💻 computer science

StormShield: Fingerprint-Based Detection and Mitigation of RRC Signaling Storms in O-RAN 5G RANs

Este artigo apresenta o StormShield, uma solução baseada em xApp para redes O-RAN 5G que utiliza impressão digital para detectar e mitigar tempestades de sinalização de Controle de Recursos de Rádio (RRC) com 97,6% de precisão em 106,5 ms, prevenindo efetivamente o esgotamento de recursos do gNB em ambientes de teste reais por meio do ar.

Autores originais: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Publicado 2026-05-15

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Noemi Giustini, Andrea Lacava, Leonardo Bonati, Stefano Maxenti, Michele Polese, Tommaso Melodia, Francesca Cuomo

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine uma torre de celular 5G movimentada (chamada de gNB) como uma cafeteria popular. Os baristas (a rede) estão prontos para atender os clientes (seu telefone), mas têm um número limitado de copos e uma quantidade finita de tempo para receber pedidos.

O Problema: A Tempestade de "Pedidos Falsos"

Neste artigo, os autores descrevem um tipo específico de ciberataque chamado Tempestade de Sinalização RRC.

Pense em um Usuário Malicioso (MUE) não como um cliente real, mas como um brincalhão em pé na fila. Toda vez que o barista chama: "Quem é o próximo?", o brincalhão grita: "Eu! Quero um café!" e entrega uma identidade falsa. O barista, sendo educado, começa a preparar uma xícara e reserva um espaço no balcão para essa pessoa.

No entanto, o brincalhão nunca realmente pede ou paga. Ele continua gritando "Eu!" repetidamente com nomes falsos diferentes.

O Resultado: Os baristas ficam tão ocupados reservando copos e espaços para esses clientes falsos que esgotam os recursos. Clientes reais (telefones legítimos) tentando comprar café são ignorados e não conseguem entrar. A loja é efetivamente fechada, não porque está muito movimentada com pessoas reais, mas porque os brincalhões estão ocupando o espaço do balcão.

O Desafio: Distinguir Caos de Multidões

A parte complicada é que, às vezes, a cafeteria está genuinamente movimentada (um cenário de "alta carga"). Se cem pessoas reais entrarem de uma vez, os baristas também ficam sobrecarregados.

Defesas antigas eram como um segurança que apenas contava quantas pessoas estavam gritando. Se o número fosse alto, eles paravam todos. Isso causava muitos falsos positivos, expulsando clientes reais apenas porque a loja estava popular.
O novo problema: Os brincalhões continuam mudando seus nomes falsos, então o barista não pode apenas escrever "Malvado #1" em uma lista e bani-los.

A Solução: "StormShield"

Os autores criaram um sistema de segurança inteligente chamado StormShield. Eles o instalaram em uma sala de controle "Quase em Tempo Real" (parte da arquitetura O-RAN) que observa a fila e toma decisões em frações de segundo.

Veja como o StormShield funciona, usando analogias simples:

1. A "Impression Digital" (A Verificação de Identidade)

Em vez de apenas contar cabeças, o StormShield analisa como as pessoas estão gritando.

Avanço de Tempo (TA): Isso é como medir exatamente a distância de onde alguém está em relação ao balcão.
Força do Sinal (RSSI): Isso é como medir o volume da voz de alguém.

Se 100 clientes reais diferentes entrarem, eles estarão em distâncias diferentes e terão volumes de voz diferentes. Suas "impressões digitais" estarão todas espalhadas.
Mas, se um brincalhão estiver gritando 50 vezes seguidas, ele estará no mesmo lugar exato com o mesmo volume de voz exato toda vez. Suas impressões digitais formarão um aglomerado denso e compacto.

2. O "Agrupamento Inteligente" (Identificando o Brincalhão)

O StormShield usa uma ferramenta matemática (chamada DBSCAN) para analisar a multidão.

Cenário A (Multidão Real): As impressões digitais estão espalhadas por toda a sala. O StormShield diz: "Ok, isso é apenas um dia movimentado. Deixe os clientes entrarem."
Cenário B (O Ataque): O sistema vê um grande aglomerado denso de impressões digitais vindo exatamente do mesmo lugar. O StormShield diz: "Aha! Uma pessoa está gritando 50 vezes. Esse é o brincalhão."

3. O "Segurança" (Bloqueando o Ataque)

Uma vez que o StormShield identifica o "aglomerado" de pedidos falsos, ele atualiza instantaneamente a lista do segurança.

Ele diz aos baristas: "Se alguém tentar pedir com essa distância específica e volume de voz específico, pare-os imediatamente."
Crucialmente, isso acontece antes que os baristas desperdicem tempo fazendo o café. O pedido falso é rejeitado na porta, economizando os copos para os clientes reais.
O sistema também é inteligente o suficiente para "envelhecer" a lista. Se o brincalhão parar de gritar, a proibição eventualmente expira, para que, se uma pessoa real estiver no mesmo lugar mais tarde, não seja injustamente banida para sempre.

