StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

Technische Samenvatting: StormShield – Vingerafdrukgebaseerde Detectie en Mitigatie van RRC Signaalstormen in O-RAN 5G RAN's

Probleemstelling
Hoewel 5G-netwerken geavanceerde mogelijkheden bieden, blijft het besturingsvlak kwetsbaar voor Denial-of-Service (DoS)-aanvallen, specifiek Radio Resource Control (RRC) signaalstormen. In dit aanvalsscenario initieert een kwaadaardige User Equipment (MUE) herhaaldelijk verbindingsprocedures door RRC Setup Requests (MSG3) te verzenden met variërende Radio Network Temporary Identifiers (RNTI's), maar laat de definitieve RRC Setup Complete-bericht (MSG5) bewust achterwege. Dit gedwingt de Next Generation Node Base (gNB) om besturingsvlakbronnen toe te wijzen en RRC-contexten te onderhouden voor niet-geauthenticeerde sessies zonder de handshake te voltooien. Bijgevolg raakt de pool van RRC-contexten van de gNB uitgeput, waardoor legitieme User Equipments (UE's) geen verbinding kunnen tot stand brengen.

Bestaande verdedigingsmechanismen ondervinden aanzienlijke beperkingen:

1. Moeilijkheid in Differentiatie: Het initiële gedrag van een aanval nabootst legitieme netwerkomstandigheden met hoge belasting (uitbarstingen van verbindingsverzoeken), waardoor op snelheid gebaseerde drempelwaarden vatbaar zijn voor valse alarmen.
2. Identiteitsontduiking: Omdat MUE's authenticatie nooit voltooien, veranderen hun tijdelijke identifiers (RNTI's) bij elke poging, waardoor per-UE blokkeringsbeleid ineffectief wordt.
3. Statische Aannames: Vorig werk vertrouwt vaak op simulaties, statische opstellingen of enkele indicatoren (zoals Timing Advance) die falen in dichte of binnenomgevingen waar ruimtelijke parameters overlappen.
4. Gebrek aan Mitigatie: De meeste bestaande oplossingen richten zich uitsluitend op detectie en niet op proactieve mitigatie.

Methodologie
De auteurs stellen StormShield voor, een detectie- en mitigatiekader dat is geïmplementeerd als een xApp op een O-RAN Near-Real-Time (near-RT) RAN Intelligent Controller (RIC). De oplossing maakt gebruik van de open interfaces van de Open RAN-architectuur om fijnmazige Key Performance Metrics (KPM's) te verzamelen en besturingsacties af te dwingen zonder het RAN-gegevensvlak te wijzigen.

De kernlogica werkt in twee fasen:

1. Vingerafdrukgebaseerde Detectie:

   • Input: Het systeem monitort het aantal RRC-berichten (MSG3, MSG4, MSG5) en radio-niveau vingerafdrukken: Timing Advance (TA) en Received Signal Strength Indicator (RSSI).
   • Grofmazige Analyse: Het berekent voltooiingsratio's ($R_1 = MSG5/MSG3$ en $R_2 = MSG5/MSG4$). Een hoog volume aan MSG3 gecombineerd met lage voltooiingsratio's triggert een potentieel aanvalsalarm.
   • Fijnmazige Clustering: Om aanvallen te onderscheiden van onschuldige scenario's met hoge belasting, past het systeem het DBSCAN-clusteringalgoritme toe op de vingerafdrukgeschiedenis van (TA, RSSI).
     • Aanvalsscenario: Een enkele MUE die herhaaldelijk verzoeken stuurt vanuit een vaste of langzaam bewegende locatie, genereert een dichte cluster van vergelijkbare vingerafdrukken.
     • Onschuldige Scenario: Legitieme hoge belasting omvat vele verschillende UE's, wat resulteert in een verspreide verdeling van vingerafdrukken.
   • Besluit: Als de dichtheid van een cluster een drempel ($T_3$) overschrijdt, wordt het zwaartepunt van die cluster geïdentificeerd als een kwaadaardige vingerafdruk.

2. Pre-authenticatie Mitigatie:

   • Beheer van Blokkeerlijsten: De gNB onderhoudt een adaptieve blokkeerlijst van kwaadaardige vingerafdrukken (zwaartepunten).
   • Verouderingsmechanisme: Vermeldingen bevatten een matchteller en een time-out. De time-out neemt lineair toe bij herhaalde matches om blokkering tegen aanhoudende aanvallers te versterken, maar verloopt automatisch als er geen nieuwe matches optreden, waardoor de langdurige uitsluiting van legitieme UE's die mogelijk vergelijkbare tijdelijke radio-omstandigheden delen, wordt voorkomen.
   • Actie: Wanneer een nieuwe verbindingspoging arriveert, meet de gNB de huidige (TA, RSSI) vingerafdruk. Als deze binnen de gedefinieerde toleranties ($\epsilon_{TA}, \epsilon_{RSSI}$) overeenkomt met een geblokkeerd zwaartepunt, wordt de verbinding direct afgewezen en wordt de RRC-context verworpen voordat bronnen volledig zijn toegewezen.

