深度探索
黑客可能使美国电网瘫痪，但他们的目标是金钱，而非破坏
能源部长詹妮弗·格兰霍姆六月告诉CNN，美国的敌人有能力关闭美国电网，并且“即使在我们说话的时候，也有非常恶意的行为者在试图这样做。”
格兰霍姆在讨论总统乔·拜登推动加强公用事业部门安全的努力，该部门面临来自勒索软件和针对操作技术攻击的日益增长的威胁。美国大宗电力系统内置了强制性安全要求和高水平的冗余，但当被问及一个技术高超的黑客是否有能力使电网崩溃时，她冷静地回答说：“是的，他们有。”
这可能会让人联想到最坏情况的世界末日场景，但安全专家表示，尽管对公用事业和电网资产的攻击几乎持续不断，黑客造成大范围停电的紧迫风险很小。
“我不认为对可靠性的威胁是迫在眉睫的”，即使更多的操作技术（OT）可以接入互联网，GlobalSign北美和南美运营总经理Lila Kee表示。“攻击者越来越聪明，随着我们将OT移至线上，威胁面将更广，但这些黑客所做的是间谍活动。他们追求的是数据，他们追求的是[知识产权]。”
“如今大多数网络攻击都是出于经济动机。”
凯文·佩里
西南电力库关键基础设施保护前主任
“如果他们想从破坏的角度攻击OT网络，那相当于战争行为，”基说。“我认为即使是某些最大的国家行为体也不会去捅那个马蜂窝。”
黑客和黑客团体多种多样，“他们的目标也同样多种多样，”西南电力联营公司前关键基础设施保护总监凯文·佩里在一封电子邮件中说。佩里于2018年退休。
“如今大多数网络攻击都出于经济动机，”佩里说，黑客试图窃取凭证、公司或客户的财务信息或知识产权。“基本上，就是可以用来获取经济利益的信息。”
但“有些攻击者的目标是扰乱业务，要么通过勒索软件，要么通过攻击和操纵关键业务系统，”佩里说。
战争行为
让电网崩溃需要复杂的攻击手段和对电力系统的深入了解。和基一样，佩里也认为很少有人会愿意发动最具破坏性的攻击。
“OT系统非常复杂，攻击者需要具备一定程度的知识和专业技能。那很可能是一个由国家支持的黑客组织，”他说。“一旦确认了行为体的身份，国家行为体蓄意造成停电的活动很可能被视为战争行为，并可能引发动能或电子反击，或两者兼而有之。”
“专业技能最终是可以买到的。”
斯科特·阿伦森
爱迪生电力研究所安全与应急准备副总裁
目前，俄罗斯、中国、伊朗和朝鲜的黑客组织都被认为具有高度的复杂性。然而，电力行业表示，它已为未来更多黑客具备这些能力做好了准备。
“复杂性最终是可以买到的，”爱迪生电力研究所（EEI）安全与防备副总裁斯科特·阿伦森表示。 EEI 代表投资者所有的公用事业公司，这些公司为美国约2.2亿人提供电力。
摧毁电网需要非常复杂的攻击，但“我们今天就在为这种可能性做准备，”阿伦森说。
专家表示，不太复杂的攻击频繁发生，但通常对运营影响很小或没有影响。
“我们已应对过发电厂和控制中心内的入侵事件，”Dragos公司专业服务及研发副总裁本·米勒说。Dragos是一家专注于运营技术（OT）环境的安全公司。“但这些入侵是否导致了停电或中断？没有。”
米勒表示，这些攻击是机会主义的，在许多情况下，黑客甚至可能不知道自己身处何种OT环境。
“进入电网设施当然在可能范围内，甚至是偶然发生的，”米勒说。但从获得访问权限到产生特定影响之间，“需要比勒索软件或恶意软件复杂得多的技术，这确实上升到国家支持攻击的范畴。”
美国电网在设计时就考虑到了这种冗余性。安全顾问汤姆·阿尔里奇表示，即使黑客能够摧毁电网中最大的发电设施——位于华盛顿州的6.8吉瓦大古力水坝——也不会导致停电。
阿尔里奇说：“发电厂停机绝不应成为停电的原因。这就是可靠性协调员的核心职责。他们要确保始终有足够的备用容量来应对任何突发情况。”
尽管如此，专家们一致认为黑客确实有可能造成停电。
阿尔里奇说：“但如果大量发电厂同时停机，那就是另一回事了。不过发电厂本身并不是问题所在……当谈到真正严重的攻击时，我们说的是对控制中心或变电站的攻击。”
能源网络攻击简史
在很大程度上，美国尚未因网络安全威胁而遭受电网影响。2018年的一次攻击中断了中大陆独立系统运营商的通信，但客户最终没有感受到可靠性方面的影响。不过，历史上确实有过先例。
