天地和兴工控安全周报【2019年第13期】
发布时间：
2019-05-24
来源：
作者：
访问量：
28
本文共计13篇摘要，预计阅读时间14分钟，主要内容提要如下：
○国务院拟加大工业互联网投资力度
○工业互联网安全应急响应中心：关于Domoticz SQL注入漏洞的情况通报
○北京网安“净网2019”专项行动破获案件50余起
行业动态
1
国务院拟加大工业互联网投资力度
当前，数字中国建设如火如荼，而大力发展工业互联网显然是其中重要一环。作为工业领域转型升级、高质量发展的重要支撑，在全球范围内掀起新一轮科技革命与产业变革之际，工业互联网正依托于信息技术和制造业的深度融合，逐步成长为我国推进“互联网+先进制造业”的核心基石。
5月14日，国务院常务会议召开，提出进一步推进网络提速降费;突出增强工业互联网、教育、医疗等重点领域的网络能力，加大有效投资力度;加强工业互联网专线建设;把工业互联网等新型基础设施建设与制造业技术进步有机结合。
不仅如此，日前召开的全国信息化和软件服务业工作座谈会上也指出，要打造两化融合升级版，加快制造业的数字化、网络化、智能化，全面推进工业互联网平台体系建设，继续推动工业互联网创新发展战略实施，同步推进平台建设与应用推广。
原文链接：http://t.cn/E9n0Sri
2
国家互联网信息办公室关于《网络安全审查办法(征求意见稿)》公开征求意见的通知
为提高关键信息基础设施安全可控水平，维护国家安全，依据《中华人民共和国国家安全法》《中华人民共和国网络安全法》等法律法规，国家互联网信息办公室会同国家发展和改革委员会、工业和信息化部、公安部、国家安全部、商务部、财政部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局联合起草了《网络安全审查办法(征求意见稿)》，现向社会公开征求意见。
原文链接：http://t.cn/E9nWPzc
3
近期美国网络安全政策动向及对我国的启示
近期，特朗普政府在网络安全领域动作频繁，相继发布多份重磅文件，以美国优先、防御前置等为关键词，明确网络威慑的路径和战略对手，大肆渲染网络威慑意图，同时，提出优先保护、风险管理、信息共享相结合的关键信息基础设施保护新理念，通过完善机制、审查评估、政企协作等方式改进和增强供应链安全管理，推动新一代网络安全关键技术和系统平台建设，着力打造领先的网络空间安全防御能力，谋求塑造以美为主的网络空间治理格局。为应对美高压威慑，我国宜加快建立完善关键信息基础设施安全风险管理体系，强化供应链安全管理，增强网络威胁预警防御能力，争取网络空间治理竞争的主动权。
原文链接：http://t.cn/E9njQ4H
安全事件
1
北京网安“净网2019”专项行动破获案件50余起
今年以来，北京市公安局网络安全保卫总队在公安部“净网2019”专项行动统一部署下，聚焦主责主业，强化责任担当，按照“系统治理、依法治理、综合治理和源头治理”的思路，深入落实“打、清、整、宣”各项工作措施，重拳打击涉网违法犯罪，全力营造清朗网络空间，切实推动专项行动取得显著战果及成效。
专项行动开展以来，北京市公安局相关警种部门瞄准网上各类突出违法犯罪，持续保持主动进攻、高压震慑的打击势头，共破获各类涉网案件2000余起，抓获涉案嫌疑人2200余名。
期间，全局网安系统充分发挥专业警种优势和系统牵动作用，以严厉打击黑客攻击破坏、侵犯公民个人信息、网络黑产、网络黄赌毒等涉网犯罪为重点，共破获网安主侦案件50余起，抓获涉案嫌疑人390余名，查获网络犯罪工具3200余部。同时，不断强化对涉网违法犯罪线索的搜集获取和分析研判，侦获并转递相关涉网案件线索1200余条，会同相关单位先后破获网络诈骗、网络赌博、网络贩毒、网约犯罪等一批涉网案件，抓获涉案嫌疑人530余名，有效打击了涉网犯罪，净化了网络环境。
原文链接：http://t.cn/E9nYsOi
