4. 通信链路威胁模型
无人机通信链路是飞控指令、遥测数据、图传视频和导航信息的共同承载通道。一旦链路被攻击，轻则任务失败，重则导致坠机、失控或被恶意接管。要建立有效的防护体系，首先必须建立清晰的威胁模型：明确攻击者是谁、具备什么能力、从哪个入口发起攻击、会造成什么后果。本章围绕窃听、干扰、欺骗、劫持、拒绝服务五类典型攻击，结合攻击面分析方法，帮助读者形成系统化的链路安全认知。
一、核心原理：五类攻击的行为特征
无人机链路攻击可以从机密性、完整性、可用性、真实性四个安全属性维度来理解。不同攻击类型破坏的属性不同，防御手段也截然不同。
- 窃听（Eavesdropping）：攻击者被动接收链路信号，不发射能量，破坏机密性。常见于未加密的遥测和图传链路，攻击者通过SDR设备即可捕获数据包，分析飞行轨迹、载荷状态甚至视频内容。
- 干扰（Jamming）：攻击者主动发射同频或邻频噪声/扫频信号，压制正常通信，破坏可用性。包括宽带阻塞干扰、窄带瞄准干扰、扫频干扰和协议感知干扰。
- 欺骗（Spoofing）：攻击者伪造合法信号或数据，破坏真实性。典型如GPS欺骗、ADS-B伪造、遥控指令伪造，使无人机误判位置或执行虚假指令。
- 劫持（Hijacking）：攻击者在欺骗或中间人基础上，夺取链路控制权，直接接管无人机。通常需要先完成身份伪造或会话劫持，危害等级最高。
- 拒绝服务（DoS）：攻击者通过泛洪、资源耗尽、协议漏洞等方式使链路或地面站不可用，破坏可用性，常与干扰配合使用。
关键区分：窃听是“听”，干扰是“压”，欺骗是“骗”，劫持是“夺”，拒绝服务是“堵”。五者可以单独出现，也可以组合形成攻击链，例如先窃听获取协议特征，再干扰压制，最后欺骗劫持。
二、攻击面分析：从物理层到应用层
攻击面是指攻击者可以利用的所有入口和暴露点。无人机通信链路的攻击面可划分为五个层次，每一层都有对应的攻击类型和防护重点。
| 层次 | 典型攻击面 | 主要攻击类型 | 防护重点 |
|---|---|---|---|
| 物理层 | 射频接口、天线、供电 | 干扰、物理捕获 | 跳频、扩频、抗干扰天线 |
| 链路层 | 帧结构、MAC地址、同步字 | 窃听、重放、DoS | 加密、序列号、完整性校验 |
| 网络层 | 路由协议、IP/ID标识 | 中间人、路由欺骗 | 身份认证、路由签名 |
| 传输层 | 会话、端口、握手过程 | 会话劫持、泛洪 | 会话密钥、抗重放 |
| 应用层 | 遥控指令、遥测、图传 | 指令伪造、数据篡改 | 指令签名、权限控制 |
攻击面分析的核心方法是：先枚举资产，再识别接口，最后匹配威胁。资产包括无人机、地面站、链路信道、数据内容；接口包括射频口、网络口、串口、USB口；威胁则对应上述五类攻击。只有把攻击面画清楚，才能避免“只防干扰、不防欺骗”的片面防护。
三、方法流程：威胁建模四步法
威胁建模不是一次性工作，而是贯穿系统设计、部署和运行的全过程。推荐采用以下四步法：
- 资产识别：列出无人机、地面站、链路、数据、密钥等所有需要保护的资产，标注其价值等级。
- 攻击面枚举：从物理层到应用层，逐一列出可被攻击者接触的接口和暴露点，形成攻击面清单。
- 威胁匹配：将五类攻击与攻击面进行交叉匹配，识别高风险组合，例如“未加密图传 + 窃听”或“无签名遥控 + 欺骗”。
- 风险处置：针对每个威胁选择规避、降低、转移或接受策略，并落实到具体安全机制，如AES加密、跳频、HMAC校验、双向认证等。
实用技巧：在威胁建模时，可以用“攻击者能力矩阵”来量化风险。例如，将攻击者分为脚本小子、专业黑客、国家级对手三档，分别评估其设备能力、资金投入和持续时间，从而确定防护优先级。
四、案例与场景：一次典型的链路攻击链
某次野外测绘任务中，无人机在起飞后约3分钟出现图传卡顿，随后遥测数据异常，地面站显示位置漂移，最终无人机偏离航线并触发返航失败。事后复盘发现，这是一次组合攻击：
- 第一阶段——窃听：攻击者使用SDR设备捕获了该型号无人机的遥控和图传频点，分析出协议帧结构和跳频序列。
- 第二阶段——干扰：在任务关键阶段发射窄带瞄准干扰，压制上行遥控链路，使操作员无法及时修正航线。
- 第三阶段——欺骗：同时发送伪造的GPS信号，使飞控误判位置，诱导无人机飞向攻击者预设区域。
- 第四阶段——劫持：在无人机进入近距离后，攻击者伪造遥控指令，尝试接管控制权。
该案例说明，单一防护手段难以应对组合攻击。如果链路采用了加密和跳频，窃听和干扰的难度会显著提升；如果遥控指令带有数字签名和序列号，欺骗和劫持也会被有效阻断。
常见误区：很多团队认为“用了跳频就安全了”，但跳频只能对抗部分干扰，无法防止窃听和欺骗。同样，“加了加密”也不等于安全，如果密钥管理薄弱或认证机制缺失，攻击者仍可通过重放或中间人攻击绕过加密。安全防护必须是机密性、完整性、真实性、可用性的综合设计。
五、复盘要点与防护清单
针对五类攻击，建议在链路安全设计中落实以下检查项：
链路安全防护检查清单：
[ ] 遥控与遥测链路是否启用强加密（如AES-128/256）？
[ ] 是否使用跳频或扩频技术提升抗干扰能力？
[ ] 指令是否带序列号和时效戳，防止重放攻击？
[ ] 是否具备双向身份认证，防止伪造节点接入？
[ ] 图传链路是否加密，避免视频内容泄露？
[ ] 是否部署干扰检测与告警机制？
[ ] GPS/导航数据是否与其他传感器交叉校验？
[ ] 是否定期更新密钥和固件，修补已知漏洞？
[ ] 是否制定链路失联后的安全策略（如自动返航、悬停）？
[ ] 是否对攻击事件进行日志记录和溯源分析？威胁模型的价值在于把“可能被攻击”转化为“知道哪里会被攻击、怎么被攻击、如何防”。只有持续更新攻击面清单、跟踪新型攻击手法，才能让无人机通信链路在复杂电磁环境中保持安全可控。