7月速遞

網(wǎng)信辦公布《數(shù)據(jù)出境安全評估辦法》，規(guī)定規(guī)定關(guān)鍵信息基礎(chǔ)設(shè)施運營者向境外提供個人信息應(yīng)當(dāng)申報數(shù)據(jù)出境安全評估。多國相繼出臺關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全法規(guī)，以應(yīng)對不斷變化的威脅形勢和日益復(fù)雜的網(wǎng)絡(luò)攻擊。

網(wǎng)信辦公布《數(shù)據(jù)出境安全評估辦法》

7月7日，國家互聯(lián)網(wǎng)信息辦公室公布《數(shù)據(jù)出境安全評估辦法》，自2022年9月1日起施行?！掇k法》規(guī)定關(guān)鍵信息基礎(chǔ)設(shè)施運營者向境外提供個人信息應(yīng)當(dāng)通過所在地省級網(wǎng)信部門向國家網(wǎng)信部門申報數(shù)據(jù)出境安全評估。

資料來源：https://mp.weixin.qq.com/s/n91CsxUkhdzOwYy8SwBSnQ

新加坡發(fā)布關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全實踐守則2.0

7月4日，新加坡網(wǎng)絡(luò)安全局(CSA)發(fā)布了CCoP2.0(關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全實踐守則2.0)。CCoP2.0旨在提高防御者抵御黑客復(fù)雜TTP的幾率并阻止他們的攻擊進展。它使政府和私營部門之間的協(xié)調(diào)防御能夠及時識別、發(fā)現(xiàn)和響應(yīng)網(wǎng)絡(luò)安全威脅和攻擊。

資料來源：https://s.vnshu.com/2lKqPE

新加坡發(fā)布關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈文件

新加坡網(wǎng)絡(luò)安全局(CSA)7月27日發(fā)布了一份CII(關(guān)鍵信息基礎(chǔ)設(shè)施)供應(yīng)鏈計劃文件。該計劃制定了五項基礎(chǔ)舉措，以減輕網(wǎng)絡(luò)供應(yīng)鏈風(fēng)險并提高新加坡基本服務(wù)的網(wǎng)絡(luò)彈性，并作為新加坡CII邁向安全和彈性未來之旅的開

資料來源：https://industrialcyber.co/critical-infrastructure/csas-cii-supply-chain-paper-works-on-mitigating-cyber-risks-uplifting-cyber-resilience/

美眾議員在年度國防法案中推動關(guān)鍵基礎(chǔ)設(shè)施保護

美國眾議員起草了一項修正案，以加強對“具有系統(tǒng)重要性的關(guān)鍵基礎(chǔ)設(shè)施(SICI)”的防御。提出在識別和指定此類基礎(chǔ)設(shè)施后，國土安全部網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局局長和國家網(wǎng)絡(luò)主管將為其所有者和運營商制定關(guān)鍵資產(chǎn)和供應(yīng)鏈風(fēng)險管理實踐等報告要求。

資料來源：https://www.cyberscoop.com/sici-defense-authorization-amendment-langevin/

美國國土安全部發(fā)布關(guān)鍵管道所有者、運營商的網(wǎng)絡(luò)安全要求

美國國土安全部(DHS)宣布，其運輸安全管理局(TSA)部門已修訂并重新發(fā)布了安全指令。要求TSA指定的關(guān)鍵管道的所有者和運營商實施具體的緩解措施，以防止勒索軟件攻擊和其他已知威脅信息技術(shù)(IT)和運營技術(shù)(OT)系統(tǒng)，制定和實施網(wǎng)絡(luò)安全應(yīng)急和恢復(fù)計劃并進行網(wǎng)絡(luò)安全架構(gòu)設(shè)計審查。

