3. 安全威胁全景
无人机地面站（GCS）是任务规划、链路控制、载荷操作与数据回传的中枢，其安全边界远不止一台加固计算机。要建立有效的加固工程，首先必须把威胁“看全”：谁在攻击、从哪进入、破坏什么、留下什么痕迹。本节从网络攻击、物理攻击、供应链攻击与内部威胁四个维度构建威胁全景，并给出可落地的资产—入口—影响映射方法。
一、核心原理：四类威胁的入口与作用点
地面站的安全威胁可按“接触方式”分为远程与近端两类，再按“信任来源”分为外部与内部两类。网络攻击通过IP网络、无线链路、串口/总线协议进入；物理攻击通过机箱、USB、调试口、存储介质、供电与射频接口进入；供应链攻击在设备出厂、固件更新、第三方库与备件替换环节植入；内部威胁则利用合法账号、运维权限与流程漏洞。四者并非孤立，常形成组合链：供应链植入后门 → 内部人员误操作激活 → 网络攻击横向扩散 → 物理接触窃取密钥。
二、方法流程：资产—入口—影响映射四步法
- 资产清点：列出地面站硬件、软件、数据与接口，标注价值等级（关键/重要/一般）。
- 入口识别：对每类资产标注可达路径，如以太网口、Wi-Fi、串口、USB、调试JTAG、更新服务器。
- 威胁匹配：将四类威胁与入口对应，形成“威胁—入口—资产”矩阵，避免遗漏。
- 影响评估：按机密性、完整性、可用性打分，输出加固优先级。
示例：某测绘无人机地面站使用Windows平板+数传电台。资产清点发现“任务规划文件”为关键资产；入口包括USB、Wi-Fi和数传串口；匹配到“物理攻击—USB植入”“网络攻击—串口指令伪造”“内部威胁—规划文件外带”；影响评估为完整性高、机密性高，因此优先实施USB白名单、串口指令签名与文件加密。
三、案例/场景：一次组合攻击的复盘
某次演练中，攻击者先通过供应链在第三方地图插件中植入恶意更新，地面站联网后自动下载；随后内部运维人员使用弱口令远程登录，攻击者利用该账号横向移动到任务规划主机；最后通过物理接触插入伪装U盘，窃取链路密钥。复盘发现：更新未校验签名、账号未启用多因素、USB端口未管控。加固措施包括：固件与插件强制签名校验、运维账号MFA与最小权限、USB端口禁用或白名单、密钥存储于TPM/安全芯片。
常见误区：只防网络攻击，忽视物理与供应链；认为“内网就安全”；把内部人员默认为可信；更新通道不做完整性校验；日志只记录不分析。这些误区会让单点突破演变为系统性失守。
四、威胁—入口—加固对照清单
| 威胁类型 | 典型入口 | 关键加固措施 | 验证方式 |
|---|---|---|---|
| 网络攻击 | 以太网、Wi-Fi、数传链路 | 链路加密、指令签名、防火墙白名单、IDS | 抓包验证加密、重放测试 |
| 物理攻击 | USB、调试口、机箱、供电 | 端口封禁、机箱锁、TPM密钥保护、看门狗 | 物理检查、密钥不可导出测试 |
| 供应链攻击 | 固件更新、第三方库、备件 | 签名校验、SBOM清单、供应商审计 | 哈希比对、更新回滚测试 |
| 内部威胁 | 运维账号、配置文件、日志 | 最小权限、MFA、操作审计、离职回收 | 权限复核、日志溯源演练 |
五、加固落地要点
威胁全景的价值在于指导加固顺序。建议按“先堵入口、再保资产、后控人员”推进：优先关闭不必要的物理与网络端口，启用链路加密与指令签名；其次对固件、插件、配置文件做签名与哈希校验；最后完善账号权限、多因素认证与审计日志。可用以下命令快速检查地面站主机暴露面：
# 查看监听端口与关联进程
netstat -ano | findstr LISTENING
# 检查USB存储设备历史接入记录（Windows）
reg query HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR
# 校验固件包完整性
sha256sum gcs_firmware_v2.3.bin