FBI 起假小鎮練網攻：點解醫院、油站、電力公司同紅綠燈都要落場

演練要夠真

FBI 今次公開嘅 Kinetic Cyber Range，聽落似電影片場：喺 Alabama Huntsville 校園入面，一個 22,000 平方呎室內小鎮，有屋、酒店、油站、超市、法院、醫院、電力公司，連路面同紅綠燈都有。設施 2025 年 2 月開用，至今訓練過超過 1,400 名 FBI 同其他執法機關人員。

最有意思嘅位，係每個場景背後都有真系統，而唔只係外牆似小鎮。FBI 話場內有 Active Directory、email、firewall、家居 IoT、車載電腦，同一個有 200 多部實體 server 嘅 data center，Windows 同 Linux 都有。學員要處理入侵、ransomware、搜證、同企業管理層溝通，出錯會留喺場內，唔會波及外面嘅系統。

圖片：FBI

OT 風險唔似普通 IT

點解要砌到咁實體？因為 OT/ICS 攻擊最麻煩嘅地方，係 cyber 同物理世界黐埋一齊。NIST SP 800-82 講 OT 包括工控、樓宇自動化、交通、門禁同環境監測，設計時要兼顧效能、可靠性同安全。普通 IT incident response 可以先斷網、封 account、重裝機；但醫院系統、電力設備、交通燈、升降機控制，一亂做可能影響服務甚至人身安全。

呢類 range 真正練嘅，唔止係技術手勢，仲有壓力同協調。FBI 官方文章提到學員會同扮演公司老闆、法律團隊、系統管理員嘅人對話，要講清楚攞咩資料、唔攞咩資料；仲會遇到醫院 ransomware 場景，燈號、警報、病人護理壓力一齊嚟。真正 incident response 最易出事，往往就係技術人員、營運團隊、法務、公關各講各話。

香港要學嘅位

放返香港，唔需要幻想有一個 FBI 式小鎮先叫成熟。重點係公司有冇把自己最怕停嘅流程攤開：支付、門禁、樓宇管理、客服、物流、雲端供應商、外判維修商，邊個有權停服務、邊個負責對外講、邊份 backup 真係還原到。紙上 tabletop 有用，但如果每次都係 IT 部門自己玩，OT 同業務負責人唔落場，練完都只係安慰劑。

本地規管其實已經推緊同一方向。OCCICS 顯示，《保護關鍵基礎設施（電腦系統）條例》喺 2026 年 1 月 1 日生效，指定營運者要做電腦系統保安管理計劃、定期風險評估、獨立審計、應急回應計劃，仲要參與電腦系統安全演習；嚴重事故要 12 小時內通知，其他事故 48 小時內通知，14 日內交書面報告。呢啲唔係表格功夫，做得差，真正出事時就會變成互相等指示。

我睇 FBI 呢單最值得抄嘅地方係方法多過規模：用真工具、真角色、真限制，迫團隊喺安全範圍內撞一次牆。大公司未必有錢砌街道，但可以砌一套演練 lab：複製身份系統、VPN、vendor remote access、核心 app、部分 OT 模擬器，再用真值班表跑一日。做到呢步，紅隊先唔會淨係交靚 report，藍隊都唔會淨係背流程。網安演練要有肌肉記憶，PowerPoint 幫唔到你開返醫院嘅系統。

參考來源

• TechCrunch — The FBI built its own replica small town to simulate real-world cyberattacks — original report
• Inside the FBI’s Kinetic Cyber Range — FBI 官方介紹 Kinetic Cyber Range 嘅規模、訓練內容同場內系統。
• FBI IC3 2025 Annual Report — 核對 2025 網罪投訴、損失同 ransomware 對關鍵基建嘅背景。
• NIST SP 800-82 Rev. 3: Guide to Operational Technology (OT) Security — 解釋 OT 點解要兼顧可靠性、安全同物理影響。
• Three Categories of Obligations for CI Operators — 核對香港關鍵基建營運者嘅演習、通報同應急義務。
• Protection of Critical Infrastructures (Computer Systems) Ordinance to come into effect on January 1, 2026 — 確認條例喺 2026 年 1 月 1 日生效。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。