9月速遞
工業(yè)信息安全“信息共享”，金瀚信安帶您一站式掌握2021年9月份國(guó)內(nèi)外工業(yè)信息安全資訊～
政策法規(guī)
工業(yè)和信息化部發(fā)布《關(guān)于加強(qiáng)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全工作的通知》。國(guó)家標(biāo)準(zhǔn)《重要數(shù)據(jù)識(shí)別指南》正在按程序編制，征求意見稿已經(jīng)完成，即將征求社會(huì)意見。工信部公開征求對(duì)《網(wǎng)絡(luò)產(chǎn)品安全漏洞收集平臺(tái)備案管理辦法(征求意見稿)》的意見。美國(guó)白宮發(fā)布關(guān)于零信任戰(zhàn)略新的指導(dǎo)意見，正在大力推動(dòng)各機(jī)構(gòu)采用零信任的網(wǎng)絡(luò)安全架構(gòu)。美國(guó)石油協(xié)會(huì)發(fā)布新版管道網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，該版本涵蓋了所有控制系統(tǒng)。
工信部：加強(qiáng)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全工作
9月16日，工業(yè)和信息化部發(fā)布《關(guān)于加強(qiáng)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全工作的通知》。各相關(guān)企業(yè)要采取管理和技術(shù)措施，按照車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全相關(guān)標(biāo)準(zhǔn)要求，加強(qiáng)汽車、網(wǎng)絡(luò)、平臺(tái)、數(shù)據(jù)等安全保護(hù)，監(jiān)測(cè)、防范、及時(shí)處置網(wǎng)絡(luò)安全風(fēng)險(xiǎn)和威脅，確保數(shù)據(jù)處于有效保護(hù)和合法利用狀態(tài)，保障車聯(lián)網(wǎng)安全穩(wěn)定運(yùn)行。
資料來(lái)源：
https://mp.weixin.qq.com/s/jltLjv-NXLh5s-xVm3KJhA
《重要數(shù)據(jù)識(shí)別指南》(征求意見稿)全文首度公開
目前，國(guó)家標(biāo)準(zhǔn)《重要數(shù)據(jù)識(shí)別指南》正在按程序編制，征求意見稿已經(jīng)完成，即將征求社會(huì)意見。本標(biāo)準(zhǔn)提出了重要數(shù)據(jù)的特征，明確了識(shí)別重要數(shù)據(jù)的基本流程以及對(duì)重要數(shù)據(jù)的描述格式。本標(biāo)準(zhǔn)為各地區(qū)、各部門制定本地區(qū)、本部門以及相關(guān)行業(yè)、領(lǐng)域的重要數(shù)據(jù)具體目錄提供參考，為重要數(shù)據(jù)安全保護(hù)工作提供支撐。
資料來(lái)源：
https://mp.weixin.qq.com/s/hxSXxm3MvECjD49Z55H_aw
工信部公開征求對(duì)《網(wǎng)絡(luò)產(chǎn)品安全漏洞收集平臺(tái)備案管理辦法(征求意見稿)》的意見
為貫徹落實(shí)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》，規(guī)范網(wǎng)絡(luò)產(chǎn)品安全漏洞收集平臺(tái)備案管理，工業(yè)和信息化部起草了《網(wǎng)絡(luò)產(chǎn)品安全漏洞收集平臺(tái)備案管理辦法(征求意見稿)》(見附件)。為進(jìn)一步聽取社會(huì)各界意見，現(xiàn)予以公示。
資料來(lái)源：
https://wap.miit.gov.cn/jgsj/waj/gzdt/art/2021/art_6eb9aa368ebb44f8bf385ce291a73450.html
美國(guó)白宮發(fā)布關(guān)于“零信任”安全方法的聯(lián)邦網(wǎng)絡(luò)戰(zhàn)略計(jì)劃
美國(guó)管理和預(yù)算辦公室和網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局發(fā)布了關(guān)于零信任戰(zhàn)略新的指導(dǎo)意見。聯(lián)邦政府正在大力推動(dòng)各機(jī)構(gòu)采用零信任的網(wǎng)絡(luò)安全架構(gòu)，這些文件形成了各機(jī)構(gòu)在2024財(cái)年結(jié)束前部署新型網(wǎng)絡(luò)安全架構(gòu)的路線圖。
