5月速遞

美國(guó)眾議院提出《工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全培訓(xùn)法案》，旨在加強(qiáng)美國(guó)的工控網(wǎng)絡(luò)安全。美國(guó)拜登總統(tǒng)簽署《國(guó)家網(wǎng)絡(luò)安全防范聯(lián)盟法案》，將用于確保關(guān)鍵基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)攻擊。歐盟也推出了關(guān)鍵領(lǐng)域網(wǎng)絡(luò)安全新立法，關(guān)注關(guān)鍵基礎(chǔ)設(shè)施，對(duì)關(guān)鍵行業(yè)組織實(shí)施共同的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。美國(guó)針對(duì)供應(yīng)鏈、量子技術(shù)以及網(wǎng)絡(luò)犯罪方面也相繼出臺(tái)了新的標(biāo)準(zhǔn)。英國(guó)、意大利和印度也針對(duì)不同方面頒布了立法。

美國(guó)眾議院提出《工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全培訓(xùn)法案》

美國(guó)眾議院5月16日提出了《工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全培訓(xùn)法案》，以幫助加強(qiáng)國(guó)家的網(wǎng)絡(luò)安全保護(hù)。該法案旨在修訂2002年的《國(guó)土安全法》，以授權(quán)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)建立工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全培訓(xùn)計(jì)劃并用于其他目的。

資料來(lái)源：https://industrialcyber.co/threats-attacks/new-industrial-control-systems-cybersecurity-training-bill-works-toward-bolstering-nations-cybersecurity-posture/

美國(guó)拜登總統(tǒng)簽署《國(guó)家網(wǎng)絡(luò)安全防范聯(lián)盟法案》

5月12日，美國(guó)總統(tǒng)拜登簽署了《國(guó)家網(wǎng)絡(luò)安全防范聯(lián)盟法案》，將用于確保關(guān)鍵基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)攻擊。國(guó)土安全部將和眾多大學(xué)組成國(guó)家網(wǎng)絡(luò)安全防范聯(lián)盟(NCPC)，對(duì)州及地方政府的響應(yīng)責(zé)任人和官員進(jìn)行網(wǎng)絡(luò)安全培訓(xùn)。

資料來(lái)源：https://executivegov.com/2022/05/biden-inks-legislation-for-national-cybersecurity-preparedness-consortium/

美國(guó)總統(tǒng)拜登簽署《優(yōu)化網(wǎng)絡(luò)犯罪度量法》

5月5日，美國(guó)總統(tǒng)簽署《優(yōu)化網(wǎng)絡(luò)犯罪度量法》。該法從網(wǎng)絡(luò)犯罪分類、網(wǎng)絡(luò)犯罪報(bào)告、全國(guó)犯罪被害調(diào)查、網(wǎng)絡(luò)犯罪指標(biāo)研究四大維度出發(fā)，綜合改善了聯(lián)邦政府“追蹤、衡量、分析、起訴網(wǎng)絡(luò)犯罪的方式”，幫助執(zhí)法機(jī)構(gòu)更好地識(shí)別網(wǎng)絡(luò)安全威脅、防范黑客勒索攻擊、起訴網(wǎng)絡(luò)犯罪案件。

資料來(lái)源：https://www.securitymagazine.com/articles/97591-better-cybercrime-metrics-act-signed-into-law

美國(guó)總統(tǒng)拜登簽署兩項(xiàng)推進(jìn)量子技術(shù)發(fā)展的指令

2022年5月4日，美總統(tǒng)拜登簽署兩項(xiàng)指令《關(guān)于加強(qiáng)國(guó)家量子倡議咨詢委員會(huì)的行政命令》以及《國(guó)家安全備忘錄(NSM)》，旨在推動(dòng)量子信息科學(xué)(QIS)的研究與開(kāi)發(fā)，并幫助美國(guó)計(jì)算機(jī)網(wǎng)絡(luò)向后量子加密標(biāo)準(zhǔn)過(guò)渡。

資料來(lái)源：https://www.whitehouse.gov/briefing-room/statements-releases/2022/05/04/fact-sheet-president-biden-announces-two-presidential-directives-advancing-quantum-technologies

