前情回顾·国际水务网络威胁态势
安全内参11月4日消息，英国饮用水监管机构收到的报告显示，自去年年初以来，英国饮用水供应商已遭受了5次网络攻击。这些报告在《信息自由法》下部分披露给外部媒体。
这些攻击并未直接影响饮用水本身的安全供应，而是针对提供相关服务的组织展开。饮用水厂商遭网络攻击事件数量创下有统计以来的最高纪录，也凸显出英国情报部门此前的警告：恶意网络行为者对国家关键基础设施构成的威胁正在不断上升。
NIS新规实施后近两年收到5份报告
英国饮用水监察局（DWI）共享的数据表明，从2024年1月1日至2025年10月20日，该监管机构共收到供应商提交的15份报告。这些报告依据《网络与信息系统（NIS）法规》提交，而这只是英国饮用水系统安全庞大法律框架中的一部分。
在这15份报告中，有5起被DWI归类为“超出NIS范围系统”的网络安全事件，其余为非网络类的运营问题。The Recorded未获得这些报告的进一步细节。
目前，《NIS法规》仅要求正式上报那些确实导致关键服务中断的网络事件。如果英国的基础设施供应商遭遇类似Volt Typhoon行动的预置式攻击，他们在法律上并无披露义务。
DWI表示，这5起上报给监管机构的事件出于信息共享目的，因为它们被视为“与供水弹性风险相关”。
预计英国官员将在政府推动已长期延宕的《网络安全与弹性法案》时，尝试修订这一较高的报告门槛。该法案预计将在今年晚些时候最终提交议会。
一位英国政府发言人表示：“我们面临的网络威胁复杂、持续且代价高昂。我们的《网络安全与弹性法案》将于今年提交议会，旨在强化网络防御能力，保护公众赖以正常生活的服务。”
5份报告胜于没有报告
英国安全公司Sophos威胁研究副总裁Don Smith表示，尽管《NIS法规》并未强制要求，但仍有报告提交，这是一个积极信号。
Smith对The Recorded表示：“关键基础设施提供商与任何现代互联企业一样，每天都在面对犯罪分子的攻击。尽管他们受各种合规制度约束，但安全事件的发生并不令人意外。”
他补充道：“我认为，我们应当鼓励这种超出NIS法规范围的信息共享。让关键基础设施运营者了解这些攻击的性质，无论是普通威胁还是高级对手的行动，都极具价值。而信息共享文化则有助于拓宽大家的视野。”
尽管曾发生针对供水公司IT办公系统的勒索软件攻击事件，例如英国的South Staffs Water和西班牙的Aigües de Mataró，但真正导致供水中断的网络攻击极为罕见。
OT（操作技术）系统遭成功攻击的案例较为少见。2023年12月，爱尔兰西海岸一处偏远地区的居民曾连续数天无法用水。当时，一个支持伊朗的黑客组织无差别攻击了一种他们声称由以色列制造的设备。
针对工业控制设施的威胁严峻
美国联邦政府曾就犹尼康可编程逻辑控制器（PLC）漏洞发出警告，许多水务机构都在使用这类设备。PLC是工业控制系统中的核心技术组件之一，而针对PLC的攻击是关键基础设施防御者最为担忧的问题之一。
在拜登政府期间，美国旨在提升水系统安全的举措遭遇阻力。当时，水务行业组织与共和党议员合作，阻止了联邦层面的推进工作，尽管勒索软件攻击和国家支持的渗透活动数量正在显著上升。
上周，加拿大当局警告称，在一系列干扰工业控制系统的攻击中，黑客行动者曾在某地方公用事业机构中更改过水压。
英国国家网络安全中心（NCSC）鼓励关键基础设施提供商确保业务IT系统与OT系统合理分区，以降低网络入侵的影响。该机构于8月发布了新的《网络评估框架》，帮助组织提升其弹性。
Smith表示：“对关键基础设施提供商构成威胁的，多数是常见攻击而非定向攻击。我给首席信息安全官和这些组织的风险管理人员的建议是，应重点防御日常威胁，而不是罕见、复杂的攻击。”
他最后补充道：“虽然两者都要防范，但更大的风险在于，我们的某个关键国家基础设施（CNI）可能因一次勒索软件攻击而被迫停运。我担心有些机构投入巨额资金监控那些晦涩系统，却忽视了最基本的防护措施。”
参考资料：https://therecord.media/britain-water-supply-cybersecurity-incident-reports-dwi-nis
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
