10月速遞
工業(yè)信息安全“信息共享”，金 瀚信安帶您一站式掌握2024年10月份國內(nèi)外工業(yè)信息安全資訊～
政策法規(guī)
本月觀察到國內(nèi)外網(wǎng)絡安全相關政策法規(guī)23項，中國6項、涉及美國13項、英國2項、俄羅斯1項、澳大利亞1項。值得關注的有國內(nèi)方面國家工信安全中心發(fā)布軟件物料清單 (SBOM) 標準社區(qū)版等;國際上英國提出《數(shù)據(jù)(使用和訪問)法案》、美國國防部發(fā)布了網(wǎng)絡安全成熟度模型認證(CMMC)計劃的最終規(guī)則等。
國家工信安全中心發(fā)布軟件物料清單 (SBOM) 標準社區(qū)版
10月24日，據(jù)媒體報道，國家工信安全中心發(fā)布《軟件物料清單構成和要求》標準，旨在規(guī)范軟件開發(fā)，提升軟件質(zhì)量和可維護性，保障軟件供應鏈安全。該標準明確了SBOM的文檔構成、數(shù)據(jù)字段、工具能力和管理應用要求，強調(diào)了實用性和可操作性。中心將深化合作，推進SBOM標準更新和工具迭代，促進開源技術和SBOM應用發(fā)展。
資料來源：https://www.secrss.com/articles/71651
三項工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全國家標準發(fā)布
10月8日，據(jù)媒體報道，國家市場監(jiān)督管理總局(國家標準化管理委員會)發(fā)布了三項新的工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全國家標準，這些標準將于2025年1月1日正式實施。這三項標準是《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全 第1部分：應用工業(yè)互聯(lián)網(wǎng)的工業(yè)企業(yè)防護要求》(GB/T 44462.1-2024)、《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全 第2部分：平臺企業(yè)防護要求》(GB/T 44462.2-2024)、《工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡安全 第3部分：標識解析企業(yè)防護要求》(GB/T 44462.3-2024)，這些標準旨在解決工業(yè)互聯(lián)網(wǎng)企業(yè)在網(wǎng)絡安全防護方面的實際需求，提出了不同級別企業(yè)的網(wǎng)絡安全防護要求，以指導企業(yè)實施工業(yè)互聯(lián)網(wǎng)安全分類分級管理。這些標準的發(fā)布對提升工業(yè)互聯(lián)網(wǎng)企業(yè)的安全水平、保障產(chǎn)業(yè)的健康發(fā)展具有重要意義。
資料來源：https://www.secrss.com/articles/69813
英國政府出臺新的數(shù)據(jù)治理法規(guī)
10月24日，據(jù)媒體報道，英國提出《數(shù)據(jù)(使用和訪問)法案》，該法案為數(shù)字驗證服務提供了一個框架，使提供身份驗證工具的公司能夠獲得政府認證的“信任標志”。這旨在提高對數(shù)字驗證服務的安全性和隱私性的信任，從而提高生活不同領域的效率，包括收集包裹、開設銀行賬戶和搬家。
資料來源：https://www.infosecurity-magazine.com/news/uk-data-governance-legislation/
美國防部發(fā)布網(wǎng)絡安全成熟度模型認證計劃最終規(guī)則
10月15日，美國國防部發(fā)布了網(wǎng)絡安全成熟度模型認證(CMMC)計劃的最終規(guī)則，旨在確保國防承包商和分包商符合處理聯(lián)邦合同信息(FCI)和受控非機密信息(CUI)的現(xiàn)有信息保護要求，并以與網(wǎng)絡安全威脅風險相稱的水平保護這些敏感的非機密信息。規(guī)則將評估級別從五個減少到三個，以簡化中小企業(yè)的流程。根據(jù)最終規(guī)則，國防部將允許企業(yè)適時對其合規(guī)性進行自我評估。FCI的基本保護需要CMMC1級的自我評估，而CUI的一般保護則需要第三方評估或CMMC2級的自我評估。對于需要更高級別保護的某些CUI，以防范高級持續(xù)性威脅的風險，將由國防工業(yè)基礎網(wǎng)絡安全評估中心牽頭進行CMMC3級評估。