全球最著名的电网网络攻击发生在2015年，当时黑客导致乌克兰近25万人断电。这次被广泛认为是由俄罗斯支持的黑客发动的攻击之所以能够得逞，是因为“IT系统与OT系统之间缺乏适当的隔离，”佩里说道。
他说，黑客通过一次成功的钓鱼邮件攻击入侵了IT系统，随后得以在网络中横向移动，攻击该公用事业公司的能源管理系统。他们下载了恶意固件，影响了电网运营商与变电站通信的能力，同时还能控制关键设备。
“当IT网络发生勒索软件攻击时，不可避免地会导致OT网络中断。”
汤姆·奥尔里奇
安全顾问
专家表示，乌克兰停电事件在很大程度上与黑客如今可能攻击美国电网的方式一致。
其他漏洞也已被研究。2007年，爱达荷国家实验室的“极光发电机测试”证明，网络攻击可以通过将发电机以失相方式接入电网，从而在物理上摧毁发电机，这会导致极端扭矩并使机器损坏。
最近，北美电力可靠性公司（NERC）表示， 2020年SolarWinds攻击中，复杂的恶意软件被植入软件供应链，使其监管的四分之一电力公用事业公司暴露于该漏洞之下。专家表示，电力行业可能需要数年时间才能确定那次攻击的全部影响。
对 Colonial管道公司的攻击运输精炼石油产品，虽然没有对电网造成影响，但却是意外后果的一个例子。黑客攻击了Colonial的IT系统，该公司出于防御性关闭了管道。
“当IT网络遭受勒索软件攻击时，不可避免地会导致OT网络中断，”阿尔里奇表示。他说，公用事业公司不会为了缓解网络攻击而关闭电力，但MISO攻击就是一个例子，说明控制中心为避免影响而被下线。
SolarWinds和Colonial是能源行业所面临威胁的典型例子， NERC高级副总裁曼尼·坎塞尔表示，他也是NERC电力信息共享与分析中心（E-ISAC）的首席执行官。
SolarWinds事件凸显了供应链面临的威胁，“在那种情况下，攻击者解决了‘一对多’的问题，”坎塞尔说，他们攻陷了一个单一平台，随后感染了数千名用户。Colonial的停运表明，黑客“不一定非要针对控制系统”就能对社会产生影响。
他说，这种威胁没有减弱的迹象。2021年公布的针对控制系统的软件漏洞数量“大幅超过”前几年的警告。
E-ISAC正准备于11月16日至17日举办两年一度的安全演习GridEx VI。该活动让电力公司能够针对模拟攻击测试其网络和物理安全计划，2019年的演习吸引了超过6500名参与者。坎塞尔表示，2021年的演习将包括一次模拟软件入侵。
一次成功的攻击可能如何发生
专家表示，如果攻击者确实成功实施了对电网的攻击，其情形可能与乌克兰事件类似。
据佩里称，攻击者需要获取OT系统的访问权限并干扰其运行，包括电网控制中心中的监控与数据采集系统（SCADA）和能源管理系统（EMS）。
黑客会“要么导致其不当控制变电站或发电厂中的设备，要么利用其与变电站和发电厂的连接来破坏现场的网络资产，”佩里表示。
专家警告说，这基本上就是乌克兰攻击事件的发生方式，而且至今仍是一种潜在的攻击手段。“他们随后能够在整个网络中移动，找到并攻击SCADA/EMS系统，”佩里说。他表示，攻击之所以成功，“是因为IT和OT系统之间没有适当的隔离。”
一旦黑客进入SCADA系统，他们就会在与变电站通信的设备中安装恶意软件，并远程操作SCADA/EMS系统以断开变电站中的断路器。
可能的攻击面
要破坏电网，黑客需要攻破以下三类资产中至少一类的系统：控制中心、变电站或发电厂。
安全专家表示，发电厂实际上是最不可能受到攻击的目标，部分原因在于电网的冗余性。此外，拥有多个机组的电厂往往也会将各系统相互隔离，从而限制了攻击的潜在影响。
佩里表示，电厂中“能同时影响多个机组的通用系统非常少”，各机组往往拥有各自独立的操作控制和过程控制网络。
“当然，一个恶意的电气工程师可以从系统分析的角度出发，研究如何破坏电网的稳定性，而这正是攻击者想要达成的目标。”
本·米勒
Dragos专业服务与研发副总裁
