente, mantenendo la rete aperta per tutti gli altri.

Sintesi Tecnica: StormShield – Rilevamento e Mitigazione Basati su Impronte Digitali delle Tempeste di Segnalazione RRC nelle Reti 5G O-RAN

Enunciato del Problema
Sebbene le reti 5G offrano capacità potenziate, il piano di controllo rimane vulnerabile ad attacchi di tipo Denial-of-Service (DoS), in particolare alle tempeste di segnalazione Radio Resource Control (RRC). In questo vettore di attacco, un Dispositivo Utente Malintenzionato (MUE) avvia ripetutamente procedure di connessione inviando Richieste di Configurazione RRC (MSG3) con Identificativi Temporanei di Rete Radio (RNTI) variabili, ma omette intenzionalmente il messaggio finale di Completamento Configurazione RRC (MSG5). Tale comportamento costringe la Next Generation Node Base (gNB) ad allocare risorse del piano di controllo e a mantenere contesti RRC per sessioni non autenticate senza completare l'handshake. Di conseguenza, il pool di contesti RRC della gNB si esaurisce, impedendo ai Dispositivi Utenti (UE) legittimi di stabilire connessioni.

Le difese esistenti presentano limitazioni significative:

Difficoltà di Differenziazione: Il comportamento iniziale di un attacco imita condizioni di rete ad alto carico legittimo (burst di richieste di connessione), rendendo le soglie basate sul tasso soggette a falsi allarmi.
Evasione dell'Identità: Poiché gli MUE non completano mai l'autenticazione, i loro identificatori temporanei (RNTI) cambiano ad ogni tentativo, rendendo inefficaci le politiche di blocco per singolo UE.
Assunzioni Statiche: I lavori precedenti si basano spesso su simulazioni, configurazioni statiche o indicatori singoli (come l'Avanzamento Temporale) che falliscono in ambienti densi o interni dove i parametri spaziali si sovrappongono.
Mancanza di Mitigazione: La maggior parte delle soluzioni esistenti si concentra esclusivamente sul rilevamento piuttosto che sulla mitigazione proattiva.

Metodologia
Gli autori propongono StormShield, un framework di rilevamento e mitigazione implementato come xApp su un Controller Intelligente RAN (RIC) Near-Real-Time (near-RT) O-RAN. La soluzione sfrutta le interfacce aperte dell'architettura Open RAN per raccogliere Metriche Chiave di Prestazione (KPM) a grana fine e imporre azioni di controllo senza modificare il piano dati RAN.

La logica centrale opera in due fasi:

Rilevamento Basato su Impronte Digitali:
- Input: Il sistema monitora i conteggi dei messaggi RRC (MSG3, MSG4, MSG5) e le impronte digitali a livello radio: Avanzamento Temporale (TA) e Indicatore di Potenza del Segnale Ricevuto (RSSI).
- Analisi a Grana Grossa: Calcola i rapporti di completamento ( $R_1 = MSG5/MSG3$ e $R_2 = MSG5/MSG4$ ). Un alto volume di MSG3 combinato con bassi rapporti di completamento attiva un allarme di potenziale attacco.
- Clustering a Grana Fina: Per distinguere gli attacchi dagli scenari benigni ad alto carico, il sistema applica l'algoritmo di clustering DBSCAN alla cronologia delle impronte digitali (TA, RSSI).
  - Scenario di Attacco: Un singolo MUE che invia ripetutamente richieste da una posizione fissa o in movimento lento genera un cluster denso di impronte simili.
  - Scenario Benigno: Un alto carico legittimo coinvolge molti UE distinti, risultando in una distribuzione dispersa di impronte digitali.
- Decisione: Se la densità di un cluster supera una soglia ( $T_3$ ), il centroide di tale cluster viene identificato come un'impronta digitale malintenzionata.
Mitigazione Pre-Autenticazione:
- Gestione della Lista di Blocco: La gNB mantiene una lista di blocco adattiva delle impronte digitali malintenzionate (centroidi).
- Meccanismo di Invecchiamento: Le voci includono un contatore di corrispondenze e un timeout. Il timeout aumenta linearmente con corrispondenze ripetute per rafforzare il blocco contro attaccanti persistenti, ma scade automaticamente se non si verificano nuove corrispondenze, prevenendo l'esclusione a lungo termine di UE legittimi che potrebbero condividere condizioni radio transitorie simili.
- Azione: Quando arriva un nuovo tentativo di connessione, la gNB misura la sua attuale impronta digitale (TA, RSSI). Se corrisponde a un centroide bloccato entro tolleranze definite ( $\epsilon_{TA}, \epsilon_{RSSI}$ ), la connessione viene rifiutata immediatamente e il contesto RRC viene eliminato prima che le risorse siano completamente allocate.

