盐台风潜伏两年：九大运营商被入侵，核心网攻防全复盘

概述：2024年9月，一场潜伏了至少一到两年的网络入侵被曝光：多家美国主流电信运营商的核心网被一个代号「盐台风」（Salt Typhoon）的APT组织渗透，合法监听系统、用户通话元数据甚至高层通话录音失守，事件随后波及全球80多个国家的200多个目标，成为电信史上影响最深远的入侵事件之一。本文以运维视角复盘这条完整攻击链——攻击者如何从一台老旧的边缘设备走进核心网、为什么潜伏两年无人察觉、监管机构如何反应又如何反复，以及CISA那份加固指南里哪些条目值得抄进你明年的割接计划。

一、两年潜伏期：到底发生了什么

先把时间线摆清楚。据《华尔街日报》2024年9月26日报道，一个与中国政府存在关联的黑客组织渗透了多家美国互联网与电信服务商，微软将其命名为 Salt Typhoon（盐台风）。美方官员随后承认，该行动在被发现前很可能已经运行了一到两年——Bloomberg后来（2025年6月）报道，某家美国电信商实际被入侵时间比公开确认的无线侧事件还要早一年。

真正让这件事炸锅的是10月初的第二只靴子：WSJ披露，攻击者接触的正是运营商替执法机构执行法庭授权窃听的系统（即依据CALEA法案建设的合法监听平台）。这意味着被动的不再只是用户数据，而是整套监听基础设施本身。

以下是公开信息拼出的关键节点：

数据面的损失有多具体？美方通报：超过100万用户的通话与短信元数据（时间戳、主被叫号码、源/目的IP等）被读取，其中大部分集中在华盛顿特区周边——这明显是冲着政府目标去的；部分高价值目标甚至通话录音被拿走。公开确认卷入的美国运营商包括 Verizon、AT&T、T-Mobile、Spectrum（Charter）、Lumen、Consolidated Communications、Windstream 等。2025年之后战线继续外溢：加拿大一家电信商（2025年2月）、卫讯Viasat（2025年6月点名）、澳洲电信网络（ASIO负责人2025年11月公开警告）相继被披露遭渗透或试探。需要说明的是，对于美方将攻击归因于中国国家安全部的指控，中国驻外使馆公开否认，称其为「毫无根据的抹黑」。归因问题留给外交场，本文只谈技术事实：这条攻击链本身，值得每一个核心网运维者逐帧研究。

二、攻击链拆解：从一台老旧边缘设备到合法监听系统

按NSA/CISA/FBI 2025年8月联合报告披露的TTP，盐台风没有用什么惊天动地的0day武器库——它的可怕之处恰恰在于把已知漏洞和运维盲区用到了极致。

flowchart TD
    A["互联网暴露的边缘设备<br>VPN网关 防火墙 路由器"] -->|利用已知CVE| B["获取初始立足点"]
    B -->|免杀与反取证| C["修改ACL 植入SSH公钥"]
    C -->|建立隐蔽通道| D["在路由器上开GRE与IPsec隧道"]
    D -->|横向移动| E["进入核心汇聚与管理网段"]
    E -->|利用Cisco Guest Shell| F["在容器内驻留并中转工具"]
    F -->|寻找高价值资产| G["合法监听系统与元数据平台"]
    G --> H["批量窃取元数据与录音"]
    C --> I["明文协议外传 规避检测"]

三个细节值得放大：

1. 入口全是「已知但没修」的漏洞。 联合报告列出的被利用CVE清单读起来像一张运营商资产清点提醒单：Ivanti Connect Secure命令注入（CVE-2024-21887）、Palo Alto PAN-OS GlobalProtect（CVE-2024-3400）、Cisco IOS XE Web UI认证绕过（CVE-2023-20198）及后认证命令注入（CVE-2023-20273）、FortiClient EMS SQL注入、Exchange ProxyLogon、Citrix NetScaler（CVE-2025-5777）……全部是公开超过数月甚至数年的漏洞。攻击者赌的就是：你总有一台挂在互联网边缘、三年没升过级的VPN网关或汇聚路由器。

2. 驻留手法是「活在地形里」。 攻击者不投放重型后门，而是修改设备ACL放行自己的IP、给既有SSH服务加公钥、在Cisco设备自带的Guest Shell容器里跑工具——容器内的活动通常不在常规监控范围内，日志里几乎不留痕。C2流量走GRE/IPsec隧道，看起来和正常隧道业务没区别。Kaspersky还报告其使用Windows内核级rootkit（Demodex）实现深度控制。这套组合拳对「以设备本身为可信源」的传统运维模式是降维打击。

3. 目标直指合法监听系统。 运营商网络里最有价值的资产不是用户数据库，而是LI（Lawful Intercept）系统：它天然汇聚全量信令与媒体、直连核心网元、且为了执法便利往往拥有超宽的访问权限。CISA在2024年10月后的多份通报里反复点名这类系统，WSJ披露攻击者借此对特定目标实施实时监听。换句话说，攻击者理解运营商网络的价值分布，比一些运维团队自己还清楚。

三、为什么潜伏两年无人察觉

复盘这类APT，最刺痛的问题从来不是「攻击者多强」，而是「防御方为什么看不见」。结合CISA事件后发布的指南与各家披露的信息，至少有五个系统性盲区：

CISA在指南里有一句话值得裱起来：「不要让设备自己成为其配置的可信源」——配置必须集中存储、定期下发和比对。这在故障运维里叫配置基线，在安全攻防里叫「篡改可见性」。盐台风能在设备上改ACL、开隧道、起容器而不触发任何告警，本质上是整个管理体系的「变更可见性」为零。对我们这些天天跟割接、告警治理打交道的人来说，这不是网络安全问题，这就是运维可观测性问题。

