7月速遞

網(wǎng)信辦公布《數(shù)據(jù)出境安全評(píng)估辦法》，規(guī)定規(guī)定關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者向境外提供個(gè)人信息應(yīng)當(dāng)申報(bào)數(shù)據(jù)出境安全評(píng)估。多國(guó)相繼出臺(tái)關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全法規(guī)，以應(yīng)對(duì)不斷變化的威脅形勢(shì)和日益復(fù)雜的網(wǎng)絡(luò)攻擊。

網(wǎng)信辦公布《數(shù)據(jù)出境安全評(píng)估辦法》

7月7日，國(guó)家互聯(lián)網(wǎng)信息辦公室公布《數(shù)據(jù)出境安全評(píng)估辦法》，自2022年9月1日起施行。《辦法》規(guī)定關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者向境外提供個(gè)人信息應(yīng)當(dāng)通過所在地省級(jí)網(wǎng)信部門向國(guó)家網(wǎng)信部門申報(bào)數(shù)據(jù)出境安全評(píng)估。

資料來源：https://mp.weixin.qq.com/s/n91CsxUkhdzOwYy8SwBSnQ

新加坡發(fā)布關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全實(shí)踐守則2.0

7月4日，新加坡網(wǎng)絡(luò)安全局(CSA)發(fā)布了CCoP2.0(關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全實(shí)踐守則2.0)。CCoP2.0旨在提高防御者抵御黑客復(fù)雜TTP的幾率并阻止他們的攻擊進(jìn)展。它使政府和私營(yíng)部門之間的協(xié)調(diào)防御能夠及時(shí)識(shí)別、發(fā)現(xiàn)和響應(yīng)網(wǎng)絡(luò)安全威脅和攻擊。

資料來源：https://s.vnshu.com/2lKqPE

新加坡發(fā)布關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈文件

新加坡網(wǎng)絡(luò)安全局(CSA)7月27日發(fā)布了一份CII(關(guān)鍵信息基礎(chǔ)設(shè)施)供應(yīng)鏈計(jì)劃文件。該計(jì)劃制定了五項(xiàng)基礎(chǔ)舉措，以減輕網(wǎng)絡(luò)供應(yīng)鏈風(fēng)險(xiǎn)并提高新加坡基本服務(wù)的網(wǎng)絡(luò)彈性，并作為新加坡CII邁向安全和彈性未來之旅的開

資料來源：https://industrialcyber.co/critical-infrastructure/csas-cii-supply-chain-paper-works-on-mitigating-cyber-risks-uplifting-cyber-resilience/

美眾議員在年度國(guó)防法案中推動(dòng)關(guān)鍵基礎(chǔ)設(shè)施保護(hù)

美國(guó)眾議員起草了一項(xiàng)修正案，以加強(qiáng)對(duì)“具有系統(tǒng)重要性的關(guān)鍵基礎(chǔ)設(shè)施(SICI)”的防御。提出在識(shí)別和指定此類基礎(chǔ)設(shè)施后，國(guó)土安全部網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局局長(zhǎng)和國(guó)家網(wǎng)絡(luò)主管將為其所有者和運(yùn)營(yíng)商制定關(guān)鍵資產(chǎn)和供應(yīng)鏈風(fēng)險(xiǎn)管理實(shí)踐等報(bào)告要求。

資料來源：https://www.cyberscoop.com/sici-defense-authorization-amendment-langevin/

美國(guó)國(guó)土安全部發(fā)布關(guān)鍵管道所有者、運(yùn)營(yíng)商的網(wǎng)絡(luò)安全要求

美國(guó)國(guó)土安全部(DHS)宣布，其運(yùn)輸安全管理局(TSA)部門已修訂并重新發(fā)布了安全指令。要求TSA指定的關(guān)鍵管道的所有者和運(yùn)營(yíng)商實(shí)施具體的緩解措施，以防止勒索軟件攻擊和其他已知威脅信息技術(shù)(IT)和運(yùn)營(yíng)技術(shù)(OT)系統(tǒng)，制定和實(shí)施網(wǎng)絡(luò)安全應(yīng)急和恢復(fù)計(jì)劃并進(jìn)行網(wǎng)絡(luò)安全架構(gòu)設(shè)計(jì)審查。

