6月速遞

國(guó)務(wù)院發(fā)布關(guān)于加強(qiáng)數(shù)字政府建設(shè)的指導(dǎo)意見，要求加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障。日本、英國(guó)、加拿大多國(guó)頒布關(guān)鍵基礎(chǔ)設(shè)施相關(guān)網(wǎng)絡(luò)法案，十分重視關(guān)基安全。美國(guó)眾議院通過ICS網(wǎng)絡(luò)安全培訓(xùn)法案，旨在加強(qiáng)工控安全人才建設(shè)。

國(guó)務(wù)院發(fā)布關(guān)于加強(qiáng)數(shù)字政府建設(shè)的指導(dǎo)意見

國(guó)務(wù)院發(fā)布關(guān)于加強(qiáng)數(shù)字政府建設(shè)的指導(dǎo)意見?！吨笇?dǎo)意見》將“數(shù)據(jù)賦能”、“安全可控”作為基本原則，要求全面強(qiáng)化數(shù)字政府安全管理責(zé)任，落實(shí)安全管理制度，加快關(guān)鍵核心技術(shù)攻關(guān)，加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施安全保障，強(qiáng)化安全防護(hù)技術(shù)應(yīng)用，切實(shí)筑牢數(shù)字政府建設(shè)安全防線。

資料來源：http://www.gov.cn/zhengce/content/2022-06/23/content_5697299.htm

《電力行業(yè)網(wǎng)絡(luò)安全管理辦法》《電力行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)管理辦法》公開征求修訂意見

6月15號(hào)消息，國(guó)家能源局對(duì)《電力行業(yè)網(wǎng)絡(luò)與信息安全管理辦法》(國(guó)能安全〔2014〕317號(hào))、《電力行業(yè)信息安全等級(jí)保護(hù)管理辦法》(國(guó)能安全〔2014〕318號(hào))進(jìn)行修訂，形成《電力行業(yè)網(wǎng)絡(luò)安全管理辦法(修訂征求意見稿)》《電力行業(yè)網(wǎng)絡(luò)安全等級(jí)保護(hù)管理辦法(修訂征求意見稿)》，現(xiàn)向社會(huì)公開征求意見。意見反饋截止日期為2022年7月13日。

資料來源：ttp://www.nea.gov.cn/2022-06/14/c_1310622577.htm

市場(chǎng)監(jiān)管總局、網(wǎng)信辦將開展數(shù)據(jù)安全管理認(rèn)證工作

6月9日，國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布關(guān)于開展數(shù)據(jù)安全管理認(rèn)證工作的公告。公告指出，根據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《中華人民共和國(guó)數(shù)據(jù)安全法》《中華人民共和國(guó)個(gè)人信息保護(hù)法》《中華人民共和國(guó)認(rèn)證認(rèn)可條例》有關(guān)規(guī)定，國(guó)家市場(chǎng)監(jiān)督管理總局、國(guó)家互聯(lián)網(wǎng)信息辦公室決定開展數(shù)據(jù)安全管理認(rèn)證工作，鼓勵(lì)網(wǎng)絡(luò)運(yùn)營(yíng)者通過認(rèn)證方式規(guī)范網(wǎng)絡(luò)數(shù)據(jù)處理活動(dòng)，加強(qiáng)網(wǎng)絡(luò)數(shù)據(jù)安全保護(hù)。

資料來源：https://mp.weixin.qq.com/s/6RQ7MPwad_SH4aHBV0x0vw

日本敲定重要基礎(chǔ)設(shè)施企業(yè)網(wǎng)絡(luò)安全行動(dòng)計(jì)劃

日本政府6月17日在首相官邸召開網(wǎng)絡(luò)安全戰(zhàn)略總部會(huì)議，敲定了有關(guān)通信、電力和鐵路等重要基礎(chǔ)設(shè)施企業(yè)安全對(duì)策的新行動(dòng)計(jì)劃，要求對(duì)可能導(dǎo)致重要基礎(chǔ)設(shè)施故障的供應(yīng)鏈進(jìn)行風(fēng)險(xiǎn)管理。