Configurazione Sperimentale
Gli autori hanno validato StormShield su due distinti banchi di prova Over-The-Air (OTA) utilizzando lo stack protocollare 5G OpenAirInterface (OAI):

Configurazione SDR: Una Radio Definita via Software (SDR) USRP X410 con split funzionale 8.1.
Configurazione RU Commerciale: Un'Unità Radio (RU) Foxconn con split funzionale 7.2, collegata a una gNB accelerata NVIDIA Aerial.

I banchi di prova supportavano vari scenari, inclusi attaccanti statici e mobili, MUE singoli e multipli concorrenti, e l'uso di smartphone commerciali come vittime legittime. L'MUE è stato emulato modificando la macchina a stati RRC UE di OAI per eliminare MSG5.

Risultati Chiave

Accuratezza del Rilevamento: StormShield ha raggiunto un'accuratezza media di rilevamento del 97,6% in tutti gli scenari testati.
Tempo di Risposta: Il sistema ha identificato e bloccato gli attacchi con un tempo di risposta medio di 106,5 ms dall'inizio dell'attacco. Ciò è significativamente più veloce del tempo richiesto per esaurire le risorse della gNB (che variava da 312 ms a 326 ms in assenza di mitigazione).
Robustezza: La soluzione è rimasta efficace con più attaccanti e MUE mobili.
Blocco Collaterale: Negli scenari statici, il Tasso di Blocco Collaterale (CBR), in cui UE legittimi sono stati erroneamente bloccati, è stato compreso tra il 17% e il 25% a seconda del numero di attaccanti e della configurazione radio. Negli scenari mobili, il CBR è aumentato leggermente al 25%, attribuito alla natura dinamica dei valori RSSI e TA.
Sensibilità dei Parametri: Esperimenti di ottimizzazione hanno dimostrato che il sistema è sensibile al raggio di clustering ( $\epsilon_{RSSI}$ ) e alle soglie dei messaggi ( $T_1, T_2$ ). È stata identificata una configurazione ottimale (E1) che bilancia alti tassi di veri positivi con zero falsi positivi e zero blocchi collaterali in condizioni statiche ideali.

Significato e Affermazioni
Il documento afferma che StormShield colma una lacuna critica nella sicurezza 5G superando approcci basati solo sul rilevamento o sulle simulazioni per adottare una strategia di mitigazione pre-autenticazione nel mondo reale. Il suo significato risiede in:

Dimostrazione di Fattibilità: Dimostrare che le tempeste di segnalazione RRC possono essere riprodotte e studiate su banchi di prova 5G OTA realistici con mobilità e più attaccanti.
Capacità di Differenziazione: Distinguere con successo tra tempeste di segnalazione malintenzionate e condizioni di rete ad alto carico legittime utilizzando una combinazione di statistiche RRC e impronte digitali spaziali, una sfida in cui i precedenti metodi basati su soglie fallivano.
Integrazione O-RAN: Dimostrare un meccanismo di controllo in ciclo chiuso all'interno del near-RT RIC O-RAN che non richiede modifiche al piano dati RAN sottostante, utilizzando un Modello di Servizio (SM) personalizzato per la telemetria e il controllo.
Mitigazione Adattiva: Introdurre un meccanismo di invecchiamento per le liste di blocco che previene il blocco permanente di utenti legittimi mantenendo la protezione contro attaccanti persistenti.

Gli autori concludono che, sebbene il sistema sia altamente efficace, il lavoro futuro si concentrerà sull'integrazione di funzionalità aggiuntive specifiche dell'hardware (ad esempio, analisi dei campioni I/Q) per un'impronta digitale più robusta e sull'espansione del modello di minaccia per includere avversari più subdoli capaci di completare autenticazioni parziali.