Об отчете агентства ЕС по кибербезопасности ENISA

О ландшафте космических угроз

Коммерческие спутники становятся все более важными для мировой экономики - от подключения к Интернету и навигации GPS до финансовых услуг и наблюдения за Землей. В этой связи растет и срочность понимания и устранения их уязвимостей кибербезопасности. В марте месяце с.г. Агентство Европейского союза по кибербезопасности (ENISA - European Union Agency for Cybersecurity) опубликовало подробную оценку перспектив кибербезопасности на орбите отчет «О ландшафте космических угроз» (Space Threat Landscape), предлагающий операторам подробную классификацию и систематизацию угроз, сценарии рисков и структуру контроля кибербезопасности, специально разработанную для коммерческих спутниковых систем.

Отчет определяет наиболее острые проблемы кибербезопасности для коммерческих спутниковых операторов на сегодняшний день: слабые криптографические практики, неправильные конфигурации программного обеспечения, небезопасные цепочки поставок и пробелы в эксплуатационной устойчивости. Он сопоставляет эти угрозы с конкретными фазами жизненного цикла - проектирование, сборка, эксплуатация и вывод из эксплуатации - и предлагает 125 практических элементов управления: от безопасных по проекту методов разработки до сетевых моделей с нулевым доверием и протоколов восстановления после инцидента. С помощью трех высокоточных сценариев риска отчет также показывает, как незначительные упущения, такие как неисправленный модем или недостаточная сегментация, могут стать точками входа для компрометации сети, сбоя миссии или даже полного захвата системы.

В настоящее время коммерческие спутники поддерживают основные услуги в области телекоммуникаций, дистанционного зондирования, мониторинга земельных и водных ресурсов, реагирования на чрезвычайные ситуации, удаленного управления инфраструктурой и точного земледелия - и глобальная зависимость от них только растет. В отчете ENISA отмечается, что сегодня на различных околоземных орбитах находится более 10 000 активных спутников, причем более 60% наиболее активных спутников принадлежат частным операторам, что делает их не только критически важными инструментами цифровых услуг, но и привлекательными киберцелями.

Коммерческая эксплуатация космоса стала основой ключевой экономической деятельности. Поэтому цифровые угрозы в космосе крайне важны. Кроме того, их каскадный эффект также может вызвать геополитическую напряженность. Вот почему кибербезопасность коммерческих спутников должна быть надежно обеспечена.

Другими словами, коммерческие спутники больше не являются просто техническими активами — они представляют собой геополитические линии разлома.

В отчете ENISA используется структурированная модель, которая делит жизненный цикл коммерческого спутника на семь фаз. Каждая фаза представляет определенные активы, действующих лиц и потенциальные уязвимости, многие из которых сохраняются или усугубляются на последующих стадиях. Понимание этих точек соприкосновения жизненного цикла имеет решающее значение для внедрения целевых мер безопасности.

1. Проектирование и разработка

Этот этап включает определение системных требований, целей миссии и архитектурных концепций. Если соображения безопасности, такие как безопасные методы кодирования и моделирование угроз, не внедрены на ранней стадии, фундаментальные слабости могут сохраняться на протяжении всего жизненного цикла спутника.

2. Сборка

На этом этапе интегрируются аппаратные и программные компоненты. Слабая безопасность цепочки поставок или недостаточная проверка сторонних компонентов (включая COTS - Commercial Off-The-Shelf - «готовый к использованию продукт») могут привести к уязвимостям, которые трудно обнаружить или устранить после запуска.

3. Предварительный запуск

Предварительный запуск включает в себя системную интеграцию, окончательное тестирование и транспортировку на стартовую площадку. Риски физического доступа, неправильные конфигурации или недостаточная проверка криптографических систем на этом этапе могут поставить под угрозу целостность спутника еще до того, как он достигнет орбиты.

4. Запуск

Во время запуска и ранних операций на орбите контроль над спутником переходит между командами и организациями. Этот период передачи особенно чувствителен - неправильно организованный контроль доступа или небезопасная наземная инфраструктура могут создавать уязвимые места для злоумышленников.

5. Операторы тестирования на орбите

Проверяют функциональность спутника и подтверждают целостность системы в космосе. Если злоумышленники получат доступ на этом этапе. Через скомпрометированную телеметрию или эксплойты протокола (специальные программы или коды, предназначенные для использования уязвимостей в программном обеспечении, сетевых протоколах или системах в целом) они могут помешать настройке миссии или отключить защитные функции.

6. Операции

Спутник выполняет свои основные функции от сбора данных до связи. Операционные уязвимости включают открытые телеметрические каналы, процедуры обновления прошивки или недостаточно сегментированные сети, которые допускают боковое перемещение или захват.

