您所在的位置: 首页 >
新闻资讯 >
公司资讯 >
金瀚信安速递【工业信息安全月报2021年-07期】
11月速递
工业信息安全“信息共享”,金瀚信安带您一站式掌握2021年11月份国内外工业信息安全资讯~
政策法规
中共中央政治局召开会议,审议《国家安全战略》等重要文件。工信部发布《“十四五”信息通信行业发展规划》、《“十四五”信息化和工业化深度融合发展规划》、《“十四五”软件和信息技术服务业发展规划》和《“十四五”大数据产业发展规划》等政策文件。美国众议院批准基础设施法案,将投入19亿美元建设网络安全。美国CISA启动关键基础设施识别计划。欧洲通过《数字市场法》草案。印度将推出国家网络安全战略。韩国率先发布全球首部《数据基本法》。
中共中央政治局召开会议,审议《国家安全战略》等重要文件
中共中央政治局11月18日召开会议,审议《国家安全战略(2021-2025年)》等重要文件。会议强调,要增强产业韧性和抗冲击能力,筑牢防范系统性金融风险安全底线,确保粮食安全、能源矿产安全、重要基础设施安全,加强海外利益安全保护。要持续做好新冠肺炎疫情防控,加快提升生物安全、网络安全、数据安全、人工智能安全等领域的治理能力。
资料来源:http://www.news.cn/politics/leaders/2021-11/18/c_1128077610.htm
工信部发布《“十四五”信息通信行业发展规划》
近期,工业和信息化部发布《“十四五”信息通信行业发展规划》与以往的五年规划相比,本次《规划》进一步凸显了信息通信行业的功能和定位:是构建国家新型数字基础设施、提供网络和信息服务、全面支撑经济社会发展的战略性、基础性和先导性行业。
资料来源:https://mp.weixin.qq.com/s/SdBhqj5xjR225MQkKjFFtA
工信部发布《“十四五”信息化和工业化深度融合发展规划》
近日,工业和信息化部印发了《“十四五”信息化和工业化深度融合发展规划》(以下简称《规划》)。《规划》强调,“十四五”信息化和工业化融合发展要以习近平新时代中国特色社会主义思想为指导,深入贯彻党的十九大和十九届二中、三中、四中、五中、六中全会精神,立足新发展阶段,完整、准确、全面贯彻新发展理念,构建新发展格局,按照“坚持市场主导、坚持创新驱动、坚持系统推进、坚持开放合作”的原则,紧扣制造业高质量发展要求,以供给侧结构性改革为主线,以智能制造为主攻方向,以数字化转型为主要抓手,打造数据驱动、软件定义、平台支撑、服务增值、智能主导的现代化产业体系,全面推进产业基础高级化、产业链现代化,为实现“新四化”的战略目标奠定坚实基础。
资料来源:https://mp.weixin.qq.com/s/JaFdbrTYPVuQmg3mhIO5VQ
工信部发布《“十四五”软件和信息技术服务业发展规划》
近日,工业和信息化部印发了《“十四五”软件和信息技术服务业发展规划》(以下简称《规划》)。《规划》强调,“十四五”软件和信息技术服务业发展要以习近平新时代中国特色社会主义思想为指导,深入贯彻党的十九大和十九届二中、三中、四中、五中、六中全会精神,立足新发展阶段,完整、准确、全面贯彻新发展理念,构建新发展格局,按照“创新驱动、价值导向、重点突破、协同推进、应用牵引、生态优化、安全可控、开放合作”的原则,以高质量发展为主题,以深化供给侧结构性改革为主线,深入实施国家软件发展战略,强化国家软件重大工程引领作用,补齐短板、锻造长板,提升关键软件供给能力,加快繁荣开源生态,夯实产业发展基础,提高产业链供应链现代化水平,坚持应用牵引、整机带动、生态培育,壮大信息技术应用创新体系,全面推进重点领域产业化规模化应用,持续培育数字化发展新动能,全面支撑制造强国、网络强国、数字中国建设。
资料来源:https://mp.weixin.qq.com/s/EewcFnuXEYc2mdWvqGYNAQ
工信部发布《“十四五”大数据产业发展规划》
近日,工业和信息化部发布《“十四五”大数据产业发展规划》(以下简称《规划》)。《规划》强调,“十四五”时期大数据产业发展要以习近平新时代中国特色社会主义思想为指导,深入贯彻党的十九大和十九届二中、三中、四中、五中、六中全会精神,立足新发展阶段,完整、准确、全面贯彻新发展理念,构建新发展格局,以推动高质量发展为主题,以供给侧结构性改革为主线,以释放数据要素价值为导向,围绕夯实产业发展基础,着力推动数据资源高质量、技术创新高水平、基础设施高效能,围绕构建稳定高效产业链,着力提升产业供给能力和行业赋能效应,统筹发展和安全,培育自主可控和开放合作的产业生态,打造数字经济发展新优势,为建设制造强国、网络强国、数字中国提供有力支撑。
