2. 关键信息基础设施安全形势与威胁图景

关键信息基础设施（CII）承载着能源、交通、金融、水利、政务等国计民生核心业务，其安全形势已从“偶发入侵”演变为“高强度、持续性、体系化对抗”。理解威胁图景，不能停留在“有哪些黑客组织”的层面，而要看清攻击者针对不同行业选择了什么入口、动用了什么手段、造成了什么后果，以及这些手段正在如何演进。

一、分行业典型攻击事件与攻击面分析

不同行业的CII，其暴露面和攻击价值差异显著，攻击者的切入点也各不相同。

能源领域的典型代表是2015年乌克兰电网事件与2017年TRITON恶意软件事件。前者通过钓鱼邮件获取变电站操作员凭证，远程断开断路器，造成约22.5万用户停电；后者则直接针对施耐德电气Triconex安全仪表系统（SIS），试图篡改安全逻辑，一旦成功可导致物理设备损毁甚至人员伤亡。能源行业的攻击面集中在工控协议（如Modbus、DNP3）缺乏认证、IT与OT网络边界模糊、以及老旧RTU/PLC长期不更新。

交通领域以2018年某航空公司数据泄露、2021年美国科洛尼尔管道（虽属能源但影响交通燃料供应）以及多起港口码头操作系统被勒索事件为代表。交通CII的特点是分布式节点多、第三方服务商多，攻击者常通过票务系统、调度系统或供应链软件进入。

金融领域的典型是2016年孟加拉国央行SWIFT系统被攻击，攻击者通过恶意软件篡改转账指令，试图转走9.51亿美元，最终得手8100万美元。金融CII的攻击面集中在SWIFT网关、网上银行、第三方支付接口和内部运维终端。

水利领域以2021年美国佛罗里达州水处理厂事件为代表，攻击者远程登录操作员工作站，试图将氢氧化钠浓度从100ppm提升至11100ppm。水利CII的突出问题是远程访问缺乏多因素认证、默认口令未修改。

政务领域则常见数据泄露、网页篡改和分布式拒绝服务攻击，攻击面包括政务云、统一身份认证、数据共享交换平台等。

二、三类核心威胁的运作机理

高级持续性威胁（APT）的核心特征是“长期潜伏、定制化、多阶段”。以针对能源行业的某APT组织为例，其典型攻击链为：初始入侵（鱼叉邮件投递恶意LNK文件）→ 建立据点（内存加载无文件后门）→ 横向移动（利用Pass-the-Hash获取域控权限）→ 抵达OT网络（通过双网卡跳板机）→ 预置破坏载荷（修改PLC逻辑或植入SIS后门）。整个过程可能持续数月甚至数年，传统基于签名的检测手段难以发现。

供应链攻击的杀伤力在于“信任传递”。2020年SolarWinds事件中，攻击者入侵Orion平台构建环境，在合法软件更新包中植入后门，导致包括美国多个政府部门在内的18000余家客户被波及。对CII而言，供应链攻击的典型路径包括：工控软件更新包被篡改、第三方运维人员携带恶意U盘接入、云服务商API密钥泄露。防御难点在于，CII运营者往往对供应商高度信任，且缺乏对软件物料清单（SBOM）的核查能力。

勒索软件已从“广撒网”转向“精准打击”。针对CII的勒索攻击呈现三个新特征：一是“双重勒索”，先窃取数据再加密，即使恢复备份也会因数据泄露面临合规处罚；二是“勒索即服务”（RaaS），攻击者只需购买服务即可发动攻击，门槛大幅降低；三是“攻击链自动化”，从扫描到加密可在数小时内完成。2021年科洛尼尔管道事件导致美国东南部燃油供应中断，正是勒索软件攻击CII的典型案例。

三、威胁演进的关键趋势

综合近年事件，CII威胁图景呈现四条清晰趋势：

• 从IT向OT渗透：攻击者不再满足于窃取办公数据，而是直接瞄准PLC、RTU、SIS等物理控制设备，追求物理破坏效果。
• 从单点向供应链扩散：攻击者发现直接攻破大型CII难度高，转而攻击其信任的供应商、服务商和开源组件。
• 从人工向自动化演进：攻击工具包、RaaS平台和AI辅助钓鱼，使攻击效率呈指数级提升。
• 从犯罪向地缘政治工具转化：国家级APT组织将CII作为战略目标，攻击行为与地缘冲突高度关联。

四、从威胁图景到防御重点

基于上述分析，CII运营者在威胁应对上应聚焦四个方向：第一，建立IT/OT一体化监测能力，重点检测工控协议异常和横向移动行为；第二，对供应链实施“准入—核查—监控”全流程管理，要求关键供应商提供SBOM并定期审计；第三，针对勒索软件制定“离线备份+快速恢复+数据泄露应急”三位一体预案；第四，将APT威胁狩猎纳入常态化运营，不依赖单一签名检测。威胁图景的最终价值，在于指导防御资源向最可能被攻击的环节倾斜。