**概述**：2024年10月起，一场代号「盐台风」（Salt Typhoon）的网络渗透行动浮出水面：至少九家美国主流电信运营商被同一国家级黑客组织长期潜伏，而攻击者的最终目标不是勒索、不是DDoS，而是运营商依据《CALEA法案》-built的**合法监听系统**本身——全网权限最高、却最少有人盯防的孤岛。本文按时间线复盘事件、解剖合法监听（Lawful Intercept）系统的架构软肋、梳理FCC 2025年新规与行业诉讼的拉锯，并给出国内运营商与设备工程师可直接落地的加固清单。 ## 目录 - 一、事件是什么：两年潜伏，目标是窃听系统本身 - 二、时间线：从曝出到立法 - 三、为什么是合法监听系统：权限最高、最没人盯的孤岛 - 四、入侵路径解剖：从老旧路由器到监听平台 - 五、监管的反击与它的软肋 - 六、给国内同行的六条加固清单 - 结语 ## 一、事件是什么：两年潜伏，目标是窃听系统本身 干过核心网的同行都知道，运营商网络里有一类特殊的网元：它不承载业务量，却拥有“看穿全网”的权限；它不出现在常规割接计划里，却连接着核心网所有关键接口；它的运维往往由厂商远程代管，连本局工程师都很少登录。这就是合法监听系统（Lawful Intercept，LI）。 2024年秋天曝出的「盐台风」事件，把这类系统的安全问题彻底掀上了台面。据FBI与CISA（美国网络安全和基础设施安全局）的官方通报，一个被微软等安全厂商追踪为 Salt Typhoon 的国家级黑客组织，渗透了美国至少九家主流电信运营商——包括AT&T、Verizon、T-Mobile、Lumen、Frontier、Consolidated、Windstream等，其中既有全国性巨头，也有区域型固网运营商。 按2024年12月白宫副国家安全顾问Anne Neuberger通报的口径：攻击者窃取了约四十部特定目标手机的通话元数据（主被叫、时长、位置类信息），涉及政府高官与竞选团队；少数目标连语音内容都被录走。这个数字乍看不吓人——四十部手机，对一张亿级用户的网络来说九牛一毛。但真正让美国安全圈脊背发凉的是后一条：**攻击者进入了运营商用于执法监听的系统**。换句话说，他们不是偷了数据，而是接管了「偷数据的合法管道」。 T-Mobile在2025年1月公开表示已完成清除、未发现客户数据被大规模窃取；但据Wired的后续调查报道，直到2025年年中，仍有个别运营商网络中残留入侵痕迹——一场驱逐战打了大半年还没打完，这在APT（高级持续性威胁）的攻防里并不罕见，却足以说明运营商网络的纵深防御有多脆弱。 ## 二、时间线：从曝出到立法 | 时间 | 事件 | |------|------| | 2024年9–10月 | 多家美媒披露美国电信业遭国家级渗透，业界代号「盐台风」，与追踪多年的GhostEmperor工具集存在关联（内核级rootkit） | | 2024年11月 | FCC提出规则：设施型运营商须建立网络安全风险管理计划并年度认证 | | 2024年12月 | FBI/CISA确认至少八至九家运营商被入侵；白宫简报通报约四十部目标手机元数据失窃、少数目标语音被录 | | 2025年初 | 参议员怀登（Ron Wyden）办公室披露：多家运营商的合法监听基础设施被侵入，呼吁改革监听制度 | | 2025年1月 | T-Mobile宣布完成清除；FBI协助各局开展驱逐与换装行动（淘汰EOL路由器、重置凭据） | | 2025年3月13日 | FCC正式通过新规：运营商须参照NIST CSF 2.0建立网络安全风险管理计划（CRMP）并逐年提交合规认证 | | 2025年上半年 | 据行业媒体报道，CTIA等行业协会向联邦第六巡回上诉法院起诉FCC，主张新规越权；同期加拿大、欧洲亦有电信商遭同族组织渗透的披露（据报道） | | 2025年中 | Wired调查报道：仍有运营商网络未彻底清除入侵者 | ## 三、为什么是合法监听系统：权限最高、最没人盯的孤岛 要理解这次事件的杀伤力，得先看懂合法监听系统在一张网里的位置。