2024年底，一伙后来被微软命名为「盐台风」（Salt Typhoon）的黑客组织，做成了电信行业几十年来最恐怖的一件事：不是打瘫网络，而是静悄悄地钻进了美国至少八家主流运营商的核心网，并且摸到了**合法监听系统**——那个连运营商内部员工都碰不到的禁区。政客的通话元数据被拖走，美国政府自己的监听手段被迫临时更换。这起事件不是DDoS那种「热闹的攻击」，而是一场教科书级的APT渗透，它把电信核心网运维最不愿面对的问题摆上了台面：我们守护的这张网，攻击面到底有多大？本文以CISA、NSA、FBI联合公告与FCC后续监管动作为主轴，复盘盐台风的时间线、入侵路径、根因与行业整改，并给出国内运维视角的六条硬建议。 ## 目录 - 一、案情速览：迟到了几个月才发现的入侵 - 二、时间线：从边界设备到窃听系统 - 三、根因分析：核心网为什么会失守 - 四、影响评估：谁被看了、看了什么 - 五、处置与监管：CISA指南与FCC年度认证 - 六、2025年以来的演变与六条运维硬建议 - 七、结语 ## 一、案情速览：迟到了几个月才发现的入侵 盐台风事件最早的公开报道出现在2024年10月，《华尔街日报》率先披露多家美国电信公司遭到与中方关联的黑客组织长期渗透。随后几个月，事件像洋葱一样被层层剥开：受影响的运营商从最初点名的两三家，扩大到至少八家，公开名字包括AT&T、Verizon、T-Mobile、Lumen、Consolidated Communications、Windstream、MetroNet等；入侵深度从办公网一路深入到支撑核心网运维的网元管理面，最终触及**依法监听基础设施**（美国法律框架下即CALEA体系要求运营商部署的拦截交付系统）。 微软威胁情报团队给该组织起名Salt Typhoon，安全社区还追踪过GhostEmperor、FamousSparrow、Earth Estries等多个别名——多个厂商独立追踪多年，说明这不是一支新队伍，而是一支长期活跃、擅长隐匿的老手。中国政府方面则一贯否认相关指控。 与常见勒索攻击最大的不同是：**网络没有瘫痪，用户毫无感知**。没有大面积断网、没有账单异常、没有客服话务洪峰。攻击者的目标不是钱，而是「驻留」和「情报」。对运维团队来说，这恰恰是最阴险的对手模型——你的KPI里没有任何一条指标能提前暴露它。 2024年12月3日，CISA、NSA、FBI联合发布编号AA24-338A的公告《Enhanced Visibility and Hardening Guidance for Communications Infrastructure》，第一次以官方文件形式确认了事件的严重性，并给出了面向电信基础设施运营者的加固清单。这份文件是本文解读的主轴之一。 ## 二、时间线：从边界设备到窃听系统 ```mermaid timeline title 盐台风事件关键节点 2024年10月 : 华尔街日报等媒体首次曝光多家运营商失陷 2024年12月 : 受影响名单扩至八家以上 : CISA FBI NSA发布联合加固公告AA24-338A : 白宫官员通报数十名政治人物数据被窃 2025年1月 : FCC启动新规制定 : 多家运营商宣布完成清除 2025年3月 : FCC表决通过年度网络安全认证要求 2025年下半年 : 多家媒体报道攻击活动向更多国家与行业蔓延 ``` 把媒体报道与美国官方披露拼在一起，还原出的入侵链条大致是这样的： ```mermaid flowchart TD A["边界设备漏洞与弱认证"] --> B["入侵运营商边缘网元"] B --> C["在内网建立立足点"] C --> D["横向移动至网元管理面"] D --> E["渗透合法监听系统"] E --> F["窃取通话元数据与部分内容"] F --> G["长期潜伏并持续外带数据"] ``` 值得注意的是「迟到」这个细节。事后多方信息显示，攻击者在部分网络中的驻留时间以**月甚至年**计。也就是说，当2024年10月媒体曝光时，很多运营商的应急响应其实早已滞后——发现管道不是靠运营商自己的SOC，而是靠政府通报和友商互查。对日均告警数以万计的NOC来说，这暴露的正是APT检测能力的真空：你的告警平台会为一次闪断吵翻天，却对一次持续半年的异常登录无动于衷。 **主要受影响运营商及公开回应（据媒体公开报道整理）** | 运营商 | 公开情况 | 要点 | | --- | --- | --- | | Verizon | 确认失陷 | 配合政府调查，称已处置 | | AT&T | 确认失陷 | 称少数商务与政府客户数据被窃取 | | T-Mobile | 确认尝试入侵 | 称检测及时，数天内将攻击者逐出 | | Lumen | 确认失陷 | 涉及部分内部系统 | | Consolidated Communications | 确认失陷 | 受影响范围有限 | | Windstream | 确认失陷 | 配合调查与加固 | | MetroNet | 确认失陷 | 光纤ISP，规模较小 | > 表中信息来自《华尔街日报》、NBC新闻等媒体报道及各公司公开声明，各家的确切影响范围并未全部公开，读者应以官方通报为准。 ## 三、根因分析：核心网为什么会失守 很多人第一反应是「美国运营商安全做得差」。但把CISA公告和后续披露摊开看，会发现失守路径几乎是国内运营商环境的「镜像」，每一条都眼熟。 **第一，边界网元成了突破口。** 盐台风大量利用了运营商互联网出口和互联边界上那批「最容易忘」的设备：路由器、防火墙、VPN网关、管理代理。这些设备常年打不上补丁——因为它们在承载业务，割接窗口难申请，升级风险高，于是「下个季度再说」一拖就是一年。对攻击者来说，一个公开可查的CVE加一个没有MFA的管理接口，就是最省力的门票。 **第二，管理面与业务面没有真正隔离。** CISA公告点名的问题清单，在任何一个运营商网络里做现场核查都能对上大半：Telnet/HTTP/HTTP明文管理协议仍在网内使用、SNMP还在跑v1/v2、网元管理流量与业务流量同路、远程访问只有单因子口令。核心网内部的「可信区」假设——进了内网就安全——在攻击者拿到第一个立足点之后，等于主动给对方开了绿灯。 **第三，合法监听系统是整个网络里最薄弱的高价值资产。** 这是最值得国内同行细品的一条。按3GPP的LI架构（TS 33.127等规范），监听系统由触发、媒介、交付三个环节组成，通过X1/X2/X3等接口把拦截相关信息和通信内容交付给执法监测设施。它在物理和逻辑上都是一个「影子网络」：直接产权威数据、连接外部执法出口，却又常常游离在运营商日常变更管理、补丁管理之外——版本老旧、账号长期不动、访问控制依赖几台堡垒机。标准允许多种实现，具体行为以各厂家官方文档为准，但共性问题是相似的：**这个系统平时没人敢动，出了事没人愿意负责，攻击者最爱**。盐台风把手伸进这个系统，等于直接获得了「合法」的数据出口，绕开了所有面向公众侧的防护。 **第四，检测体系针对故障而非入侵。** 运营商的监控体系是为「断」而建的：告警、KPI、投诉。没有人盯着「配置被谁改了」「这台网元为什么在凌晨三点往外发流量」「这个账号为什么从没见过的IP登录」。CISA开出的第一剂药方就是「Enhanced Visibility」——可见性优先于加固，先能看见，再谈防住。 ## 四、影响评估：谁被看了、看了什么 2024年12月，白宫负责网络事务的副国家安全顾问Anne Neuberger在媒体通报中给出官方口径：攻击者窃取的主要是**通话元数据**——主被叫号码、通话时间、时长、基站定位等，涉及数十名美国政府高级官员和政治人物；对其中一小部分目标，攻击者还获取了实际通信内容（音频与短信）。 这个「元数据为主、少量内容」的组合，在情报价值上一点也不打折。元数据拼出来的社交关系图、活动规律、位置轨迹，足以支撑精准的情报作业。更狼狈的是被曝光的第三重影响：由于监听系统本身被渗透，美国政府不得不**更换自己部分调查手段**，部分依法监听行动被迫中止或转移。攻击者等于把「执法基础设施」变成了情报资产——这是这起事件区别于普通数据泄露的本质。 对运营商的商业影响同样实在：国会听证、参议员质询、品牌信任受损，随后FCC把安全合规从「自律」变成「持证义务」。T-Mobile之所以在舆论上全身而退，靠的正是「检测及时、数天驱逐」的叙事——同一件事，响应速度成了公关资产与负债的分水岭。 ## 五、处置与监管：CISA指南与FCC年度认证 事件处置分两条线：技术线与监管线。 技术线的核心是那份AA24-338A联合公告。抛开官方措辞，它给出的清单非常「运维」，每一条都可以直接改写成核查项： - **淘汰明文与遗留协议**：Telnet、HTTP、SNMPv1/v2全部下线，管理面走加密通道； - **管理面带外化**：网元管理流量与业务流量物理或逻辑分离，杜绝「业务即管理」； - **全量MFA**：所有远程访问和特权账号强制多因子，特权账号启用跳板加会话审计； - **及时补丁边界设备**：把路由器、防火墙、VPN网关纳入紧急补丁通道，不再按年度计划慢修； - **集中日志与流量加密可见性**：网元日志、配置变更、NetFlow集中外送留存，具备解密点或元分析能力； - **收敛暴露面**：互联网可达的管理接口清零，关闭不必要的服务与端口。 