普普安全資訊一周概覽（0311-0317）

作者：

時間：
2023-03-17


1、網(wǎng)絡(luò)物理系統(tǒng)安全之CPS的特點

嵌入式系統(tǒng)：CPS最一般的特征之一是，由于與物理世界直接接口的幾臺計算機（傳感器，控制器或執(zhí)行器）僅執(zhí)行很少有具體的行動，它們不需要經(jīng)典計算機（甚至移動系統(tǒng)）的一般計算能力，因此它們往往資源有限。

實時系統(tǒng)：對于安全關(guān)鍵系統(tǒng)，執(zhí)行計算的時間對于確保系統(tǒng)的正確性非常重要。實時程序語法語言可以幫助開發(fā)人員為其系統(tǒng)指定時序要求，實時操作系統(tǒng)（RTOS）保證接受和完成的時間來自應(yīng)用程序的任務(wù)

網(wǎng)絡(luò)協(xié)議：CPS的另一個特征是這些嵌入式系統(tǒng)相互通信，越來越多地通過IP兼容網(wǎng)絡(luò)進行通信。雖然電力系統(tǒng)等許多關(guān)鍵基礎(chǔ)設(shè)施都使用串行通信來監(jiān)控其SCADA系統(tǒng)中的遠程操作，但直到最近二十年，系統(tǒng)不同部分之間的信息交換已從串行通信遷移到IP兼容網(wǎng)絡(luò)。

無線：雖然大多數(shù)長途通信是通過有線網(wǎng)絡(luò)完成的，但無線網(wǎng)絡(luò)也是CPS的共同特征。嵌入式系統(tǒng)的無線通信在2000年代初以傳感器網(wǎng)絡(luò)的形式引起了研究界的極大關(guān)注。

控制：最后，大多數(shù)CPS觀察并嘗試控制物理世界中的變量。反饋控制系統(tǒng)已經(jīng)存在了兩個多世紀，包括1788年推出的蒸汽調(diào)速器等技術(shù)。

普普安全資訊一周概覽（0311-0317）
普普點評

在我們討論網(wǎng)絡(luò)安全問題之前，我們描述了如何在自動控制系統(tǒng)下運行的物理系統(tǒng)如何受到保護，免受事故和自然故障的影響，以及這些針對非惡意對手的保護如何不足以抵御戰(zhàn)略攻擊者（即知道這些攻擊者的攻擊者）。


普普安全資訊一周概覽（0311-0317）

2、Fortinet 發(fā)布《2022下半年度全球威脅態(tài)勢研究報告》，七大發(fā)現(xiàn)值得關(guān)注！

Fortinet近日發(fā)布《2022 下半年度全球威脅態(tài)勢研究報告》。報告指出，相對于組織攻擊面的不斷擴大以及全球威脅態(tài)勢的持續(xù)演進，網(wǎng)絡(luò)犯罪分子設(shè)計、優(yōu)化技術(shù)與戰(zhàn)術(shù)的能力也隨之與日俱增，全球各行業(yè)及各類規(guī)模企業(yè)將持續(xù)面臨重大風(fēng)險。

1、2022 年破壞性雨刷惡意軟件等類似APT攻擊數(shù)量激增

2、CVE映射表明，漏洞紅區(qū)助力CISO精準判定威脅優(yōu)先級

3、謀取非法暴利的網(wǎng)絡(luò)犯罪和勒索軟件威脅活動仍高居不下

4、代碼復(fù)用成網(wǎng)絡(luò)攻擊者的“錦囊妙計”

5、傳統(tǒng)僵尸網(wǎng)絡(luò)復(fù)活增加攻擊供應(yīng)鏈彈性

6、Log4j 漏洞肆虐，已成眾矢之的

7、惡意軟件傳送方式改變，用戶安全意識亟待提高

隨著當(dāng)今網(wǎng)絡(luò)防御策略的不斷升級，企業(yè)網(wǎng)絡(luò)安全防線更加牢不可破。網(wǎng)絡(luò)攻擊者為持續(xù)獲得非法訪問并成功繞過安全檢測，必然需借助更多偵察技術(shù)，部署更為復(fù)雜的替代攻擊方案，以有效利用雨刷惡意軟件或其他高級攻擊載荷等類似高級持續(xù)性威脅（APT）攻擊方法，對特定目標發(fā)起更具持續(xù)性和破壞性攻擊。

普普安全資訊一周概覽（0311-0317）
普普點評

為有效防范此類高級持續(xù)性網(wǎng)絡(luò)犯罪戰(zhàn)術(shù)，企業(yè)組織亟需利用機器學(xué)習(xí)等先進智能技術(shù)，實時獲取所有安全設(shè)備的協(xié)同可操作威脅情報，全方位檢測可疑行為，跨越不斷擴展的攻擊面，執(zhí)行協(xié)調(diào)一致的威脅緩解措施。


