2019年5月，马里兰州巴尔的摩市政府陷入混乱。网络犯罪分子锁定了该市大量关键文件，并索要解密赎金。巴尔的摩市政府拒绝支付，但这次攻击导致房地产交易、账单支付等大范围服务瘫痪，事后恢复费用高达数百万美元。

麻省理工学院城市研究与规划系（DUSP）开设的11.074/11.274课程（网络安全诊所）将巴尔的摩案例纳入教学大纲，作为市政府和公共机构遭受勒索软件攻击日益普遍的典型案例。为应对此类威胁，讲师Jungwoo Chun与城市及环境规划福特讲席教授Lawrence Susskind于2019年共同创办了MIT网络安全诊所，此后几乎每学期都开设该课程。

与法律或医疗诊所类似，该课程兼具两重意义：既是学生的实践培训，也为高风险社区提供公益服务。学生完成教学模块学习并通过认证考试后，将以团队形式被分配至一位客户。学期结束时，每支团队须提交一份评估报告，分析客户面临的网络攻击漏洞，并提出改进建议。迄今为止，该诊所已为新英格兰地区的市政机构和医疗机构提供了逾40份免费保密评估报告。

2025年，美国联邦调查局互联网犯罪投诉中心记录显示，针对美国民众的网络攻击平均每天高达2765起。Chun表示，当网络攻击袭击城镇时，影响远不止于经济损失："这会对我们生活的方方面面产生令人恐惧的连锁效应。"近年来，针对此类社区的网络攻击已威胁到供水安全，妨碍911及警务服务正常运行，并导致公民个人数据泄露。

尽管许多小型市政机构和医院是关键基础设施的重要门户，却普遍缺乏专业网络安全人员。当前劳动力市场中，此类专业人才的需求远超供给，公共部门的薪资待遇又难以与私营企业相抗衡。根据Comparitech的数据，2018年至2024年间，美国政府机构共遭受525次勒索软件攻击，约每五天一次，估计造成停机损失高达10.9亿美元。

Susskind表示："资金匮乏的公共机构和非营利组织需要走一条自助路径。在免费服务诊所的指导下，这些机构可以采取许多低成本举措。"

防御性社会工程学

有人或许会对一所网络安全课程开设于计算机科学系之外感到意外。Chun是一位专注于公共政策与规划的应用社会科学家，Susskind则是冲突解决与共识构建领域的权威学者。他们将诊所的核心方法称为"防御性社会工程学"，以此强调网络安全并非单纯的技术挑战。

"社会工程学"一词通常指网络犯罪受害者被操控、进而危及自身安全的各种手段（例如向骗子汇款、下载恶意代码或泄露敏感信息）。Susskind与Chun提出的"防御性社会工程学"同样根植于人类心理学，强调网络安全必须成为每位员工职责的一部分，无论其是否从事技术工作。

"关键在于让人们知道该怎么做，作出正确的选择，"Chun说，"帮助他们把现有资源和预算用在能产生长远效果的地方，而不是一味追购最新的杀毒软件。"

Susskind表示："有计算机科学背景的学生往往对我们重视帮助客户构建组织能力感到惊讶。学生需要了解客户所在社区的领导层动态。IT主任无法独自行事，他们的预算依赖于地方政府，招募新员工也需要审批。"

另一方面，Susskind指出，来自规划或社会科学背景的学生往往研究智慧城市创新，却对管理相关风险所需的技术知之甚少；而工程专业学生则可能在其他课程中接触不到AI、先进系统设计、网络法律等网络安全领域的关键知识。网络安全诊所旨在弥补各学科学生的知识短板。此外，课程每学期至少邀请六位来自业界、高校、MIT学术部门及相关公共机构的嘉宾讲师，进一步拓宽学生视野。

以今年春季学期为例，嘉宾阵容包括：Industrial Data Works创始人Dan Ricci，主讲预算约束环境下能源系统的风险建模；I&C Secure Inc.总裁Gus Serino，主讲工业控制系统的运营技术网络安全；以及来自马萨诸塞州网络安全中心和网络安全与基础设施安全局的代表，分别介绍各自州级和联邦级组织的项目与举措。

Susskind说："有些高度专业化的内容，尤其是AI正在如何改变网络安全这一议题，需要外部专家协助讲授。网络安全领域的变化速度之快，使大多数学者很难跟上节奏。"