监管线的动作更快。2025年1月，FCC启动新规制定程序；同年3月，FCC表决通过，要求电信运营商**每年**依据CALEA第105条向FCC提交网络安全风险管理认证，证明自己建立了并执行了书化的安全风险管理计划。这在监管思路上是个转折：过去FCC管的是覆盖、互联、911可用性，如今把「网络安全成熟度」变成了准入门户口的年度义务。到2026年回看，这一步把美国电信业的安全建设从「预算争夺战」变成了「合规硬约束」——效果如何尚待验证，但方向值得各国监管参考。 ## 六、2025年以来的演变与六条运维硬建议 2025年，多家媒体报道盐台风关联活动没有收手，而是向更多国家的电信、政府乃至其他关键基础设施蔓延，部分机构被曝驻留时间超过一年。这些后续披露细节各异、部分未经官方证实，但行业共识是清晰的：**针对电信运营商的国家级渗透，已经是常态化的背景辐射**。核心网运维不能把它当成「美国的事」。 结合这次复盘，给国内同行六条可以直接落地的建议： 1. **把边界网元纳入紧急补丁通道。** 互联网出口路由器、SBC、CGNAT、VPN网关，单独建一张补丁台账，高危CVE按天评估、按周闭环，不要混进季度割接窗口排队。 2. **对合法监听系统做一次「敌情视角」审计。** 账号清单、访问路径、版本台账、数据出口、日志留存——逐项过一遍，重点看有没有游离在堡垒机和审计之外的旁路访问。 3. **管理协议清理专项。** 用配置巡检脚本全网扫Telnet、HTTP、SNMPv2的存量，给出关停时间表。这类「历史遗留」往往占网元数的两位数百分比。 4. **把「配置变更审计」做成告警。** 任何非变更窗口的配置修改、路由策略变动、ACL调整，实时出告警进NOC——这是发现APT驻留性价比最高的一条规则。 5. **特权账号行为基线。** 运维账号的登录源、时段、命令集做基线，偏移即告警。盐台风们最依赖的恰恰是「看起来像正常运维」的通道。 6. **检测预算向「驻留类」指标倾斜。** NOC的KPI里加上可疑驻留类指标：异常外联流量、长会话管理连接、休眠账号激活。断网类指标已经管得够严了，缺的是另一只眼。 一句话总结：盐台风没有击穿任何一台网元的「可用性」，它击穿的是我们整个运维体系的**假设**——内网可信、变更可控、监听系统无关紧要。这三个假设在2024年10月之后，都该扔掉了。 ## 七、结语 回顾这起事件，最值得记住的不是八家运营商的名字，而是一个结构性事实：电信网络的价值密度决定了它永远是国家级攻击者的首选目标，而核心网运维最大的敌人不是「断」，是「被潜伏」。网络断了，用户三分钟内就会告诉你；被潜伏了，你可能十八个月后才知道。2025年FCC把安全认证变成年度义务，CISA把「可见性」写进标题——监管和官方文件已经替运维说出了那句一直没人肯认账的话：**安全不是合规附录，它就是核心网的一部分**。下一次别人问你「核心网最怕什么故障」，答案或许应该是：最怕那种你看不见的。 ## 参考来源 1. [CISA网络安全公告 AA24-338A：Enhanced Visibility and Hardening Guidance for Communications Infrastructure](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-338a) — CISA/NSA/FBI三方联合发布的电信基础设施加固官方指南，本文技术建议的主轴来源 2. [Wikipedia：Salt Typhoon词条](https://en.wikipedia.org/wiki/Salt_Typhoon) — 事件时间线、受影响运营商名单与各方回应的聚合梳理，附原始报道引文 3. [FCC电子文档库（EDOCS）](https://www.fcc.gov/edocs) — 检索「CALEA cybersecurity certification」可查到2025年新规制定的NPRM及表决文件原文 4. [Microsoft Security Blog](https://www.microsoft.com/en-us/security/blog/) — 微软威胁情报团队对Salt Typhoon命名、活动范围与2025年演变的分析文章入口 5. [The Record by Recorded Future](https://therecord.media/) — 对运营商确认失陷、政府通报与后续调查的持续跟踪报道 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。