Experimentele Opstelling
De auteurs hebben StormShield gevalideerd op twee verschillende Over-The-Air (OTA) testbeds met behulp van de OpenAirInterface (OAI) 5G-protocolstack:

1. SDR Opstelling: Een USRP X410 Software-Defined Radio (SDR) met een 8.1 functionele splitsing.
2. Commercieel RU Opstelling: Een Foxconn Radio Unit (RU) met een 7.2 functionele splitsing, verbonden met een door NVIDIA Aerial versnelde gNB.

De testbeds ondersteunden diverse scenario's, waaronder statische en mobiele aanvallers, enkele en meerdere gelijktijdige MUE's, en het gebruik van commerciële smartphones als legitieme slachtoffers. De MUE werd geëmuleerd door de OAI UE RRC-toestandmachine te modificeren om MSG5 te laten vallen.

Belangrijkste Resultaten

• Detectienauwkeurigheid: StormShield bereikte een gemiddelde detectienauwkeurigheid van 97,6% over alle geteste scenario's.
• Responsietijd: Het systeem identificeerde en blokkeerde aanvallen met een gemiddelde responsietijd van 106,5 ms vanaf het begin van de aanval. Dit is aanzienlijk sneller dan de tijd die nodig is om gNB-bronnen te verbruiken (die varieerde van 312 ms tot 326 ms bij afwezigheid van mitigatie).
• Robuustheid: De oplossing bleef effectief met meerdere aanvallers en mobiele MUE's.
• Bijwerkingen Blokkering: In statische scenario's lag het Collateral Blocking Rate (CBR)—waarbij legitieme UE's per ongeluk werden geblokkeerd—tussen 17% en 25%, afhankelijk van het aantal aanvallers en de radio-opstelling. In mobiele scenario's steeg de CBR licht tot 25%, toegeschreven aan de dynamische aard van RSSI- en TA-waarden.
• Parametergevoeligheid: Experimenten met fijnafstemming toonden aan dat het systeem gevoelig is voor de clusteringstraal ($\epsilon_{RSSI}$) en berichtdrempels ($T_1, T_2$). Een optimale configuratie (E1) werd geïdentificeerd die hoge true-positive rates balanceerde met nul false positives en nul bijwerkingen bij blokkering in ideale statische omstandigheden.

Betekenis en Beweringen
Het artikel beweert dat StormShield een kritieke kloof in 5G-beveiliging opvult door te bewegen van alleen detectie of op simulaties gebaseerde benaderingen naar een realistische, pre-authenticatie mitigatiestrategie. De betekenis hiervan ligt in:

1. Haalbaarheidsdemonstratie: Het bewijzen dat RRC signaalstormen kunnen worden gereproduceerd en bestudeerd op realistische 5G OTA testbeds met mobiliteit en meerdere aanvallers.
2. Differentiatiecapaciteit: Het succesvol onderscheiden van kwaadaardige signaalstormen en onschuldige netwerkomstandigheden met hoge belasting door een combinatie van RRC-statistieken en ruimtelijke vingerafdrukken, een uitdaging waarbij eerdere op drempelwaarden gebaseerde methoden faalden.
3. O-RAN Integratie: Het demonstreren van een gesloten-lus besturingsmechanisme binnen de O-RAN near-RT RIC dat geen wijzigingen vereist in het onderliggende RAN-gegevensvlak, met gebruikmaking van een aangepast Service Model (SM) voor telemetrie en besturing.
4. Adaptieve Mitigatie: Het introduceren van een verouderingsmechanisme voor blokkeerlijsten dat permanente blokkering van onschuldige gebruikers voorkomt terwijl bescherming tegen aanhoudende aanvallers wordt gehandhaafd.

De auteurs concluderen dat hoewel het systeem zeer effectief is, toekomstig werk zal focussen op het integreren van aanvullende hardware-specifieke functies (bijvoorbeeld I/Q-steekproefanalyse) voor robuustere vingerafdrukken en het uitbreiden van het dreigingsmodel om sluimerende tegenstanders op te nemen die in staat zijn tot het voltooien van gedeeltelijke authenticatie.