美國(guó)NIST推出《網(wǎng)絡(luò)安全供應(yīng)鏈風(fēng)險(xiǎn)管理》指南最終版

美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)5月5日發(fā)布了其針對(duì)系統(tǒng)和組織的基礎(chǔ)C-SCRM指導(dǎo)文件的最終版本。網(wǎng)絡(luò)安全供應(yīng)鏈風(fēng)險(xiǎn)管理(C-SCRM)文件為企業(yè)提供了有關(guān)如何識(shí)別、評(píng)估、選擇和實(shí)施風(fēng)險(xiǎn)管理流程以及減輕整個(gè)企業(yè)控制措施的指導(dǎo)，以幫助管理整個(gè)供應(yīng)鏈中的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

資料來(lái)源：https://industrialcyber.co/analysis/nist-rolls-out-final-c-scrm-guidance-to-enhance-cybersecurity-secure-integrity-of-software-supply-chain/

歐盟推出關(guān)鍵領(lǐng)域網(wǎng)絡(luò)安全新立法

歐盟已就新的立法達(dá)成政治協(xié)議，將對(duì)關(guān)鍵行業(yè)組織實(shí)施共同的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，將涵蓋在關(guān)鍵領(lǐng)域運(yùn)營(yíng)的大中型組織，其中包括公共電子通信服務(wù)、數(shù)字服務(wù)、廢水和廢物管理、關(guān)鍵產(chǎn)品制造、郵政和快遞服務(wù)、醫(yī)療保健和公共管理的供應(yīng)商。

資料來(lái)源：https://www.infosecurity-magazine.com/news/eu-cybersecurity-legislation/?&web_view=true

英國(guó)公布《數(shù)據(jù)改革法案》

5月10日，英國(guó)公布了《數(shù)據(jù)改革法案》。該法案將用于改革英國(guó)現(xiàn)有的《通用數(shù)據(jù)保護(hù)條例》和《數(shù)據(jù)保護(hù)法案》。并且，該法案尋求簡(jiǎn)化數(shù)據(jù)保護(hù)相關(guān)立法，通過(guò)創(chuàng)建一種更靈活的、以結(jié)果為中心的方法來(lái)減輕企業(yè)的負(fù)擔(dān)，同時(shí)還引入了更明確的個(gè)人數(shù)據(jù)使用規(guī)則。

資料來(lái)源：https://www.computerweekly.com/news/252518054/Data-Reform-Bill-announced-in-Queens-Speech

英國(guó)政府發(fā)布《2022民用核網(wǎng)絡(luò)安全戰(zhàn)略》

英國(guó)政府發(fā)布了《2022民用核網(wǎng)絡(luò)安全戰(zhàn)略》。戰(zhàn)略目標(biāo)是以協(xié)作和成熟的方式有效管理和減輕英國(guó)民用核部門的網(wǎng)絡(luò)風(fēng)險(xiǎn)，在應(yīng)對(duì)和防范事件方面具有彈性，以加強(qiáng)英國(guó)民用核工業(yè)網(wǎng)絡(luò)安全態(tài)勢(shì)。資料來(lái)源：https://industrialcyber.co/threats-attacks/new-uk-2022-civil-nuclear-cyber-security-strategy-focuses-on-building-cybersecurity-across-the-sector/

意大利發(fā)布《2022至2026年國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略》

意大利政府5月25日發(fā)布《2022至2026年國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略》，并加強(qiáng)了政府應(yīng)對(duì)網(wǎng)絡(luò)威脅和提高該國(guó)抵御網(wǎng)絡(luò)攻擊的能力的承諾。戰(zhàn)略確定了三大基本目標(biāo)以更好地應(yīng)對(duì)國(guó)家面臨的挑戰(zhàn)，一是保護(hù)目標(biāo);二是響應(yīng)目標(biāo);三是發(fā)展目標(biāo)。

資料來(lái)源：https://securityaffairs.co/wordpress/131674/security/italy-national-cybersecurity-strategy.html

印度政府要求在六小時(shí)內(nèi)報(bào)告網(wǎng)絡(luò)安全事件

印度政府發(fā)布了新指令，要求組織在六小時(shí)內(nèi)向計(jì)算機(jī)應(yīng)急響應(yīng)小組(CERT-IN)報(bào)告網(wǎng)絡(luò)安全事件，即使這些事件是計(jì)算機(jī)系統(tǒng)的端口或漏洞掃描。CERT-IN小組表示已確定了導(dǎo)致安全事件分析和響應(yīng)困難的具體差距，為了解決這些問(wèn)題，它需要采取更積極的措施。

