MIT學生如何幫助城市抵御網絡攻擊

2019年5月，馬里蘭州巴爾的摩市政府陷入一片混亂。網絡犯罪分子將該市大量關鍵文件鎖定，并索要贖金要求解密。市政府拒絕支付贖金，但此次攻擊導致房地產交易、賬單支付等一系列服務陷入癱瘓，恢復成本高達數百萬美元。

麻省理工學院城市研究與規劃系（DUSP）開設的網絡安全診所課程（11.074/11.274），將巴爾的摩事件列為典型案例，用以說明針對市政府及其他公共機構的勒索軟件攻擊日趨普遍。為應對此類威脅，講師Jungwoo Chun與城市及環境規劃福特講席教授Lawrence Susskind于2019年創立了麻省理工學院網絡安全診所，此后幾乎每學期都會開設這門課程。

課程模式與法律或醫療診所類似，既為學生提供實戰訓練，也為高風險社區提供免費服務。學生完成教學模塊并通過認證考試后，將以小組形式被分配至一個客戶。學期結束時，每個小組須提交一份報告，評估客戶面臨的網絡攻擊漏洞，并提出改進建議。迄今為止，該診所已為新英格蘭地區的市政機構和醫療機構提供了逾40份保密且免費的評估報告。

2025年，美國聯邦調查局（FBI）互聯網犯罪投訴中心記錄顯示，針對美國人的網絡攻擊平均每天高達2765起。Chun表示，當攻擊波及城市和鄉鎮時，其影響遠不止于經濟損失："會對我們生活的方方面面產生令人不寒而栗的連鎖效應。"

近年來，針對此類社區的網絡攻擊已威脅到供水安全，阻礙了911及警務服務的正常運行，并導致市民個人數據泄露。

盡管許多小型市政機構和醫院是關鍵基礎設施的重要門戶，但它們普遍缺乏受過專業網絡安全培訓的內部人員。當前勞動力市場上，網絡安全專家的供需嚴重失衡，而公共部門的預算也難以與私營企業為合格候選人開出的高薪相匹敵。

根據Comparitech的數據，2018年至2024年間，美國政府機構共遭受525次勒索軟件攻擊，平均約每五天一次，造成的停機損失估計高達10.9億美元。

Susskind表示："資金不足的公共機構和非營利組織需要走一條自助之路。只需免費服務診所的一點指導，這些組織就能采取許多低成本的防護措施。"

防御性社會工程學

許多人或許會感到驚訝：這所大學的網絡安全項目竟然設在計算機科學系之外。Chun是一位專注于公共政策與規劃的應用社會科學家，Susskind則是沖突解決與共識構建領域的著名學者。他們將自己為診所開發的方法稱為"防御性社會工程學"，以強調網絡安全并非單純的技術挑戰。

Chun坦言，人工智能的快速發展為犯罪分子提供了令人警惕的新工具——"現在AI不僅能識別漏洞，還能自主發動攻擊，這真的非常可怕"——同時市面上也涌現出各種聲稱能抵御此類攻擊的軟件。因此，課程在網絡安全技術層面投入了大量篇幅。"但歸根結底，"Chun說，"最大的攻擊入口仍然是人。"

"社會工程學"這一術語通常指犯罪分子操控受害者、使其主動破壞安全防線的手段（例如向騙子轉賬、下載惡意代碼或泄露敏感信息）。Susskind和Chun提出的防御性社會工程學同樣根植于人類心理學。該方法強調，無論技術崗位還是非技術崗位，網絡安全都應成為每個人工作職責的一部分。

"關鍵在于讓人們知道該怎么做，做出正確的選擇，"Chun說，"幫助他們將現有資源和預算用在經久有效的地方，而不是一味購買最新的殺毒軟件。"

Susskind表示："有計算機科學背景的學生會對我們如此重視幫助客戶建立組織能力感到意外。學生需要理解客戶社區內部的領導層動態。IT主管不能只按自己的意愿行事，他們的預算依賴于地方政府，招募新員工也需要獲得批準。"

另一方面，Susskind指出，規劃或社會科學背景的學生往往研究智慧城市創新，卻對管理相關風險所需的技術知之甚少。而AI與先進系統設計，以及網絡法律等網絡安全領域的關鍵議題，工程系學生在其他課程中也未必能接觸到。網絡安全診所旨在彌補各學科學生的知識短板。課程每學期還會邀請至少六位來自業界、其他高校、麻省理工學院各院系及相關政府機構的嘉賓演講。

例如，今年春季的演講陣容包括：Industrial Data Works創始人Dan Ricci，講解預算約束環境下能源系統的風險建模；I&C Secure Inc.總裁Gus Serino，講授工業控制系統的運營技術網絡安全；以及來自馬薩諸塞州網絡安全中心和網絡安全和基礎設施安全局的代表，分別介紹各自州級和聯邦級組織的項目與舉措。

