美国五个联邦机构近日联合发布网络安全通报，警告针对西门子S7系列可编程逻辑控制器（PLC）的正在进行中的网络威胁。PLC是一类用于监测和控制现实世界工业流程的专用计算机，广泛存在于供水、能源、制造和化工等设施中。通报称，未具名攻击者正在侦察美国境内的西门子PLC部署，并开发后续攻击能力，涉及多个关键基础设施领域。1

需要特别区分的是：美国机构确认的是一项活跃威胁，并未公开将这次针对西门子设备的活动归因于伊朗。通报也没有证明，近期美国地方供水系统出现的服务受扰与此次西门子相关活动之间存在直接联系。

五个联邦机构发出了什么警告

发布通报的机构包括美国国家安全局（NSA）、网络安全与基础设施安全局（CISA）、联邦调查局（FBI）、能源部和环保署。它们表示，攻击者正利用互联网扫描服务，寻找直接暴露在公网、或与互联网隔离不足的西门子S7 PLC。设备使用过时软件、默认密码或弱密码，都会增加风险。1

通报点名的行业包括：

• 供水与污水处理
• 关键制造业
• 能源
• 化工设施
• 食品与农业
• 商业设施
• 潜在的国防工业基地1

从目前披露的情况看，攻击者的重点似乎是发现脆弱设备、了解其配置，并构建可在后续入侵或破坏行动中使用的工具。即使尚未造成肉眼可见的停摆，这类侦察本身也十分严重：它能帮助攻击者绘制目标网络，筛选高价值设施，并为下一步行动做准备。

AI在其中扮演了什么角色

根据通报，攻击者将人工智能辅助工具与公开技术资料结合起来，为西门子S7系统生成并改进漏洞利用脚本。美国机构担心的并不是AI创造了西门子设备此前不存在的漏洞，而是AI可能缩短从公开资料到可用攻击工具之间的距离，降低开展此类行动所需的时间和技术门槛。1

据称，这些脚本使用了公开的 snap7库，并被设计成类似正常的工业控制系统监控工具。通报称，相关工具可以通过S7comm协议与PLC的内存、配置和梯形图逻辑进行交互。1

这项能力之所以值得警惕，是因为PLC距离实际生产流程和物理设备非常近。读取数据可以帮助入侵者了解工厂或设施的运行方式；如果进一步获得写入权限，攻击者可能改变设备控制逻辑、工艺参数、报警机制或安全功能。需要注意的是，通报描述的是攻击能力开发和潜在影响，并不等于已经证明每一项操作都在所有目标设施中发生过。

PLC遭入侵可能造成什么后果

工业控制器被攻破后，风险不只在于数据被窃取。根据设施设计和攻击者获得的权限，篡改PLC可能导致：

• 生产活动或公共服务中断
• 工艺参数和设备运行顺序被改变
• 停机系统、报警装置或安全联锁受到干扰
• 设备超出设计范围运行，甚至遭受损坏
• 运行状态和其他敏感工业信息泄露
• 与其连接的控制系统出现连锁影响1

实际风险取决于工厂布局、网络分段、安全架构以及攻击者取得的访问级别。网络扫描或登录失败，并不等于攻击者已经控制某座设施；但一个暴露在公网的PLC，比普通办公系统更直接地通向生产和运营环境。

与近期美国水务系统攻击有什么关系

这份西门子警报发布前后，美国多个州的地方供水系统遭遇网络攻击。明尼苏达州称，超过30个供水系统遭到协调性网络攻击；FBI随后表示，至少有七个州报告了相关活动，其中部分事件削弱了供水系统的正常运行。16

调查人员和网络安全专家曾怀疑这些攻击与伊朗有关，但公开报道将这一说法描述为调查中的判断，而非最终公开归因。16美国总统唐纳德·特朗普则公开否定伊朗因素，转而指责明尼苏达州及其州长，但没有为这一指责提供证据。17

西门子警报与这些水务事件的重叠之处，主要体现在背景层面：

1. 两类活动都涉及关键基础设施和工业控制环境。
2. 两类活动都凸显了公网暴露或防护不足的运营技术设备所面临的风险。
3. 美国早先的联邦通报曾明确指出，与伊朗有关联的攻击者正针对联网PLC，最初涉及罗克韦尔自动化（Rockwell Automation）的艾伦-布拉德利（Allen-Bradley）设备。
4. 后续更新扩大了已报告的设备制造商范围，将西门子和施耐德电气也纳入其中。