资料来源:https://mp.weixin.qq.com/s/cUz-0si9t-TJqeEMFXnbVQ
美国CISA启动关键基础设施识别计划
美国网络安全和基础设施安全局CISA正在识别哪些关键基础设施如果遭到黑客攻击将对美国国家安全和经济产生最大影响。CISA的分析基于经济和网络中心性,以及“国家关键职能的逻辑主导地位”。CISA希望国会在确定这些组织后,确保“得到美国政府的全力支持并承担额外的安全要求”,以适应其“独特的地位和重要性”。
资料来源:https://www.cybersecuritydive.com/news/cisa-easterly-critical-infrastructure-tsa-sici/609210/
美国众议院批准基础设施法案,将投入19亿美元建设网络安全
11月5日,美国众议院批准了1.2万亿美元的基础设施法案,该法案将分配19亿美元的网络安全资金,其中约10亿美元将用于建立新的资助计划,帮助各州、地方、部落及领地政府提升网络安全水平。这笔资金将由美国联邦紧急事务管理局负责管理,从2022财年开始并持续四年,网络安全与基础设施安全局(CISA)为资金调配提供指导意见。
资料来源:https://therecord.media/house-approves-massive-infrastructure-plan-that-includes-1-9-billion-for-cybersecurity/
印度将推出国家网络安全战略
印度的新网络安全战略即将推出,新网络安全战略的主要交付成果之一是为不同实体确定和成立监管机构,例如计算机应急响应小组CERT-In、网络犯罪协调中心、国防网络局和国家关键信息基础设施保护中心NCIIPC。
资料来源:https://www.govinfosecurity.com/indias-national-cybersecurity-strategy-awaiting-approval-a-17829?&web_view=true
韩国率先发布全球首部《数据基本法》
韩国科学和信息通信技术部(MSIT)宣布,国务会议通过了《数据产业振兴和利用促进基本法》,旨在为发展数据产业和振兴数据经济奠定基础,并将于明年4月全面实施。《数据基本法》是全球首部规制数据产业的基本立法,对数据的开发利用进行统筹安排。
资料来源:https://www.secrss.com/articles/36503
欧洲通过《数字市场法》草案
11月23日,欧洲议会内部市场和消费者保护委员会通过了旨在限制互联网巨头的《数字市场法》(DMA)的草案。由于其规则严苛、涉及广泛,DMA被视为到目前为止全球最严格的科技监管立法尝试。
资料来源:https://www.euractiv.com/section/digital/news/eu-parliaments-key-committee-adopts-digital-markets-act/
安全事件
Ponemon、Dragos发布ICS、OT网络安全事件调查报告,安全事件的平均成本约为300万美元。澳大利亚供水公司SunWater遭黑客入侵,被控制长达9个月。风电巨头维斯塔斯遭网络攻击,数据被泄露。欧洲电子零售巨头MediaMarkt遭勒索软件攻击,众多门店受影响。巴基斯坦国民银行遭网络攻击致服务中断。Cloudflare缓解了Mirai僵尸网络发起的2 Tbps DDoS攻击。
Ponemon、Dragos发布ICS、OT网络安全事件调查报告
PonemonInstitute和工业网络安全公司Dragos 发布的一份报告显示,影响工业控制系统(ICS)或其他运营技术(OT)系统的安全事件的平均成本约为300万美元,一些公司报告的成本超过1亿美元。
资料来源:https://www.securityweek.com/ics-ot-cybersecurity-incidents-cost-some-us-firms-over-100-million-survey
澳大利亚供水公司SunWater被黑客入侵控制长达9个月
根据澳大利亚昆士兰州审计署11月10日公布的年度财务审计报告,供水公司SunWater被黑客入侵,但其行为一直未被发现。黑客在这家供水公司的服务器上隐藏了9个月,尽管事后证实没有客户信息或财务信息被窃取。
