A novel AI-based Intrusion Detection System for 3GPP 5G-IoT traffic
Un système de détection d'intrusion innovant basé sur l'IA pour le trafic 5G-IoT conforme à la norme 3GPP
Résumé
This Ph.D. thesis addresses cybersecurity challenges in 5G networks and the Internet of Things (IoT), where the massive integration of connected devices increases the attack surface and complicates intrusion detection. The main objective of this work is to design, develop, and validate an Intrusion Detection System (IDS) integrated as a Network Function (NF) within the 5G core network, fully compliant with 3GPP specifications, capable of analyzing both IP and non-IP IoT traffic, and leveraging Artificial Intelligence (AI) to detect known and emerging threats.The first contribution focuses on the design and implementation of a 5G-IoT IDS operating in the user plane. By leveraging the User Plane Function (UPF) duplication mechanism, the system can inspect MQTT traffic in real time without interfering with normal 5G operations. Several supervised machine learning algorithms (MLP, Random Forest, XGBoost, etc.) were trained and tested in an Open5GS-based environment, demonstrating both technical feasibility and compliance with 3GPP standards.The second contribution extends the architecture to the control plane, enabling the analysis of non-IP data flows that traverse the Access and Mobility Management Function (AMF). A novel dual-layer Transformer-based IDS was developed and implemented within the Amarisoft 5G platform, exploiting temporal and contextual correlations between packets to improve multi-step attack detection. Experimental evaluations confirmed the system's capability to analyze non-IP and IP CIoT traffic sequences while preserving full 3GPP compatibility through standardized Service-Based Interfaces (SBI).The third contribution introduces a federated and distributed IDS supported by the Network Data Analytics Function (NWDAF). Through Federated Averaging (FedAvg) and Federated Distillation (FedDistill) schemes, regional IDS instances collaborate without sharing raw data, ensuring privacy while improving detection accuracy across diverse environments. Tests conducted on a real 5G testbed demonstrate that Transformer-based federated models achieve high accuracy on unseen attack variants, highlighting their superior generalization capabilities.Overall, this thesis demonstrates the feasibility and effectiveness of an AI-driven IDS integrated into the 5G core, designed for scalability, interoperability, and data privacy. It offers a comprehensive framework, ranging from specification-compliant architecture to real-world validation, that paves the way for the deployment of autonomous and intelligent security functions within future 5G and beyond networks.
Cette thèse s'inscrit dans le contexte de la cybersécurité des réseaux 5G et de l'Internet des objets (IoT), où la multiplication des dispositifs connectés accroît considérablement la surface d'attaque et complexifie la détection des intrusions. L'objectif principal de ce travail est de concevoir, développer et valider un système de détection d'intrusion (IDS) intégré comme fonction réseau (NF) au sein du noyau 5G, conforme aux spécifications du 3GPP, capable d'analyser le trafic IP et non-IP issu des dispositifs IoT, et d'exploiter l'intelligence artificielle pour détecter des menaces connues et émergentes.La première contribution consiste à la modélisation et à l'implémentation d'un IDS-5G pour le trafic IoT dans le plan utilisateur. En s'appuyant sur la fonction User Plane Function (UPF) du cœur 5G, une méthode de duplication du trafic a été proposée pour permettre une inspection en temps réel des paquets MQTT sans perturber les procédures réseau. Plusieurs algorithmes d'apprentissage supervisé (MLP, Random Forest, XGBoost, etc.) ont été évalués dans un environnement Open5GS, démontrant la faisabilité technique et la conformité au standard 3GPP.La deuxième contribution élargit cette approche au plan de contrôle (Control Plane) afin d'inclure les flux non-IP transitant via la fonction Access and Mobility Management Function (AMF). Un IDS hybride IP/non-IP, reposant sur une architecture à double encodeur Transformer, a été conçu et intégré dans la plateforme Amarisoft 5G. Cette architecture exploite la corrélation temporelle entre paquets pour améliorer la détection contextuelle des attaques multi-étapes. Les expérimentations ont validé la pertinence du modèle proposé pour l'analyse séquentielle des flux CIoT réels, tout en maintenant la compatibilité complète avec les interfaces de service (SBI) définies par le 3GPP.Enfin, la troisième contribution propose un IDS distribué fédéré, soutenu par la fonction Network Data Analytics Function (NWDAF), permettant la coopération entre instances régionales d'IDS via des algorithmes de Federated Learning (FedAvg) et de Federated Distillation (FedDistill). Cette architecture garantit la confidentialité des données locales tout en assurant le partage de connaissances à grande échelle. Les expérimentations menées sur un banc d'essai 5G réel montrent que les modèles Transformer fédérés atteignent jusqu'à 98,2 % de précision pour la détection d'attaques inédites, confirmant la capacité du système à généraliser face à des menaces évolutives.Dans son ensemble, cette thèse démontre la faisabilité et l'efficacité d'un IDS fondé sur l'IA intégré au cœur 5G, conforme aux spécifications industrielles, évolutif, et respectueux de la confidentialité. Elle propose une méthodologie complète, allant de la conception normalisée à la validation expérimentale, ouvrant la voie à l'intégration future de fonctions de sécurité autonomes et distribuées dans les architectures 5G et au-delà.
| Origine | Version validée par le jury (STAR) |
|---|---|
| Licence |