資料來源：https://china.kyodonews.net/news/2022/06/9f7d463feee7--.html

加拿大將頒布《關(guān)鍵網(wǎng)絡(luò)系統(tǒng)保護(hù)法》

2022年6月14日，加拿大政府提出了C-26法案，即《網(wǎng)絡(luò)安全法案》(ARCS)。ARCS將頒布《關(guān)鍵網(wǎng)絡(luò)系統(tǒng)保護(hù)法》，該法案將建立一個(gè)監(jiān)管框架，要求金融、電信、能源和運(yùn)輸部門的指定運(yùn)營(yíng)商保護(hù)其關(guān)鍵網(wǎng)絡(luò)系統(tǒng)。

資料來源：https://www.canada.ca/en/public-safety-canada/news/2022/06/protecting-critical-cyber-systems.html

英國(guó)宣布防御性網(wǎng)絡(luò)攻擊合法

英國(guó)總檢察長(zhǎng)宣布，當(dāng)關(guān)鍵服務(wù)(如關(guān)鍵基礎(chǔ)設(shè)施和銀行)受到國(guó)外威脅行為者的攻擊時(shí)，該國(guó)可以利用防御性網(wǎng)絡(luò)攻擊。并確定了四個(gè)被認(rèn)為特別容易受到網(wǎng)絡(luò)入侵的部門：能源安全、基本醫(yī)療保健、供應(yīng)鏈中斷和民主進(jìn)程。

資料來源：https://www.cpomagazine.com/cyber-security/defensive-cyber-attacks-declared-legal-by-uk-ag-path-cleared-to-hack-back-when-critical-infrastructure-services-attacked/

美國(guó)眾議院通過ICS網(wǎng)絡(luò)安全培訓(xùn)法案

美國(guó)眾議院通過了《ICS網(wǎng)絡(luò)安全培訓(xùn)法案》，該法案在網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)內(nèi)建立了一項(xiàng)倡議，為網(wǎng)絡(luò)安全人員提供免費(fèi)的虛擬和面對(duì)面課程以及工業(yè)控制系統(tǒng)(ICS)網(wǎng)絡(luò)安全培訓(xùn)。除了教育培訓(xùn)計(jì)劃外，該法案還包括年度報(bào)告要求。

資料來源：https://nationalcybersecuritynews.today/house-clears-ics-cyber-training-bill-meritalk-itsecurity-infosec/

美國(guó)眾議院通過旨在加強(qiáng)醫(yī)療設(shè)備網(wǎng)絡(luò)安全的立法

美國(guó)眾議院已通過《2022年食品和藥品修正案》。該法案要求任何向美國(guó)食品和藥物管理局(FDA)提交網(wǎng)絡(luò)設(shè)備上市前申請(qǐng)的制造商應(yīng)包括所有所需的詳細(xì)信息。此舉將有助于確保滿足網(wǎng)絡(luò)醫(yī)療設(shè)備的網(wǎng)絡(luò)安全要求，并確定其適合證明安全性和有效性的合理保證。

資料來源：https://industrialcyber.co/regulation-standards-and-compliance/legislation-that-focuses-on-enhancing-medical-device-cybersecurity-passes-in-us-house/

美國(guó)能源部與網(wǎng)絡(luò)安全解決方案提供商合作，以加強(qiáng)電網(wǎng)安全保護(hù)。美國(guó)和歐盟計(jì)劃聯(lián)合資助發(fā)展中國(guó)家的安全數(shù)字基礎(chǔ)設(shè)施，愛爾蘭政府加入微軟政府安全計(jì)劃尋求保護(hù)關(guān)鍵基礎(chǔ)設(shè)施。企業(yè)同樣關(guān)注OT安全，Dragos推出OT-CERT計(jì)劃，F(xiàn)ortinet、Forescout發(fā)布了OT安全研究。

美國(guó)能源部與網(wǎng)絡(luò)安全解決方案提供商合作以保護(hù)電網(wǎng)

