JANUS：针对 LEO 卫星网络中波束跳变的拒绝服务攻击

大家读完觉得有帮助记得关注和点赞摘要低地球轨道LEO卫星网络正越来越多地用于提供全球连接。然而每颗卫星的资源有限需要根据地理和时间上变化的需求进行分配。波束跳变通过将卫星的服务区域划分为地理小区来应对这一挑战。它不是同时照射每个小区而是根据需求动态地将可用波束分配给选定的子集。这种依赖观测到的流量需求作为波束选择决策输入的方式创造了一个新的攻击面其安全影响很少受到关注。在本文中我们提出 JANUS一种针对 LEO 网络中波束跳变系统的新型定向拒绝服务攻击。我们表明一个小型受感染终端僵尸网络可以向精心选定的非受害小区注入合法用户流量以操纵波束跳变调度器对需求的视图。这种操纵会改变波束分配决策并将服务从目标受害区域重定向出去。我们在不同的系统配置、调度器、攻击时间范围和攻击者知识设置下评估 JANUS以刻画攻击的有效性、所需资源以及由此产生的服务中断随时间的变化。针对基于排名的 KMAX 调度器JANUS 对约 95% 的评估受害者实现完全服务拒绝。针对 DRLJANUS 可以将受害者从约 92% 的调度决策中排除。最后我们评估了降低攻击有效性的缓解策略。I 引言近年来低地球轨道LEO卫星网络已从新兴系统发展为已部署的宽带基础设施这得益于 SpaceX 的 Starlink、Eutelsat OneWeb 和 Amazon Leo 等大型商业星座 [1, 2, 3]。这些网络预计也将在未来 6G 系统中发挥不可或缺的作用将宽带连接扩展到地面基础设施无法覆盖的偏远、服务不足和高度移动用户 [4]。与地面网络不同LEO 卫星网络的拓扑和覆盖范围随着卫星相对于地球的运动而不断变化。随着卫星移动每颗卫星服务的地面区域集合发生变化而用户需求在地理区域之间仍不均衡并随时间变化 [5]。在变化的覆盖范围和不均衡的需求之间分配资源变得更加困难因为每颗卫星可用的功率、频谱和波束成形资源有限这限制了可以同时服务的地面区域数量 [6]。因此高效的 LEO 网络运行必须将有限且时变的卫星资源与变化的需求相匹配。波束跳变BH提供了一种在较大覆盖区域内分配有限卫星资源的机制 [7, 8]。BH 不是同时照射每个小区而是允许卫星在每个决策窗口内照射小区的一个子集并随着需求变化重新分配其波束 [7, 8]。这使系统能够将可用功率、频谱和带宽集中在服务需求较高的小区上而不是将波束时间分配给需求相对较低的小区 [7, 9]。动态 BH 调度器使用流量和网络状态包括小区需求、队列占用率和信道条件来选择波束模式并分配带宽使可用资源更好地匹配需求 [9, 10]。近期研究已应用深度强化学习DRL在连续决策窗口上学习这些分配策略使调度器能够随着流量和网络条件的变化调整波束模式及相关功率和带宽分配 [9, 11, 10]。需求响应式 BH 通过依赖观测到的流量需求引入了一个新的攻击面。在动态 BH 中这种需求直接影响后续决策窗口中选择哪些小区进行照射 [9, 10]。因此操纵调度器需求视图的对手可以影响其波束分配决策。为了操纵调度器对手可以在精心选定的非受害小区中生成合法用户流量使这些小区看起来比目标受害小区更紧急从而将服务从目标小区重定向出去。我们提出 JANUS一种针对 LEO 网络中卫星 BH 调度器的新型定向拒绝服务DoS攻击。JANUS 通过操纵调度器的需求视图针对卫星覆盖范围内的一个地理区域使服务目标受害区域的小区被排除在波束选择之外而竞争小区被选中。攻击者使用一组分布式受感染用户终端在这些非受害小区中生成协调流量。这些流量夸大了它们的表观需求使调度器优先于受害小区。结果目标区域的用户在攻击期间经历服务质量下降或完全被拒绝服务。先前关于 LEO DoS 攻击的研究表明卫星拓扑和路由的可预测演变加上不均衡的流量和有限的链路容量会导致地面-卫星链路和星间链路中出现时变瓶颈 [12, 13]。这些攻击通过将僵尸网络流量引导通过选定链路直到其拥塞来利用此类瓶颈。JANUS 针对系统的不同层面。它不是拥塞链路或中断路由而是操纵 BH 调度器观测到的需求导致波束资源从目标地理区域重定向出去。与先前针对网络链路和路由的攻击不同JANUS 针对调度层暴露了 LEO 卫星网络中的一个新攻击面。我们针对基于排名和基于学习的 BH 调度器评估 JANUS以检验其对显式需求排名规则和跨连续决策窗口学习的自适应策略的有效性。我们评估单窗口和多窗口攻击其中每个窗口表示连续波束分配决策之间的时间间隔。在多窗口攻击期间每个波束分配决策会改变后续窗口中观测到的队列状态因此攻击者必须考虑早期攻击决策如何影响后续调度决策。我们在星座配置、BH 配置、调度器、攻击时间范围和攻击者知识设置下评估攻击的有效性和由此产生的服务退化并刻画执行攻击所需的流量和僵尸网络资源。我们通过扩展 ICARUS 模拟器 [12]加入动态 BH 调度和对抗性流量注入来实现 JANUS。JANUS 在针对 KMAX 的单窗口攻击中排除受害者的比例为 98.7%在多窗口攻击中对 94.8% 的受害者实现全时间范围排除。针对 DRLJANUS 实现约 67–92% 的单窗口攻击成功率并在多窗口攻击中将受害者接收的数据量减少至少 77–81%。这些结果表明JANUS 可以在各种系统和攻击者条件下维持大量服务中断。我们还评估了几种防御措施旨在降低 JANUS 的有效性同时保留调度器响应合法需求变化的能力。这些机制包括随机化和饥饿感知的波束预留、连续服务限制以及调度器观测需求的平滑。我们的结果表明调度器侧防御可以大幅降低 JANUS 有效性其影响因调度器设计而异。我们的贡献如下• 我们将需求响应式 BH 中的需求操纵识别为一个安全关键攻击面它构成 LEO 卫星网络中一类新的定向调度层 DoS 攻击的基础。• 我们提出 JANUS一种针对 BH 调度器的新型定向 DoS 攻击它使用一个小型受感染终端僵尸网络生成个体上与合法需求无法区分的合法用户流量将服务从目标受害区域重定向出去。• 我们扩展 ICARUS 模拟器 [12] 以支持具有基于排名和基于学习调度器的动态 BH 调度为 BH 安全研究提供可复用平台。• 我们提出并评估针对需求操纵的调度器侧缓解措施检验其降低攻击影响的有效性。据我们所知JANUS 是第一个针对 LEO 卫星网络中 BH 的定向调度层 DoS 攻击它操纵观测到的需求将波束资源从目标地理区域转移出去。