StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

技術概要：StormShield – O-RAN 5G RAN における RRC シグナリングストームの指紋ベース検出と緩和

問題定義
5G ネットワークは高度な機能を提供する一方で、制御プレーンは特に無線リソース制御（RRC）シグナリングストームに対するサービス拒否（DoS）攻撃に脆弱なままです。この攻撃ベクトルにおいて、悪意のあるユーザ機器（MUE）は、可変の無線ネットワーク一時的識別子（RNTI）を伴う RRC セットアップ要求（MSG3）を送信することで接続手順を繰り返し開始しますが、最終的な RRC セットアップ完了メッセージ（MSG5）を意図的に送信しません。この振る舞いにより、次世代ノード基地局（gNB）は認証を完了していないセッションに対して制御プレーンリソースを割り当て、RRC コンテキストを維持することを強いられます。その結果、gNB の RRC コンテキストプールが枯渇し、正当なユーザ機器（UE）が接続を確立できなくなります。

既存の防御策は以下の重大な限界に直面しています：

1. 識別の困難性：攻撃の初期振る舞いは、正当な高負荷ネットワーク条件（接続要求のバースト）と類似しており、レートベースの閾値は誤検知を起こしやすい。
2. 身元回避：MUE は認証を完了しないため、その一時的識別子（RNTI）は試行ごとに変化し、UE 単位のブロックポリシーを無効化する。
3. 静的な仮定：先行研究はしばしばシミュレーション、静的な設定、またはタイミングアドバンスのような単一の指標に依存しており、空間パラメータが重なる高密度または屋内環境では機能しない。
4. 緩和の欠如：既存の解決策の多くは検出のみを焦点とし、能動的な緩和には言及していない。

手法
著者は、O-RAN 準リアルタイム（near-RT）RAN 知能コントローラ（RIC）上の xApp として実装された検出および緩和フレームワーク「StormShield」を提案する。このソリューションは、Open RAN アーキテクチャのオープンインターフェースを活用して、微細なキーパフォーマンスメトリクス（KPM）を収集し、RAN データプレーンを変更することなく制御アクションを強制する。

中核ロジックは 2 段階で動作する：

1. 指紋ベースの検出：

   • 入力：システムは RRC メッセージ数（MSG3、MSG4、MSG5）と、タイミングアドバンス（TA）および受信信号強度指標（RSSI）という無線レベルの指紋を監視する。
   • 粗粒度分析：完了率（$R_1 = MSG5/MSG3$ および $R_2 = MSG5/MSG4$）を計算する。MSG3 の大量発生と低い完了率の組み合わせは、潜在的な攻撃アラートをトリガーする。
   • 微粒度クラスタリング：攻撃を benign な高負荷シナリオから区別するため、システムは（TA、RSSI）指紋履歴に対して DBSCAN クラスタリングアルゴリズムを適用する。
     • 攻撃シナリオ：固定または低速移動の場所から繰り返し要求を送信する単一の MUE は、類似した指紋の高密度なクラスタを生成する。
     • Benign シナリオ：正当な高負荷は多数の異なる UE を伴うため、指紋の分布は散在する。
   • 判断：クラスタの密度が閾値（$T_3$）を超えた場合、そのクラスタの重心が悪意のある指紋として識別される。

2. 認証前緩和：

   • ブロックリスト管理：gNB は悪意のある指紋（重心）の適応型ブロックリストを維持する。
   • エイジング機構：エントリにはマッチカウンターとタイムアウトが含まれる。タイムアウトは繰り返しマッチに応じて線形に増加し、持続的な攻撃者に対するブロックを強化するが、新たなマッチがない場合は自動的に期限切れとなり、類似した一時的な無線条件を共有する可能性のある benign な UE の長期的な排除を防ぐ。
   • アクション：新しい接続試行が到着すると、gNB はその現在の（TA、RSSI）指紋を測定する。定義された許容範囲（$\epsilon_{TA}, \epsilon_{RSSI}$）内でブロックされた重心と一致する場合、接続は即座に拒否され、リソースが完全に割り当てられる前に RRC コンテキストが破棄される。

実験設定
著者は、OpenAirInterface（OAI）5G プロトコルスタックを使用した 2 つの異なるオーバー・ザ・エア（OTA）テストベッドで StormShield を検証した：

1. SDR 設定：8.1 機能分割を備えた USRP X410 ソフトウェア定義無線（SDR）。
2. 商用 RU 設定：7.2 機能分割を備え、NVIDIA Aerial 加速 gNB に接続された Foxconn ラジオユニット（RU）。

これらのテストベッドは、静止および移動する攻撃者、単一および複数の同時 MUE、そして正当な被害者としての商用スマートフォンの使用など、さまざまなシナリオをサポートした。MUE は、OAI UE RRC 状態機械を修正して MSG5 を破棄することでエミュレートされた。

主要な結果

• 検出精度：StormShield は、すべてのテストされたシナリオで平均 97.6% の検出精度を達成した。
• 応答時間：システムは攻撃開始から平均 106.5 ms で攻撃を特定し、ブロックした。これは gNB リソースを枯渇させるのに必要な時間（緩和がない場合 312 ms から 326 ms の範囲）よりも著しく速い。
• 堅牢性：このソリューションは、複数の攻撃者や移動する MUE に対しても有効であった。
• 副次的なブロック：静止シナリオでは、正当な UE が誤ってブロックされる副次的ブロック率（CBR）は、攻撃者の数と無線設定に応じて 17% から 25% の間であった。移動シナリオでは、RSSI および TA 値の動的な性質に起因し、CBR はわずかに 25% まで増加した。
• パラメータ感度：微調整実験により、システムがクラスタリング半径（$\epsilon_{RSSI}$）およびメッセージ閾値（$T_1, T_2$）に敏感であることが示された。理想的な静止条件下で、真陽性率を高く保ちながら、偽陽性と副次的ブロックをゼロにする最適な設定（E1）が特定された。

意義と主張
本論文は、StormShield が検出のみのアプローチやシミュレーションベースのアプローチを超え、現実世界の認証前緩和戦略へと移行することで、5G セキュリティにおける重要なギャップを埋めると主張する。その意義は以下の点にある：

1. 実現可能性の証明：移動性と複数の攻撃者を伴う現実的な 5G OTA テストベッド上で、RRC シグナリングストームを再現し研究できることを実証した。
2. 識別能力：RRC 統計と空間的指紋の組み合わせを用いて、悪意のあるシグナリングストームと benign な高負荷ネットワーク条件を成功裡に区別し、これは従来の閾値ベースの手法が失敗した課題であった。
3. O-RAN 統合：基盤となる RAN データプレーンに変更を加えることなく、テレメトリと制御のためのカスタムサービスモデル（SM）を活用し、O-RAN 準リアルタイム RIC 内で閉ループ制御メカニズムを実証した。
4. 適応型緩和：持続的な攻撃者に対する保護を維持しつつ、benign なユーザの恒久的なブロックを防ぐブロックリスト用のエイジング機構を導入した。

著者は、システムが極めて効果的である一方で、今後の研究はより堅牢な指紋認識のための追加のハードウェア固有機能（例：I/Q サンプル分析）の統合と、部分的な認証を完了できるより巧妙な敵対者を含む脅威モデルの拡大に焦点を当てると結論づけている。