資料來(lái)源：https://www.bleepingcomputer.com/news/security/india-to-require-cybersecurity-incident-reporting-within-six-hours/

北京通管局開(kāi)展2022年電信和互聯(lián)網(wǎng)行業(yè)網(wǎng)絡(luò)與數(shù)據(jù)安全檢查，工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全防護(hù)情況檢查包括在內(nèi)。美國(guó)能源部成立電能OT安全配置文件工作組，將提升電能OT系統(tǒng)的網(wǎng)絡(luò)安全，同時(shí)與MITRE合作成立特別興趣小組，重點(diǎn)關(guān)注ICS和OT框架中的安全漏洞。美國(guó)CISA擴(kuò)大了愛(ài)達(dá)荷國(guó)家實(shí)驗(yàn)室CELR研究區(qū)的范圍，將為ICS、OT環(huán)境提供交互式測(cè)試站點(diǎn)?；葑u(yù)評(píng)級(jí)表示對(duì)ICS/OT系統(tǒng)的網(wǎng)絡(luò)攻擊更有可能產(chǎn)生信用和ESG影響。以上事件表明美國(guó)政府愈發(fā)關(guān)注ICS/OT系統(tǒng)的網(wǎng)絡(luò)安全，正在著手提升維護(hù)其安全性的能力。

北京通管局開(kāi)展2022年電信和互聯(lián)網(wǎng)行業(yè)網(wǎng)絡(luò)與數(shù)據(jù)安全檢查

北京通管局發(fā)布關(guān)于開(kāi)展2022年電信和互聯(lián)網(wǎng)行業(yè)網(wǎng)絡(luò)與數(shù)據(jù)安全檢查的通知。重點(diǎn)檢查相關(guān)網(wǎng)絡(luò)運(yùn)行單位的關(guān)鍵信息基礎(chǔ)設(shè)施和重要網(wǎng)絡(luò)單元及承載的信息系統(tǒng)，包括但不限于：通信網(wǎng)絡(luò)基礎(chǔ)設(shè)施、工業(yè)互聯(lián)網(wǎng)平臺(tái)等。在工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)安全防護(hù)情況檢查方面，重點(diǎn)檢查工業(yè)互聯(lián)網(wǎng)服務(wù)平臺(tái)、工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析系統(tǒng)企業(yè)。

資料來(lái)源：https://bjca.miit.gov.cn/zwgk/tzgg/art/2022/art_6dad7c7ba2e54942bde655044f46deee.html

美國(guó)能源部成立電能OT安全配置文件工作組

美國(guó)能源部(DOE)、全球設(shè)備供應(yīng)商和其他利益相關(guān)者5月25日宣布成立電能OT安全配置文件工作組。電能OT安全配置文件將用作設(shè)計(jì)、實(shí)施、測(cè)試和維護(hù)電能OT系統(tǒng)及其網(wǎng)絡(luò)安全功能的基礎(chǔ)，還將對(duì)全球的第三方評(píng)估組織和監(jiān)管機(jī)構(gòu)發(fā)揮作用。

資料來(lái)源：https://industrialcyber.co/analysis/new-electric-energy-ot-security-profile-working-group-set-up-as-part-of-isa99-standards-committee/

美國(guó)、澳大利亞、印度和日本宣布關(guān)于軟件、供應(yīng)鏈的網(wǎng)絡(luò)安全舉措

美國(guó)和三個(gè)盟國(guó)5月24日宣布了一項(xiàng)伙伴關(guān)系，各國(guó)將圍繞加固軟件、供應(yīng)鏈和用戶數(shù)據(jù)，共同開(kāi)展若干網(wǎng)絡(luò)安全舉措。各國(guó)領(lǐng)導(dǎo)人承諾通過(guò)分享威脅信息和識(shí)別數(shù)字產(chǎn)品和服務(wù)供應(yīng)鏈中的潛在風(fēng)險(xiǎn)，改善關(guān)鍵基礎(chǔ)設(shè)施的集體網(wǎng)絡(luò)安全。

資料來(lái)源：https://therecord.media/us-australia-india-and-japan-announce-cybersecurity-initiatives-on-software-supply-chains/?web_view=true

