10月速遞
工業(yè)信息安全“信息共享”，金瀚信安帶您一站式掌握2022年10月份國內(nèi)外工業(yè)信息安全資訊～
政策法規(guī)
我國工業(yè)互聯(lián)網(wǎng)平臺領域首批國家標準發(fā)布，對我國工業(yè)互聯(lián)網(wǎng)平臺標準化建設具有重要意義。歐盟委員會提出建議草案，以建立歐盟關鍵基礎設施的彈性。美國TSA對鐵路運輸公司發(fā)布新的網(wǎng)絡安全要求。美國國土安全部發(fā)布《網(wǎng)絡安全績效目標》。美國能源部發(fā)布《美國電網(wǎng)分布式能源的網(wǎng)絡安全注意事項》報告。美國NCCoE推出液化天然氣(LNG)網(wǎng)絡安全框架配置文件。
工業(yè)互聯(lián)網(wǎng)平臺領域首批國家標準正式發(fā)布實施
10月14日，國家市場監(jiān)督管理總局(國家標準化管理委員會)發(fā)布2022年第13號中華人民共和國國家標準公告，批準GB/T 41870-2022《工業(yè)互聯(lián)網(wǎng)平臺 企業(yè)應用水平與績效評價》和GB/T 23031.1-2022《工業(yè)互聯(lián)網(wǎng)平臺 應用實施指南 第1部分：總則》2項國家標準正式發(fā)布。
資料來源：https://mp.weixin.qq.com/s/N9CkPwlQJ9zv3ieIsNtXVQ
工業(yè)互聯(lián)網(wǎng)總體網(wǎng)絡架構國家標準正式發(fā)布
10月14日，國家市場監(jiān)督管理總局(國家標準化管理委員會)發(fā)布2022年第13號中華人民共和國國家標準公告，批準發(fā)布國家標準GB/T 42021-2022《工業(yè)互聯(lián)網(wǎng)總體網(wǎng)絡架構》，這是我國工業(yè)互聯(lián)網(wǎng)網(wǎng)絡領域發(fā)布的首個國家標準，標志著我國工業(yè)互聯(lián)網(wǎng)體系建設邁出了堅實的一步。
資料來源：https://www.miit.gov.cn/jgsj/xgj/gzdt/art/2022/art_c7695e22ef0e4ef5b4b48ba94f5d0f0d.html
歐盟委員會提出建議草案，以建立歐盟關鍵基礎設施的彈性
歐盟委員會提議加強歐盟關鍵基礎設施的彈性，建議草案旨在最大化和加快保護經(jīng)濟運行所需的資產(chǎn)、設施和系統(tǒng)的工作，并通過確保盡可能快的恢復來減輕任何攻擊的影響。該機構指出，雖然所有此類基礎設施都應受到保護，但目前優(yōu)先考慮的是能源、數(shù)字基礎設施、運輸和空間部門。
資料來源：https://industrialcyber.co/critical-infrastructure/european-commission-proposes-draft-recommendations-to-build-resilience-of-eu-critical-infrastructure/
美國TSA對鐵路運輸公司發(fā)布新的網(wǎng)絡安全要求
美國運輸安全管理局(TSA)10月18日發(fā)布了一項網(wǎng)絡安全指令，對指定的客運和貨運鐵路承運人進行監(jiān)管，以通過注重基于績效的措施來增強網(wǎng)絡安全彈性。鐵路承運人必須使用TSA提供的表格進行網(wǎng)絡安全漏洞評估，并將表格提交給TSA。漏洞評估將包括評估當前的做法和活動，以解決IT和OT系統(tǒng)的網(wǎng)絡風險。
資料來源：https://www.hstoday.us/federal-pages/dhs/tsa-issues-new-cybersecurity-requirements-for-passenger-and-freight-railroad-carriers/
美國國土安全部發(fā)布《網(wǎng)絡安全績效目標》
10月27日，美國國土安全部發(fā)布了網(wǎng)絡安全績效目標(CPG)，這是一種自愿做法，概述了各種規(guī)模的企業(yè)和關鍵基礎設施所有者可以采取的最高優(yōu)先級基線措施，以保護自己免受網(wǎng)絡威脅。
資料來源：https://www.hstoday.us/federal-pages/dhs/dhs-announces-new-cybersecurity-performance-goals-for-critical-infrastructure/
美國能源部發(fā)布《美國電網(wǎng)分布式能源的網(wǎng)絡安全注意事項》報告
10月6日，美國能源部發(fā)布了《美國電網(wǎng)分布式能源的網(wǎng)絡安全注意事項》報告。報告概述了電力部門在對美國電網(wǎng)進行轉(zhuǎn)型時應考慮的網(wǎng)絡安全注意事項，包括公用事業(yè)和分布式能源運營商、供應商、集成商、開發(fā)商以及政策制定者。
