3月速遞
工業(yè)信息安全“信息共享”，金 瀚信安帶您一站式掌握2024年3月份國內(nèi)外工業(yè)信息安全資訊～
政策法規(guī)
本月觀察到國內(nèi)外網(wǎng)絡(luò)安全相關(guān)政策法規(guī)26項(xiàng)，中國5項(xiàng)、涉及美國15項(xiàng)、歐盟2項(xiàng)、澳大利亞2項(xiàng)、英國1項(xiàng)、印度1項(xiàng)，值得關(guān)注的有美國NSA發(fā)布云環(huán)境應(yīng)用10大安全策略、美國發(fā)布針對關(guān)鍵基礎(chǔ)設(shè)施防御DDoS攻擊的更新指南。
《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——車外畫面局部輪廓化處理效果驗(yàn)證》發(fā)布
3月7日，為指導(dǎo)汽車數(shù)據(jù)處理者對車外畫面進(jìn)行人臉、車牌局部輪廓化處理效果的自行驗(yàn)證，全國信安標(biāo)委秘書處組織編制并發(fā)布了《網(wǎng)絡(luò)安全標(biāo)準(zhǔn)實(shí)踐指南——車外畫面局部輪廓化處理效果驗(yàn)證》。
資料來源：http://yndrc.dwa2.sbs/pIVZrts
美國NSA發(fā)布云環(huán)境應(yīng)用10大安全策略
3月7日，美國國家安全局(NSA)發(fā)布了云客戶應(yīng)用來改善安全狀況的十大推薦緩解策略列表。該通報(bào)于2024年3月7日發(fā)布，匯編了從云安全措施到身份和訪問管理、數(shù)據(jù)安全實(shí)踐和網(wǎng)絡(luò)分段的十項(xiàng)策略。美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)為NSA的十項(xiàng)戰(zhàn)略中的六項(xiàng)提供了支持。
資料來源：http://uqi9b.dwa2.sbs/wOtNYwR
歐盟議會通過人工智能法案
3月13日，歐洲議會投票通過了歐盟的人工智能法案，為整個(gè)共同市場的各種人工智能產(chǎn)品引入了一系列規(guī)則，該法案旨在“保護(hù)基本權(quán)利、民主、法治和環(huán)境可持續(xù)性免受高風(fēng)險(xiǎn)人工智能的影響。
資料來源：https://therecord.media/eu-parliament-passes-ai-act-regulation
美國CISA推出安全軟件認(rèn)證表
3月13日，國土安全部的網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局發(fā)布了軟件開發(fā)認(rèn)證表格，該表格源自一項(xiàng)全面的2021年網(wǎng)絡(luò)安全行政命令和OMB軟件供應(yīng)鏈備忘錄，旨在強(qiáng)制執(zhí)行CISA經(jīng)常推動(dòng)的安全設(shè)計(jì)原則，鼓勵(lì)軟件制造商為其產(chǎn)品設(shè)計(jì)強(qiáng)大的內(nèi)置基線安全功能。
資料來源：http://gsrzc.dwa2.sbs/rjBDdMl
美國發(fā)布針對關(guān)鍵基礎(chǔ)設(shè)施防御DDoS攻擊的更新指南
3月21日，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)、聯(lián)邦調(diào)查局(FBI)和多州信息共享與分析中心(MS-ISAC)發(fā)布了更新的聯(lián)合指南，指南概述了拒絕服務(wù)(DoS)和DDoS情況，包括攻擊類型、動(dòng)機(jī)和對政府運(yùn)營的潛在影響，以及實(shí)施預(yù)防措施的實(shí)際步驟以及針對每種定義的事件響應(yīng)DDoS和DoS技術(shù)類型。
資料來源：http://aazob.dwa2.sbs/dcAFVtn
美國五角大樓制定國防工業(yè)基礎(chǔ)網(wǎng)絡(luò)安全戰(zhàn)略
3月28日，五角大樓發(fā)布了首個(gè)網(wǎng)絡(luò)安全戰(zhàn)略，以更好地保護(hù)其龐大的工業(yè)基礎(chǔ)免受黑客攻擊。該戰(zhàn)略將作為增強(qiáng)供應(yīng)鏈網(wǎng)絡(luò)安全和彈性的路線圖，涵蓋2024至2027財(cái)年，制定了四個(gè)首要目標(biāo)，例如改進(jìn)工業(yè)基礎(chǔ)內(nèi)的最佳實(shí)踐等。
資料來源：http://221qc.dwa2.sbs/s87Csjy
安全事件
本月監(jiān)測到勒索事件20起、數(shù)據(jù)泄露事件30起、網(wǎng)絡(luò)攻擊55起，釣魚攻擊2起、DDOS攻擊2起。其中典型的事件有北朝鮮黑客偷竊了南韓半導(dǎo)體信息，印度尼西亞能源巨頭遭受網(wǎng)絡(luò)攻擊。