普京簽署總統(tǒng)令：各部門機(jī)構(gòu)設(shè)立IT安全部門

俄羅斯當(dāng)?shù)貢r(shí)間5月1日，俄羅斯總統(tǒng)普京正式簽署了一份確保俄羅斯信息安全額外措施的總統(tǒng)令，下令俄羅斯所有部門、機(jī)構(gòu)和骨干組織都需要設(shè)立IT安全部門。根據(jù)總統(tǒng)令的實(shí)際規(guī)定，自2025年1月1日起，俄羅斯國(guó)有企業(yè)和機(jī)構(gòu)將禁止使用的不友好國(guó)家生產(chǎn)的信息和安全設(shè)備。

資料來(lái)源：https://www.163.com/dy/article/H6CV97O50511A5GF.html

韓國(guó)加入北約網(wǎng)絡(luò)防御卓越中心

5月5日，韓國(guó)正式加入北大西洋公約組織(NATO)合作網(wǎng)絡(luò)防御卓越中心(CCDCOE)，成為首個(gè)加入該機(jī)構(gòu)的亞洲國(guó)家。隨著韓國(guó)加入CCDCOE，未來(lái)國(guó)情院將參加北約的網(wǎng)絡(luò)聯(lián)合訓(xùn)練并參與相關(guān)研究，讓韓國(guó)在網(wǎng)絡(luò)攻防方面進(jìn)一步掌握發(fā)言權(quán)。

資料來(lái)源：https://world.huanqiu.com/article/47tI3EgGSDp

MITRE成立旨在加強(qiáng)ICS/OT網(wǎng)絡(luò)防御的特別興趣小組

MITRE與美國(guó)能源部(DOE)網(wǎng)絡(luò)安全、能源安全和應(yīng)急響應(yīng)辦公室(CESER)合作，宣布擴(kuò)大通用弱點(diǎn)枚舉/通用攻擊模式枚舉和分類計(jì)劃，成立一個(gè)新的特別興趣小組(SIG)，重點(diǎn)關(guān)注工業(yè)控制系統(tǒng)(ICS)和運(yùn)營(yíng)技術(shù)(OT)框架中的安全漏洞。

資料來(lái)源：https://industrialcyber.co/cisa/cwe-capec-ics-ot-special-interest-group-focuses-on-security-weaknesses-within-these-environments/

愛(ài)達(dá)荷國(guó)家實(shí)驗(yàn)室的CELR研究區(qū)為ICS、OT環(huán)境提供交互式測(cè)試站點(diǎn)

美國(guó)CISA的工業(yè)控制系統(tǒng)(ICS)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組擴(kuò)大了愛(ài)達(dá)荷國(guó)家實(shí)驗(yàn)室控制環(huán)境實(shí)驗(yàn)室資源(CELR)研究區(qū)的范圍。實(shí)驗(yàn)室環(huán)境現(xiàn)在將為ICS和OT環(huán)境提供交互式測(cè)試站點(diǎn)，使政府和私營(yíng)行業(yè)合作伙伴能夠體驗(yàn)動(dòng)態(tài)信息物理攻擊的可能影響。

資料來(lái)源：https://industrialcyber.co/threats-attacks/idaho-national-laboratorys-celr-research-zone-delivers-interactive-test-site-for-ics-ot-environments/

惠譽(yù)評(píng)級(jí)表示對(duì)ICS/OT系統(tǒng)的網(wǎng)絡(luò)攻擊更有可能產(chǎn)生信用和ESG影響

在題為“美國(guó)運(yùn)營(yíng)技術(shù)中的網(wǎng)絡(luò)風(fēng)險(xiǎn)(運(yùn)營(yíng)技術(shù)如何影響關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)風(fēng)險(xiǎn))”的報(bào)告中，惠譽(yù)評(píng)級(jí)探討了電力和公用事業(yè)以及供水和下水道行業(yè)的IT/OT挑戰(zhàn)。報(bào)告顯示，與對(duì)信息技術(shù)的相應(yīng)攻擊相比，對(duì)運(yùn)營(yíng)技術(shù)的攻擊更有可能產(chǎn)生信用和ESG影響。

