为保护农村水务设施而补偿网络安全公司的项目

拉斯维加斯——一个水行业贸易团体和一个由志愿网络安全专家组成的集体，正在为急需帮助保护其系统免受黑客攻击的小型水务公司提供免费安全服务。

DEF CON 富兰克林项目周五宣布，将支付网络安全公司费用，为服务人口不足 1 万的水务公司免费提供监控和保护产品。这些水务公司占美国 5 万个社区供水系统的 90% 以上，是数字领域最脆弱的群体，最近与伊朗相关的针对全美供水系统的攻击凸显了这一危险。

五家托管检测与响应（MDR）提供商——Defendify、Legato Security、L1 Secure、Rapid7 和 Sentinel Technologies——将首先参与该项目，它们将通过全国农村水协会（NRWA）运营的新水观察中心共享从水务公司网络收集的威胁情报。

当安装在水务公司网络上的 MDR 软件检测到潜在的网络攻击或漏洞时，供应商将提醒该水务公司并提供问题报告。然后，水务公司可以自行解决问题，或向富兰克林名册上的志愿专家寻求帮助。

“这完全关乎规模，”DEF CON 富兰克林组织者杰克·布劳恩在周五于 DEF CON 网络安全大会（该志愿者团体的发源地）间隙接受采访时表示。“网络服务的规模化交付是所有挑战所在。”

MDR 服务和观察中心标志着富兰克林支持水务行业工作的重大扩展。2024 年底，该团体开始派遣志愿者帮助参与的水务公司实施基本网络安全措施、绘制网络地图并编写事件响应计划。但周五的公告标志着该团体雄心勃勃的新时代的开始，这将使其首次直接资助水务公司的商业网络安全支持。

招募与共享

每家 MDR 提供商提供的服务方式略有不同，这将帮助富兰克林确定最佳模式。“我们希望能够全部测试一遍，”芝加哥大学网络政策倡议执行主任布劳恩说。

富兰克林志愿者将负责将水务公司与其 MDR 服务连接起来，布劳恩表示，这被证明是该过程中成本最高的部分之一。

富兰克林的团队挑选了这五家初始 MDR 供应商，因为它们已有水务公司客户，这使它们了解水务公司的具体需求。布劳恩表示，现在的目标是增加“数万家”水务公司。他补充说，富兰克林可能会自行招募其中大部分水务公司，但供应商也有招募它们的经济动机。

该项目已与马里兰州的网络安全计划合作，以吸纳该州的农村水务公司。

水观察中心计划将其从 MDR 供应商处获得的威胁情报与 WaterISAC（该行业的信息共享与分析中心）共享。“我们正在先对数据进行匿名化处理，”布劳恩说。

布劳恩表示，WaterISAC、网络安全与基础设施安全局及其他合作伙伴在让水务公司了解网络攻击方面发挥着重要作用，但水务公司往往难以实施这些团体发布的指导。富兰克林工作人员最近会见了一家只有两名员工的水务公司。“其中一人还负责镇上的七月四日游行，”布劳恩说。“我们可以整天向他们发送警报并进行所有我们想要的评估，但没有人去处理这些。”

呼吁政府援助

该项目用于 MDR 服务和水观察中心的资金将来自拨款。初始种子资金来自 Craigslist 创始人和多产的网络安全慈善家克雷格·纽马克，但布劳恩表示，他还在等待另外两笔“巨额拨款”的回复。

该计划有足够的资金维持当前运营，但扩展到数万家水务公司将需要更大的投资。

“最终，联邦政府必须介入并为此买单，”布劳恩说。

国会已经通过《农业政策法》（即《农业法案》）中与 NRWA 的合同为农村供水系统提供资金。“他们只需改变数字，”布劳恩说。“这对国会来说非常简单。”

富兰克林打算大幅增加与国会办公室关于水网络安全重要性的对话。

如果政府不介入，“这一切都不会奏效，[而且]这些水务公司将会[完蛋]，”布劳恩说，他使用了一个比“完蛋”更强烈的词。