米勒表示，控制中心因其覆盖广阔地域的视角，是一个潜在的攻击面。如果黑客能够瘫痪某个控制中心的通信，切断电网运营商对其系统的可见性，那么当变电站的保护继电器被禁用时，公用事业官员可能无法恢复线路供电。
米勒说：“那基本上就是2015年（乌克兰）攻击的手法，本质上是利用系统自身的设计来对抗自己，从而切断那些线路的供电。”
米勒表示，当今电网“存在几种可能的攻击方式”，但他拒绝详细说明这些攻击可能如何发生。“当然，一个恶意的电气工程师可以从系统分析的角度出发，研究如何破坏电网的稳定性，而这正是攻击者想要达成的目标。”
控制中心的SCADA设备可以从多个变电站或发电机组接收数据，并向其发出控制指令。佩里表示：“如果攻击者能够入侵SCADA/EMS系统，那么攻击者理论上可以影响该SCADA/EMS所通信的任何或所有变电站和发电厂。”
他表示，变电站是下一个最可能遭受攻击的目标。在正确的变电站打开正确的断路器，“将使输电线路断电，并可能因线路过载或初始线路断电导致的电压和频率偏移，引发输电线路和发电机组跳闸。”
虽然NERC的关键基础设施保护标准为电力系统设定了基线安全要求，但联邦监管机构一直在考虑是否需要 对分布式资源制定更严格的标准 。供应商群体中有人支持降低兆瓦阈值以要求更严格的规则，但公用事业部门表示，预计新的和更新的标准将解决任何安全漏洞。
连锁故障：2003年的教训
要发生大范围停电，设备故障本质上必须严重到足以引发一系列连锁事件。
“必须有足够的故障才能引起显著的频率或电压偏移，从而导致断路器跳闸，专门用于保护设备免受损坏，”佩里说。
2003年东北部的大停电就是一个例子——尽管没有黑客参与，但它具有网络方面的因素。
“那次停电发生在一[条]输电线路过载且未得到及时处理时，导致更多线路过载并跳闸，发电机组随之跳闸，更多线路跳闸，如此循环，直到电网变得足够不稳定，最终演变成大范围地理区域的停电，”佩里说。
他表示，问题之所以发生，是因为两项安全功能失效：FirstEnergy的报警子系统和Midcontinent ISO的状态估计器。但电网官员表示，2003年事件的经验教训此后已被纳入。
Cancel表示，电网中已“内置了各种控制和保障措施，以防止出现类似2003年那种连锁效应。”
电网如何恢复
专家表示，一旦公用事业公司重新控制其系统，恢复过程与任何大范围事件后的恢复类似。电网运营商制定了依赖具备黑启动能力的发电机的计划，用于帮助大型化石燃料电厂重新启动并运行。
Perry表示，这些有时是水电、太阳能或风电机组，但更常见的是可通过电池启动的柴油和燃气轮机。他说，一些较大的蒸汽驱动电厂可能需要长达24小时才能重新启动并运行。
“看看我们对风暴的应对。这个行业有应对灾难的历史。”
Manny Cancel
北美电力可靠性公司高级副总裁，兼NERC电力信息共享与分析中心首席执行官
Perry说：“随着化石燃料电厂启动，会加入负荷以保持机组稳定。如果系统失衡，刚通电的电网可能会崩溃，整个过程就得重新开始。”
Cancel表示，电网攻击后的恢复将取决于影响的广泛程度和“已发生的损坏程度”。如果黑客“只是找到了关闭系统的方法，也许可以在短时间内恢复。”
“话虽如此，行业已有计划，我们每天都在证明这一点，”坎塞尔表示。“看看我们对风暴的应对。这个行业历来有能力应对灾害。”
互助是“行业的超能力”，EEI的阿伦森表示，尽管这种互助更多时候是在风暴恢复的语境下被提及。例如，电力行业对飓风“艾达”的响应，今夏调动了超过2.7万名工人进入密西西比州和路易斯安那州，帮助恢复供电。
电力分部门协调委员会（ESCC）运行着一个 网络互助计划，该计划帮助电力公司在遭受攻击时获取服务、人员和设备，包括更换高压变压器。
该网络援助计划拥有超过170家参与方，包括电力和天然气公用事业公司以及电网运营商。据ESCC称，该计划的参与方覆盖了约80%的美国电力客户、四分之三的美国天然气客户，以及加拿大另外125万电力客户。
“这是一个具有互助文化的行业。这是我们希望为应对网络威胁而利用的一种架构，”阿伦森表示。