5G Core Network Observability with eBPF

La rete core 5G (5G CN) adotta un'architettura cloud-native basata su servizi, in cui le Network Function (NF) vengono esposte come servizi componibili e gestibili dinamicamente, offrendo un elevato grado di flessibilità. Queste NF sono interconnesse tramite interfacce standardizzate da organizzazioni ad hoc, come per esempio 3GPP. La complessità delle interconnessioni e la presenza di dati sensibili rendono queste interfacce vulnerabili. In questa tesi, viene proposto l'uso dell'extended Berkeley Packet Filter (eBPF) per monitorare le interfacce del 5G CN. I programmi eBPF vengono eseguiti nello spazio kernel della macchina host. Ciò risulta particolarmente utile per ottenere una maggiore osservabilità delle NF del 5G CN in modo efficiente. Attraverso un caso d'uso specifico implementato su OpenAirInterface (OAI), vengono dimostrati i vantaggi del framework eBPF nell'identificare un attacco DoS basato sull'eliminazione di sessioni e nel mitigare i rischi associati. ---------- The 5G Core Network (5G CN) presents a cloud-native service-based architecture, where Network Functions (NFs) are exposed as services that can be dynamically composed and managed, providing a high degree of flexibility. These NFs are interconnected via interfaces that Standardization Development Organizations like 3GPP have standardized. The complexity of the interconnections and the presence of sensitive data render these interfaces vulnerable. In this thesis, I advocate the use of extended Berkeley Packet Filter (eBPF) to monitor the 5G CN interfaces. eBPF programs execute within the kernel space of the host machine. This feature is particularly useful for achieving enhanced observability of 5G CN NFs with low overhead. Using a specific use case implemented on OpenAirInterface (OAI), I demonstrate the advantages of the eBPF framework in detecting a DoS attack based on session deletion and mitigating the associated risks.