7. Вывод из эксплуатации

Процедуры окончания срока службы включают в себя изменение положения или вывод спутника из эксплуатации и безопасное удаление конфиденциальных данных. Неправильный вывод из эксплуатации может привести к потере управления, захвату спутников или постоянному раскрытию данных, особенно если не обеспечивается безопасное уничтожение данных и отзыв доступа.

В отчете подчеркивается необходимость «безопасности по проекту» и «безопасности по умолчанию» на всех этапах жизненного цикла. Неспособность внедрить кибербезопасность на самых ранних этапах может подвергнуть системы угрозам прошлого, которые будет трудно устранить после того, как актив окажется на орбите. Каждая фаза несет в себе риски, но модель ENISA подчеркивает, как решения на ранних этапах каскадно переходят в долгосрочную устойчивость.

Согласно анализу тенденций космических угроз, проведенному ENISA, кибератаки на спутники постоянно нацелены как на коммерческие, так и на государственные системы, причем наиболее распространенными тактиками являются глушение, захват и эксплуатация сетей. Несмотря на значительное увеличение количества запусков спутников (более 2500 только в 2023 году), по-прежнему не хватает консолидированных данных о киберинцидентах в космосе, в основном из-за проблем с недооценкой и атрибуцией. Этот пробел препятствует способности отрасли реагировать упреждающе. Однако ландшафт смещается в сторону большей прозрачности и координации с включением космоса в Директиву ЕС NIS2 (Network and Information Systems Directive 2) и созданием в 2024 году Центра анализа обмена космической информацией ЕС (ISAC - Information Sharing and Analysis Center).

В отчете отмечается, что субъекты угроз становятся все более разнообразными, от государственных структур до отдельных инсайдеров. Каждая группа имеет разные мотивы и возможности, но все они представляют реальные риски для спутниковой инфраструктуры на протяжении всего ее жизненного цикла.

ENISA классифицирует космические угрозы по нескольким направлениям: злонамеренная деятельность и злоупотребления, подслушивание, перехват и захват, физические атаки, непреднамеренный ущерб, сбои или неисправности, отключения, катастрофы и юридические.

Основные субъекты угроз включают:

1. Группы, поддерживаемые государством или связанные с ним, используют передовые инструменты и расширенные циклы планирования для ведения шпионажа, нарушения работы служб или достижения геополитических целей. Они часто нацеливаются на спутниковые системы управления или перехватывают сообщения для получения стратегического преимущества.
2. Киберпреступность и наемные хакеры. Эти субъекты преследуют финансовую выгоду, эксплуатируя спутниковые системы для вымогательства, мошенничества или кражи данных. Операции хакеров по найму также предлагают свои услуги клиентам, включая государства, обеспечивая возможность отрицания и более широкий доступ к индивидуальным возможностям вторжения.

3. Частные субъекты наступательных действий (PSOA - Offensive private sector actors) специализируются на разработке и продаже кибероружия и средств наблюдения правительствам и корпорациям. Их продукция может обеспечить несанкционированный доступ к спутниковым системам, в частности, с помощью эксплойтов нулевого дня или манипуляций с прошивками.

4. Гражданские активисты (хактивисты) - хакеры, которые используют свои навыки для продвижения политических, социальных или идеологических целей. Движимые идеологией, эти группы стремятся раскрыть данные, нарушить коммерческие операции или сделать политические заявления. Хотя их действия зачастую менее технически сложны, они все равно могут нанести значительный репутационный или операционный ущерб.
5. Хакеры (общая категория). Эта широкая группа включает в себя отдельных лиц или слабо организованные коллективы с различными мотивами и возможностями. Она охватывает кибервандалов, хакеров-черных шляп (злоумышленники, которые используют свои навыки для незаконных действий) и скрипт-кидди (т.е. те, кто пользуется скриптами или программами, разработанными другими, для атаки компьютерных систем и сетей, не понимая механизма их действия), которые могут использовать уязвимости просто потому, что они могут это сделать.
6. Недовольные сотрудники / Внутренние угрозы. Лица, имеющие законный доступ к спутниковым системам (сотрудники, поставщики или бывшие сотрудники) могут преднамеренно или непреднамеренно причинить вред. Инсайдеры часто обладают привилегированными знаниями об архитектуре системы, что затрудняет обнаружение и смягчение их действий.

7. Неподготовленные или халатные сотрудники. Операторы без адекватной подготовки по кибербезопасности могут непреднамеренно подвергать системы риску из-за плохой гигиены паролей, неправильного обращения с учетными данными или неправильно настроенных интерфейсов. Эти случайные риски остаются основной причиной компрометации систем.

