💻 computer science

Unsupervised Cross-Protocol Anomaly Analysis in Mobile Core Networks via Multi-Embedding Models Consensus

Este artigo propõe uma estrutura não supervisionada para detecção de anomalias entre protocolos em redes de núcleo móvel ao agregar sinalizações SS7, Diameter e GTP em registros fundidos e ao alavancar um consenso de modelo de multi-incorporação para distinguir eficazmente inconsistências sintéticas de tráfego normal, priorizando assim um conjunto pequeno e de alta confiança de candidatos para inspeção de segurança.

Autores originais: Aayush Garg, Orlando Amaral Cejas

Publicado 2026-07-02

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Aayush Garg, Orlando Amaral Cejas

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine uma rede móvel como um aeroporto internacional enorme e movimentado. Cada passageiro (usuário de celular) interage com três diferentes postos de controle simultaneamente:

Posto de Controle A (SS7): O sistema de rádio analógico antigo, usado há décadas.
Posto de Controle B (Diameter): O scanner de identidade digital moderno.
Posto de Controle C (GTP): O sistema de bagagem e túneis que move os dados.

Normalmente, cada posto de controle opera em seu próprio silo. Um guarda no Posto de Controle A pode ver um bilhete válido, e um guarda no Posto de Controle B pode ver um documento de identidade válido. Mas e se o bilhete disser "Passageiro está em Londres", o documento de identidade disser "Passageiro está em Paris" e o sistema de bagagem disser "Passageiro está em Tóquio"? Individualmente, cada documento parece real. Juntos, eles contam uma mentira. Isso é uma inconsistência entre protocolos.

O problema é que não temos uma lista de "mentirosos conhecidos" (ataques rotulados) para ensinar um computador o que procurar: Podemos construir um sistema que detecte essas contradições sem precisar de um professor?

A Solução: O "Detetive de Seis Cabeças"

Os pesquisadores construíram um sistema que atua como uma equipe de seis detetives diferentes, cada um com uma maneira única de ler os registros do aeroporto. Veja como eles fizeram isso:

1. Fundindo os Registros (A Fusão)
Primeiro, eles pegaram todas as mensagens de um único passageiro dentro de um minuto e as colaram em um único "registro fundido". Pense nisso como pegar o cartão de embarque, o escaneamento do ID digital e a etiqueta da bagagem de um passageiro e grampeá-los em um único arquivo.

2. Transformando Dados em "Sentenças" (Serialização)
Computadores não conseguem ler código bruto facilmente. Por isso, eles transformaram esses arquivos colados em longas sequências de texto, como uma história descrevendo a jornada do passageiro.

3. Os Seis Detetives (Modelos de Embedding)
Eles alimentaram essas "histórias" com seis modelos de IA diferentes (os detetives). Cada modelo é treinado de forma diferente e possui um "cérebro" único.

Alguns detetives são ótimos em detectar detalhes curtos e diretos.
Outros são melhores em entender histórias longas e complexas.
Alguns falam muitos idiomas; outros focam em jargões técnicos específicos.

4. A Pontuação de Consenso (O Voto)
Cada detetive olha para a história e vota: "Isso parece suspeito" ou "Isza parece normal".

Se um detetive diz "Suspeito", é um alerta fraco.
Se todos os seis detetives dizem "Suspeito", temos um Consenso.

Os pesquisadores descobriram que, quando os detetives concordam, eles estão quase certamente detectando uma contradição real. Quando discordam, geralmente é apenas ruído.

O Experimento: Criando "Mentirosos Falsos"

Como não tinham dados de ataques reais para testar, eles tiveram que criar seus próprios "mentirosos falsos" para ver se o sistema funcionava.

Eles pegaram dois arquivos de passageiros normais e realizaram uma "troca de campo". Imagine pegar o bilhete "Londres" do Passageiro A e trocá-lo pelo bilhete "Paris" do Passageiro B.

O Resultado: O Passageiro A agora tem um bilhete dizendo "Londres", mas um ID dizendo "Paris".
O Truque: Para os postos de controle individuais, o bilhete ainda parece válido e o ID também parece válido. Mas, quando você os observa juntos, a história não faz sentido.

Eles criaram mais de 200.000 dessas histórias "trocadas" para testar o sistema.

