天地和兴工控安全周报【2019年第3期】
发布时间：
2019-01-23
来源：
作者：
访问量：
30
本文共计23篇摘要，预计阅读时间9分钟，主要内容提要如下：
○2018年度工业信息安全产业发展联盟年会成功召开
○2018年全球网络安全公司获53亿美元风险投资，创历史新高
○法国泰雷兹集团成立埃布韦尔网络安全研究基地
○拼多多出现漏洞或已造成数千万损失，公司称已报警
行业动态
1
2018年度工业信息安全产业发展联盟年会成功召开
2019年1月18日，2018年度工业信息安全产业发展联盟年会在北京召开。工业和信息化部信息化和软件服务业司副司长董大健以及国家工业信息安全发展研究中心、中国烟草总公司、国家能源集团、清华大学等200余家联盟成员单位代表出席会议。会议由联盟秘书长、国家工业信息安全发展研究中心副主任何小龙主持。
大会向国家电网有限公司、北京天地和兴科技有限公司、360企业安全集团、烽台科技(北京)有限公司、启明星辰信息技术集团股份有限公司、北京安控科技股份有限公司等6家2018年度联盟优秀成员单位颁发了感谢信，对北京天地和兴科技有限公司、恒安嘉新(北京)科技股份公司、工业和信息化部电子第五研究所等20家第一届应急支撑单位进行了授牌，发布了《工业信息安全测试评估机构管理办法(试行)》，并对应急支撑单位评选情况进行了介绍。
原文链接：http://suo.im/4CE96m
2
2018年全球网络安全公司获53亿美元风险投资，创历史新高
网络安全投资研究公司Strategic Cyber Ventures今日发布报告称，由于过去几年网络犯罪激增，促使全球风险资本对网络安全公司的投资于去年创下新高。
该报告显示，2018年全球网络安全公司公司获得了53亿美元的风险投资，创历史最高纪录，与2017年的44亿美元相比增长20%。
Strategic Cyber Ventures数据专家克里斯·埃亨(Chris Ahern)称：“我们看到，大规模网络安全事件频繁爆发。我们认为，短期内这种趋势还不会停止。与此同时，投资者认为这是一个投资的机会。”
原文链接：http://suo.im/56ENsw
3
美反情报与安全中心在行动：向私营企业宣传由国外黑客带来的威胁
1月18日，工信部发布《工业互联网网络建设及推广指南》(以下简称《网络建设指南》)，提出到2020年，形成相对完善的工业互联网网络顶层设计，初步建成工业互联网基础设施和技术产业体系。
《网络建设指南》的发布，意味着我国工业互联网建设的政策体系日臻完善。此前的2018年5月，工信部印发《工业互联网APP培育工程实施方案(2018-2020年)》，7月，印发《工业互联网平台建设及推广指南》和《工业互联网平台评价方法》。
原文链接：http://suo.im/4RGzAo
4
网络安全等级保护测评机构整改培训工作在京召开
为落实2018年度网络安全等级保护测评机构监督检查整改工作要求，更好地为测评机构提供支撑和服务，2019年1月12日，由部十一局指导、测评联盟组织的“全国等级保护测评机构监督检查整改工作培训会”在中国人民公安大学高级警官培训楼召开。2018年度能力验证未通过机构、《关于责令有关网络安全等级保护测评机构限期整改的公告》中限期整改机构共计46家单位近100余人参加会议。部十一局七处祝国邦副处长出席会议并通报了当前网络安全形势，重点强调了等保2.0下测评机构所承担的责任义务，并对今后测评机构整改与建设提出要求。
部十一局祝国邦副处长讲话
原文链接：http://suo.im/5lLSX7
5
工业信息安全产业发展联盟第一届理事会第四次会议成功召开
2019年1月18日，工业信息安全产业发展联盟第一届理事会第四次会议在北京召开。联盟理事长尹丽波、各理事单位代表出席会议，会议由联盟秘书长何小龙主持。
会上，理事长尹丽波对各理事单位代表的到来表示热烈欢迎，并宣读联盟2018年工作总结及2019年工作计划。尹丽波指出，2018年，在各理事单位和成员单位的共同努力下，联盟在产业研究、标准研制、人才队伍建设等方面取得了优异的成绩;未来的一年，联盟会进一步提升自身服务能力和服务水平，大力推动资源共享、品牌建设等重点工作，持续为工业信息安全产业的平稳健康发展做出贡献。
原文链接：http://suo.im/4RGzQw
6
信安标委会|关于印发《2019年网络安全国家标准项目申报指南》的通知
