CLIF: Cross-layer LEO-ISL Fingerprinting for Physical and Network Attack Detection in Dense LEO Constellations

Resumo Técnico: CLIF – Fingerprinting de Camada Cruzada para Detecção de Ataques Físicos e de Rede em Constelações LEO Densas

Declaração do Problema
A rápida implantação de megaconstelações de Órbita Terrestre Baixa (LEO) (ex: Starlink, Kuiper) depende de Links Inter-Satélite (ISL) ópticos para formar redes mesh autônomas. À medida que essas constelações evoluem para o peering de alta densidade entre múltiplos operadores, a integridade dos ISLs torna-se crítica tanto para a disponibilidade comercial quanto para a segurança nacional. No entanto, as abordagens de segurança existentes sofrem de três lacunas principais:

1. Falta de Estruturas de Camada Cruzada: Os métodos atuais são isolados; a Autenticação de Camada Física (PLA) detecta satélites invasores, mas é cega para manipulações na camada de rede, enquanto a verificação criptográfica rejeita entidades não autorizadas, mas falha em detectar agentes internos comprometidos com credenciais válidas. Abordagens de resiliência estrutural negligenciam medições da camada física.
2. Escassez de Dados: Não existe um conjunto de dados público que capture o comportamento realista de um ISL sob ataque em escala de constelação. Avaliações anteriores dependem frequentemente de topologias simplificadas (até 60 satélites) ou tipos de ataque únicos sem uma verdade fundamental (ground truth).
3. Pontos Cegos de Multioperador: Nenhum trabalho existente aborda ameaças específicas ao peering de multioperadores, como o sequestro de tráfego inter-constelação.

Metodologia
Os autores propõem o CLIF, uma estrutura de fingerprinting comportamental de camada cruzada e leve, projetada para detecção de anomalias não supervisionada por satélite.

• Construção do Espaço de Características: A estrutura funde medições físicas de bordo com dados da camada de rede em um vetor de características de 12 dimensões para cada ISL ativo:
  • Camada Física (3 características): Desajuste de alcance (range mismatch), desajuste de velocidade e desajuste de direção. Estes são derivados da comparação entre medições diretas do terminal (alcance, Doppler, Linha de Visada) contra previsões de uma efemérides GEO confiável transmitida.
  • Camada de Rede (9 características): Vazão (throughput), utilização de link, profundidade de fila de remetente/destinatário, atraso de enfileiramento, latência de ponta a ponta, taxa de perda de pacotes, contagem de vizinhos e assimetria de tráfego.
• Modelos de Detecção: Três detectores não supervisionados, por satélite, são avaliados, treinados exclusivamente em dados normais para evitar envenenamento (poisoning):
  1. Mahalanobis de Camada Cruzada (CLM): Calcula a distância de Mahalanobis de uma observação em relação ao centroide de características normais usando uma matriz de covariância pré-computada.
  2. Floresta de Isolamento (IF): Um método de conjunto (ensemble) que isola anomalias baseando-se no comprimento do caminho em árvores aleatórias.
  3. Autoencoder Feedforward (AE): Uma rede neural treinada para reconstruir vetores de características normais; um alto erro de reconstrução indica anomalias.
• Simulação e Conjunto de Dados: Os autores construíram uma simulação fundamentada em física usando propagação orbital SGP4 e modelos de enfileiramento M/M/1/K. Eles geraram um conjunto de dados cobrindo 24 horas de operação para três cenários: Starlink (1.584 satélites), Kuiper (1.156 satélites) e um cenário conjunto de multioperador (2.740 satélites). Dez tipos de ataques foram injetados, variando de decepção física (Satélite Invasor) e manipulação de rede (Blackhole, DoS) a ataques compostos (Rogue Sinkhole) e exploração de multioperador (Sequestro Inter-constelação).

Principais Contribuições

1. Estrutura de Camada Cruzada: A primeira estrutura de detecção de anomalias não supervisionada, por satélite, que funde características físicas e de rede para detectar ataques compostos sem exigir coordenação entre satélites.
2. Conjunto de Dados Abrangente: A criação e publicação de um grande conjunto de dados (mais de 15 milhões de observações de ISL no cenário de multioperador) cobrindo topologias realistas e dez tipos distintos de ataques, preenchendo uma lacuna crítica na pesquisa de segurança LEO.
3. Avaliação de Multioperador: Demonstração de que a estrutura generaliza através de diferentes configurações de constelação e fronteiras de operadoras, incluindo a ameaça específica de sequestro de tráfego inter-constelação.

Resultos
O estudo avaliou os três detectores em todos os três cenários de constelação:

• Desempenho: O detector CLM (Mahalanobis) alcançou o melhor desempenho geral, atingindo 99,5% de recall na Starlink, 99,4% na Kuiper e 94,8% na constelação de multioperador, mantendo uma Taxa de Falso Positivo (FPR) abaixo de 0,7%.
• Comparação: O CLM superou o Autoencoder (AE) em aproximadamente 5,5 pontos percentuais em recall médio e superou significativamente a Floresta de Isolamento (IF), que sofreu com um recall muito baixo (26,9%), apesar da alta precisão.
• Especificidade de Ataque: O CLM alcançou recall quase perfeito na maioria dos tipos de ataque. Os ataques mais desafiadores foram "Grayhole" (devido à sobreposição com congestionamento natural) e "Sybil" em cenários de multioperador (devido à alta variabilidade no número de vizinhos em links cruzados).
• Eficiência: O CLM foi identificado como o mais eficiente computacionalmente, exigindo apenas 169 parâmetros armazenados e ~337 operações de ponto flutuante por observação. Isso é mais de duas ordens de magnitude mais leve que o IF e 40 vezes mais leve que o AE, tornando-o adequado para processadores de bordo de satélites com recursos limitados.

Significância e Alegações
O artigo afirma que a fusão de características de camada cruzada não é apenas necessária, mas altamente custo-efetiva para proteger constelações LEO. Os resultados demonstram que:

1. Cobertura Abrangente: Fundir as camadas física e de rede permite a detecção de uma taxonomia completa de ataques, incluindo aqueles que abordagens de camada única perdem (ex: agentes internos comprometidos manipulando o tráfego).
2. A Simplicidade é Suficiente: Um detector estatístico leve (distância de Mahalanobis) é suficiente para esta tarefa, superando modelos complexos de conjuntos de árvores e aprendizado profundo sem o associado overhead computacional.
3. Escalabilidade: A estrutura escala efetivamente para redes densas de multioperadores com deterioração marginal de capacidade, abordando a realidade emergente de coalizões de peering baseadas no espaço.

Os autores concluem que, embora os resultados sejam derivados de simulação, a estrutura fornece uma base necessária para a segurança de ISL, oferecendo uma solução prática e de baixo overhead que se ajusta aos estritos orçamentos de energia de bordo, enquanto aborda os pontos cegos das defesas atuais de camada física ou de camada de rede isoladas.