美國(guó)能源部(DOE)的清潔能源網(wǎng)絡(luò)安全加速器(CECA)中心正在與網(wǎng)絡(luò)安全解決方案提供商合作，接受為分布式能源提供強(qiáng)大認(rèn)證的應(yīng)用程序，以保護(hù)現(xiàn)代電網(wǎng)并加快將經(jīng)過測(cè)試的解決方案推向市場(chǎng)。

資料來源：https://industrialcyber.co/technology-solutions/does-ceca-expands-scope-joins-with-cybersecurity-solution-providers-to-secure-electric-grid-introduce-tested-solutions/

美歐擬向發(fā)展中國(guó)家提供網(wǎng)絡(luò)安全援助

美國(guó)和歐盟計(jì)劃聯(lián)合資助發(fā)展中國(guó)家的安全數(shù)字基礎(chǔ)設(shè)施以對(duì)抗中國(guó)的影響力。這標(biāo)志著歐盟和美國(guó)將首次合作，資助并幫助保護(hù)其他國(guó)家的關(guān)鍵基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)攻擊。初步計(jì)劃可能會(huì)在今年年底前，在非洲或拉丁美洲進(jìn)行。

資料來源：https://www.wsj.com/articles/u-s-eu-plan-joint-foreign-aid-for-cybersecurity-to-counter-china-11655285401

愛爾蘭政府加入微軟政府安全計(jì)劃

愛爾蘭政府已加入微軟政府安全計(jì)劃(GSP)，該計(jì)劃將協(xié)助保護(hù)關(guān)鍵的國(guó)家基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)攻擊。愛爾蘭國(guó)務(wù)部長(zhǎng)表示，微軟與愛爾蘭之間的這種新合作伙伴關(guān)系將成為保護(hù)愛爾蘭數(shù)字基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)威脅的關(guān)鍵推動(dòng)力。

資料來源：https://www.rte.ie/news/business/2022/0614/1304884-cybersecurity-programme/

工業(yè)網(wǎng)絡(luò)安全公司Dragos推出OT-CERT計(jì)劃

工業(yè)網(wǎng)絡(luò)安全公司Dragos 6月7日宣布推出OT-CERT計(jì)劃，在為工業(yè)資產(chǎn)所有者和運(yùn)營(yíng)商提供免費(fèi)的網(wǎng)絡(luò)安全資源。OT-CERT(運(yùn)營(yíng)技術(shù)網(wǎng)絡(luò)應(yīng)急準(zhǔn)備小組)旨在幫助成員改善其網(wǎng)絡(luò)安全態(tài)勢(shì)、制定網(wǎng)絡(luò)安全計(jì)劃并降低風(fēng)險(xiǎn)。

資料來源：https://s.vnshu.com/2LEime

Fortinet報(bào)告顯示，OT安全系統(tǒng)存在廣泛差距

Fortinet發(fā)布了一份《2022年運(yùn)營(yíng)技術(shù)和網(wǎng)絡(luò)安全狀況報(bào)告》。Fortinet發(fā)現(xiàn)只有13%的受訪者實(shí)現(xiàn)了對(duì)所有OT活動(dòng)的集中可見性。此外，只有52%的組織可以從安全運(yùn)營(yíng)中心(SOC)跟蹤所有OT活動(dòng)。

資料來源：https://s.vnshu.com/1eLRM3

Forescout發(fā)布IoT/OT勒索軟件PoC研究

Forescout的Vedere實(shí)驗(yàn)室發(fā)布了一項(xiàng)名為R4IoT(物聯(lián)網(wǎng)勒索軟件)的新研究，這是一項(xiàng)概念驗(yàn)證(PoC)研究。R4IoT利用物聯(lián)網(wǎng)設(shè)備進(jìn)行初始訪問，通過破壞物聯(lián)網(wǎng)、IT和OT資產(chǎn)，R4IoT超越了通常的加密和數(shù)據(jù)泄露，導(dǎo)致業(yè)務(wù)運(yùn)營(yíng)的物理中斷。

