RAS卫星完好无损，服务却中断了：为什么太空信息安全与安全分析应从“服务损失”出发
01摘要
02事件经过：2022年2月24日，卫星毫发无损
2022年2月24日凌晨，欧洲各地数万台 KA-SAT 卫星互联网终端同时断开连接。根据 Viasat 于3月30日发布的说明，攻击者通过一台配置错误的 VPN 设备进入地面管理网络，并从内部向大量家用调制解调器同时发送了合法的管理指令。这些指令覆写了调制解调器闪存中的关键数据，导致调制解调器无法重新接入网络。Viasat 随后发出了约3万台替换用调制解调器。德国风力发电机制造商 Enercon 表示，使用该网络的5,800台风力发电机（约11 GW）的远程监控与控制被中断。风力发电机仍在运转，但无法远程复位。
在这起事件中，卫星本身没有任何问题。损害来自卫星之外的一条控制路径：地面管理网络、管理指令、用户终端。信息安全研究团队 SentinelLabs 的结论是擦除型恶意软件经由管理功能投放，并认为 Viasat 的说明并不完整；但双方都认同，损害始于地面管理路径。
这正是 New Space Economy 文章所说的“整个服务链”。对卫星运营商的客户而言，他们关心的与其说是卫星有多先进，不如说是能否收到数据、数据是否可信。
03从资产出发的分析会遗漏什么
| 出发点 | 首先追问的问题 | 在本事件中容易遗漏的内容 |
|---|---|---|
| 从卫星资产出发 | 如果卫星平台、有效载荷或指令链路遭到攻击会怎样？ | 完全不触及卫星的攻击（管理网络 → 终端） |
| 从组件故障出发 | 如果信关站 A 发生故障会怎样？由 B 接管 | 如果 A 和 B 共用管理账户和配置模板，二者会同时停摆 |
| 从服务损失出发 | 用户失去通信的途径都有哪些？ | 无（管理网络、终端和共享依赖因为会导致损失而纳入分析范围） |
这并不是说基于资产的分析是错误的。TARA 对于具体评估资产和攻击路径不可或缺。但哪些东西算作资产，在确定分析范围时就已经决定了。如果从损失反推来确定范围，卫星之外的管理网络和终端就不会被遗漏。
STPA 从一开始就按这个顺序进行：先定义损失，再确定导致损失的危害状态，绘制控制结构，然后针对每个控制行为追问它可能如何成为不安全控制行为（UCA）。它不分别追问故障和攻击，而是追问控制可能如何出错，因此信息安全损失也能纳入同一框架。Young 和 Leveson 以 STPA-Sec 之名提出了这一方法（2014年）。
04示例1：STPA，从服务损失出发
这是一个用于教学的虚构卫星通信服务（并非任何运营商的设计）。它包括一颗地球静止轨道通信卫星、两个信关站（A 和 B，互为冗余）、一个卫星测控中心，以及一套远程管理用户终端的网络管理系统（NMS）。用户除家庭和企业外，还包括远程设备监控和应急通信用户。
损失
- L-1 用户失去通信服务（包括远程设备监控和应急通信）
- L-2 失去对卫星的控制（包括卫星受损和产生轨道碎片）
L-1 是信息安全事件造成的服务损失，L-2 是安全与太空可持续性方面的损失。二者放在同一分析中。
危害
- H-1 大量用户终端同时无法工作（L-1）
- H-2 两个信关站同时无法提供服务（L-1）
- H-3 卫星执行未经授权的指令（L-2）
系统级约束
- SC-1 终端管理指令不得能够使大量终端同时无法工作，且必须可逆
- SC-2 冗余的信关站不得共享管理账户、配置或管理网络等共同依赖
- SC-3 卫星只能执行经过认证的指令，且指令认证必须与地面业务网络的账户相分离
5项 UCA
| ID | 控制行为 | 不安全控制行为 | 危害 |
|---|---|---|---|
| UCA-P-1 | 终端管理指令 | NMS 执行了不属于已批准运维任务的终端管理指令（如闪存覆写） | H-1 |
| UCA-P-2 | 终端管理指令 | NMS 未经分阶段确认，将终端管理指令一次性应用于所有终端 | H-1 |
| UCA-N-3 | 终端管理指令 | 大量终端停止响应，但 NMS 未提供恢复指令 | H-1 |
| UCA-P-4 | 信关站配置变更 | NMS 将同一配置变更同时应用于两个信关站 | H-2 |
| UCA-P-5 | 卫星指令 | 卫星测控中心向卫星发送了使用被盗账户输入的指令 | H-3 |
在信息安全分析中，UCA-P-1 和 UCA-P-5 会被列为威胁，而 UCA-P-2 和 UCA-N-3 则是运维流程和设计的问题。即使没有攻击，只要把一个有缺陷的固件镜像一次性推送到所有终端，也会造成同样的损失。在 STPA 中，这四项并列在同一个控制行为之下。