除了证明攻击本身的可行性外我们的工作还将需求驱动的波束分配识别为安全关键攻击面并为设计和评估更鲁棒的 BH 调度器提供了基础。II 背景与相关工作LEO 卫星网络必须使用有限的功率、频谱和带宽来服务地理上不均衡且变化的流量需求。BH 通过将资源动态集中在选定服务小区上来应对这一挑战。本节描述与 JANUS 相关的 LEO 网络特性和 BH 调度机制并回顾关于 LEO 网络 DoS 攻击和自适应决策系统对抗性操纵的相关工作。II-A LEO 卫星与 LEO 卫星网络LEO 卫星运行在低于 2,000 km 的高度大约 90 分钟完成一次绕地球轨道运行 [14]。相比之下地球静止轨道GEO卫星运行在离地球远得多的高度为 35,786 km并似乎固定在地面上某一位置 [4]。LEO 卫星较低的轨道高度相比 GEO 系统降低了传播延迟但 LEO 卫星相对于地面用户连续移动在任何给定时间只覆盖有限地理区域并且从给定位置仅可见有限时间 [15, 16]。航天器和发射约束施加了严格的质量和体积限制而星上功率和热预算进一步限制了每颗卫星可用的资源 [17, 18]。这些约束限制了发射功率和星上处理能力而有限带宽和频谱分配进一步制约了总通信容量 [19, 20]。为解决单颗卫星覆盖有限的问题LEO 卫星网络使用由数百到数千颗卫星组成的星座来提供连续广域连接 [14, 21]。卫星通过地面-卫星链路GSL与用户终端和网关通信并通过星间链路ISL与其他卫星通信 [4]。随着卫星移动其覆盖范围和可用 GSL 不断变化产生动态网络拓扑 [16, 13]。用户终端通过 GSL 连接到服务卫星并随着覆盖变化切换到另一颗卫星 [15]。根据星座架构和部署阶段流量可以直接从服务卫星到达网关或先经过多条 ISL [16]。网关将卫星星座连接到地面入网点及更广泛的互联网 [14]。这些网络的规模、其不断变化的覆盖范围以及有限的卫星资源使高效资源分配至关重要 [19]。II-B 波束跳变BH 是一种卫星资源分配机制其中卫星在每个决策窗口内仅照射其服务区域中的一部分小区 [22]。该技术最初为 GEO 系统开发其大覆盖区通常包括海洋和沙漠等低需求区域使得连续均匀照射效率低下 [23]。近年来BH 已被适配到 LEO 卫星通过将有限资源导向需求更大的小区来获得类似收益 [7]。BH 在 LEO 中的应用已引起越来越多的研究兴趣并已在轨演示例如通过 Eutelsat OneWeb 的 JoeySat [24, 25]。在 BH 下卫星将其有限功率和带宽集中在选定小区上而不是连续服务整个覆盖区 [26]。图 1良性条件下的 BH 操作。卫星覆盖区被划分为 N 个候选小区而每个决策窗口内只能同时照射 K N 个小区。调度器根据当前网络状态包括观测到的流量需求选择哪些小区接收可用波束。如图 1 所示对于 BH 调度卫星覆盖区表示为一组地理服务小区每个小区可被选择进行照射 [22]。在每个决策窗口内BH 调度器决定照射这些小区中的哪些。如果一颗卫星有 N 个候选小区并且最多可以同时照射 K 个小区其中 K N则在该决策窗口内至少有 N−K 个小区未被照射。因此BH 调度是一个资源优先级问题。现有 BH 设计通常使用流量衍生状态来指导这种优先级排序包括队列长度、最近到达量、估计或预测需求、信道感知服务估计以及学习到的流量特征 [22, 26]。在良性条件下需求响应式调度将有限卫星资源导向观测需求较高的小区 [5, 9, 10]。II-B1 动态波束分配动态波束分配允许调度器根据流量需求和信道条件的变化调整波束照射模式以及分配给选定波束的带宽和功率。经典方法将此表述为涉及波束模式选择、用户调度、带宽分配和功率分配的优化问题 [22, 26]。Lei 等人 [5] 在空间和时间不均衡流量下联合优化波束模式选择、用户关联、用户调度和功率分配显示出提供的容量与用户需求之间匹配的改善Lin 等人 [6] 协调多颗卫星之间的 BH 模式以平衡流量同时减少卫星内和卫星间干扰改善负载平衡并增加服务流量。Yuan 等人 [27] 进一步考虑了流量和干扰感知的 BH 调度相比贪婪分配提高了吞吐量和用户需求满足度。与动态波束分配相关的大型顺序决策空间促使人们使用基于学习的方法。在另一项研究中Lin 等人 [9] 使用协作多智能体深度强化学习MADRL进行联合动态波束模式和带宽分配表明学习到的策略可以在非均匀和时变流量需求下支持实时调度。Chen 等人 [10] 将分布式 BH 调度表述为多智能体学习问题其中卫星使用本地信道和队列信息实现比集中式基线更高的吞吐量和更低的传输延迟。Xie 等人 [28] 使用具有混合动作空间的近端策略优化联合选择离散照射模式和连续功率分配在保持高吞吐量的同时降低延迟。在 Liang 等人 [29] 的相关工作中多智能体 DRL 被应用于多波束卫星网络中的双时间尺度带宽分配与单智能体 DRL 方法相比降低了通信延迟并提高了公平性。最近Zhang 等人 [30] 使用多智能体 actor–critic 方法在 LEO 网络中进行联合 BH 模式和功率分配根据流量需求动态分配功率同时改善吞吐量和延迟。经典调度器和基于学习的调度器在产生分配决策的方式上不同。经典调度器使用显式优化过程或优先级规则而基于学习的调度器将多维网络状态映射到照射和资源分配动作 [26, 9]但上述所有方法都依赖流量衍生状态。这种对流量衍生状态的共同依赖在良性条件下改善了资源分配但也使调度过程暴露于对抗性需求操纵。II-C 针对 LEO 网络的拒绝服务攻击卫星通信系统的无线电、地面、用户和网络段面临可用性威胁包括干扰、终端受损、恶意软件导致的中断和流量泛洪 [31]。在 LEO 网络中全球可访问性、可预测的卫星运动和路由以及受限链路容量为协调的网络层 DoS 攻击创造了额外机会 [12, 13]。Coremelt [32] 和 Crossfire [33] 等地面链路泛洪攻击表明通过受感染终端生成的合法用户流量可以被引导通过选定链路使网络基础设施拥塞而无需直接泛洪受害者端点。ICARUS [12] 通过使用受感染的卫星使能主机生成协调流量其路由汇聚到选定的 GSL 或 ISL将这种攻击模型扩展到 LEO 卫星网络。该攻击利用了 LEO 网络的全球可访问性、可预测拓扑、有限链路容量和受限路径多样性。后续工作考察了 LEO 拓扑动态支持 DoS 攻击的其他方式。Lu 等人 [34] 提出 DoSat利用拓扑转换期间的路由变化将攻击流量集中到选定链路。