改进路线图

学期的前四周，诊所学生专注于实地任务准备。一系列在线模块结合课堂讨论，梳理了针对城市关键基础设施的网络攻击的范围与性质，回顾了与客户最相关的23个风险领域，并为评估流程的每个步骤提供指导，其中包括模拟棘手的客户互动场景——如果客户不认真对待学生怎么办？如果客户拒绝提供必要信息怎么办？如果客户要求获得比实际情况更为乐观的评估结果怎么办？

"我从没上过一门课像这门课一样，为我们模拟了如此真实的场景，"今年春季修完该课程的计算机科学与工程专业大四学生Diego Contreras说。

模块学习以一场考试收尾，学生须一次性通过方可获得实地任务资格。此后整个学期，学生将通过每周课堂会议持续获得支持，并可就草稿报告获取教师反馈，但协调团队工作、建立客户信任的责任主要落在学生自己身上。

"你代表的是MIT，这是相当大的责任，"Contreras说，"这门课让我获得了在其他任何场合都无法培养的沟通技能。"

"这个项目中最微妙的部分，是如何平衡评估结论，"主修数学经济与金融的2026届毕业生Zev Moore说，他在去年秋季选修了这门课，"我们的做法是在提出重要改进建议的同时，肯定客户已有的安全措施，确保报告读起来更像是一份协作式的改进路线图，而非单方面的批评。"

大多数报告中都会出现若干核心建议，例如：清点所有接入网络的硬件与软件，追踪访问权限归属；定期为软件打补丁并备份数据；强制实施多因素身份验证并定期更新密码；培训员工不要打开来源不明的附件；制定攻击应急响应计划，明确指挥链条，并明确组织对于支付赎金的立场；以及仅与具备良好网络安全卫生习惯的供应商合作。

"这些措施没有一项是昂贵的，"Susskind说，"综合运用，它们很可能可以规避80%乃至更多的网络攻击风险与损失。"

模式推广

迄今为止，已有逾120名学生在MIT完成了完整课程。为学生认证做准备的在线模块已作为公开课发布于MITx平台，课程名为"关键城市基础设施网络安全"，吸引了数以万计的学习者。这些模块同时被其他高校的网络安全诊所采用。2021年，MIT联合加州大学伯克利分校、印第安纳大学和阿拉巴马大学共同创建了一个联盟，目前成员机构已达61所，推动了网络安全诊所模式在更多高校的落地。

大多数学生团队在提交最终建议后即结束与客户的合作，少数团队则自愿在学期结束后继续提供实施辅导。无论哪种情况，Susskind和Chun都会在每次合作结束后至少两年内定期回访客户。

"我们经常听到客户反映，漏洞评估报告已成为他们制定短期、中期和长期备战计划的行动蓝图，"Chun说，"我们主要与IT主任或首席技术官合作，许多人在合作结束后告诉我们，他们将MIT报告呈交给市镇领导，并借此成功争取到了额外预算或专项资金。他们拿着学生报告作为依据，说：'不只是我一个人这么说，我们有一支专业可信的团队，花了大量时间研究，这是他们的发现。'"

"每当曾经的客户过段时间再次联系我们，说：'现在我们有了新员工，刚采购了新设备，能不能再来评估一次？'这真的让我们感到由衷的欣慰，"Chun补充道。

Q&A

Q1：MIT网络安全诊所主要为哪些机构提供服务？

A：MIT网络安全诊所主要面向资金有限的公共机构和非营利组织，尤其是新英格兰地区的市政机构和医疗卫生机构。这些机构往往缺乏专业的网络安全内部人员，却又掌管着供水、警务、医疗等关键基础设施，极易成为勒索软件攻击的目标。诊所为其免费提供保密的漏洞评估报告，迄今已完成逾40份。

Q2：MIT网络安全诊所的"防御性社会工程学"是什么意思？

A："防御性社会工程学"是MIT网络安全诊所提出的核心方法论，强调网络安全不仅仅是技术问题，更是人的问题。网络攻击最常见的入口是人为失误，例如点击钓鱼链接或泄露敏感信息。该方法主张让组织内每位员工都具备网络安全意识，知道如何作出正确决策，并帮助机构将有限预算用在能产生长期效果的举措上，而非仅依赖技术软件防护。

Q3：参加MIT网络安全诊所课程的学生需要完成哪些任务？

A：学生需先用约四周时间完成在线教学模块学习，并一次性通过认证考试，方可获得实地任务资格。之后，学生以团队形式被分配至真实客户，在剩余学期内独立协调团队工作、与客户建立信任关系，最终提交一份涵盖漏洞评估结果与改进建议的完整报告。整个过程中，教师提供定期反馈支持，但主要责任由学生自主承担。