2025年全球防御体系面临“压力测试”
目录导读
- 现状扫描：关键基础设施攻击事件数量——是“感觉”还是“事实”？
- 深层动因：为何攻击者从“求财”转向“求乱”与“求战”？
- 四大高危领域：能源、水务、交通、医疗的“阿喀琉斯之踵”
- 攻防对抗：从“救火队”到“免疫系统”——防御范式亟需重构
- 实战问答：围绕“增加了吗？”的五个关键疑问与解答
- 未来推演：2025-2027年关键基础设施安全的三大趋势与行动清单
现状扫描：关键基础设施攻击事件数量——是“感觉”还是“事实”？
如果你问一名电力调度中心的安全主管：“这两年针对电网的攻击变多了吗？”他很可能会给出肯定的回答，并且能翻出最近三个月内至少五起针对变电站通信网关的恶意扫描记录，但如果你把这个问题抛给一名非业内人士，他可能反而觉得“新闻里报的也就那几起”。
事实层面：根据多家全球安全机构（如Mandiant、Dragos、SANS研究所）的年度报告交叉比对，2024年全球公开确认的关键基础设施网络攻击事件（含勒索、间谍、破坏性攻击）比2022年增长约140%，更值得警惕的是，未公开报告的事件数量估计为公开数字的3至5倍——因为很多电力、水利、油气企业担心股价波动和公众恐慌，选择私下修复而非披露。
关键结论：攻击事件增多不是错觉，而是呈“指数级”而非“线性”增长，且攻击质量显著提升——从过去针对IT网络的“噪音攻击”，转向针对OT（运营技术）系统的“精准外科手术式打击”。
深层动因：为何攻击者从“求财”转向“求乱”与“求战”？
攻击增多背后的驱动力,不是单一的黑客技术变强，而是攻击动机谱系发生结构性位移：
| 动机类型 | 2020年占比 | 2025年预计占比 | 典型行为特征 |
|---|---|---|---|
| 经济勒索 | 65% | 40% | 加密数据，索要赎金 |
| 国家背景间谍/破坏 | 20% | 45% | 潜伏数周，定向破坏PLC逻辑 |
| 激进主义/意识形态 | 10% | 10% | 制造停水停电，引发社会恐慌 |
| 内部威胁/误操作 | 5% | 5% | 未授权修改配置 |
背后逻辑：地缘政治博弈加剧，使得国家级行为者更愿意把“能源开关”和“水阀”当作战略筹码，而勒索团伙发现，攻击一家核电站的供应商，比攻击一家医院更容易迫使其支付天价赎金——因为停机的代价按分钟计算，远超赎金本身。
四大高危领域：能源、水务、交通、医疗的“阿喀琉斯之踵”
1 能源（电力、油气）——最脆弱的“命脉”
- 攻击面扩大：分布式光伏、电动汽车充电桩等新型并网设备，成为绕过传统防火墙的“侧门”。
- 经典案例：2024年某欧洲国家电网因变电站的远程终端单元（RTU）被植入恶意固件，导致区域电网频率波动，触发低频减载，影响逾百万户居民用电数小时。
2 水务与废水处理——被忽视的“沉默靶场”
- 风险点：多数水务公司IT预算仅为电力行业的1/10，老旧的SCADA（数据采集与监视控制）系统甚至没有加密通信。
- 真实威胁：已有攻击者尝试修改次氯酸钠投加量参数（即“氟化物攻击”的变种），虽被安全团队拦截，但暴露出协议层无认证的巨大漏洞。
3 交通（地铁、港口、航空）——串联效应的“放大器”
- 攻击后果具有连锁性：一个港口系统瘫痪，会同时卡住陆路集卡调度、海关清关和船期计划，经济损失呈指数放大。
4 医疗（医院、制药）——人命关天的“特殊压力点”
- 赎金支付率最高：因直接关联患者生命，医院支付勒索赎金的比例远超其他行业，这反过来刺激攻击者把医院列为“优先猎物”。
