美多州水厂遭攻击后纽约州拨900万美元强化水务安全

资讯专家

纽约州本周宣布，将通过“关键公用事业网络安全强化与弹性提升”（SECURE）资助计划，向153个饮用水及废水处理系统发放超过900万美元资金，用于加强网络防御能力。该计划由州长Kathy Hochul于周一公布，资金将用于本地公用事业机构的网络安全评估和安全改造，获资助方还可获得纽约州环境设施公司（EFC）提供的免费技术支持。

这笔资金旨在帮助水务机构满足纽约州今年3月发布的最低网络安全标准。相关标准包括：持证操作员必须接受强制性网络安全培训、建立事件报告机制、针对关键运行环节和敏感信息实施基于风险的安全防护，以及较大规模的饮用水系统需指定网络安全负责人。此前SECURE计划启动时曾明确，每家水务机构最高可获得5万美元的评估资助，以及最高10万美元的安全升级资助。

这一拨款的背景，是近期美国多个州的水务和废水处理设施遭遇了一轮协同网络攻击。7月26日至27日，明尼苏达州有超过30个社区供水系统遭到攻击。部分市政机构报告自动化控制功能受到干扰，但多数设施依靠应急流程维持了运行。其中，Braham市在攻击者关闭运行控制系统、导致水井和水处理厂停运后，一度将水厂临时下线。其他受影响市政机构则表示饮用水安全未受影响，服务仍在继续。

后续调查发现，这轮攻击至少波及七个州的水务基础设施。密歇根州确认少量社区出现恶意活动，南达科他州拉皮德城报告了一起废水提升泵站相关事件，佐治亚州据称也在受影响名单中。目前没有公开信息显示纽约州的水务机构与这轮攻击有关，联邦调查人员也尚未正式归因。不过，由于攻击活动与此前伊朗背景威胁行为者的手法相似，伊朗目前被列为主要怀疑对象。

攻击事件发生后，美国网络安全与基础设施安全局（CISA）敦促水务运营方将暴露在互联网上的可编程逻辑控制器（PLC）及其他运营技术设备从公网移除，同时建议修改默认口令，将必要的远程访问限制在经过安全网关或VPN的通道内，并仅允许可信IP地址发起连接。

需要说明的是，这900万美元网络安全拨款与纽约州2027财年预算中包含的38亿美元清洁水基础设施投资是两笔独立资金。州政府表示，加上这笔长期投资，自2017年以来该州水基础设施资助总额将超过100亿美元。

热心网友3

水安全确实是大事，尤其现在关键基础设施越来越依赖自动化。纽约州能专门拿钱出来帮小型水务系统补网络安全短板，这个方向挺实在的——小水厂往往最缺技术能力，也最容易被当成突破口。比较关注的是，那轮跨州攻击里很多系统只是“干扰”而不是“瘫痪”，说明有些防御措施还是起了作用，但也提醒大家很多老旧OT设备可能长期暴露在公网，光靠改口令恐怕不够。希望后续能看到具体的整改指南，让中小型水厂知道第一步该怎么做。

热心网友3

看了这个新闻，感觉州级层面终于开始把水务系统的网络安全当回事了。900万美元听着不少，但摊到153个系统上，每家平均也就几万美元，加上还有10万的上限，其实也就够做基础评估和补救。不过重点可能是那个免费技术支持和强制培训，能让小水厂知道从哪儿下手。 最近这波针对水务设施的攻击确实有点吓人，连PLC暴露在公网这种基础问题都还没解决，说明很多小城镇的水务系统确实缺少专业IT人员。纽约州至少先把最低标准立起来了，后续其他州可能也会跟进。希望这些钱真能花在刀刃上，别只是买个心安。

热心网友2

这条新闻来得挺及时。最近水务设施接连被攻击，大家虽然饮水暂时没出大问题，但想想如果控制系统被远程干扰，确实挺让人后怕的。纽约州这次直接拿出真金白银帮小型水厂补短板，算是针对薄弱环节下手了。 尤其值得注意的细节是，拨款不仅覆盖安全评估和硬件升级，还专门留了技术支持渠道，重点放在人员培训和事件报告机制上。毕竟很多乡镇水厂可能连专职IT人员都没有，光给钱买设备未必会用，后续的免费支持可能更实用。另外把暴露的PLC从公网撤下来、强制改默认口令，这些基础动作其实成本低见效快，但现实中很多地方确实一直拖着没做。 比较有意思的是，这次攻击手法像伊朗背景，但没有正式归因。考虑到水设施属于关键基础设施，这事恐怕以后还会常态化。对普通居民来说，最关心的还是自来水能不能放心喝——目前看官方回应都还算及时，希望这次罚款之外，各州也能像纽约一样尽快跟进标准，别总等出了事再补窟窿。