美國(guó)供水系統(tǒng)的網(wǎng)絡(luò)安全再次敲響警鐘。據(jù)美國(guó)環(huán)境保護(hù)署（EPA）11月13日發(fā)布的一份報(bào)告顯示，美國(guó)近100個(gè)大型社區(qū)供水系統(tǒng)（CWS）仍然存在嚴(yán)重的網(wǎng)絡(luò)安全漏洞，這些系統(tǒng)服務(wù)著超過(guò)2700萬(wàn)美國(guó)人。如果這些漏洞被惡意攻擊者利用，可能導(dǎo)致供水中斷，甚至對(duì)飲用水基礎(chǔ)設(shè)施造成不可逆的物理破壞。
2700萬(wàn)美國(guó)人面臨攻擊風(fēng)險(xiǎn)
EPA的報(bào)告基于2023年10月對(duì)超過(guò)75,000個(gè)IP地址和14,400個(gè)域名的被動(dòng)評(píng)估。評(píng)估發(fā)現(xiàn)，美國(guó)約9%的大型供水系統(tǒng)（覆蓋至少5萬(wàn)人）存在嚴(yán)重漏洞。總體而言，這些受影響的供水系統(tǒng)直接服務(wù)于數(shù)百萬(wàn)居民、企業(yè)、學(xué)校和醫(yī)院。
“如果惡意攻擊者利用這些網(wǎng)絡(luò)安全漏洞，可能會(huì)導(dǎo)致供水服務(wù)中斷或?qū)︼嬘盟A(chǔ)設(shè)施造成不可挽回的破壞，”EPA在報(bào)告中警告道。
網(wǎng)絡(luò)攻擊頻發(fā)：供水系統(tǒng)成新目標(biāo)
過(guò)去三年中，供水系統(tǒng)成為國(guó)家支持的黑客組織、勒索軟件團(tuán)伙和黑客活動(dòng)家攻擊的重點(diǎn)目標(biāo)。例如：
2023年，與伊朗有關(guān)的網(wǎng)絡(luò)攻擊者入侵了賓夕法尼亞州一家供水設(shè)施的可編程邏輯控制器（PLC），以及以色列的10家廢水處理廠。
2021年，一名黑客試圖攻擊佛羅里達(dá)州的一個(gè)水處理廠，甚至更改了水中化學(xué)物質(zhì)的混合比例，但未能成功躲避檢測(cè)。
2024年9月，堪薩斯州阿肯色市的一個(gè)水處理廠遭遇網(wǎng)絡(luò)安全事件后被迫轉(zhuǎn)為手動(dòng)操作。
這些事件表明，水系統(tǒng)的網(wǎng)絡(luò)安全漏洞不僅威脅著居民的生活，還可能影響到與供水緊密相關(guān)的企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施，如發(fā)電廠和數(shù)據(jù)中心。
供水系統(tǒng)為何如此脆弱？
美國(guó)擁有近15萬(wàn)個(gè)供水系統(tǒng)，這些系統(tǒng)分為三大類：
社區(qū)供水系統(tǒng)（CWS）：全年為城市或城鎮(zhèn)居民供水，占總供水系統(tǒng)的33.7%。
非社區(qū)臨時(shí)供水系統(tǒng)（TNCWS）：為特定場(chǎng)所的游客或旅客提供短期供水，例如露營(yíng)地或加油站，占54.3%。
非社區(qū)長(zhǎng)期供水系統(tǒng)（NTNCWS）：為學(xué)校、企業(yè)和醫(yī)院等非住宅場(chǎng)所供水，占12%。
大多數(shù)供水系統(tǒng)規(guī)模較小，面臨與地方政府類似的挑戰(zhàn)：缺乏資源、技術(shù)設(shè)備老化、防御架構(gòu)不完善以及網(wǎng)絡(luò)監(jiān)控能力不足。
谷歌云CISO辦公室制造與工業(yè)部門負(fù)責(zé)人Vinod D'Souza指出：“供水系統(tǒng)直接關(guān)系到公共健康，且供水系統(tǒng)地理分布廣泛，結(jié)構(gòu)復(fù)雜，其網(wǎng)絡(luò)安全挑戰(zhàn)遠(yuǎn)超其他行業(yè)。因此需要比其他運(yùn)營(yíng)技術(shù)（OT）系統(tǒng)更嚴(yán)格的安全措施?！?/span>
監(jiān)管與投資的缺口
根據(jù)EPA規(guī)定，服務(wù)超過(guò)3300人的供水系統(tǒng)必須進(jìn)行包括網(wǎng)絡(luò)安全在內(nèi)的風(fēng)險(xiǎn)評(píng)估，并制定應(yīng)急響應(yīng)計(jì)劃。然而，由于資金短缺，大多數(shù)供水設(shè)施難以滿足這些要求。
2024年5月，EPA發(fā)布警告稱：伊朗和俄羅斯正加緊對(duì)美國(guó)供水系統(tǒng)的網(wǎng)絡(luò)攻擊。這些系統(tǒng)存在以下問(wèn)題：
未更改默認(rèn)密碼
所有員工使用同一登錄賬號(hào)
未限制已離職員工的訪問(wèn)權(quán)限
此外，美國(guó)網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局（CISA）發(fā)布了供水與廢水行業(yè)的網(wǎng)絡(luò)事件響應(yīng)指南，但由于資源有限和監(jiān)管力度不足，許多供水系統(tǒng)仍未達(dá)到基本的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。
谷歌云的D'Souza表示：“單純?cè)黾颖O(jiān)管并不能解決問(wèn)題，預(yù)算不足對(duì)關(guān)鍵基礎(chǔ)設(shè)施安全的影響更大?！?/span>
參考鏈接：
https://www.darkreading.com/vulnerabilities-threats/leaky-cybersecurity-holes-water-systems-risk
來(lái)源： GoUpSec