資料來源：https://industrialcyber.co/reports/doe-reports-on-cybersecurity-considerations-for-distributed-energy-resources-across-us-electric-grid/
美國NCCoE推出液化天然氣(LNG)網(wǎng)絡安全框架配置文件
10月17日，美國國家網(wǎng)絡安全卓越中心(NCCoE)發(fā)布了為液化天然氣(LNG)行業(yè)和支持LNG總體液化過程、運輸和分配的附屬功能開發(fā)的網(wǎng)絡安全框架配置文件。LNG網(wǎng)絡安全框架簡介探討了行業(yè)將其組織要求和目標、風險偏好和資源與網(wǎng)絡安全框架核心的預期結果的獨特一致性。
資料來源：https://industrialcyber.co/threats-attacks/nccoe-rolls-out-draft-lng-cybersecurity-framework-profile-to-supplement-existing-directives-calls-for-comments/
安全事件
印度能源公司Tata Power的IT基礎設施受到網(wǎng)絡攻擊。研究人員發(fā)現(xiàn)CNC控制器易受到拒絕服務(DoS)、劫持和數(shù)據(jù)盜竊等攻擊。Dragos發(fā)布2022年第三季度工業(yè)勒索軟件分析報告。英特爾確認Alder Lake BIOS源代碼泄露。物業(yè)管理公司SSKB遭受網(wǎng)絡攻擊，部分數(shù)據(jù)遭到泄露。
印度能源公司Tata Power的IT基礎設施受到網(wǎng)絡攻擊
印度最大的綜合電力公司Tata Power證實，它已成為網(wǎng)絡攻擊的目標。該公司在向印度國家證券交易所提交的一份文件中表示，對IT基礎設施的入侵影響了“其部分IT系統(tǒng)”。它進一步表示，它已采取措施檢索和恢復受影響的機器，并為面向客戶的門戶設置了安全邊界，以防止未經(jīng)授權的訪問。
資料來源：https://techcrunch.com/2022/10/14/india-power-company-tata-power-cyber-attack/?&web_view=true
CNC設備存在安全風險
研究人員對Haas、Okuma、Heidenhain和Fanuc的CNC(Computer numerical control)控制器進行安全測試，發(fā)現(xiàn)CNC控制器易受到拒絕服務(DoS)、劫持和數(shù)據(jù)盜竊等攻擊。研究人員表示，對制造過程有廣泛了解的攻擊者可能會控制CNC控制器，以錯誤配置其工具幾何形狀，從而導致生產(chǎn)的零件出現(xiàn)細微缺陷。
資料來源：https://www.trendmicro.com/en_us/research/22/j/uncovering-security-blind-spots-in-cnc-machines.html
Dragos發(fā)布2022年第三季度工業(yè)勒索軟件分析報告
10月26日，Dragos發(fā)布了2022年第三季度工業(yè)勒索軟件分析報告，報告指出勒索軟件仍然是全球工業(yè)組織面臨的最具威脅性的財務和運營風險之一。報告顯示，在2022年第三季度，68%的勒索軟件攻擊針對制造業(yè)，9%的攻擊針對食品和飲料行業(yè)，石油和天然氣行業(yè)受到6%的攻擊，能源和制藥行業(yè)受到10%的攻擊，運輸行業(yè)受到3%的攻擊，化學、采礦、工程以及水和廢水系統(tǒng)部門分別受到1%的攻擊。資料來源：
https://www.dragos.com/blog/industry-news/dragos-industrial-ransomware-analysis-q3-2022/
英特爾確認Alder Lake BIOS源代碼泄露
芯片制造商英特爾已證實，與其Alder Lake CPU相關的專有源代碼已被泄露，此前未知第三方在4chan和GitHub上發(fā)布了該源代碼。發(fā)布的內(nèi)容包含Alder Lake的統(tǒng)一可擴展固件接口(UEFI )代碼，還包括大量文件和工具，其中一些似乎來自固件供應商Insyde Software。英特爾表示，此次泄漏并未暴露任何新的安全漏洞。
資料來源：https://thehackernews.com/2022/10/intel-confirms-leak-of-alder-lake-bios.html
物業(yè)管理公司SSKB遭受網(wǎng)絡攻擊
10月27日，澳大利亞物業(yè)管理公司SSKB發(fā)布安全公告，披露了網(wǎng)絡攻擊事件。公告中指出，攻擊者未經(jīng)授權訪問了SSKB的IT環(huán)境，下載了一些信息并在暗網(wǎng)上發(fā)布了贖金要求。據(jù)《澳大利亞人報》報道，攻擊者聲稱從SSKB竊取了200GB的數(shù)據(jù)，包括建筑項目數(shù)據(jù)、客戶財務信息、管理信函、合同和協(xié)議。