Os Resultados: O Poder do Acordo

O experimento rendeu resultados fascinantes, que podem ser resumidos com uma metáfora simples: A "Multidão" vs. O "Crítico".

A "Multidão" (Baixo Acordo): Quando o sistema sinalizava qualquer registro que fizesse até mesmo um detetive achar estranho, ele detectava cerca de 44% de todos os registros. Isso é muito ruído! É como um segurança gritando "Pare!" toda vez que um passageiro passa pela porta.
O "Crítico" (Alto Acordo): Quando eles elevaram o nível de exigência e só observaram os registros onde todos os seis detetives concordavam que era estranho, o número de registros sinalizados caiu drasticamente para menos de 1%.
A Magia: Aqui está o ponto crucial: nesse pequeno grupo de 1% onde todos os seis concordaram, 100% dos registros eram os "mentirosos falsos" que eles criaram. O sistema não sinalizou um único passageiro normal.

O Que Isso Significa (Em Termos Simples)

O artigo prova que você não precisa saber exatamente como um ataque se parece para encontrá-lo. Você só precisa de uma equipe de modelos de IA diversos olhando para os dados de vários ângulos.

Baixo Acordo: Muitos alarmes falsos.
Alto Acordo: Precisão quase perfeita.

Ao esperar que a "equipe" concorde, os pesquisadores conseguem filtrar o ruído e focar apenas no pequeno punhado de registros que são verdadeiramente contraditórios. É como ter um júri de seis especialistas; se uma pessoa acha que um suspeito é culpado, você pode estar errado. Mas se todos os seis especialistas concordarem, você pode estar muito confiante.

A Conclusão

Este estudo mostra que, ao combinar diferentes modelos de IA para observar os dados de redes móveis de vários ângulos (SS7, Diameter e GTP), podemos detectar automaticamente situações "impossíveis" onde os dados se contradizem. Isso permite que os operadores de rede ignorem os milhares de alarmes falsos e foquem sua atenção humana apenas nos poucos casos altamente suspeitos onde o sistema está gritando em uníssono.

Resumo Técnico: Análise de Anomalias Cross-Protocolo Não Supervisionada em Redes de Core Móvel

Definição do Problema
As redes de core móvel operam múltiplos protocolos de sinalização (SS7, Diameter e GTP) em paralelo. Muitas questões relevantes para a segurança, como inconsistências de identidade, indicações falsas de roaming e roteamento incorreto, só se tornam visíveis quando esses protocolos são analisados conjuntamente para o mesmo assinante e janela de tempo. No entanto, detectar essas anomalias cross-protocolo é desafiador porque:

Escassez de Dados: Exemplos rotulados de ataques reais e configurações incorretas cross-protocolo são raramente disponíveis em ambientes operacionais, dificultando a implantação de métodos de aprendizado supervisionado.
Limitações de Abordagens Existentes: O monitoramento baseado em regras depende de assinaturas criadas por especialistas que frequentemente perdem questões coordenadas ou novos problemas de múltiplas etapas. Além disso, abordagens anteriores de aprendizado de representação e não supervisionadas são tipicamente confinadas a protocolos únicos, negligenciando dependências causais entre os planos de controle e de usuário.

Metodologia
Os autores propõem um framework não supervisionado que funde dados de sinalização e aproveita um consenso de modelo de multi-embedding para detectar inconsistências sem rótulos humanos. A metodologia consiste em quatro etapas principais:

