StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

기술 요약: StormShield – O-RAN 5G RAN 의 RRC 시그널링 폭풍에 대한 지문 기반 탐지 및 완화

문제 제기
5G 네트워크는 향상된 기능을 제공하지만, 제어 평면은 특히 무선 자원 제어 (RRC) 시그널링 폭풍과 같은 서비스 거부 (DoS) 공격에 취약합니다. 이 공격 벡터에서 악의적인 사용자 장비 (MUE) 는 다양한 무선 네트워크 임시 식별자 (RNTI) 를 사용하여 RRC 설정 요청 (MSG3) 을 반복적으로 시작하지만, 의도적으로 최종 RRC 설정 완료 메시지 (MSG5) 를 생략합니다. 이러한 동작은 차세대 노드 기지국 (gNB) 이 인증되지 않은 세션에 대해 제어 평면 자원을 할당하고 RRC 컨텍스트를 유지하도록 강요하여 핸드셰이크를 완료하지 못하게 합니다. 결과적으로 gNB 의 RRC 컨텍스트 풀이 고갈되어 합법적인 사용자 장비 (UE) 들이 연결을 설정하는 것을 방해합니다.

기존 방어책은 다음과 같은 중대한 한계에 직면해 있습니다:

1. 구별의 어려움: 공격의 초기 동작은 합법적인 고부하 네트워크 조건 (연결 요청의 돌발) 을 모방하므로, 속도 기반 임계값은 오경보에 취약합니다.
2. 신원 회피: MUE 는 인증을 완료하지 않으므로 임시 식별자 (RNTI) 가 시도할 때마다 변경되어 UE 단위 차단 정책이 무효화됩니다.
3. 정적 가정: 이전 연구는 종종 밀집 또는 실내 환경과 같이 공간적 매개변수가 겹치는 곳에서 실패하는 시뮬레이션, 정적 설정, 또는 타이밍 어드밴스 (Timing Advance) 와 같은 단일 지표에 의존합니다.
4. 완화 부재: 대부분의 기존 솔루션은 탐지에만 초점을 맞추고 능동적 완화에는 미치지 못합니다.

방법론
저자들은 O-RAN 근실시간 (near-RT) RAN 지능형 컨트롤러 (RIC) 의 xApp 으로 구현된 탐지 및 완화 프레임워크인 StormShield를 제안합니다. 이 솔루션은 RAN 데이터 평면을 수정하지 않고도 정교한 키 성능 지표 (KPM) 를 수집하고 제어 조치를 시행하기 위해 오픈 RAN 아키텍처의 개방형 인터페이스를 활용합니다.

핵심 로직은 두 단계로 운영됩니다:

1. 지문 기반 탐지:

   • 입력: 시스템은 RRC 메시지 수 (MSG3, MSG4, MSG5) 와 타이밍 어드밴스 (TA) 및 수신 신호 강도 지시자 (RSSI) 와 같은 무선 수준 지문을 모니터링합니다.
   • 대략적 분석: 완료 비율 ($R_1 = MSG5/MSG3$ 및 $R_2 = MSG5/MSG4$) 을 계산합니다. MSG3 의 높은 볼륨과 낮은 완료 비율이 결합되면 잠재적 공격 경보를 유발합니다.
   • 세밀한 클러스터링: 공격을 선량한 고부하 시나리오와 구별하기 위해 시스템은 (TA, RSSI) 지문 기록에 DBSCAN 클러스터링 알고리즘을 적용합니다.
     • 공격 시나리오: 단일 MUE 가 고정되거나 천천히 이동하는 위치에서 반복적으로 요청을 보내면 유사한 지문의 밀집된 클러스터를 생성합니다.
     • 선량한 시나리오: 합법적인 고부하는 많은 수의 서로 다른 UE 를 포함하므로 지문의 분산된 분포를 초래합니다.
   • 결정: 클러스터의 밀도가 임계값 ($T_3$) 을 초과하면 해당 클러스터의 중심점이 악의적인 지문으로 식별됩니다.