資料來源：https://s.vnshu.com/2ywKNq

德國(guó)政府宣布計(jì)劃加強(qiáng)網(wǎng)絡(luò)防御

德國(guó)政府7月12日宣布計(jì)劃加強(qiáng)網(wǎng)絡(luò)防御。新措施涉及提高中小企業(yè)的網(wǎng)絡(luò)彈性，將適用于“關(guān)鍵基礎(chǔ)設(shè)施”，即涉及運(yùn)輸、食品、健康、能源和供水的企業(yè)。同時(shí)，德國(guó)國(guó)內(nèi)情報(bào)機(jī)構(gòu)和警察的IT基礎(chǔ)設(shè)施也將進(jìn)行現(xiàn)代化改造。

資料來源：https://www.dw.com/en/germany-bolsters-defenses-against-russian-cyber-threats/a-62442479?&web_view=true

Barracuda發(fā)布《2022工業(yè)安全狀況報(bào)告》，調(diào)查結(jié)果顯示工業(yè)網(wǎng)絡(luò)安全仍舊相當(dāng)落后。Mandiant Red Team對(duì)勒索軟件在OT環(huán)境中可能的影響范圍進(jìn)行評(píng)估，發(fā)現(xiàn)OT網(wǎng)絡(luò)不堪一擊。攻擊方法層出不窮，工業(yè)網(wǎng)絡(luò)安全情況不容樂觀，但安全技術(shù)也在不斷進(jìn)步。

Barracuda發(fā)布《2022工業(yè)安全狀況報(bào)告》

7月13日，云安全公司Barracuda發(fā)布了《2022工業(yè)安全狀況報(bào)告》，報(bào)告指出，針對(duì)工業(yè)系統(tǒng)的重大攻擊正在增加，但保護(hù)這些系統(tǒng)的安全努力仍相當(dāng)落后。在過去12個(gè)月里，94%的受訪者在其工業(yè)物聯(lián)網(wǎng)(IIoT)或運(yùn)營(yíng)技術(shù)(OT)系統(tǒng)上經(jīng)歷了某種形式的攻擊，這可能影響了他們的工業(yè)物聯(lián)網(wǎng)基礎(chǔ)設(shè)施。

資料來源：https://industrialcyber.co/critical-infrastructure/critical-infrastructure-under-attack-as-ot-organizations-struggle-to-secure-frameworks-barracuda-reports/

微軟發(fā)布《保護(hù)關(guān)鍵基礎(chǔ)設(shè)施免受威脅報(bào)告》

微軟7月28日發(fā)布了《保護(hù)關(guān)鍵基礎(chǔ)設(shè)施免受威脅報(bào)告》。報(bào)告中包括為政府和關(guān)鍵基礎(chǔ)設(shè)施提供商應(yīng)優(yōu)先解決的五項(xiàng)關(guān)鍵建議：1.網(wǎng)絡(luò)安全必須被理解為一個(gè)持續(xù)的過程；2.關(guān)注跨部門和國(guó)家的統(tǒng)一監(jiān)管；3.加大信息共享和能力建設(shè)力度；4.建立網(wǎng)絡(luò)彈性文化；5.追究惡意行為者的責(zé)任。

資料來源：https://blogs.microsoft.com/eupolicy/2022/07/28/protecting-critical-infrastructure-from-cyberattacks/

Mandiant Red Team對(duì)勒索軟件在OT環(huán)境中可能的影響范圍進(jìn)行評(píng)估

Mandiant Red Team在一家歐洲工程組織中模擬了FIN11技術(shù)，以了解勒索軟件運(yùn)營(yíng)商在OT(運(yùn)營(yíng)技術(shù))網(wǎng)絡(luò)中的潛在影響力。Mandiant Red Team的三個(gè)預(yù)期目標(biāo)——在IT環(huán)境中模擬勒索軟件攻擊者，從IT傳播到單獨(dú)的OT網(wǎng)絡(luò)段，以及通過訪問機(jī)密信息以竊取和重新分發(fā)來模擬多方面的勒索，全部成功實(shí)現(xiàn)。

資料來源：https://s.vnshu.com/1WkD3l

Xage報(bào)告顯示，零信任有望在運(yùn)營(yíng)技術(shù)(OT)環(huán)境中實(shí)施

Xage對(duì)在美國(guó)關(guān)鍵基礎(chǔ)設(shè)施組織工作的網(wǎng)絡(luò)安全專業(yè)人員進(jìn)行了調(diào)查，最新的報(bào)告顯示，零信任也在OT環(huán)境中廣泛實(shí)施，尤其是在關(guān)鍵基礎(chǔ)設(shè)施組織中。調(diào)查發(fā)現(xiàn)，41%的關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營(yíng)商處于零信任實(shí)施的早期階段，88%的運(yùn)營(yíng)商已朝著零信任邁出了一些步伐。