国际上通行的是ETSI LI架构：执法机关送达监听令后，通过HI1接口激活监听；网内的监听 mediation 设备向核心网元（MSC/IMS/EPG网元或SBC）下发镜像规则（X1配配套、X2/X3采集），再把话单类信息（HI2）和内容（HI3）加密递送到执法侧的监听中心。 ```mermaid sequenceDiagram participant LE as 执法机关 participant MC as 监听中心 participant LI as 网内监听平台 participant NE as 核心网元 LE->>MC: 送达监听令 MC->>LI: HI1激活监听 LI->>NE: 下发镜像规则 NE-->>LI: 副本流量 LI-->>MC: HI2话单与HI3录音 ``` 这套架构的天生矛盾在于三句话： **第一，它的权限是全网最高的。** 监听平台能按号码拉出任何用户的通话记录与内容，本质上是「内置在网里的超级后门」——只不过这个后门是法律要求建的。 **第二，它的可见度是全网最低的。** 出于合规隔离的要求，监听系统的账号、日志、接口普遍与生产运维体系割裂：常规网管看不到它，SOC的安全事件关联里往往也没有它的查询审计。一个运行了十几年的监听平台，可能从未被渗透测试覆盖过。 **第三，它的架构是全网最老的。** 监听系统属于典型的「合规资产」：建完就锁定，轻易不动。操作系统老版本、静态口令、厂商远程代管账号长期有效，都是这类设备的常见形态。它监听别人，却几乎没有人监视它。 攻击者选它作为目标，是教科书级的「找软肋」：不需要打穿核心网，只需要进入这个孤岛，就等于拿到了全网任意用户的话单与录音提取权，而且所有动作都长得像「合法监听作业」——这正是事件中最难检测的部分。据怀登办公室的披露与后续报道，这次被侵入的正是多家运营商的监听基础设施，「合法窃听成了最好的后门」这句话，从此写进了安全圈的反面教材。 ## 四、入侵路径解剖：从老旧路由器到监听平台 综合FBI/CISA的通报与Wired等媒体的调查，盐台风的典型入侵链路可以归纳如下（各局细节不同，以下是公开材料中的共性归纳）： ```mermaid flowchart TD A["老旧边界设备失守
EOL路由器与VPN"] --> B["抓取配置与凭据"] B --> C["横向移动
进入运维管理网"] C --> D["摸到监听平台"] D --> E["以合法功能拉取话单"] D --> F["部署内核级后门"] E --> G["元数据分批外传"] F --> H["长期潜伏反复进出"] ``` 这条链路里有三个值得工程师咀嚼的细节。 **其一，突破口大量落在生命周期末端的网络设备上。** FBI在事后通告里专门建议各局淘汰EOL（停止维护）路由器并重置全部相关凭据。这类设备往往挂在网络最边缘、最没人在意，但它们掌握着进网的合法通道。安全预算总是优先给核心网，而APT偏偏从边角的资产进来——这与我们做割接的直觉完全相反：**危险度不等于资产重要度，等于「权限×无人盯防」**。 **其二，横移走的是运维管理面。** 拿到边界设备的本地凭据后，攻击者沿着管理网（OSS/网管VLAN）一路向内，最终触达监听平台。运营商网络的传统假设是「专用协议、封闭网络，外面进不来」，但二十年的IP化早已打破了这个假设——管理面与业务面的隔离，很多局点在纸面上有、在配置里松。 **其三，外传动作伪装成合法监听作业。** 从监听平台里查一份话单，与执法机关的正常调证在日志上几乎无法区分，除非查询审计本身被独立监视。这也是为什么事后FBI建议把监听相关的查询日志纳入集中检测——「谁来监视监视者」，成了这次事件留给全球运营商的必答题。 ## 五、监管的反击与它的软肋 事件直接催生了美国电信业十几年来力度最大的安全监管动作。2025年3月13日，FCC通过新规：所有设施型运营商必须参照NIST CSF 2.0（或等效框架）建立网络安全风险管理计划，每年更新并逐年向FCC提交合规认证。这是FCC首次把「网络安全管理」从建议变成持牌义务。 但反弹同样激烈。