5个损失场景
| ID | UCA | 场景概要 | 说明了什么 |
|---|---|---|---|
| LS-1 | P-1 | 一台远程访问 VPN 设备配置错误，使外部人员进入管理网络，并以合法运维人员权限发出管理指令。NMS 只检查发出指令的账户，而不检查指令是否具有破坏性 | 与 Viasat 事件结构相同 |
| LS-2 | P-2 | NMS 的推送算法没有分阶段推送（少量终端 → 确认 → 扩大）的概念，因此任何指令都会一次性发往整个终端组 | 没有攻击也会造成同样的损失 |
| LS-3 | N-3 | 闪存被擦除的终端会失去远程管理通道本身，无法接收恢复指令。终端状态反馈不区分“无响应”和“正在重启”，因此 NMS 很晚才察觉大规模故障 | 恢复路径就是损害路径 |
| LS-4 | P-4 | 信关站 A 和 B 使用同一个管理账户和同一个配置模板。一个模板错误或一个账户被盗，就会同时作用于两个信关站 | 使冗余失效的共享依赖 |
| LS-5 | P-5 | 卫星测控账户与终端管理账户使用同一套企业内部账户体系。管理网络遭入侵导致测控账户被盗，错误的推进指令进而导致卫星偏离轨道并带来碎片风险 | 信息安全事件演变为安全损失（L-2）的路径 |
6项对策
| ID | 对策 | 关联场景 |
|---|---|---|
| CM-1 | 对管理网络的远程访问实施多因素认证和定期配置审查；对更改闪存或固件的破坏性指令实行双人审批 | LS-1 |
| CM-2 | 分阶段推送（少量终端 → 状态确认 → 扩大），并设定自动停止标准 | LS-2 |
| CM-3 | 在终端上保留旧版固件分区，使其无需远程管理通道即可回滚，并保护引导区不被管理指令擦除 | LS-3 |
| CM-4 | 汇总终端“无响应”反馈，在出现大规模故障时发出告警 | LS-3 |
| CM-5 | 按信关站分别设置管理账户和配置推送时间窗口 | LS-4 |
| CM-6 | 将卫星指令认证与企业内部账户体系分离，并在指令链路上实施指令认证（例如 CCSDS SDLS） | LS-5 |
05示例2：FTA，使冗余失效的共享依赖
LS-4 在 STPA 中告诉我们存在共享依赖。至于它会在多大程度上破坏设计中的冗余，则要通过故障树（FTA）才能看清。
顶事件是“宽带服务全面丧失”，其下设三个分支。
- 两个信关站均丧失功能（OR）：信关站 A 和 B 设备的独立故障同时发生（AND：信关站 A 设备故障、信关站 B 设备故障），以及两个信关站因共享依赖而同时丧失（OR：共享管理账户被盗、部署了有错误的共享配置模板）
- 用户终端大规模无法工作（AND）：未经授权访问管理网络、破坏性管理指令未经检查即全部应用
- 卫星转发器故障
关键在于不要把共享依赖混入冗余（AND）之中，而是把它作为冗余正上方一个独立的 OR 分支。如果冗余的故障树只写“A 故障且 B 故障”，两个信关站使用同一账户和模板这一事实就不会出现在树中，所有割集看起来都是二阶的。只有把共因画成一个独立分支，故障树才包含“这一个事件就能让两个信关站同时停摆”的逻辑。
| 割集 | 阶数 | 含义 |
|---|---|---|
| {共享管理账户被盗} | 1 | 虽有冗余仍是单点故障 |
| {部署了有错误的共享配置模板} | 1 | 虽有冗余仍是单点故障 |
| {卫星转发器故障} | 1 | 单星示例中设计上本就是单点 |
| {信关站 A 设备故障, 信关站 B 设备故障} | 2 | 设计者预期的冗余 |
| {未经授权访问管理网络, 破坏性指令未经检查即全部应用} | 2 | Viasat 类型 |
VisualPro 共计算出5个割集，结果摘要的最小割集选项卡中显示其中3个一阶割集。设计文档写的是“信关站冗余”，但除卫星转发器外，还另有两个会使整个服务停止的单点故障。这正是文章所说的“仅凭卫星数量无法衡量韧性”。即使增加到三个信关站，只要它们共享同一账户和模板，这两行就依然存在。通过 CM-5 按信关站分开账户和配置推送后，共享依赖分支即被消除，剩下的是各信关站的独立故障，它们构成二阶或更高阶的割集。
信息安全事件很难像故障率那样被赋予概率。本示例不计算概率，只看割集的结构。攻击有多容易，将在下一步 TARA 中评估。
06示例3：TARA，同一场景的攻击可行性
在 STPA 找出的场景中，LS-1 和 LS-5 涉及攻击者。将它们带入 TARA，评估攻击路径和攻击可行性。
| TARA 条目 | 来自 LS-1 | 来自 LS-5 |
|---|---|---|
