💻 computer science

Unsupervised Cross-Protocol Anomaly Analysis in Mobile Core Networks via Multi-Embedding Models Consensus

Dit artikel stelt een ongesuperviseerd raamwerk voor voor het detecteren van cross-protocol anomalieën in mobiele kernnetwerken door SS7-, Diameter- en GTP-signalering te aggregeren in gefuseerde records en gebruik te maken van een multi-embedding model consensus om synthetische inconsistenties effectief te onderscheiden van normaal verkeer, waardoor een kleine, met hoge zekerheid gekarakteriseerde set kandidaten voor beveiligingsinspectie wordt geprioriteerd.

Oorspronkelijke auteurs: Aayush Garg, Orlando Amaral Cejas

Gepubliceerd 2026-07-02

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Aayush Garg, Orlando Amaral Cejas

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een mobiel netwerk voor als een enorme, drukke internationale luchthaven. Elke passagier (een telefoongebruiker) heeft interactie met drie verschillende beveiligingscontroles tegelijkertijd:

Checkpoint A (SS7): Het oude, analoge radiosysteem dat al decennia wordt gebruikt.
Checkpoint B (Diameter): De moderne digitale identiteitsscan.
Checkpoint C (GTP): Het bagage- en tunnelsysteem dat data verplaatst.

Normaal gesproken werkt elk checkpoint in zijn eigen silo. Een bewaker bij Checkpoint A ziet misschien een geldig ticket, en een bewaker bij Checkpoint B ziet misschien een geldig ID. Maar wat als het ticket zegt: "Passagier is in Londen", het ID zegt: "Passagier is in Parijs", en het bagagesysteem zegt: "Passagier is in Tokio"? Individueel ziet elk document er echt uit. Samen vertellen ze een leugen. Dit is een cross-protocol inconsistentie.

Het probleem is dat we geen lijst hebben van "bekende leugenaars" (gelabelde aanvallen) om een computer te leren waar hij op moet letten. Dus vroegen de onderzoekers zich af: Kunnen we een systeem bouwen dat deze tegenstrijdigheden opspoort zonder dat daar een leraar voor nodig is?

De Oplossing: De "Zeskoppige Detective"

De onderzoekers bouwden een systeem dat fungeert als een team van zes verschillende detectives, die elk op een unieke manier de luchthavenlogs lezen. Zo hebben ze het gedaan:

1. Het Samenvoegen van de Logs (De Fusie)
Eerst namen ze alle berichten voor één passagier binnen een enkel minuut en plakten ze deze aan elkaar tot één gigantisch "gefuseerd record". Denk hierbij aan het nemen van de instapkaart van een passagier, hun digitale ID-scan en hun bagagetag, en deze samen in één bestand te nieten.

2. Data omzetten in "Zinnen" (Serialisatie)
Computers kunnen ruwe code niet gemakkelijk lezen. Daarom veranderden ze deze samengevoegde bestanden in lange tekstreeksen, zoals een verhaal dat de reis van de passagier beschrijft.

3. De Zes Detectives (Embedding Modellen)
Ze voerden deze "verhalen" aan zes verschillende AI-modellen (de detectives). Elk model is anders getraind en heeft een uniek "brein".

Sommige detectives zijn goed in het opmerken van korte, krachtige details.
Anderen zijn beter in het begrijpen van lange, complexe verhalen.
Sommigen spreken veel talen; anderen focussen op specifieke technische jargon.

4. De Consensus Score (De Stemming)
Elke detective bekijkt het verhaal en stemt: "Dit ziet er verdacht uit" of "Dit ziet er normaal uit".

Als één detective zegt: "Verdacht", is het een zwak alarm.
Als alle zes de detectives zeggen: "Verdacht", dan is er sprake van een Consensus.

De onderzoekers ontdekten dat wanneer de detectives het met elkaar eens zijn, ze bijna zeker een echte tegenstrijdigheid opsporen. Wanneer ze het oneens zijn, is het vaak gewoon ruis.

Het Experiment: Het Creëren van "Nep-leugenaars"

Omdat ze geen echte aanvalsdata hadden om op te testen, moesten ze hun eigen "nep-leugenaars" creëren om te zien of het systeem werkte.

Ze namen twee normale passagiersbestanden en voerden een "veld-swap" uit. Stel je voor dat je de "Londen"-ticket van Passagier A neemt en deze verwisselt met de "Parijs"-ticket van Passagier B.

Het Resultaat: Passagier A heeft nu een ticket dat zegt "Londen", maar een ID dat zegt "Parijs".
De Truc: Voor de individuele checkpoints ziet het ticket nog steeds geldig uit, en het ID ook nog steeds geldig. Maar wanneer je ze samen bekijkt, klopt het verhaal niet.

Ze creëerden meer dan 200.000 van deze "gewisselde" verhalen om hun systeem te testen.

De Resultaten: De Kracht van Overeenstemming

Het experiment leverde fascinerende resultaten op, die samengevat kunnen worden met een eenvoudige metafoor: De "Menigte" versus de "Criticus".

