美多部门联合发布美国水务行业紧急指南

供水和废水处理行业 (WWS) 面临着网络安全挑战，很容易受到攻击。作为回应，CISA、EPA 和 FBI 最近发布了该行业的联合指南，列举了不同的网络成熟度水平和潜在的网络安全解决方案。

新的事件响应指南(IRG) 为水务部门提供了有关网络事件响应生命周期每个阶段的联邦角色、资源和责任的信息。部门所有者和运营商可以使用这些信息来增强其事件响应计划、建立基线标准并加强信息共享。

水安全受到攻击

2023 年 10 月，据称与伊朗伊斯兰革命卫队 (IRGC) 有关的网络犯罪分子以宾夕法尼亚州的自来水公司为目标。美国执法机构还透露，勒索软件团伙在 2019 年至 2021 年间针对多个水和废水处理设施进行了攻击。迄今为止，没有任何攻击影响到饮用水的安全。

鉴于持续存在的风险，新的 IRG 确定了该部门可以寻求援助的关键联邦合作伙伴。其中包括 CISA、EPA、FBI、国家情报总监办公室 (ODNI) 和 DHS 情报与分析办公室 (I&A) 等实体。

事件响应指南建议

对于事件响应，新的 IRG 概述了具体做法，其中包括：

• 准备工作： CISA 鼓励 WWS 公用事业公司参考该机构的网络绩效目标，以加强其网络安全基线。

• 检测和分析：  联邦机构也许能够向受影响的公用事业公司提供免费工具和服务。FBI 和 CISA 可以在收到报告后向组织提供现场和/或虚拟技术分析和支持。

• 遏制、根除和恢复： CISA 可以向 WWS 公用事业所有者和运营商提供有关防御措施的重要信息，以遏制和根除其资产内未经授权的威胁行为者。

• 事件后活动： CISA 及其跨机构合作伙伴可以从受影响的组织收集数据，对其进行匿名化并广泛共享匿名数据。这些数据可能包括相关的 TTP、IOC 和其他可能支持集体防御的技术数据。

小型和农村社区面临的挑战

由于可用的财政和技术资源有限，美国水务行业被描述为“目标丰富，资源匮乏” 。小型和农村社区的系统尤其脆弱。

在能源和商业委员会最近举行的一次听证会上，佐治亚州农村水协会主席Rick Jeffares表示，该国超过 91% 的社区供水系统为不到 10,000 人提供服务。杰法雷斯表示，小型和农村社区往往“由于规模经济有限和缺乏技术专业知识，难以遵守复杂的联邦指令并提供安全、负担得起的饮用水和卫生设施。”

杰法雷斯还表示，接受联邦资金并销售或安装自动化设备的供应商应该“遵守美国环保署和其他机构制定的标准协议的要求，以更好地保护水务公司免受网络攻击。”

在听证会上，还强调了让年轻人参与的必要性。“农村水务公司一直通过注册学徒计划来做到这一点，而且它正在发挥作用，因此我们希望扩大规模。我们预计下一代水务运营商将拥有更高水平的计算机和网络复杂性。”Jeffares 说道。

缺乏资金

毫无疑问，国家水安全工作的很大一部分将依赖于财政支持。2021 年《基础设施投资和就业法案》授权 EPA 在五年内拨款 2.5 亿美元，向为 10,000 人及以上社区服务的公共供水系统提供赠款援助。该倡议旨在支持减少供水系统网络安全风险的项目。

然而，塔科马水务公司主管兼首席运营官斯科特·德惠斯特 (Scott Dewhirst)表示，国会只为该计划拨款 500 万美元。

“为该计划提供全额资助——或者至少提供接近其年度 5000 万美元授权的拨款水平——将大大增加可以利用这些资源来改善网络防御的供水系统的数量，”杜惠斯特告诉立法者。

显然，国家的供水正面临风险。必须立即采取保护举措。

—END—

原文始发于微信公众号（祺印说信安）：美多部门联合发布美国水务行业紧急指南