Wang 等人 [35] 提出的 STARMAZE 则针对选定 ISL产生持续路由绕行和服务退化。最近Deng 等人 [13] 提出 SKYFALL识别时变瓶颈 GSL 并使用协调流量使其拥塞并降低吞吐量。HYDRA [36] 进一步考察 LEO 链路泛洪攻击量化有效针对不同网络链路所需的僵尸网络资源。与这些转发层攻击不同JANUS 通过操纵用于分配波束资源的流量衍生状态来针对调度器。BH 的需求响应行为使这种攻击不同于普通流量泛洪并暴露了先前未考察的攻击面。因此JANUS 将先前关于协调流量 DoS 的工作与决策系统的对抗性操纵联系起来。II-D 调度状态的对抗性操纵先前工作表明DRL 策略可以通过对抗性观测和改变用于选择动作的状态或交互的策略而受到影响 [37, 38, 39, 40]。更广泛的研究考察了基于学习的控制系统中的这些漏洞及其潜在防御 [41, 42, 43]。总的来说这些研究表明攻击者可以通过塑造策略可用的信息来影响控制决策而无需直接修改策略本身。这使 JANUS 成为调度层环境操纵的一个实例。攻击者不直接攻击受害路径、卫星硬件或调度器实现。它改变调度器观测到的环境使正常的需求响应行为产生对抗性分配。这种观点适用于基于排名的调度器和基于学习的调度器因为二者都依赖流量衍生状态来决定哪些小区获得服务。II-E 研究空白与 JANUS 的区别先前 BH 研究主要在良性流量条件下评估资源分配关注吞吐量、延迟、负载平衡、波束选择、功率分配、带宽分配和资源效率 [22, 9, 10, 29, 28]而先前关于 LEO DoS 攻击的研究考察了针对转发层的攻击包括路由、地面-卫星链路、ISL 和时变网络瓶颈 [12, 34, 35, 13]。最近发表的工作2026 年 7 月由 Zheng 等人 [44] 评估了基于 DRL 的 LEO BH 和资源分配框架在调度器可见链路增益信息对抗性扰动下的鲁棒性。这项工作针对学习调度器的状态而 JANUS 通过受感染终端生成的合法流量操纵调度器观测到的流量需求并适用于基于学习和基于排名的 BH 调度器。尽管有这些广泛研究操纵 BH 调度器所用流量需求的安全影响仍 largely 未被探索。据我们所知JANUS 是第一个针对 LEO BH 的定向调度层 DoS 攻击它使用通过受感染终端生成的合法用户流量操纵调度器可见需求。JANUS 将 DoS 目标从转发层转移到调度层。它不需要破坏卫星、网关、路由协议或调度器实现。相反发送到选定非受害小区的协调流量改变 BH 调度器观测到的需求使其将照射从目标受害小区重定向出去。因此JANUS 暴露了需求响应式卫星资源分配中先前未考察的攻击面并将现有 LEO DoS 工作扩展到针对链路和路由的攻击之外。III JANUS 威胁模型本节定义 JANUS 考虑的威胁模型。我们首先描述对手的目标以及攻击被视为成功的条件然后指定对手的能力、知识和操作约束。III-A 对手的目标图 2应用于图 1 所示 BH 操作的 JANUS 威胁模型示意。绿色用户是受害者而红色用户是竞争非受害小区中的目的地。受感染终端向这些小区生成流量增加其下行需求导致调度器将波束资源从受害者重定向出去。红色波束表示重定向后的分配。JANUS 对手的目标是在由 BH LEO 卫星网络服务的特定地理区域中制造定向服务退化。攻击操纵波束调度决策使服务受害区域的小区在一个或多个连续决策窗口内获得不足服务或被排除在波束选择之外。攻击者不是直接向受害小区发送流量而是增加非受害小区的表观需求导致调度器将波束资源从目标分配出去如图 2 所示。攻击目标有三个维度。• 受害小区退化。攻击者旨在减少或阻断为目​​标地理区域服务的 BH 小区的服务。• 定向地理影响。攻击者将中断集中在特定受害区域内的用户而不是造成广泛的网络级退化。• 定向攻击时间范围。攻击时间范围可以由单个决策窗口或多个连续决策窗口组成允许攻击者在选定时间段内造成退化或中断。当受害小区被排除在波束选择之外时我们认为 JANUS 在该决策窗口中成功。我们通过降低吞吐量、增加排队延迟以及目标区域内用户的临时服务丢失来评估由此产生的服务影响。III-B 攻击者能力与约束JANUS 依赖公开可用或可从公共来源估计的信息以及一组有限的受感染流量源。• 卫星网络拓扑和路由。卫星轨道信息通过两行元素TLE数据公开可用标准轨道传播模型可用于估计卫星随时间的位置 [45, 46]。根据这些信息对手可以构建卫星网络的近似时变视图包括在攻击时间范围内可能与受害区域相关的卫星 [47]。对于路由对手假设流量遵循确定性低延迟策略如最短路径或最近服务卫星路由这通常被用作 LEO 网络分析的基线模型 [47, 12]。• 天线模式和覆盖范围。对手可以使用公开技术报告、监管文件和发射信息来推断天线特性如波束数量、频段、覆盖区和业务约束 [48]。根据这些特性对手可以估计卫星覆盖区内使用的 BH 小区布局 [49]。给定此估计小区布局以及从 TLE 数据导出的卫星位置对手可以近似估计在攻击时间范围内相关卫星覆盖哪些地面小区以及哪些非受害小区可能与受害小区竞争波束服务。• 僵尸网络资源。对手控制一组有限的受感染用户终端或通过此类终端连接的用户设备可以在卫星网络中传输流量。每个受感染终端充当攻击流量源并受有界传输速率约束。因此攻击受可用受感染终端数量、其地理位置以及在攻击时间范围内生成流量的能力限制。与先前 LEO 僵尸网络威胁模型一样对手可以通过命令与控制通道协调这些终端并提前发出攻击命令 [12]。• 流量需求分布。对手对流量需求在 BH 小区之间的分布有估计。此类估计可以通过被动监测卫星传输获得其下行活动随用户流量需求变化 [50]。波束活动和切换行为也可以从接收到的卫星信号推断 [51]而被动定时测量可以揭示单个波束传输及其服务间隔的特征 [52]。通过随时间累积这些观测对手可以估计跨地理服务小区的反复出现需求模式。对手受到若干约束。首先对手不破坏卫星、BH 调度器、网关、地面站或运营方控制基础设施。因此对手无法访问特权调度器状态、控制平面命令、路由表更新或卫星运营系统。其次对手不能直接控制波束分配。BH 决策仍由合法调度器控制对手不能选择照射哪些小区、修改波束模式或更改天线的物理层参数。对手只能通过改变调度器观测到的流量需求来间接影响调度器。最后对手不干扰无线信道、欺骗卫星控制消息、篡改合法用户流量、依赖畸形数据包或直接访问调度器。