各位委员、各工作组、各成员单位，及有关单位:
为贯彻落实《网络安全法》《标准化法》《关于加强国家网络安全标准化工作的若干意见》相关要求，围绕国家重要网络安全工作急需，全国信息安全标准化技术委员会组织编制了《2019年网络安全国家标准项目申报指南》(以下简称《指南》)，现印发给你们。请根据《指南》的要求，认真做好项目的组织申报工作。
全国信息安全标准化技术委员会
二〇一九年一月十七日
原文链接：http://suo.im/5dv3Ch
7
法国泰雷兹集团成立埃布韦尔网络安全研究基地
据外媒报道，法国泰雷兹集团斥资2000万英镑，将在英国南威尔士建立一个研发中心。集团已在英国其他12个地区运营业务，涉及国防、航空航天和运输等。埃布韦尔中心将成为数字安全创新的实验基地。
泰雷兹集团表示，该中心将为该地区的复兴提供催化剂。第一批工作人员共11人，计划将于2月开始工作。到2021年，该中心将全面运营。其中泰雷兹集团参与开发复杂的电气系统，这些系统可用于防空系统到网络安全的所有领域。国家数字开发中心(NDEC)也将与南威尔士大学合作。
原文链接：http://suo.im/4nCafo
8
澳大利亚将加强GPS基础设施网络防御
据外媒报道，澳大利亚地球科学局(Geoscience Australia)非常重视SBAS(Satellite-based Augmentation System，星基增强系统)项目的复原能力，计划制定具体的网络安全战略以应对内在风险。网络安全战略的重点是测试两种新的卫星定位技术，即下一代SBA和精确点定位技术。该战略将就如何保障SBAS地面基础设施和处理设施的安全提供信息和建议。
SBAS项目于2018年获得1.61亿美元的预算，旨在推动GPS和Galileo在整个澳大利亚及其海域的卫星定位能力达到分米级精度。提高卫星定位能力可提高智能导航工具的导航能力，海上遇险船只的定位精度，以及农场的用水效率等。地球科学局目前在一个SBAS实验台进行一些实验，实验预计将在本月底之前完成。
原文链接：http://suo.im/4RGC20
9
《网络空间安全工程技术人才培养体系指南(1.0版)》现可下载
中国网络空间安全人才教育联盟作为一个全国性、行业性、非营利性的创新组织，响应党和国家号召，组织和动员全国网安领域高校、企业、事业单位和社会团体，针对人才教育、培训、认证以及就业等环节，探索科学可行的新模式。《网络空间安全工程技术人才培养体系指南(1.0版)》就是一次研究探索和实践尝试。
“指南”首先提出了网安人才培养框架，并针对院校培养体系这一主要人才渠道，阐述了补充强化实践教学和实战能力培养环节;其次，梳理并提出了网安人才“标签化”知识技能体系，突出以“人”为核心、以“知识技能”为业务内容，为工程技术人才培养和考核认证提供参考;最后，在分析国外发达国家网安人才认证体系建设的基础上，结合我国实情和人才渠道现实，提出我国网安人才认证体系建设思路。
原文链接：http://suo.im/5l1iQw
10
Facebook触怒美国政府机构，获将，面临巨额罚款
据《华盛顿邮报》报道，美国联邦贸易委员会(简称FTC)正考虑对Facebook处以“创纪录的罚款”，原因是Facebook违反了与政府达成的一项具有法律约束力的保护用户个人数据隐私的协议，未能保护用户数据。
此前，政治咨询机构剑桥分析公司未经Facebook用户明确同意，使用了数百万Facebook用户的个人信息，Facebook因此被控滥用用户个人信息。事件曝光后，FTC对Facebook的数据操作展开了调查。其对Facebook处以的罚款将是自剑桥分析丑闻以来美国针对Facebook的首个重大惩罚。
FTC曾在2012年对谷歌处以2250万美元罚款，原因是谷歌违反了一项改善隐私做法的协议。消息人士称，预计对Facebook的罚金将远远高于当年对谷歌处以的罚款，或将创下了相关罚款的最高纪录。
原文链接：http://t.cn/E5Od10E
11
特斯拉高调悬赏：成功“黑掉”Model 3就送你一辆车
特斯拉在黑客大赛上发布高调悬赏，成功黑掉Model 3安全系统的黑客就可以获得这款车。特斯拉是首个参加Pwn2Own黑客活动的汽车制造商，该活动由Trend Micro下属的Zero Day Initiative (ZDI)团队运营。特斯拉承诺，此次黑客大赛的获胜者将获赠Model 3。
原文链接：http://t.cn/EqlrVWL
