该论文针对5G移动网络中层三（L3）协议面临的安全威胁，提出了一种基于O-RAN（开放无线接入网络）架构的攻击检测服务——5G-SPECTOR。传统蜂窝网络基础设施封闭且专有，而5G正向智能、开放标准化的O-RAN架构迁移，这为安全监测提供了新的机会。论文设计了两个核心组件：MOBIFLOW，一种新型安全审计流，用于传输细粒度的蜂窝网络遥测数据；MOBIEXPERT，一个可编程的控制平面xApp，用于实时分析数据并检测异常。该系统可检测7种已知的L3协议攻击，并能扩展至11种未知攻击以及31个真实世界蜂窝网络流量样本。实验结果表明，5G-SPECTOR具有高准确率、零误报，且CPU开销低于2%、内存消耗低于100 MB，展示了良好的实时性、可扩展性和低性能开销。该研究为O-RAN环境下的蜂窝网络安全监测提供了一个全面且实用的框架。

开放无线接入网络（O-RAN）越来越多地将近实时控制委托给从第三方供应商获取的深度强化学习（DRL）xApp，这引入了新的供应链攻击面。后门策略在正常情况下表现最优，但一旦对手向观察到的关键性能指标（KPI）遥测数据中注入隐蔽触发器，就会产生有害的控制动作，降低服务质量（QoS）。本文提出ORAN-DEFEND，一种无需重新训练的包装器，通过奇异值分解（SVD）从少量可信的干净轨迹中估计安全子空间，将每个KPI窗口投影到该安全子空间上，从而净化冻结的、可能被攻陷的xApp。作者从分析和实验两方面建立了精确的恢复条件：如果触发器能量集中在安全子空间的正交补中，则防御成功，并通过触发器的正交补能量分数量化该边界。在Colosseum COLORAN数据集上，评估了四种结构不同的DRL后门攻击（TrojDRL、SleeperNets、BadRL和Q-Incept），涵盖内环和外环投毒机制，结果表明在子空间假设成立时，所有攻击都实现了100%的回报恢复和≥99.5%的防御成功率。几何消融实验揭示了任何线性投影防御的内在且此前未表征的极限：当触发器与合法信号共定位时，正交补能量分数单调地控制恢复，线性残差检测器降至随机水平，而非线性分类器仍保持完美可分性。

5G网络在提供低延迟、高吞吐量和海量连接的同时，其控制平面仍面临多种安全威胁。其中，无线资源控制（RRC）信令风暴是一种特别有效且难以缓解的拒绝服务（DoS）攻击。恶意用户设备（UE）通过发送大量RRC信令，旨在耗尽下一代基站（gNB）的资源，阻止合法UE建立连接。现有的防御措施通常仅限于检测、仅通过数值模拟进行评估，且无法区分高负载网络条件和攻击；多数方法还假设静态配置，不考虑移动性。本文首先利用OpenAirInterface（OAI）5G协议栈评估了信令风暴攻击的可行性。然后，作者提出了StormShield，一种作为xApp在O-RAN近实时RAN智能控制器（RIC）上实现的攻击检测与缓解技术。它通过对恶意UE进行指纹识别并在gNB资源耗尽前将其阻断。作者在OTA测试平台上进行了原型验证，使用OAI、NVIDIA Aerial以及两种不同的gNB设置：一种采用USRP X410软件定义无线电（SDR）和8.1功能拆分，另一种采用商用富士康射频单元（RU）和7.2功能拆分。实验结果表明，StormShield能有效防止gNB资源耗尽，平均检测精度达到97.6%，从攻击开始到识别的平均时间为106.5毫秒。该工作为5G RAN提供了实用的实时信令风暴防御方案。