資料來源：https://s.vnshu.com/3AAXJB

兩家德國(guó)能源供應(yīng)商遭網(wǎng)絡(luò)攻擊

兩家德國(guó)能源供應(yīng)商Entega和Mainzer Stadtwerke在6月12日遭到網(wǎng)絡(luò)攻擊。Entega聲稱關(guān)鍵基礎(chǔ)設(shè)施沒有受到影響，也沒有客戶數(shù)據(jù)被泄露。Mainzer Stadtwerke表示，其關(guān)鍵基礎(chǔ)設(shè)施沒有受到損壞，預(yù)計(jì)不會(huì)出現(xiàn)供應(yīng)故障。

資料來源：https://cybernews.com/news/hackers-knock-out-two-german-energy-suppliers/

伊朗三家鋼鐵廠遭受重大網(wǎng)絡(luò)攻擊

伊朗國(guó)有的胡齊斯坦鋼鐵公司6月27日表示，在遭受網(wǎng)絡(luò)攻擊后被迫停止生產(chǎn)。另有兩家鋼鐵企業(yè)也稱受到攻擊，都不承認(rèn)有任何損壞或工作中斷。伊朗政府沒有承認(rèn)發(fā)生了破壞，也沒有將攻擊歸咎于任何特定組織。

資料來源：https://www.cyberscoop.com/iran-cyberattack-israel-hacktivist-steel-ics/

Cloudflare緩解了峰值2600萬RPS的DDoS攻擊

安全和Web性能服務(wù)提供商Cloudflare宣布，它緩解了峰值每秒2600萬次請(qǐng)求(RPS)的分布式拒絕服務(wù)(DDoS)攻擊，這是迄今為止檢測(cè)到的最大的HTTPS DDoS攻擊。該攻擊是由大約5,000臺(tái)設(shè)備的僵尸網(wǎng)絡(luò)發(fā)起的，在大約30秒內(nèi)，僵尸網(wǎng)絡(luò)生成了超過2.12億個(gè)HTTPS請(qǐng)求。

資料來源：https://www.bleepingcomputer.com/news/security/cloudflare-mitigates-record-breaking-https-ddos-attack/

Forescout披露了來自10家供應(yīng)商的56個(gè)OT設(shè)備漏洞，涉及西門子、霍尼韋爾、菲尼克斯等眾多巨頭，并表示這些漏洞是由OT中的不安全設(shè)計(jì)實(shí)踐引起的。施耐德、Automation Direct、InfiRay等廠商的工控產(chǎn)品同樣存在安全漏洞，其中不乏超危漏洞。

Forescout披露了來自10家供應(yīng)商的56個(gè)OT設(shè)備漏洞

6月21日，F(xiàn)orescout發(fā)布了一份安全報(bào)告，涵蓋了來自10家供應(yīng)商的56個(gè)OT設(shè)備漏洞，這些漏洞被統(tǒng)稱為OT:ICEFALL，涉及的供應(yīng)商包括西門子、霍尼韋爾、菲尼克斯電氣等巨頭。利用這些漏洞，對(duì)目標(biāo)設(shè)備具有網(wǎng)絡(luò)訪問權(quán)限的攻擊者可以遠(yuǎn)程執(zhí)行代碼，更改OT設(shè)備的邏輯、文件或固件，繞過身份驗(yàn)證，破壞憑據(jù)，導(dǎo)致拒絕服務(wù)或產(chǎn)生各種運(yùn)營(yíng)影響。

資料來源：https://thehackernews.com/2022/06/researchers-disclose-56-vulnerabilities.html

西門子SINEC工業(yè)NMS存在15個(gè)漏洞

Claroty的研究部門Team82披露了西門子SINEC網(wǎng)絡(luò)管理系統(tǒng)(NMS)中存在的15個(gè)漏洞。這些漏洞可能允許用戶進(jìn)行提權(quán)，從而獲得系統(tǒng)管理權(quán)限，泄露敏感信息，導(dǎo)致平臺(tái)拒絕服務(wù)，甚至使用NTAUTHORITY\SYSTEM權(quán)限在主機(jī)上遠(yuǎn)程執(zhí)行代碼。