資料來(lái)源：
https://www.nextgov.com/cybersecurity/2021/09/biden-administration-releases-draft-zero-trust-guidance/185166/
美國(guó)石油協(xié)會(huì)發(fā)布新版管道網(wǎng)絡(luò)安全標(biāo)準(zhǔn)
美國(guó)石油協(xié)會(huì) (API) 發(fā)布了其管道網(wǎng)絡(luò)安全標(biāo)準(zhǔn)的第三版。該版本涵蓋了所有控制系統(tǒng)，該標(biāo)準(zhǔn)基于 NIST 的網(wǎng)絡(luò)安全框架和北美電力可靠性公司的關(guān)鍵基礎(chǔ)設(shè)施保護(hù) (NERC CIP) 標(biāo)準(zhǔn)。新標(biāo)準(zhǔn)描述了加強(qiáng)管道資產(chǎn)抵御勒索軟件和其他威脅的要求。
資料來(lái)源：
https://www.securityweek.com/new-edition-pipeline-cybersecurity-standard-covers-all-control-systems?&web_view=true
安全事件
美國(guó)最大的港口休斯頓港遭網(wǎng)絡(luò)攻擊，官方宣稱沒有受到影響。德國(guó)大選機(jī)構(gòu)也遭到網(wǎng)絡(luò)攻擊，當(dāng)局同樣表示沒有受到影響。曼谷航空公司的200GB數(shù)據(jù)遭泄露，但并未影響其運(yùn)營(yíng)?；ヂ?lián)網(wǎng)服務(wù)提供商Yandex遭受俄羅斯歷史上最大的DDoS攻擊，峰值達(dá)到前所未有的每秒2180萬(wàn)個(gè)請(qǐng)求。美國(guó)農(nóng)民合作社遭勒索攻擊后被索要590萬(wàn)美元贖金。2021上半年，物聯(lián)網(wǎng)攻擊猛增，較2020下半年翻了一倍，由惡意軟件產(chǎn)生的流量在互聯(lián)網(wǎng)流量中的占比達(dá)到了39%。
美國(guó)休斯頓港遭網(wǎng)絡(luò)攻擊
CISA官員報(bào)告稱，一個(gè)黑客組織試圖通過(guò)利用Zoho用戶身份驗(yàn)證設(shè)備中的零日漏洞破壞休斯頓港網(wǎng)絡(luò)。港口當(dāng)局聲稱他們有效地防御了這次攻擊，并補(bǔ)充此次攻擊沒有影響操作數(shù)據(jù)以及系統(tǒng)。
資料來(lái)源：
https://www.ehackingnews.com/2021/09/port-of-houston-attacked-employing-zoho.html
曼谷航空公司的200GB數(shù)據(jù)遭泄露
LockBit勒索軟件團(tuán)伙聲稱竊取了曼谷航空公司超過(guò) 200GB 的數(shù)據(jù)，并威脅說(shuō)如果公司不支付贖金，就會(huì)泄露被盜數(shù)據(jù)。該航空公司表示，安全漏洞并未影響曼谷航空公司的運(yùn)營(yíng)或航空安全系統(tǒng)，但攻擊者可能已經(jīng)訪問(wèn)了屬于乘客的個(gè)人數(shù)據(jù)。
資料來(lái)源：
https://securityaffairs.co/wordpress/121702/data-breach/lockbit-gang-bangkok-airways.html
互聯(lián)網(wǎng)服務(wù)提供商Yandex遭受俄羅斯歷史上最大的DDoS攻擊
互聯(lián)網(wǎng)服務(wù)提供商Yandex遭受俄羅斯歷史上最大的DDoS攻擊，攻擊峰值達(dá)到前所未有的每秒2180萬(wàn)個(gè)請(qǐng)求。此次攻擊是由一個(gè)新的DDoS僵尸網(wǎng)絡(luò)發(fā)起的，跟蹤為Mēris。根據(jù)Yandex和Qrator Labs進(jìn)行的聯(lián)合調(diào)查，Mēris僵尸網(wǎng)絡(luò)由大約200,000多個(gè)設(shè)備組成。
資料來(lái)源：
https://securityaffairs.co/wordpress/122048/malware/meris-botnet-ddos.html
美國(guó)農(nóng)民合作社遭勒索攻擊后被索要590萬(wàn)美元贖金
BlackMatter勒索軟件團(tuán)伙襲擊了美國(guó)農(nóng)民飼料和谷物合作社NEW Cooperative，并要求支付590萬(wàn)美元的贖金。該團(tuán)伙聲稱竊取了1,000GB數(shù)據(jù)，包括soilmap.com項(xiàng)目的源代碼、財(cái)務(wù)信息、網(wǎng)絡(luò)信息、研發(fā)結(jié)果、敏感員工信息、法律和執(zhí)行信息。