資料來源：http://0wdhn.dz113.sbs/CyqAhAK
澳大利亞2024年網(wǎng)絡安全法案側重于加強網(wǎng)絡彈性和保護關鍵基礎設施
10月9日，澳大利亞政府推出了網(wǎng)絡安全立法一攬子計劃，旨在提升網(wǎng)絡環(huán)境和關鍵基礎設施的安全性與彈性。該計劃包括《2024年網(wǎng)絡安全法案》，這是澳大利亞首個獨立的網(wǎng)絡安全法案，確立了智能設備的最低安全標準、勒索軟件報告義務、國家網(wǎng)絡安全協(xié)調(diào)員和澳大利亞信號局(ASD)的“有限使用”義務，以及網(wǎng)絡事件審查委員會。這些措施旨在應對當前面臨的地緣政治和網(wǎng)絡威脅環(huán)境，保護網(wǎng)絡安全和關鍵基礎設施對澳大利亞的國家安全和經(jīng)濟穩(wěn)定至關重要。
資料來源：http://ufz2m.dz113.sbs/C8lTFoT
歐洲理事會通過《網(wǎng)絡彈性法案》
10月10日，據(jù)媒體報道，歐洲理事會通過的新法規(guī)要求歐盟內(nèi)的互聯(lián)設備制造商必須提供產(chǎn)品的修補和漏洞更新，以增強網(wǎng)絡安全。這項安全設計法規(guī)源自2022年歐盟委員會提出的《網(wǎng)絡彈性法案》，要求制造商進行風險評估、確保默認數(shù)據(jù)保護，并定期提供缺陷信息和修補。法規(guī)將在歐盟委員會主席簽署后36個月生效。
資料來源：http://37s9l.dz112.sbs/YtYctpV
安全事件
本月監(jiān)測到勒索事件16起、數(shù)據(jù)泄露事件14起、網(wǎng)絡攻擊38起，釣魚攻擊4起。其中典型的勒索事件為黑客勒索保險巨頭Globe Life;典型的數(shù)據(jù)泄露事件為日本電產(chǎn)精密株式會社(Nidec Precision Corporation)披露其越南子公司NPCV在2024年8月5日遭受網(wǎng)絡攻擊，導致約50,694個文件泄露;典型的網(wǎng)絡攻擊事件為塞浦路斯遭遇了一系列重大網(wǎng)絡攻擊，這些攻擊主要針對政府網(wǎng)站和關鍵互聯(lián)網(wǎng)基礎設施;典型的釣魚攻擊事件為烏克蘭計算機應急響應小組(CERT-UA)最近觀察到一系列針對烏克蘭關鍵行業(yè)的惡意網(wǎng)絡釣魚電子郵件攻擊。
日本電產(chǎn)精密公司披露安全事件
10月23日，日本電產(chǎn)精密株式會社(Nidec Precision Corporation)披露其越南子公司NPCV在2024年8月5日遭受網(wǎng)絡攻擊，導致約50,694個文件泄露。攻擊者通過非法獲取通用域帳戶的ID和密碼訪問了服務器，并要求贖金。公司拒絕支付，攻擊者在暗網(wǎng)上披露了數(shù)據(jù)。Nidec Precision已采取措施加強安全，包括重置密碼和審查訪問權限，并提醒員工警惕可疑郵件。公司正與外部安全組織合作，以防止未來類似事件。
資料來源：http://r3lsm.dz113.sbs/0kmBNC7
金磚國家主要峰會期間俄外交部遭受網(wǎng)絡攻擊
10月24日，俄羅斯外交部發(fā)言人瑪麗亞·扎哈羅娃 (Maria Zakharova) 表示，俄羅斯外交部10月23日遭到嚴重網(wǎng)絡攻擊，恰逢金磚國家主要峰會在該國舉行。扎哈羅娃指出，該部經(jīng)常遇到類似的攻擊，但此次攻擊“規(guī)模空前”。
資料來源：http://es00m.dz113.sbs/zdwJ4T9
烏克蘭政府、軍隊遭受釣魚攻擊
10月23日，據(jù)媒體報道，烏克蘭計算機應急響應小組(CERT-UA)最近觀察到一系列針對烏克蘭關鍵行業(yè)的惡意網(wǎng)絡釣魚電子郵件攻擊。這些攻擊利用了遠程桌面協(xié)議(RDP)配置文件，這些文件被偽裝成與Amazon和Microsoft服務相關的合法文件，以吸引目標用戶。攻擊者通過這些釣魚郵件試圖非法獲取未經(jīng)授權的遠程訪問權限。