"有些高度專業化的內容，尤其是AI如何改變網絡安全的前沿知識，需要外部專家協助教授，"Susskind說，"網絡安全領域的變化速度，使得大多數學者都很難跟上。"

改進路線圖

診所學生在學期的前四周完成實地任務的準備工作。一系列在線模塊輔以課堂討論，涵蓋針對關鍵城市基礎設施的網絡攻擊的范圍與性質，梳理與客戶類型最相關的23個風險領域，并為評估流程的每個步驟提供指導，其中包括模擬棘手的客戶互動場景——如果客戶不重視學生的意見怎么辦？如果他們不提供必要信息怎么辦？如果他們要求獲得一份比實際情況更為樂觀的評估報告怎么辦？

"我從來沒有上過一門課，能讓我們為如此真實的場景做好準備，"今年春季完成該課程的計算機科學與工程專業大四學生Diego Contreras說。

在線模塊以一場考試作為收尾，學生必須一次通過才能獲得實地任務資格。學期余下時間，他們將通過每周課堂會議獲得持續支持，并就草稿報告獲得教師指導，但協調團隊工作、建立客戶信任的責任在于學生自身。

"你代表的是麻省理工學院，這是一份相當重大的責任，"Contreras說，"這門課培養了我在其他任何場合都難以習得的人際交往能力。"

"這個項目最微妙的地方在于如何平衡評估結論，"去年秋季以數理經濟學與金融專業大四學生身份修讀該課程的Zev Moore表示，"我們的方式是在提出重要改進建議的同時，充分肯定客戶已經建立的積極安全舉措，確保報告呈現為一份共同努力的改進路線圖。"

大多數報告都會提出若干共同的核心建議：清點所有接入網絡的硬件和軟件，追蹤訪問權限；定期修補軟件漏洞并備份數據；要求啟用多因素身份驗證并定期更新密碼；培訓員工不要打開來路不明的附件；制定攻擊響應預案，明確權責劃分并確立組織在支付贖金問題上的立場；僅使用具備良好網絡安全習慣的供應商。

"這些措施沒有一項耗資巨大，"Susskind說，"但綜合起來，它們很可能能夠規避80%甚至更多的網絡攻擊風險和損失。"

推廣模式

迄今為止，已有逾120名學生在麻省理工學院完成了完整的課程學習。為學生認證提供準備的在線模塊已作為大規模開放在線課程（MOOC）在MITx平臺上免費向公眾開放，課程名為"關鍵城市基礎設施網絡安全"，已吸引數萬名學習者。這些模塊也被其他設有自己網絡安全診所的大學所采用——這一群體正在不斷壯大，部分得益于麻省理工學院于2021年與加州大學伯克利分校、印第安納大學和阿拉巴馬大學聯合創立的高校聯盟（目前已有61所成員機構且仍在增加）。

大多數學生小組在完成建議報告后即結束客戶工作；少數人選擇在學期結束后繼續作為志愿者，為方案落地提供咨詢。無論哪種情況，Susskind和Chun都會在每次合作結束后至少兩年內定期回訪客戶。

"我們經常聽到客戶反映，漏洞評估報告成為了組織在短期、中期和長期內提升應對能力的行動藍圖，"Chun說，"我們主要與IT主管或首席技術官合作，許多人在合作結束后告訴我們，他們將麻省理工學院的報告提交給了市鎮領導層，并借此成功爭取到了額外預算或專項資金。他們以學生報告為依據說：'這不只是我個人的判斷。一支可信賴的團隊花費了大量時間，得出了這樣的結論。'"

"每當一些老客戶過了一段時間后又主動找上門來說：'我們換了新人，添置了新設備，能不能再做一次評估？'——這真的讓人由衷地感到欣慰，"Chun補充道。

Q&A

Q1：麻省理工學院網絡安全診所課程的學生具體怎么幫助客戶？

A：學生完成在線模塊學習并通過認證考試后，以小組形式被分配給真實客戶。他們通過調研評估客戶的網絡安全漏洞，最終提交一份涵蓋風險識別與改進建議的報告，內容包括軟硬件清點、多因素認證、員工培訓及應急響應計劃等，全程保密且免費。

Q2：什么是防御性社會工程學？

A：防御性社會工程學是麻省理工學院網絡安全診所提出的一種方法論，強調網絡安全不只是技術問題，更是人的問題。該方法關注組織內部的人員行為與決策，主張通過提升每個員工的安全意識和正確操作習慣，從源頭減少被攻擊的風險，而不是單純依賴最新的技術軟件。

Q3：中小型市政機構和醫院為什么容易遭受網絡攻擊？

A：這類機構通常缺乏專業網絡安全人員，原因在于網絡安全人才供不應求，而公共部門薪資水平難以與私營企業競爭。預算有限導致安全投入不足，也缺乏系統性的防護體系，因此成為勒索軟件等網絡攻擊的高危目標。