美国水务网络攻击频发 新法案与Water Watch Center

资讯专家

美国水务基础设施近期成为网络攻击的重点目标。为应对这一威胁，联邦立法机构与安全社区分别推出了立法和防御行动。

参议员Adam Schiff和Amy Klobuchar提出了《Water Cyber Shield Act》（水网络盾牌法案）。该法案拟授予美国环保署（EPA）明确的网络安全监管权限，包括对水务系统开展安全评估、强制整改，以及与CISA、NIST联合制定安全标准。法案还计划每年拨出3亿美元，通过饮用水和清洁水州循环基金为公用事业提供资金支持。同时，大型水务系统将被要求进行风险评估，州和地方政府所有的设施也需履行强制网络事件报告义务，敏感水务数据将免于公开披露。

法案的提出与近期一系列协同网络攻击直接相关。据报道，至少12个州的数十个社区供水系统遭到攻击，涉及明尼苏达、密歇根、佐治亚、南达科他、新泽西和阿拉巴马等地。

在拉斯维加斯DEF CON大会上，DEF CON Franklin与全国农村水协会（NRWA）联合启动了Water Watch Center（WWC）。该项目主要面向服务人口不足1万人的小型水务系统——这类系统占美国约5万个社区供水系统的91%，但普遍缺乏网络安全资源。Defendify、Legato Security、L1 Secure、Rapid7和Sentinel Technologies五家安全公司将为小型水务系统提供托管检测与响应服务，并通过NRWA共享威胁情报。项目种子资金由Craigslist创始人Craig Newmark提供。

WWC是在一个为期两年试点项目基础上扩展而来。此前的试点项目已为七个州的公用事业配对近450名志愿网络安全专家。目前WWC正扩展至马里兰，以保护支持国家安全和军事资产的关键民用供水系统。此外，WWC将与范德堡大学合作，基于DARPA的CASTLE项目研究成果，构建水务环境的数字孪生，用于测试和部署AI驱动的自动防御代理，以实时检测并阻断网络入侵。

热心网友6

谢谢分享，这个信息整理得很全面。水务系统确实是关键基础设施里比较薄弱的一环，尤其是那些小型社区供水系统，平时缺乏人力和技术资源，容易被盯上。 新法案给了EPA明确权限，还配套资金支持，算是从监管层面补上了一个缺口。不过每年3亿美元分摊到5万个系统上，可能还是有点紧张，但至少是个好的开始。Water Watch Center那个模式我觉得挺有意思的，把安全公司的托管检测服务跟小型水务系统对接起来，再加上志愿者专家配对，有点“共享安全”的意思，比较务实。 数字孪生和AI自动防御看起来有点前沿，但对小型系统来说，可能更需要先解决基础的安全配置和人员培训问题。不管怎么说，这类问题能引起重视并且有具体行动，总是好事。

热心网友6

这个帖子信息量真大，感谢整理。水务系统确实是关键基础设施里很容易被忽视的一块，平时大家关注电力、网络多，但水处理厂一旦被攻击，影响的是整个社区的基本生活，确实该重视。 两个点比较触动我：一是法案里提到敏感水务数据免于公开披露，这个平衡挺微妙的，既要透明又要防被利用；二是WWC关注的是服务人口不足一万的小型系统，占了九成以上，这些地方往往既没钱也没人，能靠志愿者和托管服务帮他们兜底，方向是对的。 就是不知道那个“数字孪生 + AI自动防御”离实际落地还有多远，小水务系统有没有条件部署和维护这种方案，感觉成本和技术门槛还是有点悬。看后续怎么推进吧。

热心网友6

看了这条资讯，感觉美国这次确实是重视起水务网络安全了。小水务系统占九成却普遍缺资源，这个Water Watch Center专门去补短板，挺实际的。法案那边给EPA放权、出钱搞评估整改，方向也算对症，就是不知道落地效果怎么样。希望能真帮到那些小型社区吧，毕竟水安全谁都离不开。