資料來(lái)源：https://industrialcyber.co/utilities-energy-power-water-waste/cyberattacks-on-ics-ot-systems-more-likely-to-have-credit-esg-impact-than-a-corresponding-it-attack-fitch-ratings-says/

加拿大空軍關(guān)鍵供應(yīng)商遭勒索軟件攻擊

加拿大、德國(guó)軍方的獨(dú)家戰(zhàn)機(jī)培訓(xùn)供應(yīng)商Top Aces透露，其已遭到LockBit勒索軟件攻擊，44GB內(nèi)部數(shù)據(jù)疑似被泄露，該公司在5月11日的一份聲明中表示正在對(duì)攻擊事件開(kāi)展調(diào)查。資料來(lái)源：

https://therecord.media/top-aces-ransomware-attack-lockbit/

美國(guó)農(nóng)業(yè)機(jī)械制造商AGCO遭受勒索軟件攻擊

美國(guó)農(nóng)業(yè)機(jī)械生產(chǎn)商巨頭AGCO于5月6日宣布部分生產(chǎn)設(shè)施受到影響。AGCO仍在調(diào)查攻擊的程度，但預(yù)計(jì)其業(yè)務(wù)運(yùn)營(yíng)將受到幾天的不利影響，甚至可能更長(zhǎng)的時(shí)間才能完全恢復(fù)所有服務(wù)，該公司可能會(huì)關(guān)閉其部分IT系統(tǒng)以防止攻擊蔓延。

資料來(lái)源：https://www.bleepingcomputer.com/news/security/us-agricultural-machinery-maker-agco-hit-by-ransomware-attack/

5月10日，西門子和施耐德發(fā)布漏洞公告，西門子樓宇自動(dòng)化控制器PXC4.E16存在DoS漏洞，其他設(shè)備存在包括可導(dǎo)致DoS攻擊、代碼執(zhí)行以及管理員賬戶劫持的高危漏洞，在真實(shí)的工業(yè)環(huán)境中將會(huì)造成嚴(yán)重的影響。信捷PLC編程軟件存在高危漏洞，攻擊者可以利用其將任意項(xiàng)目文件寫(xiě)入PLC并獲得代碼執(zhí)行。InHand工業(yè)路由器存在17個(gè)漏洞，攻擊者可鏈接使用其中某些漏洞獲取root訪問(wèn)權(quán)限。uClibc庫(kù)存在DNS漏洞，數(shù)百萬(wàn)個(gè)物聯(lián)網(wǎng)產(chǎn)品面臨安全威脅。Open Automation Software自動(dòng)化軟件平臺(tái)存在超危漏洞，包括能源、航天等行業(yè)在內(nèi)的眾多ICS設(shè)備受到影響。Zyxel修復(fù)防火墻設(shè)備中的操作系統(tǒng)命令注入漏洞。思科修復(fù)正在被積極利用的IOS XR漏洞。

西門子修復(fù)其產(chǎn)品中的35個(gè)漏洞

西門子在5月10日發(fā)布了12條公告，涵蓋35個(gè)漏洞。根據(jù)CVSS評(píng)分，最重要的公告涵蓋了11個(gè)影響SICAM P850和P855設(shè)備的Web服務(wù)器漏洞。該公告涵蓋的五個(gè)高危漏洞可能導(dǎo)致DoS攻擊、代碼執(zhí)行、流量捕獲和干擾設(shè)備功能、跨站腳本(XSS)攻擊或訪問(wèn)設(shè)備的管理界面。

資料來(lái)源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-43-vulnerabilities

施耐德修復(fù)其產(chǎn)品中的8個(gè)漏洞

施耐德電氣在5月10日發(fā)布了3項(xiàng)公告，向客戶通報(bào)了8個(gè)漏洞。其中6個(gè)漏洞影響了一些Wiser Smart家庭自動(dòng)化產(chǎn)品，包括一個(gè)超危硬編碼憑據(jù)漏洞，以及可用于暴力攻擊、管理員賬戶劫持、跨域攻擊和獲取身份驗(yàn)證憑據(jù)的高危漏洞。

資料來(lái)源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-43-vulnerabilities