普普安全資訊一周概覽（0311-0317）

3、探索增強IT基礎(chǔ)設(shè)施保護的十種網(wǎng)絡(luò)安全措施

如今，網(wǎng)絡(luò)安全正迅速成為各大組織關(guān)注的焦點。由于對數(shù)字化系統(tǒng)的依賴性越來越強，網(wǎng)絡(luò)威脅對于各種規(guī)模的企業(yè)來說都是主要的挑戰(zhàn)。網(wǎng)絡(luò)攻擊可能導(dǎo)致數(shù)據(jù)泄露、敏感信息被竊取、財產(chǎn)損失和企業(yè)名譽受損。

IT基礎(chǔ)架構(gòu)安全性分為4個層級

1、數(shù)據(jù)

2、應(yīng)用程序

3、網(wǎng)絡(luò)

4、物理

防范網(wǎng)絡(luò)攻擊的十大安全措施

1、網(wǎng)絡(luò)安全策略

2、用戶準入審查

3、安全協(xié)議

4、經(jīng)過驗證的軟硬件

5、強大的防火墻系統(tǒng)

6、遵循安全開發(fā)規(guī)則的代碼

7、數(shù)據(jù)加密

8、備份副本

9、定期系統(tǒng)測試

10、聘請網(wǎng)絡(luò)安全專家

普普安全資訊一周概覽（0311-0317）
普普點評

網(wǎng)絡(luò)安全措施在保護IT基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)攻擊以及確保機密、完整和敏感信息的可用性方面發(fā)揮著關(guān)鍵作用。實施全面的網(wǎng)絡(luò)安全策略，包括定期的安全審計、網(wǎng)絡(luò)安全措施、人員培訓(xùn)，以及事件響應(yīng)計劃，都能極大地降低網(wǎng)絡(luò)攻擊的成功率。


普普安全資訊一周概覽（0311-0317）

4、可泄露用戶密碼，Bitwarden密碼管理器瀏覽器擴展發(fā)現(xiàn)新漏洞

根據(jù)安全機構(gòu) FlashPoint 官方博文，在密碼管理器 Bitwarden 的瀏覽器擴展程序中發(fā)現(xiàn)了一個高危漏洞，可以泄露用戶的密碼信息。

惡意網(wǎng)站可以利用該漏洞，在受信任頁面中嵌入 IFRAME 代碼。用戶訪問這些惡意網(wǎng)站，并使用 Bitwarden 自動填充之后，就可以獲取用戶的憑證信息。

IT之家從博文中獲悉，導(dǎo)致這個漏洞的關(guān)鍵是 Bitwarden 以非典型方式處理網(wǎng)頁中的嵌入式 iframe。

瀏覽器通過同源策略，分開 iframe 嵌入頁面和父頁面。也就是說，iframe 嵌入頁面和父頁面應(yīng)該是互相隔離的狀態(tài)，無法訪問其內(nèi)容。目前包括 Firefox、Chrome 等主要瀏覽器均采用了這個安全概念。

Bitwarden 瀏覽器擴展還在通過 iframe 嵌入來自其他域的第三方內(nèi)容的頁面上使用自動填充功能。通過 iframe 嵌入的網(wǎng)頁無權(quán)訪問父頁面的內(nèi)容。

但安全研究人員寫道無需進一步的用戶交互，該頁面可以等待登錄表單的輸入，并將輸入的憑據(jù)轉(zhuǎn)發(fā)到遠程服務(wù)器。

Bitwarden 文檔確實包含一條警告，即“受感染或不受信任的網(wǎng)站”可能會利用此來竊取憑據(jù)。安全研究人員表示，如果網(wǎng)站本身受到威脅，擴展幾乎無法阻止竊取憑據(jù)。

普普安全資訊一周概覽（0311-0317）
普普點評

這個漏洞的存在提醒我們，任何密碼管理器都不是完全安全的。作為個人用戶，我們需要采取更多的安全措施來保護我們的賬戶和密碼。例如，使用不同的密碼和用戶名組合，并且定期更改密碼。


普普安全資訊一周概覽（0311-0317）

5、Fortinet：新的零日漏洞攻擊政府網(wǎng)絡(luò)，竊取數(shù)據(jù)

近日，根據(jù) Fortinet 最新報告：不明來源的的攻擊者利用零日漏洞針對政府和大型組織，導(dǎo)致操作系統(tǒng)和文件損壞以及數(shù)據(jù)丟失。

數(shù)據(jù)竊取惡意軟件

該事件是在被攻擊的Fortigate設(shè)備中斷后發(fā)現(xiàn)的，由于FIPS錯誤，系統(tǒng)進入錯誤模式并無法重新啟動。

Fortinet說，發(fā)生這種情況是因為其支持FIPS的設(shè)備驗證了系統(tǒng)組件的完整性，而且它們被設(shè)置為自動關(guān)閉并停止啟動，以便在檢測到破壞時阻止網(wǎng)絡(luò)入侵。

