黑客如何尝试将危险的碱液添加到城市的供水中

2月5日，一位不知名的网络攻击者试图毒化佛罗里达州奥尔德斯马市的供水。市政府官员说，目标水处理设施具有软件远程访问系统，该系统可以让员工从远处控制工厂的计算机。黑客进入了系统，并将其设置为大量增加水中的氢氧化钠水平。最初将这种化学品（更好地称为碱液）设定为百万分之100，这是无害的量，有助于控制水的pH值。攻击者试图将其提高到11,100 ppm，该含量足以破坏皮肤并在水接触人体时导致脱发，或者如果被水吞食，则可能引起致命的胃肠道症状。幸运的是，一名工作人员注意到了攻击的发生，并在更改之前恢复了正确的设置。

这样的攻击可能会对公共设施造成多少广泛的威胁？如何保护这些设施？ 《科学美国人》采访了乔治敦大学外交学院专门研究网络安全和治国法的教授本·布坎南。

是什么让城市基础设施（如水处理厂）容易受到黑客的攻击？ 概括地说，许多此类设施所面临的挑战通常是它们较旧，或者它们只是没有我们想防御黑客的安全性基础架构。因此，如果系统不如我们所希望的那样安全，但是它们的Internet可以访问，那就麻烦了。

谁可能对这次袭击负责？ 通常，以工业控制系统为目标的事情是，为了获得想要作为攻击者的效果，您需要相当了解系统。如果您是真正的外国攻击者，则希望在系统上进行大量侦察。如果您是内部人员，那么您已经具备了这种知识。很多时候，执行这样的案件的人（人数不多）对已经了解该系统以及如何操作该系统的员工感到不满。 [但是在这种情况下]现在说“这是一个心怀不满的员工”还为时过早，而且肯定地说“哦，这是伊朗还是俄罗斯，这显然是战争行为”，现在为时尚早。现在没有帮助。

奥兹马是一个人口为15,000的小城市。这是否会使它成为目标的对象减少了？或者，与更大，人口更多的地区的植物相比，它实际上更脆弱吗？ 我不知道这是一种方法。如果是内部人员，那么这说明了他们为什么要针对该机构的原因-但我们不知道。我认为，想大放异彩的外国黑客会选择更大的目标可能是有道理的。但另一方面，几年前的一个案例是，美国政府指控伊朗黑客侵入了这座老水坝的计算机网络，再也没有人真正使用过。

黑客通过现有的软件程序获得了访问权限，该程序可以远程访问工厂的计算机。这样的工厂应该禁止这种程序吗？ 在COVID时刻很难说：“一切都必须在现场进行管理。”我不知道那有多现实。但是我认为平衡这些系统的安全性和可用性通常很困难。与许多此类工具相比，平衡通常需要更多的资源。

这样的设施应如何保护自己？ 真正重要的一件事是在系统中（尤其是在安全系统周围）具有冗余。在安全性和安全性之间有一个重要的区别。网络安全正在将不良行为者拒之门外，或者限制他们一旦进入计算机网络就可以做什么。从技术上讲，安全是确保工业控制系统的组件不会做任何使人处于危险之中的事情，即使是由黑客或其他人给出的指示，也说明了这样做的风险。例如，您拥有的一件事是：是否有适当的机制来定期测试工业控制系统的过程和输出，以测试水的特定质量？是否有人在监视系统以确保事情不会由于不清楚的原因而摆脱困境？

在这方面，这至少是成功的故事。因为尽管这里有攻击的意图，并且有攻击的行动，但是没有人受到伤害。我认为您在处理像工业控制系统这样的关键系统时，都希望拥有冗余级别。在我的第二本书中，我写了（取决于您的计数方式）对工业控制系统的四次攻击，所有这些攻击都比这严重得多。因此，这还没有达到更成功的攻击水平。

我们可以从中学到什么？ 该案例表明存在一些不良行为者，我们花费大量的时间和金钱来保护工业控制系统并确保其安全，但是我们实际上可以设法保护系统，从而（针对至少一些攻击）将造成的伤害最小化。

所以，人们现在不应该对自己的水感到恐慌吗？ 我认为，全国范围内毫无理由恐慌。这提醒了工业控制系统专业人员以及保护这些系统的人员的工作重要性。但是，没有理由对这里发生的事情大肆宣传，而实际上，当天空没有落下时，将其旋转为“天空正在下降”。