西門子樓宇自動(dòng)化控制器PXC4.E16存在DoS漏洞

Nozomi研究人員發(fā)現(xiàn)西門子樓宇自動(dòng)化控制器PXC4.E16設(shè)備受到可用于拒絕服務(wù)(DoS)攻擊的漏洞的影響。在創(chuàng)建或更新賬戶期間，Web應(yīng)用程序未能強(qiáng)制執(zhí)行PBKDF2派生密鑰的成本因子上限，具有用戶配置文件訪問(wèn)權(quán)限的攻擊者可以通過(guò)以非常高的成本設(shè)置PBKDF2派生密鑰然后嘗試登錄到如此修改的賬戶來(lái)通過(guò)CPU消耗導(dǎo)致DoS條件。

資料來(lái)源：https://www.securityweek.com/hackers-can-make-siemens-building-automation-controllers-unavailable-days

信捷PLC編程軟件存在高危漏洞

信捷PLC編程軟件中存在兩個(gè)漏洞。第一個(gè)為zip slip漏洞CVE-2021-34605，該漏洞可以為攻擊者提供具有程序權(quán)限的任意寫(xiě)入權(quán)限。第二個(gè)漏洞為CVE-2021-34606，一旦一個(gè)特制的惡意項(xiàng)目文件被信捷PLC編程軟件打開(kāi)，在加載新項(xiàng)目的過(guò)程中，將加載惡意DLL。

資料來(lái)源：https://industrialcyber.co/threats-attacks/clarotys-team82-finds-two-vulnerabilities-in-xinje-plc-program-tool-deployed-across-critical-infrastructure-sector/

InHand工業(yè)路由器存在17個(gè)漏洞

InHand Networks制造的無(wú)線工業(yè)路由器中存在17個(gè)漏洞，可能導(dǎo)致任意文件上傳、代碼執(zhí)行、權(quán)限提升、操作系統(tǒng)命令注入和未經(jīng)授權(quán)的固件更新。攻擊者首先可以利用XSS漏洞盜取Cookie，如果沒(méi)有獲得特權(quán)訪問(wèn)，可以利用其中某兩個(gè)漏洞進(jìn)行提權(quán)。

資料來(lái)源：https://www.securityweek.com/critical-vulnerabilities-provide-root-access-inhand-industrial-routers

uClibc庫(kù)的DNS漏洞影響數(shù)百萬(wàn)個(gè)物聯(lián)網(wǎng)產(chǎn)品

兩個(gè)流行C庫(kù)uClibc和uClibc-ng存在DNS漏洞，這可能會(huì)使數(shù)百萬(wàn)物聯(lián)網(wǎng)設(shè)備面臨安全威脅。該漏洞是由庫(kù)生成的DNS請(qǐng)求中包含的事務(wù)ID的可預(yù)測(cè)性引起的，這可能允許攻擊者對(duì)目標(biāo)設(shè)備執(zhí)行DNS中毒攻擊。資料來(lái)源：https://thehackernews.com/2022/05/unpatched-dns-related-vulnerability.html

Open Automation Software自動(dòng)化軟件平臺(tái)存在超危漏洞

Open Automation Software公司的開(kāi)放自動(dòng)化軟件平臺(tái)為ICS或IoT設(shè)備、數(shù)據(jù)庫(kù)和自定義應(yīng)用程序提供連接解決方案。該平臺(tái)受到八個(gè)漏洞的影響，攻擊者可以利用這些漏洞執(zhí)行任意代碼、DoS攻擊、獲取敏感信息和其他目的。

資料來(lái)源：https://www.securityweek.com/critical-vulnerabilities-found-open-automation-software-platform

Zyxel修復(fù)防火墻設(shè)備中的操作系統(tǒng)命令注入漏洞

Zyxel防火墻設(shè)備存在一個(gè)超危漏洞，被跟蹤為CVE-2022-30525，CVSS評(píng)分9.8，該漏洞使未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者能夠完成任意代碼執(zhí)行。某些防火墻版本的CGI程序中的命令注入漏洞可能允許攻擊者修改特定文件，然后在易受攻擊的設(shè)備上執(zhí)行一些操作系統(tǒng)命令。

資料來(lái)源：https://thehackernews.com/2022/05/zyxel-releases-patch-for-critical.html