北朝鮮黑客偷竊了南韓半導(dǎo)體信息
3月5日，北朝鮮黑客組織入侵了至少兩家南韓半導(dǎo)體制造設(shè)備生產(chǎn)商，盜取了產(chǎn)品設(shè)計(jì)圖紙和工廠照片，以逃避制裁并生產(chǎn)自己的半導(dǎo)體，用于武器項(xiàng)目。這一消息傳出后，南韓總統(tǒng)警告說，北朝鮮可能會采取挑釁行為，如進(jìn)行網(wǎng)絡(luò)攻擊或散布虛假新聞，干擾四月的議會選舉。
資料來源：http://livfa.dwa2.sbs/vVqqepT
印度尼西亞能源巨頭遭受網(wǎng)絡(luò)攻擊
3月15日，據(jù)媒體報(bào)道，一名暗網(wǎng)攻擊者正在出售一家印度尼西亞能源公司的訪問權(quán)限，據(jù)信該攻擊者與針對一家美國制造商的威脅攻擊者是同一人。威脅行為者據(jù)稱通過組織用于網(wǎng)絡(luò)保護(hù)的流行網(wǎng)絡(luò)安全解決方案提供了對該公司系統(tǒng)的訪問權(quán)限。此次非法訪問的要價(jià)定為800美元。
資料來源：https://thecyberexpress.com/indonesian-energy-sector-threat/
法國政府機(jī)構(gòu)遭受“前所未有的強(qiáng)度”的網(wǎng)絡(luò)攻擊
3月11日，法國總理辦公室宣布，許多法國政府機(jī)構(gòu)遭到“強(qiáng)烈”網(wǎng)絡(luò)攻擊。3月10日晚上開始的攻擊的性質(zhì)尚未得到證實(shí)，盡管描述與分布式拒絕服務(wù)(DDoS)攻擊一致。目前尚不清楚它們是否僅限于法國政府使用的面向公眾的網(wǎng)站。
資料來源：https://therecord.media/france-government-ddos-incident
電動(dòng)汽車充電公司Qmerit泄露中泄露了大量客戶信息
3月13日，據(jù)報(bào)道，網(wǎng)絡(luò)安全研究員福勒與WebsitePlanet在著名的美國電動(dòng)汽車服務(wù)提供商Qmerit的服務(wù)器中發(fā)現(xiàn)了一個(gè)不受密碼保護(hù)的數(shù)據(jù)庫，其中包含超過50萬條記錄，暴露的數(shù)據(jù)庫大小總計(jì)585.81GB，包含大量文檔，例如工作發(fā)票、價(jià)格建議、電力許可證和調(diào)查，以及客戶提交的信息，包括其房屋圖像和充電器位置詳細(xì)信息。
資料來源：http://5q2sb.dwa2.sbs/m5KGBfJ
美國恩西納廢水管理局遭受BlackByte勒索攻擊
3月15日，據(jù)媒體報(bào)道，加利福尼亞州卡爾斯巴德-恩西納廢水管理局(EWA)發(fā)現(xiàn)自己成為臭名昭著的BlackByte勒索軟件組織的目標(biāo)。網(wǎng)絡(luò)安全專家認(rèn)為，盡管恩西納廢水管理局的網(wǎng)站http://encinajpa.com仍然正常運(yùn)行，沒有立即出現(xiàn)入侵跡象，然而威脅行為者可能已經(jīng)滲透到組織的后端系統(tǒng)或數(shù)據(jù)庫。
資料來源：https://thecyberexpress.com/encina-wastewater-authority-cyberattack/
日本富士內(nèi)網(wǎng)感染惡意軟件導(dǎo)致數(shù)據(jù)泄露
3月17日，富士通報(bào)道他們在內(nèi)部調(diào)查期間檢測到了該惡意軟件。發(fā)現(xiàn)后，他們立即隔離受感染的設(shè)備，并加強(qiáng)整個(gè)系統(tǒng)的安全監(jiān)控。目前正在進(jìn)行深入調(diào)查，以確定惡意軟件的入口點(diǎn)和潛在數(shù)據(jù)泄露的全部范圍。
資料來源：http://8azrb.dwa2.sbs/5o61xOF
漏洞態(tài)勢
本月監(jiān)測到OT漏洞81個(gè)，其中不正確的輸入驗(yàn)證9個(gè)，SQL注入7個(gè)，越界寫入7個(gè)，棧緩沖區(qū)溢出5個(gè)，內(nèi)存緩存的邊界中操作限制不當(dāng)4個(gè)，越界讀取4個(gè)，空指針解引用4個(gè)，受限目錄路徑名處理不當(dāng) (路徑遍歷)3個(gè)，整數(shù)溢出3個(gè)，網(wǎng)頁生成時(shí)輸入處理不當(dāng)(跨站腳本攻擊)2個(gè)，不當(dāng)?shù)臋?quán)限許可2個(gè)，訪問未初始化的指針2個(gè)，使用硬編碼的憑據(jù)2個(gè)，不當(dāng)認(rèn)證2個(gè)，堆的緩沖區(qū)溢出2個(gè)，訪問控制不恰當(dāng)2個(gè)