2
美国一城市拒付勒索赎金导致网络瘫痪
5月7日，美国巴尔的摩市政网络遭黑客攻击后陷入瘫痪，该市关闭了除邮政、警察、消防之外的大部分服务器。黑客索要了每个服务器3~13比特币(约17600~76280美元)的赎金，并表示如果10天内没有得到赎金，将销毁所有数据。
该勒索事件发生一个多星期以来，巴尔的摩市政府系统一直处于瘫痪状态。该市从运输部门到公共工程部门都受到了影响，甚至关闭了房地产交易。CCN称此次勒索软件攻击为“历史上最广泛的攻击，几乎影响到城市生活的每一个重要方面”。
原文链接：http://t.cn/E9nHA8m
3
超 12,000 个 MongoDB 数据库被 Unrisllar 黑客组织删除
在过去三周内，超过12,000个不安全的MongoDB数据库被删除。黑客组织只留下一条消息：“联系我们以恢复数据”。此前虽然没有达到这种规模，但至少从2017年初开始，这些针对可公开访问的MongoDB数据库的攻击已经发生。
黑客们使用BinaryEdge或Shodan搜索引擎来查找暴露的数据库服务器并删除它们。要想恢复服务，就得支付赎金。虽然攻击针对可远程访问和不受保护的MongoDB数据库，黑客在删除它们之后要求支付勒索赎金以恢复数据，但这一系列举措似乎并未要求特定的赎金数额。提供的电子邮件地址最有可能用来协商恢复数据的条款。安全研究员Sanyam Jain对此提供了一个非常合理的解释，称“黑客可能会根据数据库的敏感度收取加密货币”。
原文链接：http://t.cn/E9UKFwt
4
俄罗斯多个政府网站共泄露225万公民信息，其中包括政府高官
据外媒报道，俄罗斯非政府组织信息文化(Informational Culture)的联合创始人之一Ivan Begtin发现俄罗斯多个政府网站泄露了公民信息。 Begtin在一篇博客文章中表示，他调查了政府在线认证中心、50家政府门户网站以及政府机构使用的一个电子招标平台。他发现其中有23个网站泄露了个人保险号SNILS，14个网站泄露了护照信息。
Begtin表示，共有超225万俄罗斯公民的数据可以在网上找到，且任何人都可以下载。这些网站泄露的数据还包括全名、职位、工作地点、电子邮件和税务识别号码。 有些数据较难识别，需要从数字签名文件中提取元数据，而有些数据可以从谷歌搜索政府网站上的开放web目录中找到。
这位研究人员表示，他在八个月前就联系了俄罗斯负责数据隐私的政府机构Roskomnadzor，但该机构并没有做出应对措施。
原文链接：http://t.cn/E9nQnhD
5
谷歌利用Gmail读取网购收据，跟踪用户购买历史
据外媒报道，用户可通过谷歌Gmail的“购买”(Purchases)页面访问购买记录，该页面显示了近几年来用户在Amazon、Flipkart、Swiggy等在线服务中购买的产品列表。
虽然谷歌早已宣布将停止通过Gmail收集投放广告的数据，但据CNBC的报道，谷歌仍在幕后收集大量个人信息。而讽刺的是，谷歌首席执行官桑达尔·皮查伊(Sundar Pichai)不久前刚刚在《纽约时报》的专栏文章中写道：“隐私不能成为奢侈品。”
谷歌发言人对此事表示，为了帮助用户在某个地方更方便地查看和跟踪自己购买、预订和订阅的服务，谷歌创建了只有用户个人才能看到的私人目的地。用户可以随时删除此信息。谷歌不会使用Gmail邮件中的任何信息为用户提供广告服务，包括在购买页面上显示的电子邮件收据和确认信息。
原文链接：http://t.cn/E9n8jl7
漏洞与安全威胁
1
国家漏洞库：近期(2019年5月13日至2019年5月19日)新增安全漏洞525个