四、监管过山车：强制认证提出到推翻的十个月

事件引发的监管反应堪称戏剧性。2025年1月16日，时任FCC主席Rosenworcel在离任前几天推出两份文件：一份声明性裁定（Declaratory Ruling），援引CALEA法案第105条，认定运营商有法律义务「保护网络免遭非法接入与窃听」；随附一份规则制定提案（NPRM），拟要求通信服务商每年向FCC提交认证，证明其已建立、更新并落实网络安全风险管理计划。裁定即时生效。

然后剧情反转。2025年11月20日，新任主席Carr领导下的FCC以2:1投票推翻了这份裁定，并撤回NPRM，理由是前者「对CALEA做了错误解读」「法律基础有缺陷、只会产生弱要求」。行业组织USTelecom随即发表联合声明欢迎这一决定，称原规则「僵化且适得其反」；密歇根州参议员Peters则公开表达失望，称这会让「盐台风之后建立的基本防线被拆掉」。

值得注意的是，推翻≠躺平。FCC在2025年3月启动了2001年以来首次海缆规则全面修订，要求海缆牌照申请人及持牌人认证其已建立网络安全风险管理计划——海缆作为登陆点恰是国际链路咽喉。同时FCC承诺强化对「因网络攻击导致通信中断」的调查程序。2026年2月，参议员Cantwell致信要求就AT&T、Verizon聘请Mandiant做的安全评估举办公开听证，指责两家公司扣留报告；Carr主席则复信为其撤销决定辩护。强制认证与自愿承诺之争，至今没有落幕。这场拉锯对全球监管者都是一个活教材：安全基线到底该写进法条，还是留在企业董事会的风险清单里？

五、CISA加固清单：把公告语言翻译成运维动作

CISA那份联合指南（2024年12月3日，CISA/NSA/FBI+澳加新四国机构联署）是本次事件最具实操价值的产出。它没什么新概念，全是「基本功」，但每一条都能对应到日常运维动作：

标准允许多种实现，具体产品形态以各厂家官方文档为准——但上面这张表里没有一条是买新设备才能做的，九成是管理动作。以我带过的核心网团队经验，光「配置集中比对+边缘协议清退+OOB隔离」这三件事认真做下来，就能把这个攻击链条的前三环全部掐断。

六、给国内同行的五条启示

撇开归因争议，盐台风事件对国内运维团队的参照价值是清晰的。结合国内《关键信息基础设施安全保护条例》与等级保护2.0的既有要求，我认为有五条最值得落地：

1. 把合法监听系统当成最高等级资产重新审视。 它汇聚全量数据、权限超宽、历史包袱重（往往是独立烟囱式部署），在攻击者价值排序里排第一。LI系统的网络位置、访问控制、账号审计、日志留存，值得做一次独立红蓝评估。美方的教训证明：监听系统失守的杀伤力远超一般业务系统泄露。

2. 变更可见性就是安全可见性。 我们做割接有变更管理，但「计划外变更」的检测普遍薄弱。配置漂移监控应该像告警治理一样成为常态化指标：任何与基线不符的配置差异（ACL、账号、隧道、服务开关）自动告警。盐台风的所有驻留动作，本质上都是「未走变更流程的变更」。

3. 老旧边缘设备是最大的不确定性。 全网最贵的高端路由器反而往往管得好，出事的永远是那台挂在DMZ、没人认领、EOL三年的VPN网关。资产清点要按「互联网暴露面」排序而不是按设备价值排序。

4. 供应链与归因之外，基本功决定下限。 FBI 2025年4月开出1000万美元悬赏、财政部制裁涉事技术公司，这些是国家级对抗动作；但对单个运营商而言，决定你是否成为受害者的，仍是补丁及时率、协议清退率、日志完整率这些枯燥指标。APT打的是「木桶最短板」，不打平均值。

5. 监管会摇摆，工程实践不会。 美国FCC十个月里立而后废的反复说明，合规清单不是安全本身。等保和CII条例提供了底线框架，但真正的防线在团队日常：配置审计、日志治理、暴露面收敛。监管文件会变，「假设核心网已被渗透」的推演思路不会过时。

结语

盐台风事件最反直觉的一点是：这不是一场技术奇观的胜利，而是一场「基本功差距」的展示。攻击者用的几乎全是公开多年的漏洞、协议和工具，赢在目标网络里存在着两年无人察觉的管理盲区。对运营商而言，最贵的防御不是又买一套态势感知平台，而是让每一条ACL修改、每一台暴露设备、每一段管理流量都处在「有人看、比对得上、告得出」的状态。核心网运维者手中本就握着最好的安全传感器——配置基线、信令监测、流量模型，缺的只是把它们从故障工具重新定义为安全工具的那一步。这场持续两年、波及全球的攻防复盘，价值不在恐吓，而在提醒：网络安全的下限，从来由运维的基本功决定。

参考来源

2. Enhanced Visibility and Hardening Guidance for Communications Infrastructure | CISA — CISA/NSA/FBI及澳加新机构2024年12月联合加固指南全文
3. FCC: Require Telecom Carriers to Secure Their Networks（DOC-408013A1） — 2025年1月CALEA声明性裁定与年度认证提案新闻稿
4. FCC Corrects Course, Outlines Improved Cybersecurity Measures（DOC-415455A1） — 2025年11月20日FCC撤销原裁定的官方新闻稿
5. FCC reverses course on CALEA, as national security risks drive tougher cyber expectations - Industrial Cyber — FCC政策转向分析：海缆安全计划、国家安全委员会与「坏实验室」封禁
6. Joint Statement on FCC Rescinding Declaratory Ruling on CALEA - USTelecom — 行业组织对撤销裁定的联合声明（2025年11月20日）

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。