De "Menigte" (Lage overeenstemming): Wanneer het systeem elk record markeerde waarvan zelfs maar één detective het vreemd vond, ving het ongeveer 44% van alle records. Dat is veel ruis! Het is alsof een beveiligingsbeambte "Stop!" roept telkens wanneer een passagier door de deur loopt.
De "Criticus" (Hoge overeenstemming): Wanneer ze de lat hoger legden en alleen naar records keken waar alle zes de detectives het vreemd vonden, daalde het aantal gemarkeerde records drastisch naar minder dan 1%.
De Magie: Hier komt de crux: in die kleine groep van 1% waar alle zes de detectives het met elkaar eens waren, waren 100% van de records de "nep-leugenaars" die ze hadden gecreëerd. Het systeem markeerde geen enkele normale passagier.

Wat dit betekent (In Simpele Termen)

Dit onderzoek bewijst dat je niet precies hoeft te weten hoe een aanval eruitziet om hem te vinden. Je hebt alleen een team van diverse AI-modellen nodig die de data vanuit verschillende hoeken bekijken.

Lage overeenstemming: Veel valse alarmen.
Hoge overeenstemming: Bijna perfecte nauwkeurigheid.

Door te wachten tot het "team" het met elkaar eens is, kunnen de onderzoekers de ruis wegfilteren en zich concentreren op de zeer kleine hoeveelheid records die werkelijk tegenstrijdig zijn. Het is als het hebben van een jury van zes experts; als één persoon denkt dat een verdachte schuldig is, kun je ernaast zitten. Maar als alle zes de experts het eens zijn, kun je er zeer zeker van zijn.

De Kernboodschap

Dit onderzoek toont aan dat door verschillende AI-modellen te combineren die de mobiele netwerkdata vanuit meerdere invalshoeken bekijken (SS7, Diameter en GTP), we automatisch "onmogelijke" situaties kunnen opsporen waarbij de data zichzelf tegenspreekt. Dit stelt netwerkbeheerders in staat om de duizenden valse alarmen te negeren en hun menselijke aandacht te richten op de zeer kleine handvol, hoogst verdachte gevallen waarbij het systeem in unisonus schreeuwt.

Technische Samenvatting: Ongesuperviseerde Cross-Protocol Anomalie Analyse in Mobiele Kernnetwerken

Probleemstelling
Mobiele kernnetwerken maken gebruik van meerdere signaleringsprotocollen (SS7, Diameter en GTP) die parallel opereren. Veel beveiligingsrelevante kwesties, zoals identiteitsinconsistenties, valse roaming-indicaties en verkeerde routering, worden pas zichtbaar wanneer deze protocollen gezamenlijk voor dezelfde abonnee en hetzelfde tijdsvenster worden geanalyseerd. Het detecteren van dergelijke cross-protocol anomalieën is echter uitdagend omdat:

Data-schaarste: Gelabelde voorbeelden van echte aanvallen en cross-protocol misconfiguraties zijn in operationele omgevingen zelangzaam beschikbaar, wat de inzet van supervised learning-methoden belemmert.
Beperkingen van bestaande benaderingen: Regelgestuurde monitoring vertrouwt op door experts ontworde signatures die vaak gecoördineerde of nieuwe meerstaps-problemen missen. Bovendien zijn eerdere unsupervised en representation-learning benaderingen doorgaans beperkt tot enkelvoudige protocollen, waarbij de causale afhankelijkheden tussen de controle- en gebruikersvlakken over het hoofd worden gezien.

Methodologie
De auteurs stellen een ongesuperviseerd framework voor dat signaleringsdata fuseert en gebruikmaakt van een multi-embedding model consensus om inconsistenties te detecteren zonder menselijke labels. De methodologie bestaat uit vier hoofdfasen:

