志愿者网络专家如何助力农村供水系统安全防护

一项旨在帮助供水设施抵御网络攻击的志愿者行动，在提升少数参与单位安全水平与信心的同时，也为行业普遍面临的挑战及最现实的应对路径提供了重要参考。

2024年底，DEF CON黑客大会、芝加哥大学哈里斯公共政策学院与全国农村水协会（NRWA）联合发起“DEF CON Franklin”项目，将具有公益精神的网络安全专家与亟需防护的小型农村供水系统对接。美国约有5万个社区供水系统，其中绝大多数规模小、资金匮乏，其老化的基础设施因此成为意图扰乱美国社会的黑客的易攻击目标。

近期，美国多个州的供水设施遭遇一波网络攻击，官员们初步将其与伊朗相关联，这一威胁再度引发关注。

DEF CON Franklin之名致敬本杰明·富兰克林创立美国首个志愿消防队的贡献，它是全美首个将志愿安全专家与缺乏保护的关键基础设施运营方大规模对接的尝试。该项目于2025年8月扩展，因提供契合供水设施实际需求与能力的援助，并弥合两个迥异群体间的鸿沟而获得参与方与观察者的好评。

在各州面临预算危机、联邦政府缩减对关键基础设施支持之际，Franklin已成为资源匮乏的供水设施可依赖的有效——尽管规模有限——的过渡性解决方案。

“志愿项目通过为供水设施连接其原本难以获得的网络安全支持，能够创造显著价值，”咨询公司1898 & Co.关键基础设施安全总监维克托·阿特金斯表示。

“巨大的福音”

自2024年11月启动试点以来，Franklin始终保持小规模运作。项目已向7个州的21家供水设施派遣27名志愿者，目前仍在为其中6家提供支持，包括5家试点单位。

“多数情况是，我们上门协助解决特定问题，完成后离开，但保留电话咨询关系，以便他们后续有疑问时随时联系，”Franklin创始人、哈里斯学院网络政策倡议执行主任杰克·布劳恩说。

部分Franklin服务以电话会议或面谈形式分享最佳实践并解答疑问；另一些情况下，志愿者实地到访，指导员工完成特定升级。专家服务涵盖从基本网络安全卫生（如更改默认密码、启用多因素认证）到记录事件响应计划与流程等各类内容。

“几乎没有任何一家单位具备应对攻击的文档记录，”布劳恩说。

志愿者还协助供水设施绘制网络拓扑，这对于了解设备需求与脆弱性至关重要。遗留技术是水务行业的一大顽疾，IT顾问常常安装设备后不留下任何文档便离开。

水务行业相对封闭，资深系统运营者常对外来免费援助持怀疑态度。Franklin的成功需要一个受信任的行业伙伴背书，它找到了NRWA——这家非营利组织的州级分支机构服务全美超过3.1万家供水设施。NRWA为Franklin试点招募了7家供水单位，此后持续协助建立合作关系，并就志愿者如何发挥最大作用提供建议。

“我们收到了参与Franklin志愿服务的供水单位关于改进成效的积极反馈，”NRWA监管事务主任约翰·德古尔说。

爱达荷州怀尔德市公共工程总监切尔西·约翰逊表示，与Franklin志愿者大卫·阿姆斯特朗的合作是“非凡”的体验。

“他教会了我很多东西，”她说，“那是一个我完全不了解的世界……这对我们城市而言是巨大的福音。我知道市长和市议会以及我自己都非常感激他所做的一切。”

怀尔德市面临许多小城市共有的挑战：缺乏网络安全人员、需要保护复杂的运营技术，以及预算有限难以支撑回报不明显的IT支出。“如果他们入侵并接管我们的系统，我们根本付不起赎金，”约翰逊说。

在数次会面中，阿姆斯特朗为约翰逊规划了一系列可操作的安全提升措施。“切尔西实际上出色地完成了这些任务，”阿姆斯特朗说。

难以接受免费帮助

除服务具体单位外，Franklin还产出了关于水务行业的更广泛洞察。

Franklin的一份报告（该组织独家分享给CFO Dive姊妹刊物Cybersecurity Dive）审视了安全公司向供水设施提供的免费服务，发现多数情况下这些“免费”服务并无实际价值。布劳恩打趣说，这些服务“像小狗一样免费”，意味着附带高昂条件——例如需先购买昂贵设备才能获得免费许可，或免费监控系统需聘请高价安全顾问分析数据。

“他们连免费帮助都负担不起，”布劳恩说，“这对我们和许多因无法接受这些免费产品与服务而承受压力的供水单位来说，都是极具启示性的发现。”

Franklin还得出另一重要结论：当网络安全专家介入帮助供水运营者时，管理预期至关重要。

许多Franklin志愿者来自大型机构，对短期内能实现的技术与组织变革抱有脱离现实的假设。同时，许多供水单位对Franklin安全评估的运作方式也存在不切实际的期待。随着时间推移，Franklin的领导者学会了如何让双方做好准备。布劳恩表示，如今“每个人在首次对话时都更抱有‘我们因地制宜’的心态”。

然而，Franklin面临的最大挑战超出其可控范围。项目进行期间，一些供水单位因其他职责挤占时间而退出——“比如PFAS、铅管或其他重要事务，我很高兴他们在处理这些，”布劳恩说。

这一问题在最需要Franklin帮助的微型社区中尤为突出。

“当你要靠两三个人运营整个城市时，这很艰难，”约翰逊说，“我的重心是保证镇上的水流通、厕所冲水……我必须确保1500人早晨起床时有杯水可喝。”

布劳恩说，这一现实正是“网络安全问题如此棘手的原因”。

AI数据中心与口碑传播

Franklin是一个规模微小的项目，却要应对最庞大、最分散的关键基础设施行业之一。布劳恩将其与选举安全（他在DEF CON社区此前的关注领域）相提并论，并预测“在水务行业取得同样不尽人意的进展需要付出10倍努力”。

尽管如此，志愿者们的投入给了他希望。“我们的人员已持续参与两年，这令我惊讶，”他说，“还有人在排队等候，希望获得更多任务、服务更多供水单位。”

为利用这股热情，Franklin正在探索可扩展的支持方式。布劳恩尤其关注为冷却AI数据中心的供水设施提供帮助，他认为这些设施正日益成为国家级黑客与网络犯罪分子的目标。

Franklin的志愿模式既有优势也有局限。它为供水设施连接了原本可能永远无法获得的帮助，但其间歇性参与无法替代托管安全服务；其维护、警惕与规划建议也不附带资金或人员支持。此外，其覆盖范围与行业规模相比微不足道。

即便如此，仍有理由保持乐观：Franklin的影响已超越其直接合作的供水单位。

爱达荷州怀尔德市公共工程总监约翰逊每隔几个月便会与来自同等规模邻近城市的同行会面。自参与Franklin项目以来，她利用这些会议向同行介绍自己正在实施的安全改进。

“我在上次会议上提到了多因素认证，他们问‘你是怎么做的？’”约翰逊说，“我演示给他们看……他们说‘这太酷了’。”

她最近了解到通行密钥，并计划在下一次城市会议上进行讲解。

“他们可能没有我所获得的支持，”她补充道，“我绝不是网络安全专家，但如果我能用自己掌握的零碎知识帮助他们并传递下去，我认为这对他们意义重大。”