2. 사전 인증 완화:

   • 블랙리스트 관리: gNB 는 악의적인 지문 (중심점) 의 적응형 블랙리스트를 유지합니다.
   • 노화 메커니즘: 항목에는 일치 카운터와 타임아웃이 포함됩니다. 타임아웃은 지속적인 공격자에 대한 차단을 강화하기 위해 반복된 일치에 따라 선형적으로 증가하지만, 새로운 일치가 발생하지 않으면 자동으로 만료되어 유사한 일시적인 무선 조건을 공유할 수 있는 합법적인 UE 의 장기 배제를 방지합니다.
   • 조치: 새로운 연결 시도가 도착하면 gNB 는 현재 (TA, RSSI) 지문을 측정합니다. 정의된 허용 오차 ($\epsilon_{TA}, \epsilon_{RSSI}$) 내에서 차단된 중심점과 일치하면 연결이 즉시 거부되고 자원이 완전히 할당되기 전에 RRC 컨텍스트가 폐기됩니다.

실험 설정
저자들은 OpenAirInterface (OAI) 5G 프로토콜 스택을 사용하여 두 가지 다른 공중 (Over-The-Air, OTA) 테스트베드에서 StormShield 를 검증했습니다:

1. SDR 설정: 8.1 기능 분할을 갖춘 USRP X410 소프트웨어 정의 무선 (SDR).
2. 상용 RU 설정: NVIDIA Aerial 가속 gNB 에 연결된 7.2 기능 분할을 갖춘 Foxconn 라디오 유닛 (RU).

테스트베드는 정적 및 이동형 공격자, 단일 및 다중 동시 MUE, 그리고 합법적인 피해자로 상용 스마트폰을 사용하는 다양한 시나리오를 지원했습니다. MUE 는 MSG5 를 폐기하도록 OAI UE RRC 상태 머신을 수정하여 에뮬레이션했습니다.

주요 결과

• 탐지 정확도: StormShield 는 모든 테스트된 시나리오에서 평균 **97.6%**의 탐지 정확도를 달성했습니다.
• 응답 시간: 시스템은 공격 시작 후 평균 106.5 ms의 응답 시간으로 공격을 식별하고 차단했습니다. 이는 완화가 없을 때 gNB 자원을 고갈시키는 데 필요한 시간 (312 ms 에서 326 ms 사이) 보다 훨씬 빠릅니다.
• 견고성: 이 솔루션은 다중 공격자와 이동형 MUE 가 있는 경우에도 효과적이었습니다.
• 부수적 차단: 정적 시나리오에서 합법적인 UE 가 잘못 차단된 부수적 차단율 (CBR) 은 공격자 수와 무선 설정에 따라 17% 에서 25% 사이였습니다. 이동형 시나리오에서는 RSSI 와 TA 값의 동적 특성으로 인해 CBR 이 25% 로 약간 증가했습니다.
• 매개변수 민감도: 미세 조정 실험은 시스템이 클러스터링 반경 ($\epsilon_{RSSI}$) 과 메시지 임계값 ($T_1, T_2$) 에 민감함을 보여주었습니다. 이상적인 정적 조건에서 높은 참양성률과 함께 거짓양성 및 부수적 차단을 0 으로 유지하는 최적 구성 (E1) 이 확인되었습니다.

의의 및 주장
이 논문은 StormShield 가 탐지 전용 또는 시뮬레이션 기반 접근법을 넘어 실제 환경의 사전 인증 완화 전략으로 이동함으로써 5G 보안의 중요한 공백을 해소한다고 주장합니다. 그 의의는 다음과 같습니다:

1. 실현 가능성 증명: 이동성과 다중 공격자를 갖춘 현실적인 5G OTA 테스트베드에서 RRC 시그널링 폭풍을 재현하고 연구할 수 있음을 입증했습니다.
2. 구별 능력: RRC 통계와 공간적 지문의 조합을 사용하여 악의적인 시그널링 폭풍과 선량한 고부하 네트워크 조건을 성공적으로 구별했으며, 이는 이전 임계값 기반 방법이 실패했던 과제입니다.
3. O-RAN 통합: 커스텀 서비스 모델 (SM) 을 사용하여 원격 측정 및 제어를 수행하며, 하부 RAN 데이터 평면을 변경하지 않는 O-RAN near-RT RIC 내의 폐쇄 루프 제어 메커니즘을 시연했습니다.
4. 적응형 완화: 지속적인 공격자에 대한 보호를 유지하면서 선량한 사용자의 영구 차단을 방지하는 블랙리스트를 위한 노화 메커니즘을 도입했습니다.

저자들은 시스템이 매우 효과적이지만, 향후 작업은 더 견고한 지문 인식을 위해 추가 하드웨어 특정 기능 (예: I/Q 샘플 분석) 을 통합하고 부분 인증을 완료할 수 있는 더 은밀한 적대자를 포함하도록 위협 모델을 확장하는 데 초점을 맞출 것이라고 결론지었습니다.