北京
你可能以为，负责水处理、加药、泵站控制的可编程逻辑控制器（PLC）理应深藏在物理隔绝的工控网络里。但实际情况是，不少PLC正通过供应商或集成商悄悄安装的蜂窝调制解调器，直接暴露在公网上——而运营方甚至对此毫不知情。
美国网络安全与基础设施安全局（CISA）近日发出紧急警告，要求所有水务和废水处理机构立即将PLC从公共互联网上移除。背后的推动力是一系列已经造成现实后果的攻击：攻击者修改PLC密码，把合法的操作人员锁在外面；更改设备IP地址，让PLC与控制中心彻底失联。
这些操作带来的直接冲击，远不只是IT层面的告警。在近期的事件中，被迫转入长时间手动运行的水厂，不得不向居民发布煮沸水通告；还有一些设施的服务出现中断，水处理、加压、化学品投加等关键环节从自动化退回到依赖人工盯守的状态。虽然手动操作能维持基本供水，但它显著增加了现场人员的工作压力，如果中断时间过长，供水的安全性和可靠性都会面临风险。
PLC原本是工业现场可靠的“肌肉”，负责执行水处理、泵送、化学剂量控制和废水管理这些最底层的物理动作。一旦这些设备在互联网上“裸奔”，攻击者不需要穿透复杂的IT防御，就能直接篡改配置、中断运行，甚至让设备进入不可控状态。CISA指出，这种暴露有时并不出现在常规的外部攻击面扫描或资产清单里——那些隐蔽的蜂窝调制解调器，往往由设备供应商、集成商或运维人员在不经过统一安全审核的情况下接入，成为攻击者眼中极易利用的入口。
为此，CISA给出了一条明确的红线：远程访问绝不允许直连PLC。正确的做法是，通过配置严格加密的专用网络通道或具备认证、监控和访问控制的网关设备来中转。此外，立即更改所有默认密码，为每一台设备设置唯一且高强度的口令，是所有机构当下就能落地的关键一步。在此基础上，启用IP白名单，只允许经过核准的工程笔记本电脑和授权工控系统接入，能够进一步压缩攻击面。
断开公网暴露只是第一步。CISA特别强调，运维团队必须立即备份一份干净的PLC映像和配置文件。因为一旦攻击者篡改密码或修改了控制参数，一份经过验证的离线备份，是恢复访问、让设备回到已知安全状态的最后保障。对于那些已经中招的设施，典型场景是——操作员坐在工程师站前，却发现常用密码失效，根本无法登录控制器，而生产还在继续，每一分钟都是压力。
CISA还专门点名了罗克韦尔自动化MicroLogix 1400 PLC的用户，建议他们参考罗克韦尔官方指南，了解在控制器密码丢失时如何恢复访问。这个细节再次说明，互联网暴露的工控设备面临的风险已是具体到型号的具体漏洞利用链。
从网页式的界面篡改、未授权的配置变更，到服务中断乃至潜在的物理破坏，互联网暴露的工控设备所面对的威胁链条已经非常清晰。CISA此次警告不只是针对大型水务集团，也包括那些已经建立了网络安全计划的机构——攻击者对所有规模的水务实体都进行了试探，且屡屡得手。对于任何一家水务运营商来说，眼下最实际的行动，就是检查每一台PLC，确认它是否真的与公网“隔离”，并在下一次扫描或攻击来临之前，把大门关上。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