相反JANUS 通过来自受感染终端或用户设备的正常用户生成流运行使用普通需求作为影响波束调度决策的信号。IV JANUS 攻击框架本节介绍 JANUS一种针对需求响应式 BH 的定向调度层 DoS 框架。对于每个决策窗口JANUS 识别服务受害区域的卫星和 BH 小区使用其对调度器输入的估计来确定选定非受害小区中攻击者生成的流量如何影响照射决策并通过受感染用户终端生成的正常流量实现所得流量分配。JANUS 在两个层面运行。在小区层面它推导出改变调度器照射决策的对抗性需求分配。对于基于排名的调度器JANUS 在调度器优先级规则下计算所需额外需求。对于基于学习的调度器它在固定流量预算内使用由近似目标调度器的代理模型引导的进化过程搜索成功分配。在网络层面JANUS 将选定的小区级分配映射为可行的源-目的地流受受感染终端位置和每终端上行限制约束。JANUS 通过调度器处理的流量衍生状态影响调度器而不直接与调度器本身交互。调度器继续正常运行但由此产生的状态可能导致其将有限照射资源分配给受攻击者影响的小区而不是受害小区。表 I 总结本节使用的符号。表I​ JANUS攻击框架中使用的符号符号含义$N$每颗卫星的波束孔BH数量$K$一个决策窗口内最多可照射的波束孔数量$t$决策窗口索引$g_v$目标地理区域$\mu$目标区域到卫星及波束孔的映射函数$\mathcal{B}$受感染用户终端的僵尸网络$\Gamma$攻击流量预算$\mathbf{a}_t$决策窗口 $t$ 中攻击者在波束孔层面生成的流量分配$\pi_{s,t}$卫星 $s$ 在决策窗口 $t$ 中使用的调度函数$\mathcal{F}_t$实现 $\mathbf{a}_t$ 的网络级源-目的流集合$H$攻击时段内的决策窗口数量$\mathcal{T}$构成攻击时段的连续决策窗口集合$\mathbf{A}_{\mathcal{T}}$攻击者在 $\mathcal{T}$ 时段内生成的流量分配序列$\delta_v$受害者波束孔排除结果$\rho_v$攻击成功率IV-A系统模型返回服务目标区域的卫星 s_t 及其映射到的 BH 小区 c_{v,t}。由于 LEO 卫星相对于地球连续移动其小区的地面覆盖随时间变化。因此同一受害区域可能在不同决策窗口由不同卫星服务或映射到不同小区。攻击者因此必须在确定每个决策窗口的攻击流量之前更新此映射。攻击者控制一个受感染用户终端僵尸网络 ℬ每个终端具有固定地理位置和有界上行速率。为了影响选定非受害小区的需求受感染终端向这些小区服务的地面区域生成正常用户流量。此流量通过增加与这些小区相关的需求改变 BH 调度器的需求视图。对于决策窗口 t令 a_t [a_{t,1}, …, a_{t,N}] 表示服务受害者的卫星 N 个小区上额外的攻击者生成流量。BH 系统可能采用不同调度算法如基于排名规则或基于学习策略。我们用 π_{s,t} 表示卫星 s 在决策窗口 t 使用的调度函数它根据实现的算法、当前网络状态以及额外攻击者生成流量向量 a_t 选择要照射的小区使得π_{s,t} 选择的小区数受 K 限制使得 |π_{s,t}(a_t)| ≤ K。因此π_{s,t}(0) 表示良性操作下的照射选择而 π_{s,t}(a_t) 表示纳入攻击者生成流量后的选择。为简化符号当从上下文清楚时省略卫星和决策窗口下标。IV-B 攻击成功指标令 表示形成攻击时间范围的一组连续 BH 决策窗口。令 A_ {a_t}_{t∈} 表示此时间范围上的攻击者生成流量向量序列。对于每个决策窗口 t ∈ 受害者特定攻击结果定义为|| 1 的攻击是单窗口攻击而 || 1 的攻击是跨越多个连续决策窗口的多窗口攻击。当 δ_v(t, a_t) 1 时单窗口攻击成功。我们用 ρ_v(, A_) 表示 上的攻击成功率定义为攻击成功率衡量服务目标地理区域的 BH 小区被排除在照射之外的决策窗口比例。当 ρ_v(, A_) 1 时实现全时间范围成功表明受害小区在攻击时间范围的每个决策窗口都被排除。IV-C 攻击规划与执行规划方法取决于目标调度器。对于基于排名的调度JANUS 计算低成本分配使足够多的非受害小区排名超过受害者对于 DRL它使用由代理调度器引导的预算约束进化搜索。进一步规划细节见附录 -A。JANUS 攻击计划可以使用迭代规划或时间范围规划。在迭代规划中每个决策窗口在到达时独立攻击不提前规划完整攻击。在时间范围规划中攻击者联合确定整个攻击时间范围内的攻击流量同时考虑一个决策窗口中的流量和调度结果如何影响后续决策窗口中遇到的条件。对于两种模式网络级可行性仅确保计划流量可由僵尸网络实现而不确保调度器会产生预测分配。在迭代规划中攻击者将每个决策窗口视为单独的规划问题。对于决策窗口 t选定的规划方法使用估计的调度器输入来确定服务受害者的卫星的攻击者生成流量 a_t。此流量随后通过僵尸网络实现为一组源-目的地流 ℱ_t受受感染终端位置、每终端上行限制、可用路由和剩余链路容量约束。所得流在 BH 调度器执行前注入并对每个后续决策窗口独立重复相同过程。算法 1 总结此过程。算法 1 JANUS 迭代规划1: 受害区域 g_v僵尸网络 ℬ攻击时间范围 攻击预算 Γ以及窗口规划方法 2: 每个决策窗口的攻击结果3: for 每个决策窗口 t ∈ do4: 估计决策窗口 t 的调度器输入5: (s_t, c_{v,t}) ← μ(g_v, t)6: a_t ← (t, s_t, c_{v,t}, Γ)7: ℱ_t ← (a_t, ℬ)8: if ℱ_t 不可行 then9: 记录 δ_v(t, 0)10: continue11: end if12: 注入 ℱ_t 中的流量流13: 执行 BH 调度器14: 记录 δ_v(t, a_t)15: end for在时间范围规划中攻击者将完整攻击时间范围 {t_1, …, t_H} 视为单个规划问题。预测每个决策窗口的调度器输入和受害者映射并联合确定整个攻击时间范围内的攻击流量同时考虑一个决策窗口中的流量和调度结果如何影响后续决策窗口中遇到的条件。所得时间范围级攻击计划由 A_ 表示。在执行期间每个决策窗口的计划流量通过僵尸网络实现为一组源-目的地流 ℱ_t受受感染终端位置、每终端上行限制、可用路由和剩余链路容量约束。受感染终端可以通过控制通道协调具有指定传输时序和速率并使用 GNSS 定时同步如先前 LEO DDoS 攻击中所考虑 [13, 34]。