| 资产 | NMS 终端管理功能（完整性、可用性） | 卫星指令功能（完整性） |
| 损害场景 | 大量终端无法工作导致的服务丧失 | 未经授权的推进指令导致卫星失控 |
| 攻击路径 | VPN 配置错误 → 访问管理网络 → 以合法权限发出破坏性指令 | 管理网络遭入侵 → 共享账户被盗 → 输入指令 |
| 网络安全目标 | 破坏性管理指令只能作为已批准的任务执行 | 卫星指令只能在通过专用指令认证后执行 |
| 影响等级 · 攻击向量 | Severe · Network | Severe · Network |
| 攻击可行性 · 风险等级（由 VisualPro 计算） | High · 5 | High · 5 |
| CAL（由 VisualPro 计算） | CAL4 | CAL4 |
| 风险处置 | CM-1, CM-2 | CM-6 |
两条攻击路径的影响等级均为 Severe，且都可通过网络到达，因此 VisualPro 将攻击可行性计算为 High，风险等级为最高的5，网络安全保证级别（CAL）为 CAL4。换言之，即使不直接攻击卫星，仅凭地面管理路径就会产生最高的风险等级。
STPA 追问损失从哪里开始，FTA 追问需要多少个事件才会导致损失，TARA 追问对攻击者而言有多容易。只有当这三个问题的答案以相同的名称和 ID 放在同一个项目中时，信息安全团队、可靠性团队和运维团队才能围绕同样的对策展开讨论。
07为什么这一流程在 VisualPro 中行之有效
1STPA、FTA 和 TARA 在同一个项目中。
2STPA 将损失与对策连接起来。
3FTA 计算割集，立即显示单点故障。
4TARA 按照资产 → 损害 → 威胁 → 攻击路径 → 网络安全目标的流程进行评估，并自动计算 CAL。
5通过 MCP 连接与 AI 协同工作。
08明天要检查的事项
卫星运行与服务运营
- 我们的损失定义中是否只有“卫星丧失”，而遗漏了“用户服务丧失”？
- 哪些终端管理指令可能使终端无法恢复？这些指令是否经过分阶段推送和双人审批？
信息安全
- 地面管理网络和远程访问设备是否在 TARA 范围之内？
- 卫星测控账户是否与企业业务网络的账户体系相分离？
可靠性与系统工程
- 冗余信关站或卫星所共享的账户、配置模板、软件和供应商，是否已在 FTA 中作为冗余上方独立的共因分支画出？
- 是否出现了非预期的一阶割集？
09结语
10常见问题
Q1对于太空信息安全，仅靠 TARA 还不够吗？为什么还需要 STPA 和 FTA？
Q2STPA-Sec 与普通 STPA 是不同的方法吗？
Q3能否为信息安全事件赋予概率并对 FTA 进行定量计算？
Q4由多颗卫星组成的星座难道不能减少这一问题吗？
Q5应该从哪里开始？
· New Space Economy, "Can Space Security Keep Pace With Growing Dependence on Satellites?", 2026年10月29日 — 阅读文章
· Defense Intelligence Agency, Challenges to Security in Space 2026
· Secure World Foundation, Global Counterspace Capabilities 2026（13个国家的评估） — SWF Counterspace
· Viasat, KA-SAT Network cyber attack overview, 2022年3月30日 — Viasat 声明
· SentinelLabs, "AcidRain: A Modem Wiper Rains Down on Europe", 2022年3月31日 — 阅读分析
· 有关 Enercon 声明（2022年2月28日）的报道：5,800台风力发电机的远程监控中断
· William Young, Nancy G. Leveson, "An Integrated Approach to Safety and Security Based on Systems Theory", Communications of the ACM 57(2), 2014 — DOI 10.1145/2556938
· Nancy G. Leveson, John P. Thomas, STPA Handbook, MIT, 2018 — STPA Handbook（PDF） / MIT PSASS STAMP Tools
· CCSDS 355.0-B, Space Data Link Security Protocol