資料來源：https://www.securityweek.com/critical-infrastructure-operators-implementing-zero-trust-ot-environments

新的氣隙攻擊使用SATA電纜作為天線傳輸無線電信號(hào)

研究人員Mordechai Guri發(fā)現(xiàn)了一種從氣隙系統(tǒng)中竊取數(shù)據(jù)的新方法，它使用大多數(shù)計(jì)算機(jī)內(nèi)部的串行ATA(SATA)電纜作為無線天線，通過無線電信號(hào)發(fā)送數(shù)據(jù)。該攻擊方向具有高實(shí)現(xiàn)難度，但其攻擊目標(biāo)多為軍事、政府等核心工業(yè)控制系統(tǒng)，其高危害性不容忽視。

資料來源：https://thehackernews.com/2022/07/new-air-gap-attack-uses-sata-cable-as.html

美國(guó)政府問責(zé)局敦促能源部提高電網(wǎng)彈性

美國(guó)政府問責(zé)局(GAO)發(fā)布了一份報(bào)告，為美國(guó)能源部(DOE)確定了八項(xiàng)優(yōu)先建議，在這些建議中，GAO呼吁改善網(wǎng)絡(luò)安全，保護(hù)工人，并建立電網(wǎng)彈性。為了建立電網(wǎng)彈性，GAO建議能源部長(zhǎng)應(yīng)制定包括時(shí)間框架在內(nèi)的計(jì)劃，以指導(dǎo)該機(jī)構(gòu)努力開發(fā)彈性規(guī)劃工具。

資料來源：https://industrialcyber.co/analysis/gao-report-presses-upon-doe-to-improve-efforts-to-manage-cybersecurity-risks-work-on-electric-grid-resilience/

立陶宛能源公司因DDOS攻擊而中斷

7月9日，立陶宛能源公司Ignitis Group遭受了所謂的“十年來最大的網(wǎng)絡(luò)攻擊”，當(dāng)時(shí)針對(duì)它的DDoS攻擊破壞了其數(shù)字服務(wù)和網(wǎng)站。該公司表示已經(jīng)能夠管理和限制攻擊對(duì)其系統(tǒng)的影響，并且沒有記錄任何違規(guī)行為。

資料來源：https://www.infosecurity-magazine.com/news/lithuanian-energy-ddos-attack/

2022年上半年CISA披露681個(gè)ICS漏洞，略高于2021上半年，但實(shí)際數(shù)量可能更多，其中超危漏洞占比22%以上。網(wǎng)絡(luò)安全審查委員會(huì)報(bào)告結(jié)果出人意料，尚未發(fā)現(xiàn)任何針對(duì)關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的重大基于Log4j的攻擊。西門子、施耐德等多家廠商的工業(yè)產(chǎn)品存在漏洞，其中嚴(yán)重的可導(dǎo)致眾多領(lǐng)域的關(guān)鍵基礎(chǔ)設(shè)施遭受破壞性攻擊。

2022年上半年CISA披露681個(gè)ICS漏洞

SynSaber公司統(tǒng)計(jì)了2022年上半年CISA披露的681個(gè)工業(yè)控制系統(tǒng)(ICS)漏洞，略高于2021年上半年。在681個(gè)CVE中，大約13%沒有補(bǔ)丁并且可能永遠(yuǎn)無法修復(fù)——這些被稱為“永久漏洞”。超過22%的漏洞為超危漏洞，42%為高危漏洞。

資料來源：https://www.securityweek.com/hundreds-ics-vulnerabilities-disclosed-first-half-2022

CSRB報(bào)告未發(fā)現(xiàn)任何針對(duì)關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的重大基于Log4j的攻擊

網(wǎng)絡(luò)安全審查委員會(huì)(CSRB)發(fā)布了Log4j漏洞和響應(yīng)審查報(bào)告，報(bào)告顯示尚未發(fā)現(xiàn)任何針對(duì)關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的重大基于Log4j的攻擊。另外還發(fā)現(xiàn)，鑒于漏洞的嚴(yán)重性，迄今為止，Log4j的利用發(fā)生在低于許多專家預(yù)測(cè)的水平。