Понимание этих профилей субъектов имеет решающее значение для определения приоритетов стратегий снижения риска. ENISA подчеркивает, что целевые атаки не всегда требуют значительных ресурсов - уязвимости, вызванные слабым дизайном, неадекватным обучением или недостаточной сегментацией сети, могут позволить ряду субъектов угроз достичь непропорционального воздействия.

Формируют аналитическое ядро отчета описание трех высокоточных сценариев риска кибербезопасности. Эти сценарии служат практическими примерами того, как уязвимости распространенные по оборудованию, программному обеспечению, цепочкам поставок и операционным практикам могут перерасти в полномасштабные инциденты безопасности.

1. Компрометация протокола с помощью социальной инженерии

Целевая фишинговая атака приводит к боковому перемещению в сети управления спутником. Плохая сегментация и раскрытые учетные данные позволяют злоумышленнику перехватывать телеметрические каналы и потенциально получать контроль над функциями управления спутником.

2. Внедрение вредоносного ПО во время сборки

Физический доступ во время производства позволяет злоумышленнику внедрить спящее вредоносное ПО через USB. Оказавшись на орбите, программное обеспечение использует уязвимости бортовых компьютеров и вызывает истощение ресурсов, нарушая работу и делая возможным потенциальный захват.

3. Незащищенное COTS-оборудование, развернутое после стихийного бедствия

После того, как стихийное бедствие повреждает наземные активы, операторы обходят проверку безопасности, чтобы быстро восстановить услуги. Незащищенное COTS-оборудование с открытыми портами провоцирует удаленное вторжение, позволяя злоумышленникам выполнять атаки типа «человек посередине» и внедрять программы-вымогатели.

Вместе эти сценарии показывают, что киберриск в космосе не ограничивается орбитальной средой. Большинство уязвимостей начинаются на Земле из-за небезопасных инженерных практик, слабостей в цепочке поставок, неправильно настроенного наземного оборудования или человеческих ошибок. Субъектам угроз редко требуется прямой доступ к спутникам, вместо этого они используют обширную взаимосвязанную экосистему, поддерживающую их. Эти каскадные уязвимости стирают грань между ИТ и космическими системами, требуя, чтобы операторы рассматривали наземные и орбитальные системы как единую интегрированную поверхность безопасности.

Для коммерческих космических компаний вывод очевиден: кибербезопасность должна быть внедрена на протяжении всего жизненного цикла спутника: от проектирования и закупки до запуска, эксплуатации и вывода из эксплуатации.

Структура контроля кибербезопасности, разработанная и предоставленная ENISA, предназначена для перевода анализа угроз высокого уровня в конкретные, действенные меры защиты, которые коммерческие спутниковые операторы могут применять на протяжении всего жизненного цикла спутника. Структура, состоящая из 125 элементов управления, сгруппированных в 18 кластеров управления, адаптирована к техническим и эксплуатационным реалиям космического сектора, включая использование коммерческих готовых компонентов (COTS), распределенные операции и растущую зависимость от сторонних наземных служб.

Вместо того, чтобы действовать как предписывающий контрольный список, платформа функционирует как модульный набор инструментов, который операторы, интеграторы и регуляторы могут адаптировать к потребностям конкретной миссии. Элементы управления сопоставляются с таксономией угроз и фазами жизненного цикла, определенными ранее в отчете, что позволяет пользователям отслеживать риски до определенных процессов, активов и точек входа. Для поддержки внедрения ENISA предоставляет фреймворк в структурированном, машиночитаемом формате вместе с интерактивным инструментом для визуального исследования через GitHub. Цель состоит в том, чтобы обеспечить лучшую расстановку приоритетов, более быстрое смягчение и более сильную организационную согласованность вокруг киберустойчивости.

Обобщение контрольных кластеров:

1. Политики и процедуры гарантируют, что управление кибербезопасностью четко определено, документировано и внедрено в повседневную деятельность посредством организационных политик, обязанностей и процессов безопасности.

2. Соответствие требованиям обеспечивает соответствие нормативным требованиям директив ЕС по кибербезопасности и международных стандартов, включая практику аудита и юридическую ответственность в разных юрисдикциях.

3. Управление рисками способствует структурированному выявлению рисков, моделированию угроз и оценке воздействия для принятия обоснованных решений по смягчению последствий, распределению ресурсов и планированию действий в чрезвычайных ситуациях.

4. Безопасность по умолчанию и за счет проектирования поощряет безопасное кодирование, архитектуру системы и управление конфигурацией на самых ранних этапах проектирования, чтобы предотвратить внедрение уязвимостей.

5. Экологическая и физическая безопасность защищает наземные объекты, транспортные операции и инфраструктуру запуска от несанкционированного доступа, несанкционированного вмешательства или физического саботажа.

