民间网络安全倡议出资，委托渠道商为农村水务系统提供防护

拉斯维加斯讯——一个水务行业贸易组织与一群志愿网络安全专家组成的联合体，正为亟需保护自身系统免受黑客攻击的小型水务设施提供免费安全服务。

DEF CON Franklin项目于周五宣布，将付费聘请网络安全公司，为服务人口不足1万人的水务设施免费提供监控与防护产品。此类设施占美国5万个社区水务系统的90%以上，是数字防护最薄弱的环节，近期与伊朗相关的针对全美水务系统的攻击事件也凸显了这一风险。

首批参与该计划的五家渠道企业包括：托管检测与响应（MDR）供应商Defendify、L1 Secure和Rapid7，托管安全服务提供商Legato Security，以及增值经销商Sentinel Technologies。它们将把从水务网络收集的威胁情报，共享至由全国农村水协会（NRWA）运营的新设“水观察中心”（Water Watch Center）。

当安装在水务网络上的MDR软件检测到潜在网络攻击或漏洞时，供应商将向该设施发出警报并提供问题报告。设施可自行修复，或请求Franklin名册上的志愿专家协助。

“关键在于规模化，”DEF CON Franklin组织者Jake Braun在周五于DEF CON网络安全大会间隙接受采访时表示，“网络防护的规模化交付是所有挑战的集中点。”DEF CON大会正是该志愿者组织的诞生地。

MDR服务与观察中心的推出，标志着Franklin在水务领域工作的显著扩展。2024年底，该组织已开始派遣志愿者，帮助参与的水务设施实施基础网络安全措施、绘制网络地图并编写事件响应计划。而周五的公告则开启了该组织雄心勃勃的新阶段——首次直接资助商业网络安全服务以支持水务设施。

招募与共享

每家MDR供应商提供的服务方式略有不同，这将有助于Franklin识别最优模式。“我们希望逐一测试它们，”Braun说，他同时担任芝加哥大学网络政策倡议执行主任。

Franklin志愿者将负责将水务设施与MDR服务对接，Braun表示，这一环节被证明是整个流程中成本最高的部分之一。

Franklin团队之所以挑选这五家初始供应商，是因为它们已有水务设施客户，因而了解水务系统的特定需求。Braun称，当前目标是再增加“数万个”设施。Franklin可能会自行招募其中大部分设施，但供应商也有经济动力参与招募。

该项目已与马里兰州的网络安全计划合作，帮助该州农村水务设施接入服务。

水观察中心计划将MDR供应商提供的威胁情报共享给行业信息共享与分析中心WaterISAC。“我们正在先对数据进行匿名化处理，”Braun说。

Braun指出，WaterISAC、网络安全与基础设施安全局（CISA）及其他合作伙伴在向水务设施通报网络攻击方面发挥着重要作用，但设施往往难以落实这些机构发布的指导。Franklin工作人员最近拜访了一家仅有两名员工的水务设施。“其中一人还要负责镇上国庆日游行的组织工作，”Braun说，“我们可以整天发送警报，做所有评估，但没有人去执行。”

呼吁政府支持

该项目用于MDR服务和观察中心的资金将来自拨款。初始种子资金来自Craigslist创始人、知名网络安全慈善家Craig Newmark，但Braun表示，他还在等待另外两笔“巨额拨款”的批复。

该计划目前有足够资金维持现有运营，但要扩展到数万个设施，则需要更大规模的投资。

“最终，联邦政府必须介入并为此买单，”Braun说。

国会已通过农业政策法案《农业法案》中的合同，为农村水务系统提供资金支持。“他们只需改变数字即可，”Braun说，“对国会来说，这非常简单。”

Franklin计划大幅增加与国会办公室就水务网络安全重要性的沟通。

如果政府不介入，“这一切都不会奏效，这些水务设施就完蛋了，”Braun说，他使用了比“完蛋”更强烈的措辞。