资料来源:https://securityaffairs.co/wordpress/124498/hacking/queensland-water-supplier-hacked.html
风电巨头维斯塔斯遭网络攻击并导致数据泄露
丹麦风力涡轮机巨头Vestas Wind Systems遭遇网络攻击,这起事件破坏了其部分内部IT基础设施。维斯塔斯在 11月19日事件发生后关闭了其部分系统。该公司称发生了数据泄露,部分IT设施正在恢复中。
资料来源:https://www.cyberscoop.com/vestas-cyberattack-it-shutdown-wind-turbine/
欧洲电子零售巨头MediaMarkt遭勒索软件攻击
MediaMarkt是欧洲最大的消费电子产品零售商,在11月7日晚间至8日上午遭受勒索软件攻击,服务器和工作站被加密,导致IT系统关闭。这次攻击影响了整个欧洲的众多零售店,主要是荷兰的零售店。
资料来源:https://www.bleepingcomputer.com/news/security/mediamarkt-hit-by-hive-ransomware-initial-240-million-ransom/?&web_view=true
巴基斯坦国民银行遭网络攻击致服务中断
巴基斯坦国民银行(NBP)10月30日发布的一份声明称,10月29日深夜和10月30日凌晨,NBP服务器遭到了网络攻击,其部分服务被迫中断,已立即采取措施隔离受影响的系统,NBP没有发现任何数据泄露和经济损失。
资料来源:https://www.thenews.com.pk/print/904555-nbp-hit-by-outages-in-cyber-attack
Cloudflare缓解了Mirai僵尸网络发起的2 Tbps DDoS攻击
Web安全服务提供商Cloudflare表示,它缓解了分布式拒绝服务(DDoS)攻击,该攻击的峰值达到每秒2TB(Tbps)。此次攻击是由大约15,000台感染了原始Mirai恶意软件变体的机器组成的僵尸网络发起的。
资料来源:https://securityaffairs.co/wordpress/124634/security/cloudflare-mitigated-ddos-2-tbps.html?web_view=true
漏洞态势
工业自动化软件AzeoTech DAQFactory存在高危漏洞,可能会导致代码执行、内存损坏等严重问题。HMI/SCADA软件VBASE Editor存在高危漏洞,包括多个工业部门在内的企业均受到影响。飞利浦披露其TASY EMR漏洞对患者数据构成风险,其IntelliBridge EC 40和EC 80集线器患者监测系统存在高危漏洞。西门子修复其产品的 36 个漏洞。施耐德电气修复其产品的17个漏洞。思科修复Catalyst PON企业交换机的严重漏洞、修复ASA和FTD防火墙中的高危漏洞。
工业自动化软件AzeoTech DAQFactory存在高危漏洞
DAQFactory是AzeoTech的一款HMI/SCADA工业自动化软件,存在对固有危险函数的使用、不可信数据的反序列化、敏感信息的明文传输等多个漏洞。成功利用这些漏洞可能会导致代码执行、内存损坏或未经授权访问用户信息。
资料来源:https://us-cert.cisa.gov/ics/advisories/icsa-21-308-02
HMI/SCADA软件VBASE Editor存在高危漏洞
VBASE是一款可用于多个工业部门在内的HMI/SCADA软件,存在多个可远程利用的漏洞,包括访问控制不当、跨站脚本、XML外部实体引用的不当限制以及使用具有已知漏洞的组件。成功利用这些漏洞,可能会允许未授权的用户可控数据输入、本地文件泄露、以及敏感文件的访问。
资料来源:https://us-cert.cisa.gov/ics/advisories/icsa-21-308-01
西门子修复其产品的 36 个漏洞
西门子11月9号发布了13条公告,涵盖了36个漏洞。其中两个公告重点关注新披露的NUCLEUS:13漏洞对其产品的影响。另一个包含严重和高危漏洞的建议针对SIMATIC产品,本地攻击者可以利用这些漏洞来提升权限,读取、写入或删除文件。
资料来源:https://www.securityweek.com/ics-patch-tuesday-siemens-and-schneider-electric-address-over-50-vulnerabilities-0