資料來源：https://s.vnshu.com/2ywKNq

德國政府宣布計劃加強網(wǎng)絡(luò)防御

德國政府7月12日宣布計劃加強網(wǎng)絡(luò)防御。新措施涉及提高中小企業(yè)的網(wǎng)絡(luò)彈性，將適用于“關(guān)鍵基礎(chǔ)設(shè)施”，即涉及運輸、食品、健康、能源和供水的企業(yè)。同時，德國國內(nèi)情報機構(gòu)和警察的IT基礎(chǔ)設(shè)施也將進行現(xiàn)代化改造。

資料來源：https://www.dw.com/en/germany-bolsters-defenses-against-russian-cyber-threats/a-62442479?&web_view=true

Barracuda發(fā)布《2022工業(yè)安全狀況報告》，調(diào)查結(jié)果顯示工業(yè)網(wǎng)絡(luò)安全仍舊相當(dāng)落后。Mandiant Red Team對勒索軟件在OT環(huán)境中可能的影響范圍進行評估，發(fā)現(xiàn)OT網(wǎng)絡(luò)不堪一擊。攻擊方法層出不窮，工業(yè)網(wǎng)絡(luò)安全情況不容樂觀，但安全技術(shù)也在不斷進步。

Barracuda發(fā)布《2022工業(yè)安全狀況報告》

7月13日，云安全公司Barracuda發(fā)布了《2022工業(yè)安全狀況報告》，報告指出，針對工業(yè)系統(tǒng)的重大攻擊正在增加，但保護這些系統(tǒng)的安全努力仍相當(dāng)落后。在過去12個月里，94%的受訪者在其工業(yè)物聯(lián)網(wǎng)(IIoT)或運營技術(shù)(OT)系統(tǒng)上經(jīng)歷了某種形式的攻擊，這可能影響了他們的工業(yè)物聯(lián)網(wǎng)基礎(chǔ)設(shè)施。

資料來源：https://industrialcyber.co/critical-infrastructure/critical-infrastructure-under-attack-as-ot-organizations-struggle-to-secure-frameworks-barracuda-reports/

微軟發(fā)布《保護關(guān)鍵基礎(chǔ)設(shè)施免受威脅報告》

微軟7月28日發(fā)布了《保護關(guān)鍵基礎(chǔ)設(shè)施免受威脅報告》。報告中包括為政府和關(guān)鍵基礎(chǔ)設(shè)施提供商應(yīng)優(yōu)先解決的五項關(guān)鍵建議：1.網(wǎng)絡(luò)安全必須被理解為一個持續(xù)的過程；2.關(guān)注跨部門和國家的統(tǒng)一監(jiān)管；3.加大信息共享和能力建設(shè)力度；4.建立網(wǎng)絡(luò)彈性文化；5.追究惡意行為者的責(zé)任。

資料來源：https://blogs.microsoft.com/eupolicy/2022/07/28/protecting-critical-infrastructure-from-cyberattacks/

Mandiant Red Team對勒索軟件在OT環(huán)境中可能的影響范圍進行評估

Mandiant Red Team在一家歐洲工程組織中模擬了FIN11技術(shù)，以了解勒索軟件運營商在OT(運營技術(shù))網(wǎng)絡(luò)中的潛在影響力。Mandiant Red Team的三個預(yù)期目標(biāo)——在IT環(huán)境中模擬勒索軟件攻擊者，從IT傳播到單獨的OT網(wǎng)絡(luò)段，以及通過訪問機密信息以竊取和重新分發(fā)來模擬多方面的勒索，全部成功實現(xiàn)。

資料來源：https://s.vnshu.com/1WkD3l

Xage報告顯示，零信任有望在運營技術(shù)(OT)環(huán)境中實施

Xage對在美國關(guān)鍵基礎(chǔ)設(shè)施組織工作的網(wǎng)絡(luò)安全專業(yè)人員進行了調(diào)查，最新的報告顯示，零信任也在OT環(huán)境中廣泛實施，尤其是在關(guān)鍵基礎(chǔ)設(shè)施組織中。調(diào)查發(fā)現(xiàn)，41%的關(guān)鍵基礎(chǔ)設(shè)施運營商處于零信任實施的早期階段，88%的運營商已朝著零信任邁出了一些步伐。

