志愿者网络专家助力农村水务系统防护：成效与启示

一项旨在帮助水务设施抵御网络攻击的志愿者行动，不仅提升了参与设施的安全水平与信心，还为理解水务行业面临的挑战及可行的应对路径提供了重要参考。

2024年底，DEF CON黑客大会、芝加哥大学哈里斯公共政策学院与全国农村水协会（NRWA）联合发起“DEF CON Franklin”项目，将具有公益精神的网络安全专家与亟需防护的小型农村水务系统对接。美国约有5万个社区水务系统，其中绝大多数规模小、资金匮乏，其老化的基础设施容易成为黑客的攻击目标，这些攻击者意图在美国社会制造混乱。

近期，美国多个州的水务设施遭遇一波网络攻击，官员们初步将攻击与伊朗关联，这一威胁再次引发关注。

DEF CON Franklin之名致敬本杰明·富兰克林创立美国首个志愿消防队的贡献，该项目是美国首次大规模尝试将志愿安全专家与缺乏保护的关键基础设施运营者连接起来。该项目于2025年8月扩展，因其提供的援助贴合设施实际需求与能力，并弥合了两个不同群体间的鸿沟，而获得参与者和观察者的好评。

在各州面临预算危机、联邦政府缩减对关键基础设施支持之际，Franklin项目已成为资源匮乏设施的有效——尽管规模有限——的临时解决方案。

“志愿项目通过连接设施与原本无法获得的安全支持，能够创造显著价值。”咨询公司1898 & Co.的关键基础设施安全总监Victor Atkins表示。

“巨大的福音”

Franklin项目自2024年11月启动试点以来，一直保持小规模运作。项目已向7个州的21家水务设施派遣27名志愿者，目前仍在为其中6家设施提供支持，包括5家试点设施。

“大多数情况是，我们进入设施，帮助解决特定问题，然后离开，但保持‘电话朋友’关系，以便他们后续有疑问时能随时联系。”Franklin创始人、哈里斯学院网络政策倡议执行主任Jake Braun说。

部分Franklin服务通过电话会议或面谈分享最佳实践并解答疑问；其他情况下，志愿者会实地访问设施，指导员工进行特定升级。专家服务范围涵盖从基础网络安全卫生（如更改默认密码、启用多因素认证）到记录应急响应计划与流程。

“几乎没有任何设施拥有应对攻击的文档记录。”Braun说。

志愿者还帮助设施绘制网络拓扑，这对于理解设备需求与漏洞至关重要。遗留技术是水务行业的一大问题，IT顾问经常安装设备后不留下文档便离开。

水务行业相对封闭，资深系统运营者常对外来者提供的免费帮助持怀疑态度。Franklin项目需要可信的行业伙伴为其背书，它找到了NRWA——一家非营利组织，其州级分支机构服务全国超过3.1万家设施。NRWA为Franklin试点招募了7家设施，并协助促成其他合作，同时为志愿者提供如何发挥最大影响力的建议。

“我们收到了参与设施对Franklin志愿者工作的积极反馈，他们确实有所改进。”NRWA监管事务总监John DeGour说。

爱达荷州怀尔德市公共工程总监Chelsie Johnson表示，与Franklin志愿者David Armstrong的合作是“非凡”的经历。“他教会了我很多东西，”她说，“有一个我完全不了解的世界……这对我们城市来说是一个巨大的福音。我知道市长和市议会以及我自己都非常感谢他所做的一切。”

怀尔德市面临与其他小城市相同的挑战：缺乏网络安全人员、需要保护复杂的运营技术、预算紧张且IT投入回报不明显。“如果他们入侵我们的系统并接管，我们根本付不起赎金。”Johnson说。

在几次会议中，Armstrong为Johnson制定了一系列可操作的安全提升措施。“Chelsie实际上出色地完成了这些措施。”Armstrong说。

难以接受“免费”帮助

除了帮助个别设施，Franklin项目还对水务行业产生了更广泛的洞察。

Franklin的一份报告（该小组独家分享给Cybersecurity Dive）审视了安全公司向水务设施提供的免费服务，发现大多数情况下这些服务毫无用处。这些服务“像小狗一样免费”，Braun打趣道，意味着它们附带昂贵的条件——例如需要先购买昂贵设备才能获得免费许可证，或免费监控系统需要聘请昂贵的安全顾问来分析数据。

“他们负担不起接受免费帮助的代价，”Braun说，“这对我们和许多设施来说都很有启示，这些设施曾因不接受这些免费产品和服务而面临压力。”

Franklin还得出另一个重要洞察：当网络安全专家介入帮助设施运营者时，管理预期至关重要。

许多Franklin志愿者来自大型组织，对短期内能实现的技术和组织变革抱有不切实际的假设。同时，许多设施对Franklin安全评估的运作方式也有不切实际的期望。随着时间的推移，Franklin的领导者学会了如何为双方做好准备。现在，Braun说，“每个人在第一次对话时都带着‘我们将从对方实际出发’的心态。”

然而，Franklin面临的最大挑战超出其控制范围。在项目过程中，一些设施因其他职责占用时间而退出——“比如PFAS或铅管问题，或其他重要事务，我很高兴他们在处理这些。”Braun说。

这个问题在最需要Franklin帮助的微小社区中尤为严重。

“当你必须独自或仅靠两三个人运营整个城市时，这很困难，”Johnson说，“我的重点是确保水能流过城镇、厕所能冲水……我必须确保1500人早上起床时有杯水喝。”

Braun说，这一现实正是“网络安全问题如此棘手的原因”。

AI数据中心与口碑传播

Franklin是一个小型项目，却要应对最大、最分散的关键基础设施行业之一。Braun将这种情况与选举安全（他此前在DEF CON社区关注的领域）相比，并预测“在水务行业取得同样不尽如人意的进展需要付出10倍的努力”。

尽管如此，志愿者们的投入让他感到希望。“我们有两年来一直参与的志愿者，这让我惊讶，”他说，“还有人在不断敲门，希望承担更多任务，被派往更多设施。”

为了利用这种热情，Franklin正在探索可扩展的扩张方式。Braun尤其关注为冷却AI数据中心的水务设施提供帮助，他认为这些设施正成为国家支持的黑客和网络犯罪分子的目标。

Franklin的志愿者模式既有优势也有局限。它为设施提供了原本可能永远无法获得的帮助，但其定期参与无法替代托管安全服务，其维护、监控和规划建议也不附带资金或人员。此外，其覆盖范围与行业规模相比相形见绌。

即便如此，仍有理由保持乐观：Franklin的影响已开始超越其合作伙伴设施。

每隔几个月，怀尔德市公共工程总监Johnson会与来自同样规模较小的邻近城市的同行会面。自从与Franklin合作以来，她利用这些会议向同事介绍她正在实施的安全改进。

“我在上次会议上提到了多因素认证，他们问‘你是怎么做的？’”Johnson说，“我演示给他们看……他们说‘太酷了’。”

她最近了解了通行密钥，并计划在下一次城市会议上进行解释。

“他们可能没有我得到的支持，”她补充道，“我虽然不是网络安全专家，但如果我能用我掌握的一点小知识帮助他们并传递下去，我认为这对他们意义重大。”