Os Testes: Evidência do Mundo Real

Os autores não apenas simularam isso em um computador; eles construíram um laboratório de teste real.

Eles usaram equipamentos 5G reais (incluindo unidades de rádio comerciais e rádios definidos por software).
Eles criaram um telefone "brincalhão" que realmente gritava pedidos falsos.
Eles testaram com o brincalhão parado e até enquanto o brincalhão estava se movendo (caminhando pela sala).

Os Resultados:

Precisão: O StormShield identificou corretamente o brincalhão 97,6% das vezes.
Velocidade: Ele detectou o ataque em cerca de 106 milissegundos (menos de um piscar de olhos).
Proteção: Ele impediu com sucesso que o brincalhão esgotasse os recursos dos baristas, permitindo que clientes reais recebessem seu café mesmo durante o ataque.

Resumo

O StormShield é um guarda de segurança inteligente para redes 5G. Em vez de apenas contar quantas solicitações de conexão chegam (o que confunde dias movimentados com ataques), ele analisa a "impressão digital" física da solicitação. Se ele vir um dispositivo tentando conectar freneticamente do mesmo lugar exato repetidamente, ele bloqueia esse dispositivo específico instantaneamente, mantendo a rede aberta para todos os outros.

Resumo Técnico: StormShield – Detecção e Mitigação de Tempestades de Sinalização RRC Baseadas em Impressão Digital em RANs 5G O-RAN

Declaração do Problema
Embora as redes 5G ofereçam capacidades aprimoradas, o plano de controle permanece vulnerável a ataques de Negação de Serviço (DoS), especificamente tempestades de sinalização Radio Resource Control (RRC). Neste vetor de ataque, um Equipamento de Usuário Malicioso (MUE) inicia repetidamente procedimentos de conexão enviando Solicitações de Configuração RRC (MSG3) com Identificadores Temporários de Rede de Rádio (RNTIs) variados, mas omite intencionalmente a mensagem final de Conclusão de Configuração RRC (MSG5). Esse comportamento força a Estação Base de Próxima Geração (gNB) a alocar recursos do plano de controle e manter contextos RRC para sessões não autenticadas sem completar o handshake. Consequentemente, o pool de contextos RRC da gNB é esgotado, impedindo que Equipamentos de Usuário (UEs) legítimos estabeleçam conexões.

Defesas existentes enfrentam limitações significativas:

Dificuldade de Diferenciação: O comportamento inicial de um ataque imita condições de rede de alta carga legítima (rajadas de solicitações de conexão), tornando os limites baseados em taxa propensos a falsos alarmes.
Evasão de Identidade: Como os MUEs nunca completam a autenticação, seus identificadores temporários (RNTIs) mudam a cada tentativa, tornando políticas de bloqueio por UE ineficazes.
Suposições Estáticas: Trabalhos anteriores frequentemente dependem de simulações, configurações estáticas ou indicadores únicos (como Avanço de Tempo) que falham em ambientes densos ou internos onde parâmetros espaciais se sobrepõem.
Falta de Mitigação: A maioria das soluções existentes foca exclusivamente na detecção em vez de mitigação proativa.

Metodologia
Os autores propõem o StormShield, um framework de detecção e mitigação implementado como um xApp em um Controlador Inteligente de RAN (RIC) Near-Real-Time (near-RT) O-RAN. A solução aproveita as interfaces abertas da arquitetura Open RAN para coletar Métricas de Desempenho Chave (KPMs) granulares e impor ações de controle sem modificar o plano de dados da RAN.

A lógica central opera em duas etapas:

