民间社会倡议为农村供水系统资助网络安全供应商

拉斯维加斯——一个水行业贸易团体和一个由志愿网络安全专家组成的集体，正在为急需帮助保护其系统免受黑客攻击的小型水务公司提供免费安全服务。

DEF CON 富兰克林项目周五宣布，将付费给网络安全公司，让他们为服务人口不足1万人的水务公司免费提供监控和保护产品。这些水务公司占美国5万个社区供水系统的90%以上，是数字安全方面最脆弱的群体，最近与伊朗有关的对美国各地供水系统的攻击凸显了这一危险。

五家托管检测与响应（MDR）提供商——Defendify、Legato Security、L1 Secure、Rapid7 和 Sentinel Technologies——将首先参与该项目。它们将通过由全国农村水协会（NRWA）运营的新水观察中心，共享从水务公司网络收集的威胁情报。

当安装在水务公司网络上的 MDR 软件检测到潜在的网络攻击或漏洞时，供应商将提醒该水务公司并提供问题报告。然后，水务公司可以自行解决问题，或向富兰克林名册上的志愿专家寻求帮助。

“这完全关乎规模，”DEF CON 富兰克林组织者杰克·布劳恩在周五于 DEF CON 网络安全会议间隙接受采访时表示，该会议是这一志愿者组织的发源地。“规模化交付网络安全是所有挑战所在。”

MDR 服务和观察中心代表了富兰克林支持水行业工作的重大扩展。2024年底，该组织开始派遣志愿者帮助参与的水务公司实施基本网络安全措施、绘制网络地图并编写事件响应计划。但周五的公告标志着该组织雄心勃勃的新时代的开始，它将首次直接资助水务公司的商业网络安全支持。

招募与共享

每家 MDR 提供商提供的服务方式略有不同，这将有助于富兰克林确定最佳模式。“我们希望都能测试一下，”芝加哥大学网络政策倡议执行主任布劳恩说。

富兰克林的志愿者将负责将水务公司与 MDR 服务连接起来，布劳恩说这被证明是该过程中成本最高的部分之一。

富兰克林的团队挑选了这五家最初的 MDR 供应商，因为它们已经有水务公司客户，这让它们了解了水务公司的具体需求。布劳恩说，现在的目标是增加“数万家”水务公司。他补充说，富兰克林可能会自己招募大部分这些水务公司，但供应商也有招募它们的经济动机。

该项目已与马里兰州的网络安全计划合作，以吸纳那里的农村水务公司。

水观察中心计划将其从 MDR 供应商处获得的威胁情报与 WaterISAC（该行业的信息共享与分析中心）共享。“我们正在对数据进行匿名化处理，”布劳恩说。

布劳恩说，WaterISAC、网络安全和基础设施安全局以及其他合作伙伴在让水务公司了解网络攻击方面发挥着重要作用，但水务公司往往难以实施这些组织发布的指导。富兰克林的工作人员最近会见了一家只有两名员工的水务公司。“其中一人还负责镇上的七月四日游行，”布劳恩说。“我们可以整天向他们发送警报，进行所有我们想要的评估，但没有人去处理这些。”

呼吁政府援助

该项目用于 MDR 服务和水观察中心的资金将来自拨款。最初的种子资金来自 Craigslist 创始人和多产的网络安全慈善家克雷格·纽马克，但布劳恩表示，他还在等待另外两笔“巨额拨款”的回复。

该计划有足够的资金维持目前的运营，但扩展到数万家水务公司将需要更大的投资。

“最终，联邦政府必须介入并为此买单，”布劳恩说。

国会已经通过被称为《农业法案》的农业政策法律中与 NRWA 的合同为农村供水系统提供资金。“他们只需改变数字，”布劳恩说。“这对国会来说太简单了。”

富兰克林打算大幅增加与国会办公室关于水网络安全重要性的对话。

如果政府不介入，“这一切都不会奏效，[而且]这些水务公司会[完蛋]，”布劳恩说，他用的词比“完蛋”更重。