資料來源：https://www.securityweek.com/critical-infrastructure-operators-implementing-zero-trust-ot-environments

新的氣隙攻擊使用SATA電纜作為天線傳輸無線電信號

研究人員Mordechai Guri發(fā)現(xiàn)了一種從氣隙系統(tǒng)中竊取數(shù)據(jù)的新方法，它使用大多數(shù)計算機內(nèi)部的串行ATA(SATA)電纜作為無線天線，通過無線電信號發(fā)送數(shù)據(jù)。該攻擊方向具有高實現(xiàn)難度，但其攻擊目標(biāo)多為軍事、政府等核心工業(yè)控制系統(tǒng)，其高危害性不容忽視。

資料來源：https://thehackernews.com/2022/07/new-air-gap-attack-uses-sata-cable-as.html

美國政府問責(zé)局敦促能源部提高電網(wǎng)彈性

美國政府問責(zé)局(GAO)發(fā)布了一份報告，為美國能源部(DOE)確定了八項優(yōu)先建議，在這些建議中，GAO呼吁改善網(wǎng)絡(luò)安全，保護工人，并建立電網(wǎng)彈性。為了建立電網(wǎng)彈性，GAO建議能源部長應(yīng)制定包括時間框架在內(nèi)的計劃，以指導(dǎo)該機構(gòu)努力開發(fā)彈性規(guī)劃工具。

資料來源：https://industrialcyber.co/analysis/gao-report-presses-upon-doe-to-improve-efforts-to-manage-cybersecurity-risks-work-on-electric-grid-resilience/

立陶宛能源公司因DDOS攻擊而中斷

7月9日，立陶宛能源公司Ignitis Group遭受了所謂的“十年來最大的網(wǎng)絡(luò)攻擊”，當(dāng)時針對它的DDoS攻擊破壞了其數(shù)字服務(wù)和網(wǎng)站。該公司表示已經(jīng)能夠管理和限制攻擊對其系統(tǒng)的影響，并且沒有記錄任何違規(guī)行為。

資料來源：https://www.infosecurity-magazine.com/news/lithuanian-energy-ddos-attack/

2022年上半年CISA披露681個ICS漏洞，略高于2021上半年，但實際數(shù)量可能更多，其中超危漏洞占比22%以上。網(wǎng)絡(luò)安全審查委員會報告結(jié)果出人意料，尚未發(fā)現(xiàn)任何針對關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的重大基于Log4j的攻擊。西門子、施耐德等多家廠商的工業(yè)產(chǎn)品存在漏洞，其中嚴重的可導(dǎo)致眾多領(lǐng)域的關(guān)鍵基礎(chǔ)設(shè)施遭受破壞性攻擊。

2022年上半年CISA披露681個ICS漏洞

SynSaber公司統(tǒng)計了2022年上半年CISA披露的681個工業(yè)控制系統(tǒng)(ICS)漏洞，略高于2021年上半年。在681個CVE中，大約13%沒有補丁并且可能永遠無法修復(fù)——這些被稱為“永久漏洞”。超過22%的漏洞為超危漏洞，42%為高危漏洞。

資料來源：https://www.securityweek.com/hundreds-ics-vulnerabilities-disclosed-first-half-2022

CSRB報告未發(fā)現(xiàn)任何針對關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的重大基于Log4j的攻擊

網(wǎng)絡(luò)安全審查委員會(CSRB)發(fā)布了Log4j漏洞和響應(yīng)審查報告，報告顯示尚未發(fā)現(xiàn)任何針對關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的重大基于Log4j的攻擊。另外還發(fā)現(xiàn)，鑒于漏洞的嚴重性，迄今為止，Log4j的利用發(fā)生在低于許多專家預(yù)測的水平。