所得流在每个决策窗口中 BH 调度器执行前按时间顺序注入。算法 2 总结此过程。算法 2 JANUS 时间范围规划1: 受害区域 g_v僵尸网络 ℬ攻击时间范围 攻击预算 Γ以及时间范围规划方法 2: 每个决策窗口的攻击结果3: 预测 上的调度器输入4: 使用 μ(g_v, t) 确定 {(s_t, c_{v,t})}_{t∈}5: A_ ← (g_v, , Γ)6: for 每个决策窗口 t ∈ do7: a_t ← A_[t]8: ℱ_t ← (a_t, ℬ)9: if ℱ_t 不可行 then10: 记录 δ_v(t, 0)11: continue12: end if13: 注入 ℱ_t 中的流量流14: 执行 BH 调度器15: 记录 δ_v(t, a_t)16: end forV 结果我们的评估旨在确立 JANUS 的可行性并刻画其造成定向服务退化的潜力。我们首先检验对抗性流量是否可以操纵单个 BH 调度决策以及这种操纵是否可以在连续决策窗口上持续。然后我们评估由此产生的服务退化以及攻击结束后服务恢复的速度。最后我们考察执行攻击所需资源及其在不同系统配置、DRL 策略和攻击者知识假设下的鲁棒性。JANUS 作为 ICARUS [12] 的扩展实现加入动态 BH 调度和对抗性流量注入。除非另有说明我们使用类似 Starlink G1 的星座在标称流量负载下使用 GDP 加权流量 [53, 54]。每颗卫星覆盖区包含 N 19 个候选小区其中最多 K 5 个被照射波束分配决策每 20 ms 更新一次与先前 BH 研究中使用的调度时间尺度一致 [55, 24]。未服务流量在队列中最多保留 L_TTL 15 个决策窗口300 ms相对于延迟敏感的 LEO 研究提供了保守上限同时保持在标准化 5G 数据包延迟预算内 [56, 57, 58]每个受感染终端的上传速率限制为 25 Mbps [59]。受害者案例在多个决策窗口采样以捕获不同流量、覆盖和调度状态。我们的单窗口评估包括跨 10 个决策窗口采样的 1,000 个受害者案例而多窗口评估使用每个攻击时间范围 250 个受害者案例跨不同起始窗口采样。详细的星座、流量生成、路由、受害者选择和指标参数见附录 -B。V-A 单窗口攻击可行性我们首先评估 JANUS 是否可以操纵单个 BH 调度决策并阻止对目标小区的服务。此实验在考虑跨多个决策窗口持续攻击之前确立需求操纵的可行性。当受害者可达、有流量需求并映射到卫星小区时该窗口符合条件。我们不根据受害者是否会在无攻击流量时被选中来进一步限制资格因为攻击者在事先不知道这一点的情况下构建攻击。因此一些符合条件的受害者在无攻击流量时已经未被选中并对测量的 ASR 有贡献而不代表 JANUS 引起的变化。因此我们使用良性操作下未被选中的受害者比例作为解释攻击结果的基线。在评估的受害者集合中此基线对于 KMAX 为 25.7%对于 DRL 为 25.11%。受害者选择的更多细节见附录 -B。我们从 KMAX 开始其显式排名规则允许我们直接确定将受害者从选定集合中移出所需的额外流量。JANUS 在 98.73% 的符合条件案例中成功排除受害者。图 3 显示了在不同可用流量预算下可以排除的受害者比例。图 3针对 KMAX 的单窗口 JANUS 资源受限可行性。曲线报告在可用攻击预算至多 X 时可以排除的符合条件受害者百分比。成功 KMAX 攻击的中位流量需求为 0.44 Gbps。第 90 百分位需求达到 65.90 Gbps表明一些目标状态需要大得多的资源。根据网络容量这些需求可能超过可用 ISL 容量或需要在前序决策窗口注入流量。这些结果既证明了操纵单个 KMAX 调度决策的可行性也证明了大部分目标所需流量相对较低。接下来我们针对学习型 DRL 调度器评估 JANUS其中小区需求与波束选择之间的关系不那么显式。JANUS 在仅 0.2 Gbps 攻击预算下达到 67.43% 的 ASR在 5 Gbps 时增加到 92.09%。在 KMAX 和 DRL 中所需流量可以由从几十个到几千个受感染终端不等的僵尸网络生成。许多评估的攻击落在几十到几百个终端范围内而更苛刻的目标状态可能需要达到低千数量级的更大僵尸网络。这些结果表明对于许多目标JANUS 可以用相对适度的僵尸网络资源执行而更困难的情况需要攻击者扩展到更大的分布式僵尸网络。总体而言单窗口结果表明 JANUS 可以针对基于排名和学习型调度器操纵单个 BH 调度决策。对于许多目标这种操纵可以用相对较小的注入流量实现证明定向需求操纵无需大量流量即可实现。V-B 持续拒绝与服务退化在确立 JANUS 可以操纵单个 BH 调度决策后我们接下来询问这种操纵是否可以在连续决策中持续以及持续攻击如何影响受害者服务。我们评估时间范围高达 H 15 个决策窗口的多窗口攻击其中 H 15 与配置的数据包 TTL 匹配。因为每个照射决策改变后续窗口中观测到的队列状态多窗口攻击引入了单窗口设置中不存在的时间依赖关系。我们保留在良性操作下最初未被选中的受害者因为由于累积需求或公平性考虑其调度优先级可能在后续决策中增加。我们评估迭代规划在每次决策前重新规划攻击和时间范围规划联合确定完整时间范围内的攻击分配。我们将服务影响测量为相对于配对良性执行的吞吐量退化D_thr 1 − ∑_i S_i^attack / ∑_i S_i^benign在攻击活跃窗口上。我们首先评估 KMAX以确定 JANUS 是否可以在连续决策中持续拒绝。对于 H 15JANUS 达到平均 ASR 98.64%而 94.8% 的受害者在攻击时间范围的每个决策中都被排除。这种近乎连续的排除转化为近乎完全的服务丢失相对于配对良性执行将受害者吞吐量降低 99.7%。这些结果表明 JANUS 可以将单个调度操纵扩展为整个攻击时间范围内的持续拒绝。然而维持这种拒绝水平逐渐变得更加昂贵。每个错过的服务机会可能随着队列流量累积或老化而增加受害者的调度优先级要求攻击者向竞争小区注入额外流量以保持受害者被排除。图 4 显示中位注入速率在攻击时间范围内从不到 1 Gbps 增加到约 7.5 Gbps。在配置的每终端上行限制下这对应于中位 KMAX 攻击从初始决策中的约几十个受感染终端增长到时间范围结束时的几百个。这表明维持近乎连续拒绝逐渐变得更加昂贵。图 4在 H 15 上维持 KMAX 排除所需资源。顶部面板显示每个决策窗口的注入速率底部面板显示攻击时间范围内的累积注入流量。