資料來(lái)源：
https://securityaffairs.co/wordpress/122410/cyber-crime/black-matter-new-cooperative.html
德國(guó)大選機(jī)構(gòu)遭到網(wǎng)絡(luò)攻擊
據(jù)法新社報(bào)道，威脅行為者上個(gè)月攻擊了負(fù)責(zé)德國(guó)9月26日大選的當(dāng)局的網(wǎng)站。據(jù)該組織發(fā)言人稱，襲擊發(fā)生在8月底，造成服務(wù)暫時(shí)中斷。發(fā)言人表示由于采取了額外的保護(hù)措施，選舉本身順利進(jìn)行所必需的IT系統(tǒng)沒有受到影響。
資料來(lái)源：
https://www.securityweek.com/german-election-authority-confirms-likely-cyber-attack?&web_view=true
物聯(lián)網(wǎng)攻擊猛增，半年內(nèi)翻了一倍
卡巴斯基研究人員發(fā)現(xiàn)2021年上半年物聯(lián)網(wǎng)攻擊次數(shù)超過(guò)15億次，高于2020下半年的6.39億次，針對(duì)物聯(lián)網(wǎng)設(shè)備的網(wǎng)絡(luò)攻擊增長(zhǎng)了100%以上。攻擊者試圖通過(guò)這些攻擊竊取數(shù)據(jù)、挖掘加密貨幣或構(gòu)建僵尸網(wǎng)絡(luò)。
資料來(lái)源：https://threatpost.com/iot-attacks-doubling/169224/
惡意軟件產(chǎn)生了39%的互聯(lián)網(wǎng)流量
根據(jù)梭子魚網(wǎng)絡(luò)的數(shù)據(jù)，2021上半年，由惡意軟件產(chǎn)生的流量在互聯(lián)網(wǎng)流量中的占比達(dá)到了39%。絕大多數(shù)惡意流量(67%)來(lái)自北美。歐洲以22%的數(shù)據(jù)位居第二。攻擊者使用機(jī)器人進(jìn)行DDoS攻擊，在2021年上半年，惡意機(jī)器人最常被定向到電子商務(wù)組織的網(wǎng)站和服務(wù)，以及需要登錄和密碼的授權(quán)頁(yè)面。
資料來(lái)源：
https://www.ehackingnews.com/2021/09/malicious-software-reportedly-generates.html
漏洞態(tài)勢(shì)
Moxa鐵路通信設(shè)備被曝出存在嚴(yán)重漏洞。西門子修復(fù)其產(chǎn)品中的嚴(yán)重漏洞，其中不乏CVSS評(píng)分為10的漏洞。施耐德電氣修復(fù)其產(chǎn)品的7個(gè)漏洞。思科修復(fù)了IOS XR、IOS XE、NFVIS中的漏洞。研究人員發(fā)現(xiàn)海康威視超70款攝像機(jī)存在一個(gè)嚴(yán)重漏洞，CVSS評(píng)分9.8。Nagios廣泛使用的網(wǎng)絡(luò)管理產(chǎn)品中發(fā)現(xiàn)了11個(gè)漏洞，數(shù)千家公司面臨供應(yīng)鏈風(fēng)險(xiǎn)。
Moxa鐵路通信設(shè)備存在嚴(yán)重漏洞
臺(tái)灣工業(yè)網(wǎng)絡(luò)和自動(dòng)化公司Moxa的鐵路無(wú)線通信設(shè)備中被曝存在兩個(gè)新漏洞，經(jīng)過(guò)身份驗(yàn)證的攻擊者可以利用命令注入漏洞CVE-2021-39279來(lái)破壞設(shè)備的操作系統(tǒng)，另一個(gè)反射型跨站腳本漏洞CVE-2021-39278可以被特制的配置文件利用。
資料來(lái)源：
https://www.securityweek.com/flaws-moxa-railway-devices-could-allow-hackers-cause-disruptions
西門子修復(fù)其產(chǎn)品中的嚴(yán)重漏洞
西門子14號(hào)發(fā)布了21條新的安全公告，涵蓋36個(gè)漏洞。其中一個(gè)CVSS評(píng)分為10的反序列化漏洞，可允許未經(jīng)身份驗(yàn)證的攻擊者在受影響的系統(tǒng)上執(zhí)行任意代碼。西門子樓宇管理系統(tǒng)存在另一個(gè)命令注入漏洞，CVSS評(píng)分也為10。西門子已針對(duì)這些漏洞發(fā)布了補(bǔ)丁和/或緩解措施。
資料來(lái)源：