攻防对抗：从“救火队”到“免疫系统”——防御范式亟需重构
传统边界防护（防火墙+VPN）已不适用，攻击者现在更倾向于攻击供应链和第三方运维人员——你无法阻止一个拿着合法证书的维护工程师的笔记本被远控。
防御新范式应包含三个支柱：
- OT侧资产可视化的“基线与行为基线”：不是监控“流量里有没有病毒”，而是监控“这个PLC的寄存器写操作是否符合三天前的同期规律”，偏差即告警。
- 物理隔离与逻辑隔离并重：保证在链路层断开的前提下，通过单向数据网关（Data Diode）进行只读数据收集，确保控制指令无法反向注入。
- “网络韧性”高于“网络安全”：默认假设攻击者终将进入系统，重点演练降级运行模式和手动备用方案——比如当自动化系统失灵时，能否在10分钟内切换到本地手动阀门控制。
实战问答：围绕“增加了吗？”的五个关键疑问与解答
Q1：这些攻击事件增多，是不是因为政府的“报告要求”变严了，导致统计口径变大了？ A：有一定影响，例如美国CISA（网络安全与基础设施安全局）强制规定关键基础设施必须在72小时内上报事件，确实让统计数字“更真实”，但即便剔除上报合规因素，仅仅从威胁情报平台的实际恶意扫描量、漏洞利用尝试次数、暗网上的数据出售帖就能直观看到增长——这不是统计错觉。
Q2：攻击针对的是IT系统还是OT系统？哪个增长更快？ A：OT系统攻击增长更快（年增长率超200%），因为IT系统防御成熟，而OT系统长期享受“默默无闻”的所谓“安全通过不透明”（Security by Obscurity），如今攻击者发现这些系统协议简单、防护薄弱、且停机影响巨大。
Q3：对于中小型关键基础设施（如乡镇水厂、小型燃气站），是不是只能“等死”？ A：并非如此，它们不一定要买几百万的工控防火墙，但可以做三件低成本高收益的事：①将关键操作站与办公网物理断开；②修改所有默认密码并启用双因子认证；③每月备份控制器逻辑程序，并测试恢复过程，这能拦截掉80%的“脚本小子”和初阶勒索攻击。
Q4：AI是否让攻击变得更容易？ A：是的，尤其是漏洞挖掘和钓鱼邮件定制化方面，AI降低了编写针对特定PLC协议的漏洞利用代码的门槛，但AI同样可用于防御——美国能源部正在试点“AI安全副驾驶”，用于实时比对异常操作行为。
Q5：企业该优先投资买威胁情报还是做应急演练？ A：先做应急演练，你可以没有顶尖的情报源，但必须确保在系统被加密、控制权被夺后的第一小时内，有明确的指挥链、手动操作手册和备用通信手段，威胁情报是“高配”，而应急能力是“保底”。
未来推演：2025-2027年关键基础设施安全的三大趋势与行动清单
勒索攻击将朝“破坏性勒索”演化——攻击者不再加密数据，而是篡改物理过程参数（如提高锅炉温度），迫使企业支付赎金以免除公开安全责任和物理灾难。
供应链攻击将聚焦“设备固件层”——针对变电站保护继电器、智能电表芯片的固件后门事件会浮现，且难以发现。
安全与运行的界线彻底模糊——安全团队必须懂工艺流程，运维团队必须具备安全基因，两者合并为“网络物理安全团队”（Cyber-Physical Security Team）。
行动清单（按优先级排列）：
- 本周内：盘点所有连接到OT网段的远程访问VPN账号，注销非活跃账号。
- 1个月内：对关键控制器进行“基线快照”，确认识别出每一个允许的写操作指令来源。
- 1季度内：完成一次红队/蓝队对抗演练，并模拟“主备控制中心同时失联”的极端场景。
- 1年内：将“安全培训”从一年一次改为每季度结合真实工艺事故案例的微培训。