資料來源：https://industrialcyber.co/reports/csrb-report-not-aware-of-any-significant-log4j-based-attacks-on-critical-infrastructure-systems/

西門子修復(fù)其產(chǎn)品的46個漏洞

西門子7月12日發(fā)布了19條新公告，修復(fù)了影響其產(chǎn)品的46個漏洞。其中一項公告描述了SIMATIC CP1543-1通信處理器中的三個超危和三個高危漏洞，攻擊者可利用這些漏洞進行提權(quán)并執(zhí)行任意代碼。第二個公告描述了SIMATIC eaSie數(shù)字助理中的一個超危和一個高危漏洞，攻擊者可以遠程利用這些漏洞向系統(tǒng)發(fā)送任意請求并導(dǎo)致DoS條件。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-59-vulnerabilities

施耐德修復(fù)其產(chǎn)品中的13個漏洞

施耐德電氣7月12日發(fā)布了四個新的公告，修復(fù)了13個漏洞。其中一個描述了SpaceLogicC-BusHomeController產(chǎn)品中的高危操作系統(tǒng)命令注入漏洞。部分OPCUA和X80高級RTU通信模塊受到三個可用于DoS攻擊的高危漏洞以及四個可允許攻擊者加載未經(jīng)授權(quán)固件的中危漏洞影響。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-address-59-vulnerabilities

Robustel工業(yè)路由器中存在10個漏洞

思科在Robustel的工業(yè)蜂窩物聯(lián)網(wǎng)網(wǎng)關(guān)中發(fā)現(xiàn)了10個漏洞，其中九個超危漏洞為命令注入漏洞，攻擊者可以通過向目標(biāo)設(shè)備發(fā)送特制的網(wǎng)絡(luò)請求來執(zhí)行任意命令。另外一個高危漏洞是一個數(shù)據(jù)刪除問題，可以利用特制的網(wǎng)絡(luò)請求來刪除任意文件。

資料來源：https://www.securityweek.com/10-vulnerabilities-found-widely-used-robustel-industrial-routers

MiCODUS GPS追蹤器存在6個漏洞

BitSight研究人員發(fā)現(xiàn)MiCODUS MV720 GPS中存在6個漏洞，包括硬編碼和默認密碼、身份驗證損壞、XSS和不安全的直接對象引用。攻擊者可以使用各種攻擊媒介完全控制GPS跟蹤器，使他們能夠訪問位置和其他信息，并允許他們解除警報和切斷燃料。

資料來源：https://www.securityweek.com/unpatched-micodus-gps-tracker-vulnerabilities-allow-hackers-remotely-disable-cars

工業(yè)連接設(shè)備Moxa NPort存在兩個高危漏洞

研究人員在Moxa的NPort5110設(shè)備服務(wù)器發(fā)現(xiàn)了兩個高危漏洞CVE-2022-2043和CVE-2022-2044。第一個DoS漏洞可以讓攻擊者使目標(biāo)設(shè)備停止響應(yīng)合法命令，第二個漏洞是越界問題，攻擊者可以訪問和/或覆蓋設(shè)備上的元素，從而導(dǎo)致數(shù)據(jù)崩潰或損壞。

資料來源：https://www.securityweek.com/moxa-nport-device-flaws-can-expose-critical-infrastructure-disruptive-attacks

大華網(wǎng)絡(luò)攝像頭存在高危漏洞

研究人員發(fā)現(xiàn)大華網(wǎng)絡(luò)攝像頭存在高危漏洞CVE-2022-30563，成功利用該漏洞可能允許攻擊者秘密添加惡意管理員帳戶并利用它以最高權(quán)限獲得對受影響設(shè)備的無限制訪問，包括觀看實時攝像頭錄像。

資料來源：https://thehackernews.com/2022/07/dahua-ip-camera-vulnerability-could-let.html