施耐德电气修复其产品的17个漏洞
施耐德电气11月9号发布了七项建议,修复了总17个影响其产品的漏洞。其中一份报告描述了penGUIn HMI产品的GUIcon配置工具中的两个高危和中危漏洞。漏洞利用可能导致DoS攻击、代码执行和信息泄露,但由于产品已停产,因此不会发布补丁。
资料来源:https://www.securityweek.com/ics-patch-tuesday-siemens-and-schneider-electric-address-over-50-vulnerabilities-0
飞利浦披露TASY EMR漏洞对患者数据构成风险
飞利浦修复了其TASY电子病历HTML5系统3.06.1803及更早版本中的两个CVSS评分均为8.8的SQL注入漏洞,这可能导致患者敏感数据从TASY数据库中泄露或泄露。攻击者可以利用这些漏洞为未经授权的用户提供对设备的访问权限或创建拒绝服务条件。
资料来源:https://www.scmagazine.com/analysis/risk-management/philips-discloses-tasy-emr-vulnerabilities-pose-risk-to-patient-data
飞利浦医疗产品存在高危漏洞
飞利浦医疗产品IntelliBridge EC 40和EC 80集线器患者监测系统存在两个高危漏洞,这些漏洞与使用硬编码凭据和身份验证绕过有关。成功利用这些漏洞可能允许攻击者未经授权访问数据以及进行拒绝服务攻击。
资料来源:https://www.securityweek.com/philips-working-patches-vulnerabilities-found-medical-products
思科修复Catalyst PON企业交换机的严重漏洞
思科已修复Catalyst无源光网络(PON)系列交换机光网络终端和策略套件中的严重漏洞。其中最严重的漏洞是CVE-2021-34795和CVE-2021-40113,CVSS评分均为10.0,允许未经身份验证的远程攻击者使用具有默认静态密码的调试帐户登录受影响的设备,或执行命令注入攻击。
资料来源:https://www.securityweek.com/cisco-plugs-critical-holes-catalyst-pon-enterprise-switches
思科防火墙存在高危漏洞
思科ASA(自适应安全设备)和FTD(Firepower威胁防御)的防火墙中存在漏洞CVE-2021-34704,CVSS评分8.6。如果漏洞被利用,组织的防火墙将被削弱,使其更容易受到攻击,远程工作的员工将无法访问组织的内部网络。
资料来源:https://www.infosecurity-magazine.com/news/cisco-flaw-affects-firewalls/?&web_view=true
技术动向
谷歌推出新的开源数据隐私协议,旨在确保特定查询期间的隐私。微软发布AI勒索软件攻击检测系统,通过评估风险和在外围阻止攻击者来补充现有的云保护。
谷歌推出新的开源数据隐私协议
谷歌推出了新的开源数据隐私协议Private Set Membership,旨在确保特定查询期间的隐私。该协议用于检查一个特定的标识符是否存在于服务器持有的列表中:客户的标识符是加密传输的,除了知晓被查询的标识符是否存在于列表之外,服务器不知道查询的结果,客户也不知道服务器上标识符集的细节。
资料来源:https://www.securityweek.com/google-introduces-new-open-source-data-privacy-protocol?&web_view=true
微软发布AI勒索软件攻击检测系统
微软为 Microsoft Defender for Endpoint 客户推出了一个AI驱动的勒索软件攻击检测系统,通过评估风险和在外围阻止攻击者来补充现有的云保护。由于人为操作的勒索软件攻击具有一组特定的方法和行为,因此微软认为他们可以使用数据驱动的AI方法来检测这些类型的攻击。
资料来源:https://www.bleepingcomputer.com/news/microsoft/microsoft-adds-ai-driven-ransomware-protection-to-defender/?&web_view=true