Detecção Baseada em Impressão Digital:
- Entrada: O sistema monitora contagens de mensagens RRC (MSG3, MSG4, MSG5) e impressões digitais de nível de rádio: Avanço de Tempo (TA) e Indicador de Força de Sinal Recebido (RSSI).
- Análise de Granularidade Grossa: Calcula-se as taxas de conclusão ( $R_1 = MSG5/MSG3$ e $R_2 = MSG5/MSG4$ ). Um alto volume de MSG3 combinado com baixas taxas de conclusão dispara um alerta de ataque potencial.
- Agrupamento de Granularidade Fina: Para distinguir ataques de cenários benignos de alta carga, o sistema aplica o algoritmo de agrupamento DBSCAN ao histórico de impressões digitais (TA, RSSI).
  - Cenário de Ataque: Um único MUE enviando repetidamente solicitações de uma localização fixa ou em movimento lento gera um agrupamento denso de impressões digitais similares.
  - Cenário Benigno: Alta carga legítima envolve muitos UEs distintos, resultando em uma distribuição dispersa de impressões digitais.
- Decisão: Se a densidade de um agrupamento exceder um limite ( $T_3$ ), o centróide desse agrupamento é identificado como uma impressão digital maliciosa.
Mitigação Pré-Autenticação:
- Gerenciamento de Lista de Bloqueio: A gNB mantém uma lista de bloqueio adaptativa de impressões digitais maliciosas (centróides).
- Mecanismo de Envelhecimento: As entradas incluem um contador de correspondências e um tempo limite. O tempo limite aumenta linearmente com correspondências repetidas para reforçar o bloqueio contra atacantes persistentes, mas expira automaticamente se nenhuma nova correspondência ocorrer, prevenindo a exclusão de longo prazo de UEs legítimos que possam compartilhar condições de rádio transitórias similares.
- Ação: Quando uma nova tentativa de conexão chega, a gNB mede sua impressão digital (TA, RSSI) atual. Se corresponder a um centróide bloqueado dentro de tolerâncias definidas ( $\epsilon_{TA}, \epsilon_{RSSI}$ ), a conexão é rejeitada imediatamente e o contexto RRC é descartado antes que os recursos sejam totalmente alocados.

Configuração Experimental
Os autores validaram o StormShield em dois testes Over-The-Air (OTA) distintos usando a pilha de protocolos 5G OpenAirInterface (OAI):

Configuração SDR: Um Rádio Definido por Software (SDR) USRP X410 com divisão funcional 8.1.
Configuração RU Comercial: Uma Unidade de Rádio (RU) Foxconn com divisão funcional 7.2, conectada a uma gNB acelerada NVIDIA Aerial.

Os testes suportaram vários cenários, incluindo atacantes estáticos e móveis, MUEs únicos e múltiplos simultâneos, e o uso de smartphones comerciais como vítimas legítimas. O MUE foi emulado modificando a máquina de estados RRC do UE OAI para descartar MSG5.

Principais Resultados

Precisão de Detecção: O StormShield alcançou uma precisão média de detecção de 97,6% em todos os cenários testados.
Tempo de Resposta: O sistema identificou e bloqueou ataques com um tempo médio de resposta de 106,5 ms a partir do início do ataque. Isso é significativamente mais rápido do que o tempo necessário para esgotar os recursos da gNB (que variou de 312 ms a 326 ms na ausência de mitigação).
Robustez: A solução permaneceu eficaz com múltiplos atacantes e MUEs móveis.
Bloqueio Colateral: Em cenários estáticos, a Taxa de Bloqueio Colateral (CBR) — onde UEs legítimos foram erroneamente bloqueados — variou entre 17% e 25%, dependendo do número de atacantes e da configuração de rádio. Em cenários móveis, a CBR aumentou ligeiramente para 25%, atribuído à natureza dinâmica dos valores de RSSI e TA.
Sensibilidade de Parâmetros: Experimentos de ajuste fino demonstraram que o sistema é sensível ao raio de agrupamento ( $\epsilon_{RSSI}$ ) e aos limites de mensagens ( $T_1, T_2$ ). Uma configuração ótima (E1) foi identificada que equilibrou altas taxas de verdadeiros positivos com zero falsos positivos e zero bloqueio colateral em condições estáticas ideais.

Significado e Alegações
O artigo afirma que o StormShield aborda uma lacuna crítica na segurança 5G, avançando além de abordagens baseadas apenas em detecção ou simulação para uma estratégia de mitigação pré-autenticação do mundo real. Seu significado reside em:

Demonstração de Viabilidade: Provar que tempestades de sinalização RRC podem ser reproduzidas e estudadas em testes OTA 5G realistas com mobilidade e múltiplos atacantes.
Capacidade de Diferenciação: Distinguir com sucesso entre tempestades de sinalização maliciosas e condições de rede de alta carga benignas usando uma combinação de estatísticas RRC e impressões digitais espaciais, um desafio onde métodos anteriores baseados em limites falharam.
Integração O-RAN: Demonstrar um mecanismo de controle em malha fechada dentro do RIC near-RT O-RAN que não requer alterações no plano de dados subjacente da RAN, utilizando um Modelo de Serviço (SM) personalizado para telemetria e controle.
Mitigação Adaptativa: Introduzir um mecanismo de envelhecimento para listas de bloqueio que previne o bloqueio permanente de usuários legítimos, mantendo a proteção contra atacantes persistentes.

Os autores concluem que, embora o sistema seja altamente eficaz, trabalhos futuros focarão na integração de recursos adicionais específicos de hardware (por exemplo, análise de amostras I/Q) para impressão digital mais robusta e na expansão do modelo de ameaça para incluir adversários mais sigilosos capazes de completar autenticação parcial.