据行业媒体报道，CTIA等行业协会随即向第六巡回上诉法院提起诉讼，核心主张是：FCC在国会有无明确授权的情况下创设年度认证义务，属于越权；而且「每年交一份计划书」这种合规填表，与真实攻防能力之间隔着十万八千里。这场官司截至发稿仍在拉锯中，但它点破了电信安全监管的根本困境——**监管能强制的是流程，攻击者攻击的是技术**。一份参照NIST框架写出来的CRMP文档，挡不住一条内核级rootkit。 真正有实效的反而是那些不体面的苦活：FBI牵头协助各局驱逐入侵者、全网淘汰EOL设备、重置凭据、收缩VPN入口、把监听系统纳入统一资产与日志管理。据Wired报道，T-Mobile等局点正是靠着网络分段与快速换装完成了清除。监管给了方向，止血靠的还是一张网一张网地做工程。 ## 六、给国内同行的六条加固清单 盐台风不是孤立事件，它暴露的是全球运营商网络的共性软肋。以下六条，每一张网都值得自查： 1. **把监听/LIG与调证系统列入一级资产清单。** 它们的权限等级应高于计费与HLR/HSS，但现实中往往不在常规资产台账里。先盘点，再谈防护。 2. **查询审计外送SIEM。** 监听平台的每一次查询、每一次HI接口激活，都应有独立于平台本身的日志通道送往安全监测系统，并配置基线告警（非工作时段查询、非常规号码段批量调取、执法侧未备案的激活）。 3. **收缩厂商远程代管通道。** 厂商账号长期有效、共享口令、经VPN直连网管，是监听类与网管类设备的通病。最小授权、动态口令、按会话审批，缺一条都是洞。 4. **EOL设备清理要排上割接计划。** 别把它当省钱杂务。给边缘老旧路由器做一次专项盘点：哪些还在跑管理协议、哪些凭据五年没换过。 5. **管理面与业务面真隔离。** VRF/带外网管不是文档里的图，要抽检配置。特别是能触达监听、信令采集、调证系统的管理通道。 6. **元数据按敏感数据处理。** CDR与信令账单等于一个人的社会关系图谱。内部流转加密、保留期最小化、导出审批——别让「话单不算敏感数据」的旧观念留在制度里。 ## 结语 盐台风事件最刺眼的地方，不在于黑客有多强，而在于他们攻击的对象——合法监听系统——恰恰是运营商网络里「权限最高、历史最老、盯防最少」的三重孤岛。法律为了执法便利在网络里预埋的管道，成了国家级攻击者现成的高速公路。FCC的新规和随后的诉讼，争的是合规的边界；而真正决定下一次攻防胜负的，是每一张网里那些没人登录过的盒子、五年没换过的口令、和从未被监视过的查询日志。合规是地板，不是天花板——对运营商务实如此，对任何手里握着「合法特权系统」的行业，都一样。 ## 参考来源 1. [Salt Typhoon - Wikipedia](https://en.wikipedia.org/wiki/Salt_Typhoon) — 事件完整时间线、受影响运营商名单与各国通报的汇总条目 2. [FCC News & Events](https://www.fcc.gov/news-events/news) — 2025年3月13日通过运营商网络安全风险管理计划（CRMP）年度认证新规的官方新闻稿可在此检索 3. [WIRED: Salt Typhoon 专题](https://www.wired.com/tag/salt-typhoon/) — Andy Greenberg 等人关于入侵持续与驱逐进展的系列调查报道 4. [Communications Assistance for Law Enfocement Act - Wikipedia](https://en.wikipedia.org/wiki/Communications_Assistance_for_Law_Enforcement_Act) — 合法监听制度（CALEA）的立法背景与技术要求 5. [CISA Cybersecurity Advisories](https://www.cisa.gov/news-events/cybersecurity-advisories) — FBI/CISA/NSA 关于电信业入侵的联合公告索引 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。