CISA 对水务部门的攻击发出警报

美国网络安全和基础设施安全局 (CISA) 已发出警告，称针对暴露于互联网的可编程逻辑控制器 (PLC) 的攻击显著增加，这些设备广泛应用于水和废水处理系统领域。这些设备是水处理厂和配水系统的数字化主力，负责控制泵、阀门和化学药剂投加，确保饮用水安全和废水得到妥善处理。

该机构的警报表明，威胁行为者正越来越多地探测和利用直接连接到互联网的 PLC，这些连接通常是为了方便远程监控或维护。当这些工业控制设备在没有足够保护的情况下暴露在外时，它们就成为攻击者寻求破坏运营而非窃取数据的便捷入口。

这并非孤立的细枝末节。水和废水公用事业属于国家关键基础设施，CISA 的警告反映出一个更广泛的模式：那些在设计时从未考虑到现代网络安全的基本服务，如今正暴露在开放的互联网上，任何扫描漏洞端口的人都能访问到。

为何 PLC 成为日益增长的目标

可编程逻辑控制器是几十年前为可靠地管理物理过程而设计的，而非为了抵御网络攻击。许多设备仍运行着过时的固件，使用弱口令或默认凭据，并且缺乏基本的身份验证保护。随着公用事业通过为工程师和技术人员增加远程访问来实现运营现代化，其中一些控制器最终可以直接从互联网访问，而前面没有防火墙或 VPN。

攻击者不需要复杂的工具就能找到这些系统。专门用于扫描联网设备的搜索引擎可以轻松定位暴露的 PLC。一旦发现，弱登录凭据或未打补丁的软件就可能让攻击者操纵物理设备，从而可能中断对家庭和企业的服务。

CISA 的警告是对关键基础设施领域运营技术 (OT) 日益激进攻击模式的一部分。这与攻击者寻找创造性方法侵入管理基本服务的组织的广泛趋势相呼应，就像 FBI 曾警告威胁行为者物理冒充律师事务所 IT 人员以获取访问权限一样。无论是通过暴露的硬件还是社会工程学手段，共同点是攻击者利用组织防御中最薄弱的环节。

关键基础设施攻击如何关联到您的家庭网络

人们很容易认为对水务设施控制系统的攻击与个人网络安全完全无关，但其潜在弱点与许多家庭在路由器、智能设备和物联网小工具方面面临的弱点惊人地相似。

正如一些水务公用事业在没有适当保护措施的情况下将 PLC 直接暴露在互联网上一样，许多消费者在不知情的情况下对家用路由器、监控摄像头和智能恒温器也做了同样的事情。默认密码、过时的固件和开放的远程访问端口在工业控制系统和家庭网络中都很常见。规模不同，但根本的漏洞——未受保护的设备可从开放的互联网访问——是相同的。

CISA 针对公用事业公司建议的修复措施，包括网络分段、禁用不必要的远程访问以及要求使用 VPN 等安全连接进行任何远程管理，与安全专家给房主的建议完全一致。在远程用户和敏感设备之间放置 VPN，无论该设备是水处理控制器还是家庭监控摄像头，都增加了一层关键的身份验证和加密，防止随意的攻击者轻易闯入敞开的大门。

这对您意味着什么

您没有责任保护水处理厂的安全，但这一警告对您自己的网络来说是一面有用的镜子。如果您的家用路由器管理面板、智能摄像头或 NAS 设备可以直接从互联网访问，而前面没有 VPN 或强身份验证，那么您面临的问题正是 CISA 向公用事业公司警告的问题，只是规模较小。

好消息是，解决家庭网络中的这个问题远比改造几十年前的工业控制系统要简单得多。禁用不使用的远程管理功能、更改默认凭据、保持固件更新以及对家庭网络的任何远程访问使用 VPN，都是可以显著减少暴露风险的可行步骤。

可行的要点

首先审计您自己的网络，寻找可能以同样方式暴露的设备，就像这些 PLC 一样。登录路由器设置，禁用远程管理，除非您确实需要。更改所有连接设备（包括摄像头、恒温器和网络存储）上的默认用户名和密码。保持路由器和物联网设备的固件更新，因为许多被利用的漏洞供应商已经修复。如果您需要远程访问家庭网络，请使用 VPN，而不是将设备的管理界面直接暴露在互联网上。

CISA 关于水务公用事业网络攻击的警告提醒我们，关键基础设施和家庭网络存在相同的根本弱点：暴露在互联网上且没有适当保护的系统是一份公开的邀请。现在采取一些切实可行的步骤，就能在别人发现这扇敞开的门之前将其关闭。