点显示经每窗口第 75 百分位过滤后的受害者试验实线显示中位数。接下来我们评估 DRL其中学习到的调度策略使攻击规划更具挑战性。尽管如此JANUS 在连续决策中仍然有效。在迭代规划下JANUS 在 H 15 时跨评估预算达到 74.23–92.66% ASR受害者吞吐量退化达到 77.61–81.07%。在评估的攻击时间范围内观察到类似结果详细的每预算结果报告在表 VIII 中。图 5 显示相应的受害者级拒绝持续性。这些结果表明针对 DRL 可以在连续决策中维持大量服务退化。图 5在 H 15 攻击时间范围内的受害者级拒绝持续性。在阈值 τ 下每条曲线报告每个受害者 ASR 至少为 τ 的符合条件受害者比例。阴影 DRL 区域跨越评估攻击预算的最小和最大经验超出曲线。接下来我们评估 JANUS 是否可以在完整时间范围内联合规划攻击。在 H 15 时时间范围规划仍然有效跨评估预算达到 68.35–79.81% ASR。与迭代规划相比ASR 较低但吞吐量退化更高达到约 83.41%。这是因为时间范围规划考虑了受害者状态在决策间的演变允许其以单个排除换取完整时间范围内更大的累积服务丢失。这些结果证明了时间范围级攻击规划的可行性我们将此方法的进一步优化留待未来工作。图 5 显示相应的受害者级拒绝分布。最后我们考察攻击结束后服务影响持续多久。我们继续每个执行 15 个攻击后决策当受害者的积压至多为配对良性积压的 105%且其接收服务至少为良性服务的 90% 时认为其已恢复。在此期间不满足两个条件的执行被视为右删失。图 6H 15 JANUS 攻击后的攻击后恢复。曲线报告每个攻击后决策累积恢复的执行比例。DRL 带跨越评估预算。表II​ JANUS在不同星座配置下、攻击时段 $H15$ 时的有效性。DRL列报告了攻击预算从0.2 Gbps到5 Gbps范围内的攻击成功率ASR。星座配置$H15$ 攻击成功率配置​轨道面数​每面卫星数​卫星总数​轨道高度​轨道倾角​DRL​KMAX​Starlink G172221,584550 km53°72.62 – 91.88%98.64%Starlink Dense120303,600530 km53°66.38 – 86.67%98.48%OneWeb12495881,200 km87.9°75.51 – 89.80%97.00%图 6 显示尽管大多数 DRL 执行在最初几个攻击后决策内恢复但不可忽略的一部分在整个观察期内仍然退化。在迭代 H 15 攻击后约 12.5% 的 DRL 执行在此期间未恢复在时间范围规划攻击后增加到 18%。相比之下只有 1.2% 的 KMAX 执行仍然退化表明 KMAX 下恢复明显更快。V-C 跨系统和攻击者变化的鲁棒性在基线配置下确立 JANUS 后我们接下来扩大评估范围以更好地理解其在更广泛系统和调度器条件下的可行性。我们改变星座配置、BH 配置和决策窗口持续时间并评估具有不同奖励公式的独立训练 DRL 策略。额外配置细节和实验结果报告在附录 -D 中。跨星座配置的有效性。我们首先评估 JANUS 在不同星座配置下是否仍然有效。除基线类似 Starlink G1 配置 [48] 外我们考虑更密集的类似 Starlink 部署 [49] 和类似 OneWeb 配置 [60]。这些配置是代表性近似旨在捕获卫星密度、高度和倾角差异而不是精确复现相应商业系统。表 II 显示攻击在所有三种星座配置下仍然有效。在 H 15 上DRL 在评估星座配置中达到 77.82%–83.60% 平均 ASR。KMAX 对星座变化不太敏感在单窗口和 H 15 实验中保持 97.00%–99.12% ASR。由此产生的服务影响在所有配置中都很显著。DRL 吞吐量退化在评估星座和预算组合中范围为 72.73% 到 86.72%而 KMAX 达到 99.68 ± 0.08% 吞吐量退化。DRL 有效性的变化表明星座配置影响攻击执行的条件。卫星密度和覆盖区特征的差异改变了哪些小区与受害者竞争以及映射到这些小区的流量导致攻击者的调度条件不同。尽管存在这些差异JANUS 在所有三种评估配置中仍然有效表明攻击并非特定于基线类似 Starlink G1 配置。对 BH 配置的敏感性。我们接下来考察 BH 配置如何影响 JANUS 有效性和攻击成本。使用 KMAX我们改变候选小区数 N ∈ {19, 37, 61} 和同时照射小区数 K ∈ {4, 5, 10}涵盖先前 BH 研究中考虑的配置 [61, 62, 63, 24]。表 III 报告 H 15 ASR 和中位平均注入速率相对于基线 N 19, K 5 归一化。JANUS 在不同配置下仍然类似有效归一化 ASR 保持在基线约 1% 以内除了 N 19, K 10其仍为 94.91%。相比之下中位平均注入速率范围从基线的 47.30% 到 213.20%表明 N 和 K 主要影响攻击成本而非对操纵的易感性。H 5、10、15、单窗口 ASR 以及中位和第 90 百分位成本的完整结果报告在附录表 XI 中。表III​ KMAX攻击对波束孔配置 $N$ 和 $K$ 的敏感性。每个单元格报告的是相对于基线配置 $N19, K5$标准化为 100% / 100%的归一化 $H15$ 攻击成功率 / 中位平均注入速率。$N$$K4$$K5$$K10$1999.7% / 89.8%100% / 100%94.9% / 213.2%37100.9% / 49.1%100.0% / 93.2%100.2% / 154.5%61100.3% / 47.3%100.8% / 69.2%99.3% / 95.5%对决策窗口持续时间的敏感性。我们还评估 JANUS 在 15 秒期间的情况以检验当调度决策之间积累更多流量时攻击是否仍然有效。JANUS 在整个期间仍然有效KMAX 达到 95.87% ASRDRL 达到高达 93.5% ASR。15 秒时间范围与 Starlink 中观察到的终端到卫星分配间隔一致 [64]表明 JANUS 可以在实际相关服务期间维持其效果。完整结果报告在附录 -D 中。跨 DRL 策略的泛化。在表明 JANUS 在不同系统配置下仍然有效后我们接下来考察其有效性是否取决于基线评估中使用的特定学习 DRL 策略。我们在相同模拟环境中训练三个额外 DRL 策略一个保留主要奖励公式 [28, 9] 但使用不同初始化一个引入丢弃惩罚 [29]一个使用固定吞吐量归一化 [10, 65]。