資料來源：https://industrialcyber.co/reports/csrb-report-not-aware-of-any-significant-log4j-based-attacks-on-critical-infrastructure-systems/

西門子修復(fù)其產(chǎn)品的46個(gè)漏洞

西門子7月12日發(fā)布了19條新公告，修復(fù)了影響其產(chǎn)品的46個(gè)漏洞。其中一項(xiàng)公告描述了SIMATIC CP1543-1通信處理器中的三個(gè)超危和三個(gè)高危漏洞，攻擊者可利用這些漏洞進(jìn)行提權(quán)并執(zhí)行任意代碼。第二個(gè)公告描述了SIMATIC eaSie數(shù)字助理中的一個(gè)超危和一個(gè)高危漏洞，攻擊者可以遠(yuǎn)程利用這些漏洞向系統(tǒng)發(fā)送任意請(qǐng)求并導(dǎo)致DoS條件。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-59-vulnerabilities

施耐德修復(fù)其產(chǎn)品中的13個(gè)漏洞

施耐德電氣7月12日發(fā)布了四個(gè)新的公告，修復(fù)了13個(gè)漏洞。其中一個(gè)描述了SpaceLogicC-BusHomeController產(chǎn)品中的高危操作系統(tǒng)命令注入漏洞。部分OPCUA和X80高級(jí)RTU通信模塊受到三個(gè)可用于DoS攻擊的高危漏洞以及四個(gè)可允許攻擊者加載未經(jīng)授權(quán)固件的中危漏洞影響。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-59-vulnerabilities

Robustel工業(yè)路由器中存在10個(gè)漏洞

思科在Robustel的工業(yè)蜂窩物聯(lián)網(wǎng)網(wǎng)關(guān)中發(fā)現(xiàn)了10個(gè)漏洞，其中九個(gè)超危漏洞為命令注入漏洞，攻擊者可以通過向目標(biāo)設(shè)備發(fā)送特制的網(wǎng)絡(luò)請(qǐng)求來執(zhí)行任意命令。另外一個(gè)高危漏洞是一個(gè)數(shù)據(jù)刪除問題，可以利用特制的網(wǎng)絡(luò)請(qǐng)求來刪除任意文件。

資料來源：https://www.securityweek.com/10-vulnerabilities-found-widely-used-robustel-industrial-routers

MiCODUS GPS追蹤器存在6個(gè)漏洞

BitSight研究人員發(fā)現(xiàn)MiCODUS MV720 GPS中存在6個(gè)漏洞，包括硬編碼和默認(rèn)密碼、身份驗(yàn)證損壞、XSS和不安全的直接對(duì)象引用。攻擊者可以使用各種攻擊媒介完全控制GPS跟蹤器，使他們能夠訪問位置和其他信息，并允許他們解除警報(bào)和切斷燃料。

資料來源：https://www.securityweek.com/unpatched-micodus-gps-tracker-vulnerabilities-allow-hackers-remotely-disable-cars

工業(yè)連接設(shè)備Moxa NPort存在兩個(gè)高危漏洞

研究人員在Moxa的NPort5110設(shè)備服務(wù)器發(fā)現(xiàn)了兩個(gè)高危漏洞CVE-2022-2043和CVE-2022-2044。第一個(gè)DoS漏洞可以讓攻擊者使目標(biāo)設(shè)備停止響應(yīng)合法命令，第二個(gè)漏洞是越界問題，攻擊者可以訪問和/或覆蓋設(shè)備上的元素，從而導(dǎo)致數(shù)據(jù)崩潰或損壞。

資料來源：https://www.securityweek.com/moxa-nport-device-flaws-can-expose-critical-infrastructure-disruptive-attacks

大華網(wǎng)絡(luò)攝像頭存在高危漏洞

研究人員發(fā)現(xiàn)大華網(wǎng)絡(luò)攝像頭存在高危漏洞CVE-2022-30563，成功利用該漏洞可能允許攻擊者秘密添加惡意管理員帳戶并利用它以最高權(quán)限獲得對(duì)受影響設(shè)備的無限制訪問，包括觀看實(shí)時(shí)攝像頭錄像。

資料來源：https://thehackernews.com/2022/07/dahua-ip-camera-vulnerability-could-let.html