6. Безопасность сети. Основное внимание уделяется защите коммуникаций посредством аутентифицированного шифрования, сегментации сети, управления портами и отключения ненужных служб и интерфейсов.

7. Безопасность данных обеспечивает безопасность данных при хранении, передаче и использовании с помощью классификации активов, обеспечения целостности, безопасного резервного копирования и мер по предотвращению потери данных.

8. Управление уязвимостями реализует постоянное сканирование, установку исправлений, проверку целостности программного обеспечения и защиту от вредоносных программ для обнаружения и устранения технических недостатков до их эксплуатации.

9. Управление доступом (Zero Trust) применяет контроль доступа на основе минимальных привилегий и идентификации как для физических, так и для цифровых активов, обеспечивая строгую проверку всех запросов на доступ.

10. Управление активами ведет инвентаризацию систем, программного обеспечения и оборудования в режиме реального времени, расставляя приоритеты активов на основе критичности, функции миссии и статуса жизненного цикла.

11. Управление цепочкой поставок обеспечивает оценку, тестирование и мониторинг сторонних поставщиков и компонентов COTS на предмет соответствия требованиям безопасности при поиске, интеграции и обновлениях.

12. Мониторинг и оповещение поддерживает обнаружение аномалий, вторжений или отклонений производительности с помощью телеметрического мониторинга в реальном времени, развертывания SIEM и регистрации событий.

13. Реагирование на инциденты определяет пороговые значения, протоколы и обязанности по выявлению, сдерживанию и восстановлению после инцидентов кибербезопасности, включая внешнюю связь.

14. Непрерывность бизнеса и восстановление после сбоев повышает устойчивость за счет резервного копирования, избыточных систем и определенных процедур восстановления для поддержания или восстановления работы в неблагоприятных условиях.

15. Наращивание потенциала способствует обучению, повышению осведомленности и межсекторальному обмену знаниями, помогая сотрудникам и партнерам распознавать угрозы и внедрять передовые методы кибергигиены.

16. Тестирование поощряет совместные действия, имитацию атак и проверку аппаратной и программной защиты для выявления пробелов и укрепления безопасности перед развертыванием.

17. Постоянное совершенствование использует циклы обратной связи, полученные в результате аудитов, тестов и инцидентов для совершенствования и обновления процессов безопасности, обеспечивая адаптируемость к меняющимся угрозам и операционным изменениям.

18. Возможности обороны включают в себя расширенные меры по повышению устойчивости, такие как маневренность спутников, меры противодействия глушению/подмене сигналов и системы ложных целей для смягчения активных угроз в космосе.

Сопоставляя каждый элемент управления с конкретными угрозами, фазами жизненного цикла и эксплуатационными зависимостями, структура ENISA помогает заинтересованным сторонам коммерческого спутника перейти от абстрактного понимания риска к конкретным действиям. Она также устраняет пробел в регулировании в секторе, согласовывая технические рекомендации с ожиданиями в области кибербезопасности, возникающими в соответствии с Директивой NIS2 (Network and Information Systems Directive 2) и Законом о киберустойчивости CRA (Cyber Resilience Act).

С января 2025 года Директива NIS2 классифицирует космос как сектор «высокой критичности», требуя от операторов спутников выполнять обязательства по кибербезопасности, включая отчетность об инцидентах и безопасные методы цепочки поставок.

Параллельно с этим Закон о киберустойчивости (CRA) распространяет общеевропейские стандарты кибербезопасности на все цифровые продукты, включая те, которые используются в космических системах. Эти законодательные действия являются обязательными к исполнению предписания.

Для поддержки координации недавно созданный Центр обмена и анализа информации ЕС (EU Space - ISAC) будет служить основным органом для сбора информации об угрозах и совместного обучения. ENISA играет роль наблюдателя в ISAC, предоставляя данные своих оценок для информирования о стратегических ответах.

В целом, для коммерческих операторов этот отчет представляет собой как дорожную карту, так и предупреждение. Спутниковая инфраструктура должна рассматриваться в качестве критически важной национальной инфраструктуры с соответствующим управлением рисками, контролем безопасности и структурами соответствия.

Для инвесторов отчет подчеркивает растущие нормативные и технические барьеры для участия в коммерческом пространстве. Теперь комплексная проверка должна включать зрелость кибербезопасности, устойчивость жизненного цикла и соответствие развивающимся стандартам, таким как NIS2 и CRA.

Отчет Space Threat Landscape - это технический и нормативный документ для коммерческих спутниковых компаний, работающих в условиях взаимозависимой орбитальной экономики, где кибербезопасность должна стать основной компетенцией, а не дополнительной функцией.

Таким образом, ENISA дает понять, что коммерческая космическая инфраструктура больше не является пограничным случаем в сфере кибербезопасности, а представляет собой новую линию противостояния.