https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-over-40-vulnerabilities
Cisco修復(fù)On-Box軟件的代碼執(zhí)行漏洞
研究人員在FDM On-Box的RESTAPI中發(fā)現(xiàn)了遠(yuǎn)程代碼執(zhí)行漏洞CVE-2021-1518。攻擊者通過(guò)向易受攻擊設(shè)備的API子系統(tǒng)發(fā)送特殊的HTTP請(qǐng)求利用該漏洞，成功后可在底層操作系統(tǒng)上執(zhí)行任意代碼。思科已發(fā)布版本更新修復(fù)了此漏洞。
資料來(lái)源：
https://www.securityweek.com/code-execution-flaw-found-cisco-firepower-device-manager-box-software
施耐德電氣修復(fù)其產(chǎn)品的7個(gè)漏洞
施耐德電氣14號(hào)發(fā)布了四個(gè)公告，共涵蓋七個(gè)漏洞。其中兩個(gè)漏洞影響了專為管理物理基礎(chǔ)設(shè)施而設(shè)計(jì)的StruxureWare Data Center Expert產(chǎn)品。這些漏洞都被評(píng)為嚴(yán)重，可能允許攻擊者遠(yuǎn)程執(zhí)行任意代碼，這可能導(dǎo)致停機(jī)或中斷。
資料來(lái)源：
https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-over-40-vulnerabilities
思科修復(fù)IOS XR中的高危漏洞
思科發(fā)布了針對(duì)IOS XR軟件中多個(gè)高危漏洞的補(bǔ)丁，攻擊者可以利用這些漏洞來(lái)重啟設(shè)備、提升權(quán)限或覆蓋和讀取任意文件。其中最嚴(yán)重的漏洞是CVE-2021-34720，CVSS評(píng)分8.6，這是一個(gè)無(wú)需身份驗(yàn)證即可遠(yuǎn)程利用的漏洞， 可用來(lái)進(jìn)行DoS攻擊。
資料來(lái)源：
https://www.securityweek.com/cisco-patches-high-severity-security-flaws-ios-xr
思科修復(fù)IOS XE軟件中的嚴(yán)重漏洞
思科宣布為IOS XE軟件中的一系列嚴(yán)重漏洞提供補(bǔ)丁，這些漏洞可被利用來(lái)遠(yuǎn)程執(zhí)行任意代碼、導(dǎo)致拒絕服務(wù)或操縱設(shè)備配置。其中最嚴(yán)重的是CVE-2021-34770，CVSS評(píng)分為10，這可能會(huì)導(dǎo)致在沒有身份驗(yàn)證的情況下以管理員權(quán)限遠(yuǎn)程執(zhí)行代碼。
資料來(lái)源：
https://www.securityweek.com/cisco-patches-critical-vulnerabilities-ios-xe-software
思科修復(fù)NFVIS中的身份驗(yàn)證繞過(guò)漏洞
思科宣布為企業(yè)NFV基礎(chǔ)設(shè)施軟件(NFVIS)中的一個(gè)身份驗(yàn)證繞過(guò)漏洞CVE-2021-34746(CVSS評(píng)分9.8)提供補(bǔ)丁。未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者可以將參數(shù)注入身份驗(yàn)證請(qǐng)求并利用該漏洞繞過(guò)身份驗(yàn)證并以管理員身份登錄受影響的設(shè)備。
資料來(lái)源：
https://www.securityweek.com/cisco-patches-critical-enterprise-nfvis-vulnerability-which-poc-exploit-available
超70款?？低晹z像機(jī)存在嚴(yán)重漏洞
研究人員WatchfulIP發(fā)現(xiàn)?？低暢?0款攝像機(jī)存在一個(gè)嚴(yán)重漏洞CVE-2021-36260，CVSS評(píng)分9.8。攻擊者可以利用該漏洞在沒有任何用戶交互的情況下獲得root訪問(wèn)權(quán)限并遠(yuǎn)程控制設(shè)備，還可以使用受感染的設(shè)備訪問(wèn)內(nèi)部網(wǎng)絡(luò)。
資料來(lái)源：
https://www.securityweek.com/many-hikvision-cameras-exposed-attacks-due-critical-vulnerability