Per-Abonnee, Per-Minuut Fusie:
Het systeem aggregeert gedecodeerde SS7-, Diameter- en GTP-berichten voor elke abonnee binnen een venster van één minuut. Deze berichten worden gegroepeerd in een enkele "gefuseerde record" die de ruwe JSON-velden van alle drie de protocollen bevat. Alleen vensters die berichten uit ten minste twee protocolfamilies bevatten, worden behouden voor analyse.
Synthetische Anomalie Constructie (Evaluatie Grondwaarheid):
Om het systeem te evalueren zonder handmatige labels, genereren de auteurs "cross-protocol-plausibele" synthetische anomalieën. Dit wordt bereikt door specifieke veldgroepen tussen paren van gefuseerde records te verwisselen. De wisselingen zijn ontworpen om de individuele protocolberichten syntactisch geldig te houden, terwijl er tegenstrijdigheden ontstaan in het gezamenlijke beeld. Dertien mutatiefamilies werden gedefinieerd, variërend van kritieke velden zoals:
- SS7: Calling/Called-Party Global Titles (CGGT/CDGT), Point Codes (OPC/DPC) en Application Context.
- Diameter: User-Name, Session-Id, Origin-Host, Visited-PLMN-Id en APN Service-Selection.
- GTP: TEIDs, APN, User Location Information en PDN IP-adressen.
Tekst Serialisatie en Embedding:
Elke gefuseerde record wordt geserialiseerd naar een genormaliseerde, enkelregelige JSON-string. Deze strings worden door zes verschillende pre-trained embedding modellen gestuurd (waaronder varianten van bge-m3, jina-embeddings-v2, nomic-embed-text en snowflake-arctic-embed). De modellen genereren vectorrepresentaties voor records die binnen hun specifieke contextvensters passen zonder afkorting (truncation).
Ongesuperviseerde Detectie en Consensus Scoring:
Voor elk embedding model wordt een ongesuperviseerde detector (Isolation Forest) getraind op de achtergrondverkeer (met een kleine injectie van 5% synthetische anomalieën om de dichtheidslandschappen te vormen, maar zonder labels te gebruiken voor het fitten). De detector wijst een binaire beslissing toe (anomalie of legitiem) aan elke record.
Een Consensus Score ( $S$ ) wordt berekend voor elke record, die de mate weergeeft waarin modellen (van de zes) de record als anomalie markeren. Deze score dient als een rangschikkingsmechanisme om kandidaten voor inspectie te prioriteren.

Belangrijkste Bijdragen

Fusie Pipeline: Een methode om SS7-, Diameter- en GTP-records per abonnee en minuut te aggregeren met behoud van de ruwe velden die nodig zijn voor cross-protocol consistentiecontroles.
Synthetische Anomalie Generator: Een op mutatie gebaseerde benadering om protocol-plausibele inconsistenties te creëren voor evaluatie, waardoor de noodzaak voor handmatige labeling van echte aanvallen wordt vermeden.
Unsupervised Ensemble: Een consensus-gebaseerd rangschikkingssysteem dat meerdere embedding modellen en per-model detectoren combineert om anomalieën te identificeren.
Evaluatie Framework: Een methode die consensusniveaus koppelt aan precisie op synthetische anomalieën en de scheiding van records in de embedding ruimte analyseert.

Resultaten
De evaluatie werd uitgevoerd op een corpus van 219.294 gefuseerde records (8.122 originele achtergrondrecords en 211.172 synthetische anomalieën).

Consensus Verdeling: Bij de laagste drempelwaarde ( $S \ge 1$ ) werd 44,15% van de records gemarkeerd door ten minste één model. Naarmate de consensusvereiste toenam, daalde het fractie gemarkeerde records scherp. Bij volledige overeenstemming ( $S \ge 6$ ) werd slechts 0,97% van de records gemarkeerd.
Precisie en Scheiding:
- Voor drempels $k = 1$ tot $4$ waren de als anomalie gemarkeerde records honderden malen waarschijnlijker synthetisch dan origineel (Odds Ratio's variërend van 236 tot 572).
- Voor drempels $k \ge 5$ werd nul originele (achtergrond) records gemarkeerd. Alle gemarkeerde records op deze niveaus waren synthetisch, wat duidt op een perfecte scheiding tussen de synthetische anomalieën en de achtergrondverkeer in de geteste configuratie.
- Statistische tests (Fisher's exact test en Chi-kwadraat) leverden extreem kleine p-waarden op ( $< 10^{-35}$ ), wat de sterke associatie tussen hoge consensus en synthetische anomalieën bevestigt.
Embedding Ruimte Analyse: Cosinus-afstandmetingen tussen synthetische records en hun originele tegenhangers toonden aan dat afstanden toenamen met het consensusniveau. Dit suggereert dat records met een hogere modelovereenstemming duidelijker gescheiden zijn van het normale verkeer in de embedding ruimte.

Betekenis en Claims
Het artikel claimt dat multi-embedding model consensus een effectief mechanisme is om een veel kleinere set kandidaten van cross-protocol inconsistenties te prioriteren voor verdere inspectie. Door de consensusdrempel te verhogen, kunnen operators het volume aan records dat handmatige beoordeling vereist aanzienlijk verminderen, terwijl ze een hoge waarschijnlijkheid behouden dat de resterende kandidaten werkelijke cross-protocol tegenstrijdigheden vertegenwoordigen.

De auteurs benadrukken dat hun bevindingen specifiek zijn voor het ontwerp van de synthetische anomalie en het gekozen model-ensemble. Ze beweren niet dat het systeem alle echte aanvallen detecteert, waarbij zij opmerken dat echte incidenten mogelijk meerdere gecoördineerde wijzigingen of langere tijdschalen omvatten die niet worden gevangen door enkelvoudige veldwisselingen. Desalniettemin ondersteunen de resultaten het nut van ongesuperviseerde, gezamenlijke representation learning voor het identificeren van gestructureerde inconsistenties die onzichtbaar zijn in enkelvoudige protocol-views.