安全事件
1
拼多多出现漏洞或已造成数千万损失，公司称已经报警
1月20日凌晨，拼多多发生重大BUG。用户可以随意领取100元的无门槛优惠券，该优惠券除特殊商品外全场通用，有效期为一年。
坊间流言指出，有专职羊毛党发现这个漏洞恶意购买后，为了避免拼多多平台追究便将该BUG大肆传播，半夜四处打电话找人“薅羊毛”。最夸张的说法是，这次漏洞产生的订单总额超过200亿元。
拼多多对此作出回应，称“有黑灰产团伙通过一个过期的优惠券漏洞盗取数千万元平台优惠券”，表示自己已第一时间修复漏洞，对涉事订单进行溯源追踪，并已向公安机关报案。
原文链接：http://t.cn/E5ODIni
2
美俄克拉荷马州证监会数百万份文件泄露，最早可追溯到1986年
据外媒报道，美国俄克拉荷马州证券部门(简称ODS)的存储服务器至少一个星期未得到保护，如今多达3TB的政府数据遭泄露，共含数百万敏感文件。
网络安全公司UpGuard的研究员GregPollock发现这个存储服务器不安全的问题。该服务器中还有俄克拉荷马州证券委员会(Oklahoma Securities Commission)数十年的机密文件，以及美国联邦调查局(FBI)的调查文件。现在任何人都可以访问这些文件。
原文链接：http://t.cn/E5xP1SA
3
韩国防采办计划管理局遭黑客入侵，下一代战斗机采购计划疑似被盗
近日，韩国当地媒体《东亚日报(Dong-A Ilbo)》报道称，一群未知黑客成功侵入了该国国防采办计划管理局(DAPA)的10台电脑，而这一消息很快得到了韩国国防部的证实。
“事实证明，负责下一代战斗机等武器采购的国防采办计划管理局的30台电脑同时遭到了网络攻击，其中有10台电脑的数据被盗。”《东亚日报》在其报道中写道，“随着针对韩国总统办公室青瓦台、国会和国防采办计划管理局等韩国主要外交设施的网络攻击的不断升级，人们对于政府网络安全能力的担忧正在日益加剧。”
遭到入侵的国防采办计划管理局是韩国国防部的一个下属机构。据称，遭到黑客入侵的电脑包含有关购买军事装备和武器的敏感数据，包括下一代战斗机。
原文链接：http://t.cn/E5Os5H9
4
朝鲜黑客借Skype电话入侵了智利的ATM网络
据外媒报道，入侵Redbanc的嫌疑人是一个名为Lazarus Group(又称Hidden Cobra)的黑客组织，该组织与朝鲜政府有关，是目前最活跃、最危险的黑客组织之一，过去几年的主要攻击目标为银行、金融机构和加密货币交易所。
Lazarus最近发动的一次攻击在2018年12月底，但直到上周，智利参议员Felipe Harboe在推特上指责Redbanc未向公众告知其安全漏洞，这件事才引起公众注意。Redbanc之后承认了此次黑客攻击事件的存在，但声明中没有提到相关细节。
智利科技新闻网站trendTIC调查显示，该事件非常严重。据称，此次黑客攻击的源头为LinkedIn(全球最大职业社交网站，是一家面向商业客户的社交网络)上的一则招聘广告，Redbanc的员工申请了另一家公司招聘开发人员的岗位。这家公司正是Lazarus Group的伪装，他们知道自己钓到了大鱼。Lazarus Group通过Skype电话联系了这位Redbanc员工，并用西班牙语进行了面试。
原文链接：http://t.cn/E5ycm3a
5
Voipo发生严重的数据泄露事件：价值数十亿美元的客户资料被曝光
去年 11 月，一家名为 Voxox 的电信企业不慎泄露了一个包含数百万条短信的数据库，其中包括了密码重置和双因素认证代码。在安全研究人员曝光之前，其安全漏洞已向攻击者敞开数月。由于服务器未受保护，本次事件导致数百万份呼叫日志和文本消息被泄露。令人惊恐的是，时隔两月，另一家名叫 Voipo 通信提供商，又泄露了价值数十亿美元的客户数据。
Voipo 是一家总部位于加利福尼亚州 Lake Forest 的互联网语音服务提供商，提供面向住宅和商用的电话服务，并且支持云端控制。在一封电子邮件中，Voipo 首席执行官 Timothy Dick 证实了本次数据泄露，但补充道：“这只是一台服务器，并不是我们生产网络的一部分”。
原文链接：http://t.cn/Eq1FB9E
6
美国得克萨斯州某城市政府遭受勒索病毒攻击