Nagios網(wǎng)絡(luò)管理產(chǎn)品中的漏洞使諸多公司面臨風(fēng)險(xiǎn)
Claroty研究人員在Nagios廣泛使用的網(wǎng)絡(luò)管理產(chǎn)品中發(fā)現(xiàn)了11個(gè)可用于服務(wù)器端請(qǐng)求偽造(SSRF)、欺騙、訪問(wèn)信息、本地權(quán)限提升和遠(yuǎn)程代碼執(zhí)行的漏洞。經(jīng)過(guò)身份驗(yàn)證的攻擊者可以通過(guò)利用這些漏洞獲取root權(quán)限執(zhí)行shell命令。Nagios表示，其軟件已被全球數(shù)千家組織使用。
資料來(lái)源：
https://www.securityweek.com/flaws-nagios-network-management-product-can-pose-risk-many-companies
技術(shù)動(dòng)向
ImmuniWeb宣布推出一款免費(fèi)在線工具，旨在幫助組織識(shí)別未受保護(hù)的云存儲(chǔ)。研究人員發(fā)現(xiàn)可以通過(guò)充氣光纜實(shí)現(xiàn)量子密鑰分發(fā)技術(shù)，傳輸不可破解的密鑰。二進(jìn)制可視化以及繼器學(xué)習(xí)被用于識(shí)別釣魚網(wǎng)站。
ImmuniWeb推出用于識(shí)別未受保護(hù)的云存儲(chǔ)免費(fèi)工具
ImmuniWeb宣布推出一款免費(fèi)在線工具，旨在幫助組織識(shí)別未受保護(hù)的云存儲(chǔ)。安全專業(yè)人員可以使用該工具輕松快速地識(shí)別AWS、Microsoft Azure、Google Cloud Platform、IBM Cloud、Oracle Cloud、Digital Ocean、Rackspace中未受保護(hù)的云存儲(chǔ)實(shí)例以及其他十幾種公共云服務(wù)。ImmuniWeb表示，該工具利用了OSINT、大數(shù)據(jù)和智能預(yù)測(cè)技術(shù)。
資料來(lái)源：
https://www.securityweek.com/immuniweb-launches-free-tool-identifying-unprotected-cloud-storage
量子密碼學(xué)：通過(guò)充氣光纜傳輸不可破解的密鑰
研究人員發(fā)現(xiàn)一種通過(guò)僅填充稀薄空氣的新型光纖對(duì)于執(zhí)行量子密鑰分發(fā) (QKD) 特別有效，這是一種原則上不可破解的安全協(xié)議，可在保護(hù)敏感數(shù)據(jù)免受攻擊方面發(fā)揮關(guān)鍵作用。該方法的工作原理是將加密密鑰編碼到發(fā)送給另一個(gè)人的量子粒子(或量子位)上，后者測(cè)量量子位以獲得密鑰值。量子一經(jīng)測(cè)量就會(huì)坍縮，這意味著如果第三方竊聽交易所并測(cè)量量子位以找出加密密鑰，他們將不可避免地留下他們?nèi)肭值嫩E象。
資料來(lái)源：
https://www.zdnet.com/article/quantum-cryptography-this-air-filled-fiber-optic-cable-can-transport-un-hackable-keys-say-researchers/?&web_view=true
基于標(biāo)記可視化的機(jī)器學(xué)習(xí)技術(shù)檢測(cè)釣魚網(wǎng)站
研究人員使用“二進(jìn)制可視化”庫(kù)將網(wǎng)頁(yè)的標(biāo)記和代碼轉(zhuǎn)換為圖像。通過(guò)這種方法，他們創(chuàng)建了網(wǎng)站的合法和網(wǎng)絡(luò)釣魚圖像數(shù)據(jù)集。然后使用該數(shù)據(jù)集訓(xùn)練機(jī)器學(xué)習(xí)模型，根據(jù)二進(jìn)制可視化的差異對(duì)合法網(wǎng)站和網(wǎng)絡(luò)釣魚網(wǎng)站進(jìn)行分類。為了加快模型的性能，研究人員使用了 MobileNet，這是一種經(jīng)過(guò)優(yōu)化的神經(jīng)網(wǎng)絡(luò)，可以在資源受限的設(shè)備上運(yùn)行。根據(jù)研究人員的實(shí)驗(yàn)，該模型在檢測(cè)網(wǎng)絡(luò)釣魚網(wǎng)站方面的準(zhǔn)確率達(dá)到了 94%。
資料來(lái)源：
https://portswigger.net/daily-swig/machine-learning-technique-detects-phishing-sites-based-on-markup-visualization?&web_view=true