資料來源：https://www.itnews.com.au/news/australian-strata-company-sskb-breached-587093
漏洞態(tài)勢
西門子和施耐德修復其產(chǎn)品中的多個漏洞，部分漏洞可導致任意代碼執(zhí)行。Horner PLC軟件存在7個遠程代碼執(zhí)行漏洞。CISA發(fā)布多項工業(yè)控制系統(tǒng)公告。
西門子修復其產(chǎn)品中的24個漏洞
10月11日，西門子發(fā)布了15條公告，涵蓋了24個漏洞。其中最嚴重的漏洞CVE-2022-38465與未正確保護的全局加密密鑰有關。威脅行為者可以對單個Siemens PLC發(fā)起離線攻擊，并獲得一個私鑰，可以用來破壞整個產(chǎn)品線。然后，攻擊者可以獲得敏感的配置數(shù)據(jù)或發(fā)起中間人(MitM)攻擊，使他們能夠讀取或修改PLC與其連接的HMI和工程工作站之間的數(shù)據(jù)。資料來源：
https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-release-19-new-security-advisories
施耐德修復其產(chǎn)品中的12個漏洞
10月11日，施耐德發(fā)布了四項新公告，修復了12個漏洞。在EcoStruxure Operator Terminal Expert和Pro-face BLUE產(chǎn)品中發(fā)現(xiàn)了六個高危任意代碼執(zhí)行漏洞。EcoStruxure Power Operation和Power SCADA Operation軟件存在一個漏洞，可能導致數(shù)據(jù)泄露、設置被更改或造成中斷。EcoStruxure Panel Server Box受到可被用于任意寫入和DoS攻擊的中、高危漏洞的影響。SAGE RTU產(chǎn)品使用的第三方ISaGRAF Workbench軟件存在三個中危漏洞，可能導致任意代碼執(zhí)行或權限提升。
資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-release-19-new-security-advisories
Horner PLC軟件存在7個遠程代碼執(zhí)行漏洞
研究人員在Horner Automation的Cscape PLC軟件中發(fā)現(xiàn)了7個高危遠程代碼執(zhí)行漏洞。這些漏洞被描述為基于堆的緩沖區(qū)溢出、越界讀/寫以及與應用程序解析字體時用戶提供的數(shù)據(jù)驗證不當有關的未初始化指針問題。攻擊者可以利用這些漏洞通過讓用戶打開特制字體文件來在當前進程的上下文中執(zhí)行任意代碼。
資料來源：https://www.securityweek.com/several-horner-plc-software-vulnerabilities-allow-code-execution-malicious-font-files
CISA警告Advantech和Hitachi存在影響工業(yè)設備的嚴重漏洞
美國網(wǎng)絡安全和基礎設施安全局(CISA)10月18日發(fā)布了兩項工業(yè)控制系統(tǒng)(ICS)公告，涉及研華R-SeeNet和日立能源APM Edge設備的嚴重漏洞。R-SeeNet監(jiān)控解決方案中的三個漏洞，可能導致未經(jīng)授權的攻擊者遠程刪除系統(tǒng)上的文件或允許遠程執(zhí)行代碼。更新了Hitachi變壓器資產(chǎn)性能管理(APM) Edge于2021年12月2日發(fā)布的公告，新增了29個影響1.0、2.0和3.0版本的漏洞。
資料來源：https://www.cisa.gov/uscert/ncas/current-activity/2022/10/18/cisa-releases-two-industrial-control-systems-advisories
CISA發(fā)布八項工業(yè)控制系統(tǒng)公告
10月25日，CISA(美國網(wǎng)絡安全和基礎設施安全局)發(fā)布了八項ICS(工業(yè)控制系統(tǒng))公告，其中一項涉及AliveCor KardiaMobile醫(yī)療設備，剩余七項涉及西門子、日立能源、江森自控、臺達電子、哈斯和海德漢工業(yè)控制系統(tǒng)設備。
資料來源：https://www.cisa.gov/uscert/ncas/current-activity/2022/10/25/cisa-releases-eight-industrial-control-systems-advisories
