2月5日，一名身份不明的網路攻擊者試圖毒害佛羅里達州奧爾茲馬市的供水系統。市官員表示，目標水處理廠擁有一個軟體遠端訪問系統，允許工作人員遠端控制工廠的計算機。駭客進入系統並將系統設定為大幅增加水中氫氧化鈉的含量。這種化學物質（俗稱鹼液）最初設定為百萬分之100，這是一個無害的量，有助於控制水的 pH 值。攻擊者試圖將其提高到百萬分之 11,100，這個含量足以損傷皮膚，如果水接觸到身體還會導致脫髮，或者如果攝入，則可能導致致命的胃腸道症狀。幸運的是，一名工作人員在攻擊發生時注意到了它，並在任何變化發生之前恢復了正確的設定。
像這樣的攻擊對公共設施可能構成多大的威脅？可以採取哪些措施來保護它們？大眾科學向喬治敦大學外交學院專門研究網路安全和治國之道的教授本·布坎南提出了這個問題。
[以下是對採訪的編輯稿。]
關於支援科學新聞
如果您喜歡這篇文章，請考慮透過以下方式支援我們屢獲殊榮的新聞報道 訂閱。透過購買訂閱，您將幫助確保有關當今塑造我們世界的發現和想法的有影響力的故事的未來。
是什麼使像水處理廠這樣的城市基礎設施容易受到駭客攻擊？
一般來說，許多此類設施面臨的挑戰通常是它們比較老舊，或者它們沒有我們希望用來防禦駭客的安全基礎設施。因此，如果系統不像我們希望的那樣安全，但它們可以訪問網際網路，那就容易出問題了。
誰可能對這次攻擊負責？
通常，針對工業控制系統的關鍵在於，為了獲得你作為攻擊者想要的效果，你需要對系統有相當好的瞭解。如果你真的是一個外國攻擊者，你需要在系統上進行大量的偵察。如果你是內部人員，你已經具備了這種知識。很多時候，進行這類案例的人（數量不多）是心懷不滿的員工，他們已經瞭解系統以及如何操縱它。[但在此案例中]現在說“這是一個心懷不滿的員工”還為時過早，而且肯定地說“哦，這是伊朗或俄羅斯，這是明顯的戰爭行為”也為時過早。現在的猜測無濟於事。
奧爾茲馬市是一個人口為 15,000 的小城市。這是否使其成為一個較小的目標，或者與人口較多的大型地區的工廠相比，它實際上更容易受到攻擊？
我不認為它會傾向於哪種方向。如果攻擊者是內部人員，那麼這就解釋了他們為何針對該設施——但我們並不知道。我認為有理由推斷，想要造成巨大影響的外國駭客會選擇更大的目標。但另一方面，幾年前有一個案例，伊朗駭客因被美國政府起訴入侵這個舊水壩的計算機網路而被起訴，該水壩已經基本上無人使用了。
駭客透過一個現有的軟體程式獲得了訪問許可權，該程式允許遠端訪問工廠的計算機。對於此類工廠，是否應該禁止使用此類程式？
在新冠疫情時期，很難說“一切都必須在現場管理”。我不知道這有多現實。但我認為平衡這些系統的安全性和可用性通常很困難。要取得適當的平衡，通常需要比許多此類設施更多的資源。
此類設施應該如何保護自己？
真正重要的一件事是在系統中，尤其是在安全系統周圍擁有冗餘。這裡有一個關於安全和安保的重要區別。網路安全是指將不良行為者排除在計算機網路之外，或者限制他們進入計算機網路後可以執行的操作。從技術上講，安全是指確保工業控制系統的元件不會做出任何將人們置於危險之中的事情，即使他們被指示這樣做——無論是由駭客還是其他人。例如，你有一件事是：是否有機制來定期測試工業控制系統的過程和輸出，以測試水的特定質量？是否有人員在監控系統，以確保事情不會因不明原因而失控？
在這方面，這至少在某種程度上是一個成功的故事。因為雖然這裡有攻擊的意圖，而且也有攻擊的行動，但沒有人受傷。我認為，在處理工業控制等關鍵系統時，你希望擁有這些級別的冗餘。在我的第二本書中，我寫了（取決於你怎麼計算）對工業控制系統的四次攻擊，所有這些攻擊都比這次要嚴重得多。因此，這並沒有達到那些更成功的攻擊的程度。
我們能從中吸取什麼教訓？
這個案例表明，存在不良行為者，我們花在確保工業控制系統的安全和保障方面的金錢和時間通常是值得的——但我們實際上可以設法防禦系統，以便（至少針對某些攻擊）最大程度地減少造成的傷害。
所以，人們現在不應該對他們的用水感到恐慌嗎？
我認為全國範圍內肯定沒有理由恐慌。這提醒人們工業控制系統專業人員以及那些保護這些系統的人員工作的重要性。但沒有理由過分誇大這裡發生的事情，並將其渲染成“天要塌下來了”，而事實上，天並沒有塌下來。