資料來源：https://s.vnshu.com/EoHFD

西門子修復(fù)其產(chǎn)品中的59個(gè)漏洞

西門子6月14日發(fā)布14條公告，涵蓋59個(gè)漏洞。其中30個(gè)為超危或高危漏洞，都會(huì)影響SINEMA Remote Connect Server，可能導(dǎo)致遠(yuǎn)程代碼執(zhí)行、身份驗(yàn)證繞過、權(quán)限提升、命令注入和信息泄露。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-over-80-vulnerabilities

施耐德修復(fù)其產(chǎn)品中的24個(gè)漏洞

6月14日，施耐德電氣發(fā)布了8項(xiàng)公告，以修復(fù)其產(chǎn)品中發(fā)現(xiàn)的24個(gè)漏洞。在IGSSSCADA產(chǎn)品的數(shù)據(jù)服務(wù)器模塊中發(fā)現(xiàn)了七個(gè)可用于遠(yuǎn)程代碼執(zhí)行的超危漏洞。在C-Bus家庭自動(dòng)化產(chǎn)品中發(fā)現(xiàn)了兩個(gè)與身份驗(yàn)證相關(guān)的超危漏洞。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-over-80-vulnerabilities

Automation Direct修復(fù)PLC、HMI產(chǎn)品中的高危漏洞

Dragos的研究人員發(fā)現(xiàn)Automation Direct的一些PLC和HMI產(chǎn)品存在高危漏洞。其中影響C-moreEA9工業(yè)觸摸屏HMI的兩個(gè)漏洞分別為DLL劫持漏洞以及明文傳輸。具有串行通信的PLC受到密碼泄露漏洞的影響。

資料來源：https://www.securityweek.com/automationdirect-patches-vulnerabilities-plc-hmi-products

InfiRay熱像儀漏洞可導(dǎo)致工業(yè)流程被篡改

SEC Consult的研究人員在InfiRay熱像儀中發(fā)現(xiàn)了4個(gè)漏洞以及多個(gè)包含漏洞的過時(shí)軟件組件。第一個(gè)漏洞(CVE-2022-31210)與硬編碼Web憑據(jù)有關(guān)。還發(fā)現(xiàn)了經(jīng)過身份驗(yàn)證的遠(yuǎn)程代碼執(zhí)行(CVE-2022-31208)、潛在的緩沖區(qū)溢出(CVE-2022-31209)、Telnet Root Shell無密碼(CVE-2022-31211)。這些漏洞可能允許惡意黑客篡改工業(yè)流程，包括中斷生產(chǎn)或進(jìn)行導(dǎo)致產(chǎn)品質(zhì)量下降的修改。

資料來源：https://www.securityweek.com/infiray-thermal-camera-flaws-can-allow-hackers-tamper-industrial-processes

Korenix JetPort拒絕刪除工業(yè)串行設(shè)備服務(wù)器中的后門帳戶

Korenix JetPort工業(yè)串行設(shè)備服務(wù)器有一個(gè)后門帳戶(CVE-2020-12501)，攻擊者可能會(huì)在針對(duì)工業(yè)組織的攻擊中濫用該帳戶，但供應(yīng)商表示該帳戶是客戶支持所必需的，該賬戶不會(huì)被刪除。

資料來源：https://www.securityweek.com/vendor-refuses-remove-backdoor-account-can-facilitate-attacks-industrial-firms

CISA警告Illumina DNA測(cè)序產(chǎn)品軟件存在5個(gè)漏洞

美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)表示，這些漏洞包括路徑遍歷、危險(xiǎn)類型文件的無限制上傳、訪問控制不當(dāng)以及敏感信息的明文傳輸。利用這些漏洞可能會(huì)讓未經(jīng)身份驗(yàn)證的惡意攻擊者遠(yuǎn)程控制受影響的產(chǎn)品并在操作系統(tǒng)級(jí)別采取任何行動(dòng)。

資料來源：https://s.vnshu.com/1UTsPW