思科修復(fù)正在被積極利用的IOS XR漏洞

思科修復(fù)了IOS XR軟件的中危漏洞CVE-2022-20821，CVSS評(píng)分6.5，攻擊者正在積極利用該漏洞進(jìn)行攻擊。攻擊者可以通過(guò)連接到開(kāi)放端口上的Redis實(shí)例來(lái)利用此漏洞將任意文件寫(xiě)入容器文件系統(tǒng)，并檢索有關(guān)Redis數(shù)據(jù)庫(kù)的信息。

資料來(lái)源：https://www.securityweek.com/cisco-warns-exploitation-attempts-targeting-new-ios-xr-vulnerability

微軟推出托管服務(wù)，結(jié)合技術(shù)、威脅情報(bào)和技術(shù)人員幫助企業(yè)尋找惡意感染跡象或外包檢測(cè)和響應(yīng)事件的處理。容器編排器Kubernetes將使用Sigstore項(xiàng)目包含加密簽名證書(shū)，以防止供應(yīng)鏈攻擊。印度科學(xué)研究所開(kāi)發(fā)了一種真隨機(jī)數(shù)生成器 (TRNG)，可以改進(jìn)數(shù)據(jù)加密，提供更高的安全性。Firefox引入了改進(jìn)的進(jìn)程隔離機(jī)制，通過(guò)降低攻擊向量減少瀏覽器的攻擊面。

微軟通過(guò)托管服務(wù)來(lái)增強(qiáng)安全供應(yīng)商的實(shí)力

微軟針對(duì)中端市場(chǎng)推出了一套新的托管服務(wù)——微軟安全專家，微軟認(rèn)為人手不足的組織將需要外部幫助來(lái)減少臃腫的攻擊面并緩解危險(xiǎn)的惡意軟件攻擊持續(xù)激增。這三項(xiàng)新的托管服務(wù)結(jié)合了技術(shù)、威脅情報(bào)和技術(shù)人員，可幫助企業(yè)尋找惡意感染跡象或外包檢測(cè)和響應(yīng)事件的處理。

資料來(lái)源：https://www.securityweek.com/microsoft-flexes-security-vendor-muscles-managed-services?&web_view=true

Kubernetes利用Sigstore阻止開(kāi)源軟件供應(yīng)鏈攻擊

容器編排器Kubernetes將使用Sigstore項(xiàng)目包含加密簽名證書(shū)，以防止供應(yīng)鏈攻擊。使用Sigstore證書(shū)允許Kubernetes用戶通過(guò)“讓用戶能夠驗(yàn)證簽名和對(duì)每個(gè)部署的Kubernetes二進(jìn)制文件、源代碼包和容器映像的來(lái)源有更大的信心。”

資料來(lái)源：https://www.zdnet.com/article/kubernetes-taps-sigstore-to-thwart-open-source-software-supply-chain-attacks/?web_view=true

IISc開(kāi)發(fā)改進(jìn)數(shù)據(jù)加密、網(wǎng)絡(luò)安全的設(shè)備

印度科學(xué)研究所(IISc)的電氣通信工程系(ECE)開(kāi)發(fā)了一種破紀(jì)錄的真隨機(jī)數(shù)生成器 (TRNG)，它可以改進(jìn)數(shù)據(jù)加密并為信用卡詳細(xì)信息等敏感數(shù)字?jǐn)?shù)據(jù)提供更高的安全性、密碼和其他個(gè)人信息，這種加密的強(qiáng)度取決于隨機(jī)數(shù)生成的質(zhì)量。

資料來(lái)源：https://indianexpress.com/article/cities/bangalore/iisc-develops-device-that-improves-data-encryption-cyber-security-7939587/?&web_view=true

Firefox首次推出改進(jìn)的進(jìn)程隔離以減少瀏覽器攻擊面

Firefox引入了改進(jìn)的進(jìn)程隔離機(jī)制來(lái)減少瀏覽器的攻擊面。當(dāng)用戶通過(guò)Firefox瀏覽網(wǎng)頁(yè)時(shí)，該軟件會(huì)將內(nèi)容呈現(xiàn)到單獨(dú)的進(jìn)程中，與操作系統(tǒng)隔離并由單個(gè)特權(quán)父進(jìn)程管理。該模型背后的原因是，如果內(nèi)容過(guò)程中存在錯(cuò)誤，則潛在的攻擊向量是有限的。

資料來(lái)源：https://portswigger.net/daily-swig/firefox-debuts-improved-process-isolation-to-reduce-browser-attack-surface?&web_view=true