CLIF: Cross-layer LEO-ISL Fingerprinting for Physical and Network Attack Detection in Dense LEO Constellations

Technische Samenvatting: CLIF – Cross-layer LEO-ISL Fingerprinting voor Detectie van Fysieke en Netwerk-aanvallen in Dichte LEO-Constellaties

Probleemstelling
De snelle uitrol van Low-Earth Orbit (LEO) mega-constellaties (bijv. Starlink, Kuiper) vertrouwt op optische Inter-Satellite Links (ISL's) om autonome mesh-netwerken te vormen. Naarmate deze constellaties evolueren naar hoog-densiteit, multi-operator peering, wordt de integriteit van ISL's cruciaal voor zowel commerciële beschikbaarheid als nationale veiligheid. Bestaande beveiligingsmethoden kampen echter met drie fundamentele tekortkomingen:

1. Gebrek aan Cross-Layer Frameworks: Huidige methoden zijn gesiloed; Physical-Layer Authentication (PLA) detecteert rogue satellieten maar is blind voor manipulatie op netwerkniveau, terwijl cryptografische verificatie ongeautoriseerde entiteiten afwijst maar faalt bij het detecteren van gecompromitteerde insiders met geldige credentials. Structurele veerkracht-benaderingen negeren fysieke-laag metingen.
2. Data-schaarste: Er is geen publiekelijk beschikbare dataset die realistisch ISL-gedrag onder aanval op constellatieschaal vastlegt. Eerdere evaluaties vertrouwden vaak op vereenvoudigde topologieën (tot 6 **60 satellieten**) of enkelvoudige aanvalstypes zonder grondwaarheid (ground truth).
3. Multi-Operator Blinde Vlekken: Geen enkel bestaand werk adresseert dreigingen die specifiek zijn voor multi-operator peering, zoals inter-constellatie verkeerskaping (hijacking).

Methodologie
De auteurs stellen CLIF voor, een cross-layer, lichtgewicht behavioral fingerprinting framework ontworpen voor per-satelliet, unsupervised anomaliedetectie.

• Constructie van de Feature Space: Het framework fuseert onboard fysieke-laag metingen met netwerklaag-data in een 12-dimensionale feature vector voor elke actieve ISL:
  • Fysieke Laag (3 features): Range mismatch, velocity mismatch en direction mismatch. Deze worden afgeleid door directe terminalmetingen (range, Doppler, Line-of-Sight) te vergelijken met voorspellingen van een vertrouwde Geostationary Earth Orbit (GEO) ephemeris-broadcast.
  • Netwerk Laag (9 features): Throughput, link utilization, sender/receiver queue depths, queuing delay, end-to-end latency, packet loss rate, neighbor count en traffic asymmetry.
• Detectiemodellen: Drie unsupervised, per-satelliet detectoren worden geëvalueerd, uitsluitend getraind op normale data om poisoning te voorkomen:
  1. Cross-Layer Mahalanobis (CLM): Berekent de Mahalanobis-afstand van een observatie tot de normale feature-centroid met behulp van een vooraf berekende covariantie-matrix.
  2. Isolation Forest (IF): Een ensemble-methode die anomalieën isoleert op basis van padlengte in willekeurige bomen.
  3. Feedforward Autoencoder (AE): Een neuraal netwerk getraind om normale feature-vectoren te reconstrueren; een hoge reconstructiefout duidt op anomalieën.
• Simulatie en Dataset: De auteurs hebben een natuurkundig gefundeerde simulatie geconstrueerd met behulp van SGP4 orbit propagatie en M/M/1/K queuing modellen. Ze genereerden een dataset die 24 uur aan operatie dekt voor drie scenario's: Starlink (1.584 satellieten), Kuiper (1.156 satellieten) en een gezamenlijk multi-operator scenario (2.740 satellieten). Tien aanvalstypes werden geïnjecteerd, variërend van fysieke deceptie (Rogue Satellite) en netwerkmanipulatie (Blackhole, DoS) tot samengestelde aanvallen (Rogue Sinkhole) en multi-operator exploitatie (Inter-constellation Hijack).

Belangrijkste Bijdragen

1. Cross-Layer Framework: Het eerste unsupervised, per-satelliet anomaliedetectie framework dat fysieke en netwerk features fuseert om samengestelde aanvallen te detecteren zonder dat er inter-satelliet coördinatie nodig is.
2. Omvattende Dataset: De creatie en publicatie van een grootschalige dataset (meer dan 15 miljoen ISL-observaties in het multi-operator scenario) die realistische topologieën en tien verschillende aanvalstypes dekt, waarmee een kritiek gat in LEO-beveiligingsonderzoek wordt opgevuld.
3. Multi-Operator Evaluatie: Demonstratie dat het framework generaliseert over verschillende constellatieconfiguraties en operatorgrenzen, inclusief de specifieke dreiging van inter-constellatie verkeerskaping.

Resultaten
De studie evalueerde de drie detectoren over alle drie de constellatiescenario's:

• Prestaties: De CLM (Mahalanobis) detector behaalde de beste algehele prestaties, met een 99,5% recall op Starlink, 99,4% op Kuiper en 94,8% op de multi-operator constellatie, terwijl de False Positive Rate (FPR) onder de 0,7% bleef.
• Vergelijking: CLM presteerde ongeveer 5,5 procentpunt beter dan de Autoencoder (AE) in gemiddelde recall en presteerde significant beter dan de Isolation Forest (IF), die ondanks een hoge precisie leed aan een zeer lage recall (26,9%).
• Aanvalsspecificiteit: CLM behaalde bijna perfecte recall op de meeste aanvalstypes. De meest uitdagende aanvallen waren "Grayhole" (vanwege overlap met natuurlijke congestie) en "Sybil" in multi-operator scenario's (vanwege de hoge variabiliteit in het aantal buren op cross-links).
• Efficiëntie: CLM werd geïdentificeerd als de meest computationeel efficiënte methode, waarbij slechts 169 opgeslagen parameters en ~337 floating-point operaties per observatie nodig zijn. Dit is meer dan twee grootheden lichter dan IF en 40 keer lichter dan AE, wat het geschikt maakt voor resource-beperkte onboard satellietprocessors.

Betekenis en Claims
Het artikel claimt dat cross-layer feature fusie niet alleen noodzakelijk maar ook zeer kosteneffectief is voor het beveiligen van LEO-constellaties. De resultaten tonen aan dat:

1. Uitgebreide Dekking: Het fuseren van fysieke en netwerklagen maakt de detectie van een volledige taxonomie van aanvallen mogelijk, inclus inclusief die welke single-layer benaderingen missen (bijv. gecompromitteerde insiders die verkeer manipuleren).
2. Eenvoud Volstaat: Een lichtgewicht statistische detector (Mahalanobis afstand) is voldoende voor deze taak en presteert beter dan complexe tree-based ensembles en deep learning modellen zonder de bijbehorende computationele overhead.
3. Schaalbaarheid: Het framework schaalt effectief naar dichte, multi-operator netwerken met slechts een marginale vermindering in capaciteit, wat inspeelt op de opkomende realiteit van ruimte-gebaseerde peering-coalities.

De auteurs concluderen dat hoewel de resultaten uit simulaties zijn afgeleid, het framework een noodzakelijke basis biedt voor ISL-beveiliging, waarbij een praktische, laag-overhead oplossing wordt geboden die past binnen strikte onboard energiebudgetten terwijl het de blinde vlekken van huidige physical-layer-only of network-layer-only verdedigingen aanpakt.