上周美国多地供水系统遭遇的网络攻击，对许多城市而言是一次警钟。不少市政水系统在黑客面前几乎毫无防备，但专家表示，运营商仍有大量措施可用来保护城市供水安全。

“系统之所以暴露，是因为配置不当，”民主防御基金会网络与技术创新中心主任安妮·菲克斯勒（Annie Fixler）对《智慧城市 Dive》表示，“它们为便于访问而配置，却未将安全纳入考量。”

菲克斯勒解释，上世纪90年代至2000年代供水系统数字化时，人工操作被可编程逻辑控制器取代——这些联网计算机接收传感器输入信号，控制电机、阀门等输出设备。但系统配置初衷是方便操作员，“并未想到恶意行为者可能利用同一访问途径破坏系统”。

“这些系统本应置于多层防火墙、身份验证路径和访问控制之后，但实际并非如此，因为部署仓促，或由不熟悉网络安全的人员完成，第三方同样未考虑安全因素，只说‘给你远程访问权限，一切就绪，再见’。我们正在为缺乏投入付出代价。”

许多市政水系统，尤其是较小城市，缺乏专职人员处理防火墙和网络安全事务，因为“保持供水不间断是首要目标”，网络就绪研究所副董事总经理莱西·斯基巴（Lessie Skiba）对《智慧城市 Dive》表示。全美15.6万个公共供水系统中，超过97%服务不足1万用户；其中许多系统老化，且仅有极少量IT或网络安全人员，网络就绪研究所报告指出。“他们应对网络事件的能力有限，”报告写道。

斯基巴说，在小城市，管理供水设施的人往往同时是县专员甚至市长。“他们知道网络安全对话很重要，但甚至不确定从何入手。”

在8月5日的一封信中，美国自来水厂协会敦促国会领导人为公用事业提供联邦资金，以解决关键网络安全需求，包括针对各种规模设施的网络安全培训，因为“威胁行为者将持续适应并寻找漏洞”。

《智慧城市 Dive》与水务及网络安全专家交流后，梳理出供水系统运营商可采取的五个步骤，以防范下一次网络攻击。网络卫士咨询集团首席执行官尼克·马丁（Nick Martin）表示，防护势在必行，因为“这些恶意行为者正以光速行动”。马丁是美国特勤局网络欺诈特别工作组成员。

1. 强化基础账户安全

为远程操作而设计的运营系统天生易受网络攻击，“尤其是当设施未采取更改默认密码等基本安全措施时”，大都会水务机构协会临时首席执行官丹·哈特内特（Dan Hartnett）在邮件中告诉《智慧城市 Dive》。因此，应优先实施“基础网络卫生措施，包括多因素认证、及时补丁管理、网络分段，以及经过测试的备份和恢复能力”，CohnReznick Advisory网络安全与数字信任合伙人兼全球负责人巴韦什·瓦达尼（Bhavesh Vadhani）在邮件中表示。

斯基巴说，无论规模大小，所有供水系统运营商都应确保密码唯一、软件更新、存储和文件传输安全。设施内每个人——不仅是IT经理——都应了解这些基本步骤，因为可防范“相当一部分针对他们的攻击类型”。

马丁表示，这包括对所有笔记本电脑、台式机、服务器、云环境及其他网络节点进行全面技术评估，以确定防火墙配置错误、过时或缺失之处。“它们都发挥作用，”他说。

2. 在攻击发生前制定应急响应计划

斯基巴说，设施需要知道事件发生时“该联系谁、如何反应、如何响应、如何恢复”。

网络就绪研究所的“网络就绪计划水务设施附录”中，提供了与水务专家共同开发的免费可下载应急响应计划模板，她补充道。

3. 隔离非必要工控系统，保留手动操作能力

菲克斯勒说，上周遭受攻击的设施大多通过切换至手动操作来减轻损害，这对设施运营造成干扰，但降低了公共健康和安全风险。

马丁建议，缺乏内部技术专长的小城市，在完成适当安全评估前，应将控制系统与互联网断开。

4. 加入威胁情报共享网络

哈特内特表示，大都会水务机构协会建议所有供水和污水处理系统订阅水务信息共享与分析中心（WaterISAC），该资源为成员系统提供最新威胁信息及应对步骤。

最近由参议院环境与公共工程委员会批准的《水资源开发法案》中，一项条款将指示美国环境保护署帮助更多水系统成为WaterISAC成员，他说。

5. 在事件发生前与联邦和州机构建立关系

“应急人员的格言是，永远不要在卡车后交换名片，”菲克斯勒说，“这些关系应提前建立……现在就构建网络。”

她指出，联邦调查局地方办事处设有负责协调关键基础设施的特工，网络安全与基础设施安全局地区办公室设有网络安全顾问。

州机构同样可提供帮助，Marshall & Stevens公司董事总经理兼机械设备估值全国业务负责人安东尼·费斯塔（Anthony Festa）表示，该公司为水务相关资产提供估值和咨询服务。“我恳请有疑问的运营商或市长与州公用事业专员合作，”他说，“他们不断与行业专家会面，作为资源存在，负责连接各方。任何人都不应感到孤立无援。”