表IV​ JANUS在不同独立训练的DRL策略下的有效性。数值报告了攻击预算在0.2至5 Gbps范围内的攻击成功率ASR区间。DRL策略单窗口攻击成功率$H15$ 攻击成功率主DRL67.43 – 92.09%72.62 – 91.88%相同奖励70.30 – 93.00%69.83 – 94.85%丢包惩罚65.02 – 88.53%65.78 – 93.79%固定范数67.66 – 89.56%67.20 – 92.24%表 IV 显示 JANUS 在所有独立训练 DRL 策略中仍然有效。在最低预算 0.2 Gbps 下单窗口 ASR 在不同策略间仅变化 5.28 个百分点而 H 15 ASR 变化 6.84 个百分点。在 5 Gbps 时单窗口攻击差距缩小到 4.47 个百分点H 15 仅为 2.97 个百分点。因此独立训练的策略表现出相似漏洞持续攻击有效性在较高预算下变得特别一致。图 7 显示这种相似性在受害者层面也可见四个策略的拒绝分布紧密对齐。图 7H 15 攻击下独立训练 DRL 策略的拒绝持续性。在阈值 τ 下每条曲线报告每个受害者 ASR 至少为 τ 的符合条件受害者比例。这些表明 JANUS 并非特定于某一训练初始化或奖励公式。V-D 使用代理和外部观测的黑盒攻击在跨评估系统和调度器变化确立 JANUS 可行性后我们最后考虑基于可从外部获得信息的黑盒攻击设置。攻击者从公开文档推导系统特征并通过随时间观察网络活动估计流量模式同时使用独立训练的 DRL 策略作为已部署调度器的代理模型。我们评估这些外部推导信息是否足以构建针对固定目标 DRL 调度器的有效 H 15 攻击。表V​ JANUS在 $H15$ 的攻击时段内针对使用外部估计流量信息和不同攻击构建模型的DRL调度器的攻击成功率。数值报告了在0.2、0.5、2和5 Gbps四个攻击预算下的平均攻击成功率 ± 标准差。攻击构建方式$H15$ 攻击成功率目标DRL参考61.58 ± 2.25%替代模型 BASE59.43 ± 2.18%替代模型 DROP59.43 ± 2.06%替代模型 FIX_NORM58.64 ± 1.84%表 V 显示当使用估计流量信息和独立训练代理模型构建攻击时JANUS 仍然有效。在相同流量估计下使用目标 DRL 提供参考 ASR 61.58%而三个代理模型达到平均 ASR 59.17%仅低 2.41 个百分点。服务影响也仍然显著跨代理模型和预算的吞吐量退化范围为 76.02% 到 77.07%而先前评估中约为 81–84%。这些结果表明单独训练的代理可以充分近似已部署调度器使用估计流量信息保持相似攻击有效性。我们还评估黑盒攻击的攻击后恢复其与先前迭代评估相似。在 H 15 时13.48–13.91% 的执行保持右删失详细结果报告在附录表 X 中。图 8使用独立训练代理模型和外部估计流量信息构建的 H 15 攻击的受害者级拒绝。目标调度器在所有执行中保持固定。在阈值 τ 下每条曲线报告每个受害者 ASR 至少为 τ 的符合条件受害者比例。图 8 在受害者层面显示类似结果三个代理模型的拒绝分布紧密对齐。这些结果表明 JANUS 在使用代理模型和估计流量信息的黑盒设置中仍然有效。总体而言变化实验证明了攻击在不同系统配置、调度器和攻击者知识设置下的可行性。VI 缓解在本节中我们考察如何在保留需求响应性作为波束分配决策输入的同时缓解 JANUS。使用与第 V 节相同的模拟器和默认配置我们实现并评估几种调度器侧缓解机制限制攻击者对调度决策的影响。我们还讨论额外缓解方向这些方向可以减少攻击者影响、增加发动攻击所需资源或促进检测和遏制。JANUS 利用了流量需求在波束分配决策中的使用。从调度过程中移除需求会减少此攻击面但也会牺牲使需求响应式 BH 有效的适应性。因此我们的目标是保留需求感知调度的适应性同时使对手更难通过对抗性塑造的流量操纵波束分配。表VI​ 在15个决策窗口内使用5 Gbps DRL预算和最小成本KMAX规划的攻击缓解效果。攻击成功率降低幅度是与对应的未防御攻击相比以百分点pp为单位报告。缓解措施防御后攻击成功率降低幅度DRL 未防御攻击成功率91.91%​分层预留$R2$49.63%42.29 pp分层 连续限制$R1$64.17%27.75 pp分层预留$R1$65.71%26.21 pp随机预留$R1$75.50%16.42 pp硬预留$R1$77.45%14.46 ppEMA平滑$\alpha0.5$79.41%12.50 pp连续服务限制88.74%3.18 ppKMAX 未防御攻击成功率99.75%​分层预留$R2$23.51%76.24 pp分层预留$R1$40.81%58.94 pp随机预留$R1$43.82%55.93 pp分层 连续限制$R1$55.33%44.43 pp连续服务限制56.01%43.74 ppEMA平滑$\alpha0.5$72.04%27.71 pp硬预留$R1$79.37%20.38 ppVI-A 缓解策略我们评估几种调度器侧机制它们要么约束所得波束分配要么减少流量变化对调度决策的即时影响。随机预留。受概率 BH 调度 [66] 启发我们引入受控随机化。我们为原始调度器未选择的随机非空小区预留 K 个波束中的 R 个。其余 K−R 个波束遵循调度器的原始分配。随机预留给每个符合条件小区在每个决策中被照射的机会限制小区保持未服务的预期时间。其余波束根据需求动态分配允许调度器适应变化的网络需求调整资源分配。饥饿感知预留。受先前公平感知 BH 调度 [61] 启发我们根据积压小区保持未服务的时间长短优先处理它们。评估两种变体。在硬变体中预留波束分配给连续未服务持续时间超过配置阈值的小区。在分层变体中首先考虑超过此阈值的小区如果没有可用小区则逐步放宽阈值直到找到符合条件小区。这将预留波束导向经历长时间无服务的小区减少持续排除的可能性。我们评估不同预留大小 R 的随机、硬和分层预留。连续服务限制。相关轮询 BH 方案将照射分布到各小区以促进服务公平 [61]。我们类似地限制小区可以连续被照射多长时间。已连续 τ_s 个决策被照射的小区暂时排除在选择之外。我们独立评估此机制τ_s 3并与分层饥饿感知预留一起评估τ_u 3 且 τ_s 2。组合机制限制了持续攻击期间利用的两种行为受害者的长期排除和竞争小区的长期服务。指数移动平均平滑。