美国得克萨斯州某城市受到勒索病毒攻击，使得整个市政府的IT系统被迫关闭。暂时不明确勒索病毒的类型，攻击者要求以比特币以及门罗币支付赎金。另外，不同的是，这次攻击者在留下的勒索信息中给了自己的电话号码。FBI以及相关调查人员已经对事件着手进行调查。
原文链接：http://t.cn/EqDBq7o
漏洞与安全威胁
1
国家漏洞库：本周(1.14-1.20日)共收集、整理信息安全漏洞375个
国家信息安全漏洞共享平台(以下简称CNVD)本周共收集、整理信息安全漏洞375个，其中高危漏洞110个、中危漏洞236个、低危漏洞29个。漏洞平均分值为5.86。本周收录的漏洞中，涉及0day漏洞161个(占43%)，其中互联网上出现“Dolibarr ERP-CRM 'rowid' SQL 注入漏洞、Ampache存在多个反射型跨站脚本漏洞”等零日代码攻击漏洞。本周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1501个，与上周(1475个)环比增长2%。
原文链接：http://t.cn/E5WwvQB
2
欧盟启动15个免费开源软件项目的漏洞奖励计划
从2019年1月份开始，欧盟委员会正式启动了15个免费开源软件项目的漏洞奖励计划，而这些开源软件都是欧盟机构目前正在使用的软件。毫无疑问，欧盟此举的目的就是要提升这些免费开源软件的安全性。
欧盟方面表示：“我们还计划了一系列黑客(编成)马拉松活动，在活动中我们将允许欧盟机构内的软件开发人员以及免费开源软件的开发者更加紧密地合作，甚至是直接在各自的软件项目上展开合作。”
原文链接：http://t.cn/E5WAvcR
3
Amadeus航班预定系统存在严重漏洞，141家航空公司受到影响
以色列安全研究员Noam Rotem在预定以色列航空公司的航班时发现了Amadeus在线机票预订系统中的一个严重漏洞，该漏洞使得攻击者能够远程访问和修改用户的行程细节并获得他们的飞行常客里程。攻击者只要知道受害者的PNR(乘客姓名记录)号码即可利用此漏洞。
据专家估计，该漏洞可能影响全球范围内141家航空公司，包括美国联合航空公司、汉莎航空公司和加拿大航空公司等国际知名航企。Rotem已经向相关部门通报了这个问题，Amadeus很快修复了这个漏洞。
原文链接：http://t.cn/EqgqyRJ
4
以太坊“君士但丁堡升级”因严重漏洞被推迟
以太坊(Ethereum)团队1月15日推迟了对以太坊区块链的重大升级，原因是一家安全公司发现了一个帮助黑客窃取用户资金的漏洞。以太坊网络代号为“君士坦丁堡升级”的活动计划1月16日启动，随后将在周五(1月18日)决定新版本的发布日期。
该漏洞是区块链安全专家称之为“重入攻击”的漏洞，它被ChainSecurity发现，其研究人员在博客文章中作出了详细叙述。漏洞的“杀伤力”在于，它允许恶意威胁行动者从与攻击者签署以太坊智能合约的用户那里窃取资金。
原文链接：http://t.cn/E5W2kCp
5
Secure Copy Protocol曝出有36年历史的漏洞
安全研究人员公布了 Secure Copy Protocol(SCP)的五个漏洞，其根源可追溯到 1983 年，至今有 35 年历史。漏洞影响 OpenSSH scp、PuTTY PSCP 和 WinSCP，其中 WinSCP 已经修复。漏洞允许恶意 SCP 服务器悄悄的纂改客户端机器上的任意文件。安全研究人员解释说，SCP 基于的 RCP 允许服务器控制发送的文件，如果没有仔细核查客户端最终下载的文件可能与用户想要的文件不同，攻击者可以覆写用户的 .bash_aliases 文件，在用户执行例行操作如罗列目录时攻击者可以执行任意命令。
原文链接：http://t.cn/Eq1QBYG
6
黑客可利用安全漏洞控制电动汽车充电站
据外媒报道，如果近日发现的施耐德电气EVlink Parking充电站漏洞被黑客利用，电动汽车车主将会无法给汽车充电。
据了解，目前多个国家的办公楼、酒店和超市附近均配备施耐德电气的EVlink Parking充电站。施耐德电气表示，各充电站的管理人员需要注意，如果当前充电站的固件版本是3.2.0-12_v1及之前的版本，建议充电站安装新的固件。另外，个人用户可以设置防火墙，阻止除授权用户以外的远程/外部访问，以降低遭受攻击的风险。
原文链接：http://t.cn/EqB2d4u
上一条：
下一条：
相关信息
2022-09-16
2022-09-09
2022-09-02
