演习 SILENTSHIELD 2026：CISA 红队渗透两个关键基础设施，其中一次未被任何系统检测到

美国网络安全与基础设施安全局（CISA）发布静默盾牌（SILENTSHIELD）演习结果：两家美国关键基础设施组织被测试，两次成功入侵。其中一家未发出任何警报。同期，2026年7月，超过100个美国水系统遭到攻击。

SILENTSHIELD：CISA的红队对关键基础设施发动攻击

美国网络安全与基础设施安全局（CISA）刚刚公布了其SILENTSHIELD演习的结果——这些演习是在未告知美国关键基础设施组织的情况下，在其实际网络上进行的真实攻击模拟。

结果：两家测试的组织，红队完全成功渗透。其中一家在整个演习期间未发出任何警报，也未检测到任何异常。

CISA的行动方式

初始攻击向量：鱼叉式网络钓鱼。攻击者通过针对特定员工的网络钓鱼获取访问权限，这些员工信息由OSINT识别。无需利用零日漏洞即可入侵。

Living-off-the-land（LotL）横向移动。一旦进入系统，红队成员仅使用系统中已有的合法工具（PowerShell、WMI、管理工具）进行操作。结果：无任何恶意签名可供检测。

持续数周的隐蔽访问。长期维持的隐蔽访问忠实再现了APT组织的作战模式——真实攻击者不会急于行动。

为何其中一家组织未发现异常

这家组织暴露出非专业安全团队的典型防御缺陷：日志记录不足、仅基于签名的检测、缺乏主动威胁狩猎。

这种情况在关键基础设施（如公用事业、水务、能源）中普遍存在——IT团队规模有限，且历史OT系统众多。

背景：7月超过100个水务系统遭攻击

《The Register》同时披露，2026年7月，超过100个美国水务系统遭受网络攻击。SILENTSHIELD记录的缺陷与这些真实事件中的攻击向量完全一致。

运营商应采取的措施

优先级1：集中式日志记录。若无完整的连接日志、PowerShell执行记录和管理员访问记录，行为检测无从谈起。

优先级2：监控LotL活动。PowerShell、WMI和合法管理工具可被监控异常模式——即使没有恶意签名。

优先级3：CISA评估。CISA为关键基础设施运营商提供免费评估服务。这是一项资源，应在真实攻击者充当意外红队前加以利用。

立即行动：审计您的日志记录。若您缺乏集中式的连接和管理员执行日志，这是首要安全投资，优先于其他任何措施。联系CISA进行免费评估：cisa.gov/resources-tools/services/cisa-assessments