，不正確的指針放大2個(gè)，明文存儲口令1個(gè)，路徑遍歷1個(gè)，網(wǎng)頁生成時(shí)輸入處理不當(dāng)(跨站腳本攻擊)2個(gè)，未限制危險(xiǎn)類型文件上傳1個(gè)，弱密碼1個(gè)，使用外部控制的格式字符串1個(gè)，可信數(shù)據(jù)的反序列化1個(gè)，參數(shù)注入或修改1個(gè)，文件和路徑信息暴露1個(gè)，隱藏功能1個(gè)，手動(dòng)調(diào)試的1個(gè)，不檢查輸入數(shù)據(jù)大小就復(fù)制緩沖區(qū)1個(gè)，釋放后使用1個(gè)，關(guān)鍵資源的權(quán)限分配不正確1個(gè)，不受控制的搜索路徑元素1個(gè)，使用弱哈希1個(gè)，路徑穿越1個(gè)，敏感信息的明文傳輸1個(gè)，將敏感信息暴露給未經(jīng)授權(quán)的演員訪問者1個(gè)。
西門子設(shè)備受45個(gè)Fortinet漏洞影響
3月12日，西門子發(fā)布了11份新公告，共描述了214個(gè)漏洞。其中45個(gè)漏洞是在Fortinet產(chǎn)品中發(fā)現(xiàn)的同時(shí)也影響西門子Ruggedcom APE1808，這些缺陷具有嚴(yán)重性和高度嚴(yán)重性，可被利用用于帳戶接管、任意代碼執(zhí)行和未經(jīng)授權(quán)的信息訪問。
資料來源：http://goefa.dwa2.sbs/xedv5gF
工業(yè)設(shè)備制造商Moxa修復(fù)了可導(dǎo)致生產(chǎn)停止的漏洞
3月7日，Moxa發(fā)布了固件更新，解決了Positive Technologies專家發(fā)現(xiàn)的NPort系列無線工業(yè)轉(zhuǎn)換器中的危險(xiǎn)漏洞(CVE-2024-1220)。該漏洞允許攻擊者在未經(jīng)授權(quán)的情況下在受影響的設(shè)備上執(zhí)行任意代碼。
資料來源：https://www.securitylab.ru/news/546666.php
QNAP警告其NAS設(shè)備存在嚴(yán)重身份驗(yàn)證繞過缺陷
3月8日，QNAP警告其NAS軟件產(chǎn)品(包括QTS、QuTS Hero、QuTScloud和myQNAPcloud)存在身份驗(yàn)證繞過(CVE-2024-21899)、命令注入(CVE-2024-21900)和SQL注入(CVE-2024-21901)漏洞，這些漏洞可能允許攻擊者訪問設(shè)備。QNAP已發(fā)布升級補(bǔ)丁，以修復(fù)這三個(gè)漏洞，建議用戶及時(shí)升級相應(yīng)版本。
資料來源：http://rh4ib.dwa2.sbs/Oiij5xM
ABB控制器中發(fā)現(xiàn)的嚴(yán)重漏洞
3月20日，據(jù)媒體報(bào)道，Positive Technologies專家在ABB Freelance AC 900F和AC 700F控制器中發(fā)現(xiàn)了兩個(gè)漏洞，這些漏洞在CVSS v3.1等級上獲得了8.6的相同評級。這些設(shè)備應(yīng)用于冶金、化工等領(lǐng)域。通過利用發(fā)現(xiàn)的漏洞，攻擊者可以停止控制器的運(yùn)行并破壞技術(shù)流程。此外，通過發(fā)送特制的數(shù)據(jù)包，攻擊者可以進(jìn)行遠(yuǎn)程代碼執(zhí)行攻擊，從而奪取設(shè)備的控制權(quán)。
資料來源：https://www.securitylab.ru/news/546904.php
Ivanti產(chǎn)品發(fā)現(xiàn)安全漏洞
3月21日，Ivanti警告其Standalone Sentry產(chǎn)品存在嚴(yán)重漏洞。它允許攻擊者遠(yuǎn)程執(zhí)行任意命令。該漏洞編號為CVE-2023-41724，CVSS分為9.6，影響該產(chǎn)品的所有受支持版本，包括9.17.0、9.18.0和9.19.0以及更早的版本。
資料來源：https://therecord.media/eu-parliament-passes-ai-act-regulation
Claroty的Team82揭示了Unitronics UniStream設(shè)備中的嚴(yán)重漏洞
3月25日，據(jù)媒體報(bào)道，Claroty Team82的研究人員披露了Unitronics UniStream集成PLC/HMI產(chǎn)品中存在嚴(yán)重硬件漏洞，導(dǎo)致供應(yīng)商更新產(chǎn)品線。這些漏洞可能允許攻擊者繞過身份驗(yàn)證并在直接連接到互聯(lián)網(wǎng)的設(shè)備上啟用遠(yuǎn)程代碼執(zhí)行。
資料來源：http://eykib.dwa2.sbs/hlUyATi