这段背景解释了为什么最新的西门子警报会引发与伊朗相关水务攻击的联想。但它不能证明西门子通报中所说的未具名攻击者，就是水务事件背后的同一批人；也不能证明所有事件属于同一网络行动。

为什么官方尚未正式指认伊朗

网络攻击归因不能只依靠目标相似或技术手法相近。调查人员通常需要将技术证据、情报信息和行动模式相互印证，并达到足够可信的程度，才会公开指认某个国家或组织。在西门子通报中，发布机构始终使用“未具名威胁行为者”这一表述，没有点名伊朗。1

水务系统攻击的公开信息同样存在不确定性。美国联邦和州级调查人员曾研究伊朗关联的可能性，但一些公开表态对这一判断提出了质疑。1617在官方公布更有力的相互印证证据，或完成最终评估之前，较为稳妥的结论只能是：美国水务系统确实遭到攻击，调查人员曾怀疑伊朗参与；针对西门子S7的威胁正在进行；但两者尚未被公开、 conclusively 地联系起来。

运营方现在应采取哪些措施

这份通报指向的并非复杂难懂的防御理念，而是一些需要立即落实的工业网络安全措施。运营方应：

• 清点所有西门子S7 PLC，并确认其是否暴露在互联网中。
• 取消PLC及其他运营技术设备对公网的直接访问。
• 将控制网络与办公网络、外部网络进行隔离和分段。
• 在不影响安全运行的前提下及时修补和更新控制器软件。
• 更换默认密码和弱密码，并加强身份认证。
• 监测异常连接、配置变更和梯形图逻辑修改。
• 保护工程项目文件、控制器配置以及可复用代码模块。
• 检查远程访问工具和监控软件是否可能被冒用或滥用。1

眼下最重要的判断不是“所有西门子控制器都已被攻破”，而是：当工业控制器直接暴露在互联网中、访问控制薄弱且缺乏持续监测时，一台广泛部署的PLC就可能成为攻击者开展侦察，并为未来破坏行动铺路的入口。

美国五个联邦机构近日联合发布网络安全通报，警告针对西门子S7系列可编程逻辑控制器（PLC）的正在进行中的网络威胁。PLC是一类用于监测和控制现实世界工业流程的专用计算机，广泛存在于供水、能源、制造和化工等设施中。通报称，未具名攻击者正在侦察美国境内的西门子PLC部署，并开发后续攻击能力，涉及多个关键基础设施领域。1

需要特别区分的是：美国机构确认的是一项活跃威胁，并未公开将这次针对西门子设备的活动归因于伊朗。通报也没有证明，近期美国地方供水系统出现的服务受扰与此次西门子相关活动之间存在直接联系。

五个联邦机构发出了什么警告

发布通报的机构包括美国国家安全局（NSA）、网络安全与基础设施安全局（CISA）、联邦调查局（FBI）、能源部和环保署。它们表示，攻击者正利用互联网扫描服务，寻找直接暴露在公网、或与互联网隔离不足的西门子S7 PLC。设备使用过时软件、默认密码或弱密码，都会增加风险。1

通报点名的行业包括：

• 供水与污水处理
• 关键制造业
• 能源
• 化工设施
• 食品与农业
• 商业设施
• 潜在的国防工业基地1

从目前披露的情况看，攻击者的重点似乎是发现脆弱设备、了解其配置，并构建可在后续入侵或破坏行动中使用的工具。即使尚未造成肉眼可见的停摆，这类侦察本身也十分严重：它能帮助攻击者绘制目标网络，筛选高价值设施，并为下一步行动做准备。

AI在其中扮演了什么角色

根据通报，攻击者将人工智能辅助工具与公开技术资料结合起来，为西门子S7系统生成并改进漏洞利用脚本。美国机构担心的并不是AI创造了西门子设备此前不存在的漏洞，而是AI可能缩短从公开资料到可用攻击工具之间的距离，降低开展此类行动所需的时间和技术门槛。1

据称，这些脚本使用了公开的 snap7库，并被设计成类似正常的工业控制系统监控工具。通报称，相关工具可以通过S7comm协议与PLC的内存、配置和梯形图逻辑进行交互。1