基于先前在卫星流量管理中使用指数平滑 [67]我们对调度器可见需求应用指数移动平均EMA平滑。调度器不是仅使用当前需求状态进行波束选择而是将当前值与先前平滑状态结合。这里 α 控制分配给当前需求观测相对于先前平滑值的权重。我们在评估中使用 α 0.5对当前和历史需求状态赋予相等权重。VI-B 缓解有效性表 VI 显示在评估机制中直接修改波束分配的机制对 JANUS 有效性的降低最大。R 2 的分层预留实现了评估机制中 ASR 的最大降低将 DRL 的 ASR 降低 42.29 个百分点KMAX 降低 76.24 个百分点。这减少了由需求驱动调度直接确定的分配部分同时分层策略将这些波束导向保持未服务时间更长的小区直接对抗 JANUS 利用的持续排除。硬变体效果较差因为它仅在小区超过配置饥饿阈值时适用而分层机制可以在必要时逐步放宽此阈值。EMA 平滑提供更温和的降低将 DRL 的 ASR 降低 12.50 个百分点KMAX 降低 27.71 个百分点。与预留和连续服务机制不同平滑改变了注入流量影响调度器可见需求的速度但不直接约束所得分配。其余机制的有效性在两个调度器之间有所不同。随机预留将 DRL 的 ASR 降低 16.42 个百分点KMAX 降低 55.93 个百分点而连续服务限制将 DRL 的 ASR 仅降低 3.18 个百分点但 KMAX 降低 43.74 个百分点。组合分层和连续机制同样在两个调度器之间产生不同降低。这些差异表明缓解有效性取决于调度器如何将需求状态映射到波束选择决策因此防御应针对所部署的特定调度策略进行评估。总体而言在评估机制中直接约束波束分配的防御比平滑需求信号对 JANUS 有效性的降低更大。VI-C 额外缓解方向除评估的调度器侧机制外我们提出若干额外方向用于减少攻击者影响、增加操纵波束分配所需资源或在操纵持续之前检测它。我们将其实验评估及对其影响的进一步分析留待未来工作。需求侧限制。先前工作考虑了用于管理卫星网络中流量和资源的有限缓冲和准入控制 [66, 68]。基于这些想法我们概述几种需求侧限制可以限制大流量需求对波束选择的影响强度。物理队列上限限制每个卫星-小区的积压而每窗口准入上限限制新到达需求中被考虑用于波束选择的数量。调度器可见需求上限则在不修改底层物理队列的情况下限制暴露给调度器的需求。这些机制可以减少集中注入流量的影响尽管限制性上限也可能在高负载期间抑制合法需求。地理入口限制。先前工作探索了卫星网络中的接入侧 DDoS 防御 [69]。JANUS 的一个潜在方向是对地理源区域施加入口限制。在评估攻击中攻击流量仍集中在少数源网格内。因此每网格入口限制可以通过要求流量分布到额外源区域来增加攻击的地理成本。检测与遏制。一个潜在方向是通过协调需求变化及其调度效应检测 JANUS基于网络级 DDoS 防御和卫星网络入侵检测 [70, 71]。检测可以考虑协调小区中持续需求增加、其与减少服务或反复未被选中的关联以及负责流量的地理集中。JANUS 依赖合法用户流量使得仅基于单个流很难将注入流量与良性需求区分开。因此检测器可以结合时间、地理和跨小区信号与调度结果来识别协调需求操纵。多卫星协调。另一个方向是协调重叠卫星之间的波束分配 [6]。密集 LEO 星座可以提供重叠覆盖允许同一地理区域由多颗卫星服务。协调这些卫星之间的波束分配可以减少对任何单颗卫星调度决策的依赖并在一颗调度器暴露于操纵需求时提供替代服务 [72]。因此这种协调可能使攻击者更难以协调和执行持续排除。动态波束成形。该技术提供了一种补充方法通过动态调整波束位置、形状或覆盖区域而不是依赖固定 BH 小区结构 [73, 74]。这种重构使攻击者更难预测波束覆盖和分配将如何响应变化的网络条件演变。鲁棒调度策略。另一个潜在方向是将抵抗需求操纵直接纳入调度策略。基于鲁棒 RL 技术 [75, 76]基于学习的调度器可以在良性流量之外使用对抗性塑造的需求进行训练。训练目标还可以鼓励服务公平性并惩罚操纵需求下的持续排除。VII 讨论在确立 JANUS 的可行性并评估几种缓解策略后我们现在讨论其实际影响、可能影响其现实世界有效性的因素以及防御动态 BH 系统的更广泛方向。在真实世界 LEO 网络中操作可变性可能使注入流量与调度器可见需求之间的关系更不可预测。攻击者生成的流量可能经过不同路径并在不同时间到达相关小区队列使得将注入需求与预期 BH 决策窗口对齐更加困难。现有流量控制如认证、速率限制机制和运营方级异常检测以及跨地理分布受感染终端的实际协调可能进一步限制攻击者生成和同步所需流量的能力。调度器还可能依赖攻击者无法观测的内部状态、优先级规则和操作保障。这些因素共同可能使攻击规划和执行更加困难并可能改变 JANUS 在实践中的定量有效性。然而当流量需求仍是动态资源分配决策的输入时它们并不能消除底层安全问题。缓解结果突出了保护动态 BH 免受需求操纵的权衡。运营方必须在抵抗操纵与响应合法需求、资源效率、公平性和服务要求等其他目标之间取得平衡。因此适当的平衡可能因操作设置而异。缓解措施应根据网络的具体需求设计和评估。未来 BH 系统开发应将抵抗需求操纵作为设计和规划过程的一部分。多卫星协调、动态波束成形和鲁棒性感知调度器训练等方法可以改变需求对资源分配的影响方式从而改变系统对操纵的易感性。因此在设计和部署这些机制时应理解它们对调度性能和安全性的影响。评估的缓解措施降低了 JANUS 有效性但也改变了攻击必须运行的条件。考虑已部署防御的攻击者可能以额外资源或更复杂规划为代价恢复部分有效性。因此未来工作应针对自适应攻击策略评估缓解措施并量化它们增加成功需求操纵成本的程度。VIII 结论随着 LEO 卫星网络扩展并成为未来 6G 系统的重要组成部分确保其动态资源分配机制的安全性变得至关重要。在这项工作中我们介绍了 JANUS一种定向 DoS 攻击它暴露了波束跳变中先前被忽视的漏洞该漏洞源于调度器对观测流量需求的依赖。通过在选定非受害小区中生成协调的合法流量对手可以操纵波束选择决策并将波束资源从受害者重定向出去而无需破坏卫星或直接泛洪受害者。我们在持续攻击下针对不同调度器评估 JANUS证明用相对有限的攻击者资源即可造成大量服务中断。我们的结果表明需求响应式波束分配在调度层创造了一个安全关键攻击面。我们进一步评估了调度器侧缓解措施表明其有效性因调度器而异。JANUS 表明动态 BH 调度器引入了新的 DoS 攻击面强调需要将对抗鲁棒性纳入未来调度机制的设计中。