資料來源：https://thecyberexpress.com/rogue-rdp-files-used-in-ukraine-cyberattacks/
UnitedHealth 表示 Change Healthcare 泄露事件中被盜了 1 億個數(shù)據(jù)
10月24日，據(jù)媒體報道，UnitedHealth Group證實其旗下的 Change Healthcare 在 2024 年 2 月遭受的勒索軟件攻擊中，導致超過 1 億人的個人信息和醫(yī)療保健數(shù)據(jù)被盜。這是近年來最大的醫(yī)療保健數(shù)據(jù)泄露事件之一。泄露的數(shù)據(jù)包括健康保險信息、健康信息、賬單、索賠和付款信息，以及其他個人信息，如社會安全號碼、駕駛執(zhí)照或州身份證號碼或護照號碼。
資料來源：http://7yk0l.dz112.sbs/c5AzJKq
塞浦路斯遭遇了一系列重大網(wǎng)絡攻擊
10月21日，據(jù)媒體報道，塞浦路斯遭遇了一系列重大網(wǎng)絡攻擊，這些攻擊主要針對政府網(wǎng)站和關鍵互聯(lián)網(wǎng)基礎設施。自周五以來，已記錄了6起事件，影響了公共服務和私營企業(yè)。這些攻擊包括對愛馬仕機場網(wǎng)站、塞浦路斯銀行、電力局(EAC)、電信管理局(CYTA)和燃料公司EKO Cyprus Limited的DDoS攻擊。盡管這些攻擊具有破壞性，但到目前為止，它們都已被成功抵御，沒有對服務造成顯著影響。
資料來源：http://vdqem.dz113.sbs/Bg8n8fg
黑客勒索保險巨頭Globe Life
10月17日，據(jù)媒體報道，保險巨頭Globe Life今年遭受了一起數(shù)據(jù)泄露事件，影響了其子公司American Income Life Insurance Company至少5,000名客戶。攻擊者試圖通過勒索手段，要求公司支付贖金以換取不公開被盜數(shù)據(jù)。泄露的數(shù)據(jù)包括全名、電子郵件地址、電話號碼、郵政地址、社會安全號碼、健康相關數(shù)據(jù)和政策信息。Globe Life表示，這次勒索企圖并未涉及勒索軟件，公司系統(tǒng)上沒有數(shù)據(jù)被加密。
資料來源：http://kf6cm.dz113.sbs/hFh66jQ
漏洞態(tài)勢
本月監(jiān)測到操作技術(OT)漏洞共91個。其中內(nèi)存緩沖區(qū)范圍內(nèi)的操作限制不當8個，越界讀取5個，不正確的輸入驗證4個，關鍵功能的認證機制缺失4個，未定義的資源釋放3個，過量數(shù)據(jù)分配3個，未定義的Behavior of Unreferenced Code3個，空指針解引用3個，密碼在標準輸入中硬編碼3個，命令行注入3個，未定義的行為當超出緩沖區(qū)3個，SQL注入3個，堆棧緩沖區(qū)溢出2個，信息泄露 - 外部實體2個，未定義的Denial of Service Free2個，未定義的認證2個，通過未加密的通信傳輸敏感數(shù)據(jù)2個，未定義的跨站請求偽造(CSRF)保護2個，未定義的跨站腳本(XSS)保護2個，未定義的跨站請求偽造(CSRF)保護2個，未定義的跨站腳本(XSS)2個，未定義的權限繞過2個等。
ICONICS和Mitsubishi Electric產(chǎn)品套件被爆存在高危漏洞
10月22日，CISA發(fā)布涉及 ICONICS 和 Mitsubishi Electric 的產(chǎn)品套件中的高危漏洞公告。該漏洞被歸類為 CVE-2024-7587，CVSS v3.1 基本評分為 7.8，由于攻擊復雜度較低，此漏洞給 ICONICS Suite 的用戶帶來了嚴重問題，包括 GENESIS64、Hyper Historian、AnalytiX 和 MobileHMI(版本 10.97.3 及更早版本)等產(chǎn)品，以及三菱電機的所有版本的 MC Works64。如果成功利用，此漏洞可能會導致數(shù)據(jù)泄露、未經(jīng)授權的數(shù)據(jù)篡改，在最壞的情況下，還可能導致拒絕服務 (DoS) 情況。
資料來源：http://258rm.dz113.sbs/hMcmehc
Nozomi研究人員在跨IoT、嵌入式、ICS設備部署的GoAhead Web服務器中發(fā)現(xiàn)嚴重安全漏洞
