Orbital Escalation: Modeling Satellite Ransomware Attacks Using Game Theory

Probleemstelling

Hoewel er nog geen gedocumenteerde ransomware-aanvallen op satellieten hebben plaatsgevonden, bestaan de voorwaarden hiervoor wel. Ransomware is een van de meest verstorende vormen van cyberaanvallen, waarbij kritieke activa worden gegijzeld om losgeld te extorqueren. Satelliet-systemen zijn bijzonder kwetsbaar en aantrekkelijke doelen vanwege:

• Hoge waarde: Een enkele MEO-satelliet (zoals GPS III) kan honderden miljoenen dollars kosten en vervangt onmisbare nationale functies.
• Beperkte herstelmogelijkheden: In tegenstelling tot aardse systemen hebben satellieten vaak geen native versleuteling, maar wel beperkte communicatievensters (orbital passes) en specifieke herstelfuncties (zoals veilige modus).
• Gebrek aan beleid: Er is momenteel geen publiek beleid of richtlijnen voor satellietexploitanten over hoe ze moeten reageren op een ransomware-aanval.

Bestaande game-theoretische modellen voor ransomware zijn gericht op aardse systemen en houden geen rekening met de unieke tijdsafhankelijkheid en operationele beperkingen van ruimtevaart.

Methodologie: Het "Orbital Escalation Game"

De auteurs introduceren een nieuw game-theoretisch kader, het Orbital Escalation Game, om de interactie tussen een aanval en een verdediger te modelleren.

1. Game Type: Het model is een Stackelberg-spel (sequentieel leider-volgger spel).

   • Leider (Aanvaller): Kiest eerst een extortiestrategie, bestaande uit een initiële losgeldvraag ($R_0$) en een increment ($\Delta R$) dat na elke omloop wordt verhoogd. De aanval kost een eenmalige exploit-kost en een doorlopende "holding cost" per omloop.
   • Volgger (Verdediger): Reageert op elke omloop (communicatievenster) met een strategie. De verdediger heeft perfecte informatie over de strategie van de aanval (een conservatieve worst-case aanname).

2. Strategieën voor de Verdediger:

   • PAY: Direct losgeld betalen (eindigt het spel).
   • IDLE: Geen directe actie, maar interne planning; incurreeert downtime-kosten.
   • RESTORE $j$: Een herstelprocedure proberen (bijv. veilige modus of bevoorrechte commando's) met een specifieke kosten, duur (aantal omlopen) en succeskans.
   • REFUSE: Weigeren te betalen, wat leidt tot verlies van de missie (mission loss).

3. Oplossingsmethode:

   • Het spel wordt opgelost met Dynamic Programming en de Bellman-vergelijking.
   • De verdediger minimaliseert de verwachte kosten ($V_k$) door terugwaartse deductie (backward induction) te gebruiken, beginnend bij het einde van de horizon (maximaal aantal omlopen $K$).
   • De aanval maximaliseert zijn verwachte opbrengst ($\Pi_{att}$) door de initiële losgeldparameters te optimaliseren, wetende hoe de verdediger zal reageren.
   • Het evenwicht is een Subgame Perfect Nash Equilibrium (SPNE).

Belangrijkste Bijdragen

• Eerste Game-Theoretisch Model: Dit is het eerste model dat ransomware-aanvallen op satellieten formeel modelleert, specifiek gericht op de dynamiek van omloopvensters.
• Integratie van Operationele Beperkingen: Het model combineert economische factoren (downtime, losgeld, herstelkosten) met fysieke beperkingen (aantal communicatievensters, duur van herstelprocedures).
• Case Study GPS III: Een gedetailleerde simulatie van een fictieve aanval door een APT-groep ("D3FILERZ") op een GPS III-satelliet, met realistische parameters voor kosten en kansen.
• Open-Source Tool: De auteurs hebben een open-source analyse-tool ontwikkeld die het model implementeert, zodat exploitanten hun eigen scenario's kunnen testen.

Resultaten uit de Case Study (GPS III)

De case study vergeleek het ideale evenwicht met twee gerealiseerde scenario's: "Onvoorbereide Verdediger" vs. "Voorbereide Verdediger".

1. Ideale Evenwichtstrategie:

   • De verdediger zou nooit losgeld betalen.
   • De optimale strategie is om direct te starten met een herstelprocedure (eerst "Safe Mode" met hoge succeskans, gevolgd door "Privileged TC" als dat faalt).
   • De aanval zou hierdoor een negatieve opbrengst hebben (verlies van exploitatiekosten zonder losgeld).

2. Onvoorbereide Verdediger:

   • Door gebrek aan procedures (SOPs) kiest de verdediger in de eerste omlopen voor IDLE (wachten/overleggen) in plaats van direct te herstellen.
   • Dit leidt tot cumulatieve downtime-kosten en een stijgend losgeld.
   • Uiteindelijk faalt de herstelprocedure en moet de verdediger alsnog betalen.
   • Kosten: $148,51 miljoen (inclusief losgeld en downtime).
   • Aanvalswinst: $122,46 miljoen.

3. Voorbereide Verdediger:

   • De verdediger voert direct de herstelprocedures uit volgens de evenwichtsstrategie.
   • De satelliet wordt hersteld zonder losgeld te betalen.
   • Kosten: $9,02 miljoen (alleen downtime en herstelkosten).
   • Aanvalswinst: Negatief (-$14,03 miljoen).

Conclusie van de resultaten: Operationele voorbereiding (het hebben van geteste SOPs) is de kritieke factor die bepaalt of een aanval winstgevend is voor de aanval of niet.

Betekenis en Implicaties

• Operationele Bereidheid: Satellietexploitanten moeten hun herstelstrategieën documenteren, testen in simulaties en "digital twins" om de succeskans en duur te kennen.
• Communicatievensters: Het model benadrukt dat het aantal en de frequentie van contactmomenten cruciaal zijn. Meer grondstations of mobiele eenheden kunnen de kans op succesvolle herstel vergroten.
• Beleid en Training: Het gebruik van dit model voor "wargames" helpt operatoren om rationele beslissingen te nemen onder druk en voorkomt paniekreacties zoals onnodig betalen.
• Algemene Toepasbaarheid: Hoewel gericht op ransomware, kan het raamwerk worden toegepast op andere ruimteveiligheidsscenario's, zoals jamming-aanvallen of gecontroleerde verstoringen van constellaties.

Het paper concludeert dat hoewel satelliet-ransomware nog niet is gebeurd, de dreiging reëel is. Dit model biedt een formeel kader voor beleidsmakers en eigenaren om zich proactief voor te bereiden op een dergelijke crisis.