Fusão Por Assinante, Por Minuto:
O sistema agrega registros decodificados de SS7, Diameter e GTP para cada assinante dentro de uma janela de um minuto. Essas mensagens são agrupadas em um único "registro fundido" contendo campos JSON brutos de todos os três protocolos. Apenas janelas contendo mensagens de pelo menos duas famílias de protocolos são retidas para análise.
Construção de Anomalias Sintéticas (Verdade de Campo para Avaliação):
Para avaliar o sistema sem rótulos manuais, os autores geram anomalias sintéticas "cross-protocol-plausíveis". Isso é alcançado trocando grupos de campos específicos entre pares de registros fundidos. As trocas são projetadas para manter as mensagens de protocolo sintaticamente válidas, enquanto criam contradições na visão conjunta. Treze famílias de mutação foram definidas, cobrindo campos críticos como:
- SS7: Calling/Called-Party Global Titles (CGGT/CDGT), Point Codes (OPC/DPC) e Application Context.
- Diameter: User-Name, Session-Id, Origin-Host, Visited-PLMN-Id e APN Service-Selection.
- GTP: TEIDs, APN, User Location Information e PDN IP Addresses.
Serialização de Texto e Embedding:
Cada registro fundido é serializado em uma string JSON de linha única e normalizada. Essas strings são passadas para seis modelos de embedding pré-treinados diferentes (incluindo variantes de bge-m3, jina-embeddings-v2, nomic-embed-text e snowflake-arctic-embed). Os modelos geram representações vetoriais para registros que se ajustam às suas janelas de contexto específicas sem truncamento.
Detecção Não Supervisionada e Pontuação de Consenso:
Para cada modelo de embedding, um detector não supervisionado (Isolation Forest) é treinado no tráfego de fundo (com uma pequena injeção de 5% de anomalias sintéticas para moldar o cenário de densidade, mas sem usar rótulos para o ajuste). O detector atribui uma decisão binária (anômalo ou benigno) a cada registro.
Uma Pontuação de Consenso ( $S$ ) é calculada para cada registro, representando o número de modelos (de um total de seis) que sinalizam o registro como anômalo. Essa pontuação serve como um mecanismo de classificação para priorizar candidatos à inspeção.

Principais Contribuições

Pipeline de Fusão: Um método para agregar registros SS7, Diameter e GTP por assinante e minuto, preservando os campos brutos necessários para verificações de consistência cross-protocolo.
Gerador de Anomalias Sintéticas: Uma abordagem baseada em mutação para criar inconsistências plausíveis de protocolo para avaliação, evitando a necessidade de rotulagem manual de ataques reais.
Ensemble Não Supervisionado: Um sistema de classificação baseado em consenso que combina múltiplos modelos de embedding e detectores por modelo para identificar anomalias.
Framework de Avaliação: Um método que vincula níveis de consenso à precisão em anomalias sintéticas e analisa a separação dos registros no espaço de embedding.

Resultados
A avaliação foi conduzida em um corpus de 219.294 registros fundidos (8.122 registros originais de fundo e 211.172 anomalias sintéticas).

Distribuição de Consenso: No limiar mais baixo ( $S \ge 1$ ), 44,15% dos registros foram sinalizados por pelo menos um modelo. À medida que o requisito de consenso aumentava, a fração de registros sinalizados caía drasticamente. No acordo total ( $S \ge 6$ ), apenas 0,97% dos registros foram sinalizados.
Precisão e Separação:
- Para limiares de $k = 1$ a $4$, os registros sinalizados como anômalos eram centenas de vezes mais propensos a serem sintéticos do que originais (Razões de Odds variando de 236 a 572).
- Para limiares $k \ge 5$ , zero registros originais (de fundo) foram sinalizados. Todos os registros sinalizados nesses níveis eram sintéticos, indicando uma separação perfeita entre as anomalias sintéticas e o tráfego de fundo na configuração testada.
- Testes estatísticos (Teste exato de Fisher e Qui-quadrado) produziram p-valores extremamente pequenos ( $< 10^{-35}$ ), confirmando a forte associação entre alto consenso e anomalias sintéticas.
Análise do Espaço de Embedding: Medições de distância de cosseno entre registros sintéticos e seus correspondentes originais mostraram que as distâncias aumentavam com o nível de consenso. Isso sugere que registros com maior acordo entre modelos estão mais claramente separados do tráfego normal no espaço de embedding.

Significância e Alegações
O artigo afirma que o consenso de múltiplos modelos de embedding é um mecanismo eficaz para priorizar um conjunto muito menor de candidatos a inconsistências cross-protocolo para inspeção posterior. Ao aumentar o limiar de consenso, os operadores podem reduzir significamente o volume de registros que exigem revisão manual, mantendo uma alta probabilidade de que os candidatos restantes representem contradições cross-protocolo genuínas.

Os autores enfatizam que suas descobertos são específicos ao design de anomalia sintética e ao ensemble de modelos selecionado. Eles não alegam que o sistema detecta todos os ataques do mundo real, observando que incidentes reais podem envolver múltiplas mudanças coordenadas ou escalas de tempo mais longas não capturadas por trocas de campos únicos. No entanto, os resultados apoiam a utilidade do aprendizado de representação conjunta não supervisionada para identificar inconsistências estruturadas que são invisíveis em visões de protocolo único.