这项能力之所以值得警惕，是因为PLC距离实际生产流程和物理设备非常近。读取数据可以帮助入侵者了解工厂或设施的运行方式；如果进一步获得写入权限，攻击者可能改变设备控制逻辑、工艺参数、报警机制或安全功能。需要注意的是，通报描述的是攻击能力开发和潜在影响，并不等于已经证明每一项操作都在所有目标设施中发生过。

PLC遭入侵可能造成什么后果

工业控制器被攻破后，风险不只在于数据被窃取。根据设施设计和攻击者获得的权限，篡改PLC可能导致：

• 生产活动或公共服务中断
• 工艺参数和设备运行顺序被改变
• 停机系统、报警装置或安全联锁受到干扰
• 设备超出设计范围运行，甚至遭受损坏
• 运行状态和其他敏感工业信息泄露
• 与其连接的控制系统出现连锁影响1

实际风险取决于工厂布局、网络分段、安全架构以及攻击者取得的访问级别。网络扫描或登录失败，并不等于攻击者已经控制某座设施；但一个暴露在公网的PLC，比普通办公系统更直接地通向生产和运营环境。

与近期美国水务系统攻击有什么关系

这份西门子警报发布前后，美国多个州的地方供水系统遭遇网络攻击。明尼苏达州称，超过30个供水系统遭到协调性网络攻击；FBI随后表示，至少有七个州报告了相关活动，其中部分事件削弱了供水系统的正常运行。16

调查人员和网络安全专家曾怀疑这些攻击与伊朗有关，但公开报道将这一说法描述为调查中的判断，而非最终公开归因。16美国总统唐纳德·特朗普则公开否定伊朗因素，转而指责明尼苏达州及其州长，但没有为这一指责提供证据。17

西门子警报与这些水务事件的重叠之处，主要体现在背景层面：

1. 两类活动都涉及关键基础设施和工业控制环境。
2. 两类活动都凸显了公网暴露或防护不足的运营技术设备所面临的风险。
3. 美国早先的联邦通报曾明确指出，与伊朗有关联的攻击者正针对联网PLC，最初涉及罗克韦尔自动化（Rockwell Automation）的艾伦-布拉德利（Allen-Bradley）设备。
4. 后续更新扩大了已报告的设备制造商范围，将西门子和施耐德电气也纳入其中。

这段背景解释了为什么最新的西门子警报会引发与伊朗相关水务攻击的联想。但它不能证明西门子通报中所说的未具名攻击者，就是水务事件背后的同一批人；也不能证明所有事件属于同一网络行动。

为什么官方尚未正式指认伊朗

网络攻击归因不能只依靠目标相似或技术手法相近。调查人员通常需要将技术证据、情报信息和行动模式相互印证，并达到足够可信的程度，才会公开指认某个国家或组织。在西门子通报中，发布机构始终使用“未具名威胁行为者”这一表述，没有点名伊朗。1

水务系统攻击的公开信息同样存在不确定性。美国联邦和州级调查人员曾研究伊朗关联的可能性，但一些公开表态对这一判断提出了质疑。1617在官方公布更有力的相互印证证据，或完成最终评估之前，较为稳妥的结论只能是：美国水务系统确实遭到攻击，调查人员曾怀疑伊朗参与；针对西门子S7的威胁正在进行；但两者尚未被公开、 conclusively 地联系起来。

运营方现在应采取哪些措施

这份通报指向的并非复杂难懂的防御理念，而是一些需要立即落实的工业网络安全措施。运营方应：

• 清点所有西门子S7 PLC，并确认其是否暴露在互联网中。
• 取消PLC及其他运营技术设备对公网的直接访问。
• 将控制网络与办公网络、外部网络进行隔离和分段。
• 在不影响安全运行的前提下及时修补和更新控制器软件。
• 更换默认密码和弱密码，并加强身份认证。
• 监测异常连接、配置变更和梯形图逻辑修改。
• 保护工程项目文件、控制器配置以及可复用代码模块。
• 检查远程访问工具和监控软件是否可能被冒用或滥用。1

眼下最重要的判断不是“所有西门子控制器都已被攻破”，而是：当工业控制器直接暴露在互联网中、访问控制薄弱且缺乏持续监测时，一台广泛部署的PLC就可能成为攻击者开展侦察，并为未来破坏行动铺路的入口。