根据国家信息安全漏洞库(CNNVD)统计，本周新增安全漏洞525个，漏洞新增数量有所上升。从厂商分布来看，Adobe公司新增漏洞最多，共有87个;从漏洞类型来看，缓冲区错误类的安全漏洞占比最大，达到27.24%。本周新增漏洞中，超危漏洞38个，高危漏洞204个，中危漏洞262个，低危漏洞21个。相应修复率分别为60.53%、86.76%、81.68%和95.24%。根据补丁信息统计，合计434个漏洞已有修复补丁发布，整体修复率为82.67%。
截至2019年5月19日，CNNVD发布漏洞总量已达126076个。
原文链接：http://t.cn/E9nREOH
2
工业互联网安全应急响应中心：关于Domoticz SQL注入漏洞的情况通报
2019年5月15日，国家信息安全漏洞共享平台CNVD收录了Domoticz SQL注入漏洞。CNCERT下属的工业互联网安全应急响应中心(http://www.ics-cert.org.cn)针对漏洞情况进行了分析，并对国内相关联网资产进行了在线监测。
原文链接：http://t.cn/E9nErcF
3
戴尔电脑自带系统软件SupportAssist存在RCE漏洞
你用的电脑是什么品牌的?你有没有对你电脑系统中预装或自带软件的安全性产生过怀疑?当我们谈论远程代码执行漏洞(RCE)时，可能大多数人会认为它和操作系统漏洞相关，但是有没有人考虑到预装到电脑系统中的第三方软件这一攻击可能呢?本文讲述的就是纽约17岁安全研究者最近发现的，戴尔预装在其电脑上的软件工具Dell SupportAssist 的一个远程代码执行漏洞(RCE)，利用该漏洞，可对同一网络环境中安装有Dell SupportAssist 的目标系统实施RCE攻击。Dell SupportAssist 用于“主动检查系统硬件和软件运行状况”，并且“预装自带在大多数全新的戴尔电脑系统中”。
原文链接：http://t.cn/E9Si0dF
4
超过一百个漏洞将三万门禁数据暴露给黑客
研究人员在四家楼宇管理与访问控制系统供应商的产品中发现了100多个漏洞。攻击者可以利用这些漏洞完全控制被入侵的产品，并操纵与其关联的系统。
大约一年前，工业网络安全公司Applied Risk的研究员Gjoko Krstic开始分析来自Nortek，Prima Systems，Optergy和Computrols的楼宇管理(BMS)，楼宇自动化(BAS)和门禁控制产品。产品包括Computrols CBAS-Web，Optergy Proton/Enterprise，Prima FlexAir和两款Nortek Linear eMerge产品。
Krstic在这些系统中总共识别出100多个安全漏洞，有近50个漏洞已被CVE标识;其中有些漏洞是同一缺陷的变种。
漏洞包括：默认与硬编码凭证 、命令注入、跨站脚本攻击(XSS)、路径遍历、不受限制的文件上传、权限提升、授权绕过、密码明文存储、跨站请求伪造(CSRF)、任意代码执行、身份验证绕过、信息泄露、开放重定向、用户枚举和后门等。
这些漏洞(其中许多被归类为高危)可能导致未经身份验证的攻击者完全控制被攻击系统——无论是单独利用漏洞还是与其他漏洞并用。
原文链接：http://t.cn/E9VfgMb
5
4900万条Instagram数据曝光，影响人数达数百万
近日，一个包含大量Instagram用户数据的数据库被发现，影响人数达到数百万，其中包括众多用户以及品牌商信息。
本次暴露的数据库由亚马逊网络服务托管，任何用户都可以直接进入数据库查看数据。目前已知该数据库有超过4900万条记录——而且仍在不断增长。
通过对其数据的简要回顾发现，每条记录都能直接关联到Instagram的某个用户账户的数据，包括用户资料、图片、粉丝数据、以及验证过的国家/地区、私人联系信息(包括电话、电子邮件等)，甚至还有用户已删除信息内容。
安全研究员Anurag Sen发现了这个暴露在外的数据库并发出提醒，尽快找出数据泄漏的用户并确保数据库的安全。
原文链接：http://t.cn/E9THc4h
相关资讯