10月16日，據(jù)媒體報道，Nozomi Networks Labs研究人員在EmbedThis開發(fā)的GoAhead Web服務器中發(fā)現(xiàn)了三個安全漏洞(CVE-2024-3184、CVE-2024-3187和CVE-2024-3186)，可能影響嵌入式和IoT設備。這些漏洞主要涉及HTTP請求處理、輸入解析和會話管理，可能導致拒絕服務。EmbedThis已發(fā)布補丁6.0.1版以修復這些問題。研究人員建議用戶更新至最新版本或評估漏洞潛在存在。
資料來源：http://eeltk.dz112.sbs/JtDoX4A
漏洞Cisco修補模擬電話適配器中的高嚴重性漏洞
10月16日，據(jù)媒體報道，思科最近修補了ATA 190系列模擬電話適配器中的八個安全漏洞，其中包括兩個高嚴重性的漏洞：一個允許未經(jīng)身份驗證的遠程攻擊者查看或刪除配置或修改固件(CVE-2024-20458)，另一個允許進行CSRF攻擊執(zhí)行任意操作(CVE-2024-20421)。此外，還修補了一個中等嚴重性漏洞(CVE-2024-20459)，可能允許以root權限執(zhí)行任意命令。剩余的五個中等嚴重性漏洞涉及XSS攻擊、以root身份執(zhí)行任意命令、查看密碼、修改設備配置或重啟設備，以及以管理員權限運行命令。受影響的設備包括ATA 191和ATA 192。
資料來源：http://twomn.dz113.sbs/ROfIeOZ
Claroty的Team82在MMS協(xié)議中發(fā)現(xiàn)5個漏洞，對工業(yè)設備構成重大風險
10月10日，Claroty的Team82研究人員發(fā)現(xiàn)了制造消息規(guī)范(MMS)協(xié)議中的五個漏洞，這些漏洞可能允許攻擊者遠程執(zhí)行代碼或使工業(yè)設備崩潰。受影響的協(xié)議在電力系統(tǒng)和IEC 61850標準中被廣泛使用，控制中心與現(xiàn)代數(shù)字變電站設備間的通信可能會受到影響。Claroty還提供了一個名為“MMS Stack Detector”的免費工具，以幫助識別MMS協(xié)議的具體實現(xiàn)。這些漏洞被報告給了受影響的供應商，包括MZ Automation的libIEC61850庫和Triangle MicroWorks的TMW IEC 61850庫，并且其中一些漏洞已經(jīng)被修復。此外，西門子的SIPROTEC 5 IED也受到了影響，但西門子已經(jīng)更新了其固件以解決這個問題。研究人員強調(diào)了現(xiàn)代技術安全需求與過時協(xié)議之間的差距，并敦促供應商及時更新系統(tǒng)版本以保護工業(yè)控制系統(tǒng)(ICS)設備。
資料來源：http://amvol.dz112.sbs/ykATKGP
西門子、施耐德電氣、菲尼克斯電氣等公司發(fā)布安全補丁
10月9日，據(jù)媒體報道，西門子、施耐德電氣、菲尼克斯電氣和CERT@VDE等公司發(fā)布工業(yè)控制系統(tǒng)安全補丁。西門子修復了Sinec Security Monitor等產(chǎn)品的漏洞;施耐德電氣修復了Harmony iPC等產(chǎn)品中的漏洞;菲尼克斯電氣針對PLCnext Engineer發(fā)布了DoS漏洞補丁;CERT@VDE描述了OpenSSH漏洞對Pepperl+Fuchs產(chǎn)品的影響。羅克韋爾自動化修復了PowerFlex 6000T等產(chǎn)品的DoS漏洞，及DataMosaix產(chǎn)品的信息泄露漏洞。
資料來源：http://0oftk.dz112.sbs/l1SpZhk
汽車行業(yè)面臨0-Day漏洞威脅
10月8日，據(jù)媒體報道，研究人員在汽車網(wǎng)絡安全領域發(fā)現(xiàn)多個嚴重0-Day漏洞，可能允許攻擊者控制汽車系統(tǒng)。漏洞包括CAN網(wǎng)絡的遠程代碼執(zhí)行、IPsec和SOME/IP-SD協(xié)議的漏洞、移動應用加密問題，以及蜂窩連接的遠程持久性漏洞。這些漏洞的存在強調(diào)了汽車行業(yè)加強網(wǎng)絡安全的緊迫性。
資料來源：https://gbhackers.com/automative-0-day-flaws-control-cars/