這些Fortigate防火墻是通過受害者網(wǎng)絡(luò)上的FortiManager設(shè)備被破壞的，因為它們同時停止，并且FortiGate路徑遍歷漏洞與通過FortiManager執(zhí)行的腳本同時啟動。

用來攻擊政府網(wǎng)絡(luò)的零日

Fortinet認為，這些攻擊具有很強的針對性，主要針對政府網(wǎng)絡(luò)。攻擊者還具有很強的攻擊手段及能力，包括反向設(shè)計FortiGate設(shè)備的部分操作系統(tǒng)。因為該漏洞需要對FortiOS和底層硬件有深入的了解。

今年1月，F(xiàn)ortinet披露了一系列非常類似的事件，2022年12月打了補丁并被追蹤為CVE-2022-42475的FortiOS SSL-VPN漏洞也被用作針對政府組織和政府相關(guān)實體的零日漏洞。

普普安全資訊一周概覽（0311-0317）
普普點評

建議Fortinet的用戶立即升級到FortiOS的補丁版本，以阻止?jié)撛诘墓簟?/p>


普普安全資訊一周概覽（0311-0317）

6、支付寶安全中心提醒“山寨 ChatGPT”騙局：既不聊天，還要付費，更索取個人信息

3 月 15 日消息，最近 ChatGPT 光速走紅，很多網(wǎng)友都爭相嘗試它智能的交互效果。但騙子也緊隨科技熱點，與 ChatGPT 相關(guān)的騙局最近呈現(xiàn)高發(fā)趨勢，支付寶安全中心發(fā)布了相關(guān)提醒。

一些不法分子借此機會，在網(wǎng)上發(fā)布代注冊 ChatGPT 賬號服務(wù)和山寨版 ChatGPT 應(yīng)用，并收取費用，牟取非法利益。很多網(wǎng)友并不清楚 ChatGPT 的訪問方法，從而誤入了山寨版 ChatGPT 應(yīng)用。

山寨版 ChatGPT 收費套路多，還過度索取注冊信息，網(wǎng)友的個人隱私得不到保障。高價代注冊 ChatGPT 賬號或販賣 ChatGPT 賬號算是黃牛基本套路，一些黃牛還會借機索取網(wǎng)友的身份證、銀行卡等身份信息轉(zhuǎn)手販賣給黑灰產(chǎn)。各種山寨版 ChatGPT 更是層出不窮，以免費試用為噱頭，吸引用戶注冊使用后，再推出收費服務(wù)。這主要有兩種模式：一種是聲稱取得 ChatGPT 官方接口，以“中間人”角色搬運問題和回復(fù)，通俗來說就是“二道販子”；另一種則是純粹的“山寨”應(yīng)用，服務(wù)質(zhì)量堪憂。

在收費方面，有的按對話次數(shù)充值收費，有的收取會員費。但這些山寨應(yīng)用，熱度過了就卷款跑路，網(wǎng)友們的付費權(quán)益得不到保障。一些頁面甚至還有“加入代理賺錢”的選項，助其推廣，涉嫌刷單。有的則需要觀看 30 秒、60 秒廣告方可提問一次，想跳過廣告則需另付費。

普普安全資訊一周概覽（0311-0317）
普普點評

提高警惕，辨別山寨應(yīng)用。一些山寨網(wǎng)站、小程序打著 ChatGPT、智能 AI 等旗號，誘導(dǎo)用戶下載或注冊，不僅借機牟利，服務(wù)質(zhì)量差，還有可能在收取用戶會員費或套餐費用后，隨時關(guān)閉跑路，用戶售后服務(wù)無保障。

保護個人隱私，謹慎提供隱私信息。一些山寨網(wǎng)站、小程序可能會收集和濫用用戶個人信息數(shù)據(jù)，侵害用戶個人信息安全。

當(dāng)心捆綁下載與惡意病毒。山寨網(wǎng)站、小程序可能包含惡意軟件，進而危及用戶設(shè)備或數(shù)據(jù)安全。


普普安全資訊一周概覽（0311-0317）

7、報告：2022年有超過7.2億個密碼在網(wǎng)上泄露

網(wǎng)絡(luò)安全公司 SpyCloud 發(fā)布了 2023 年身份暴露報告，揭示了 2022 年網(wǎng)絡(luò)數(shù)據(jù)泄露的嚴重情況。該報告顯示，該公司的研究人員在網(wǎng)上發(fā)現(xiàn)了 7.215 億個被泄露的密碼，其中有一半是來自僵尸網(wǎng)絡(luò)（即被惡意軟件感染并被黑客控制的計算機網(wǎng)絡(luò)，用于部署竊取信息的惡意軟件）。

更令人擔(dān)憂的是，該研究發(fā)現(xiàn)，在 2022 年數(shù)據(jù)泄露中被暴露的用戶中有 72% 仍然在重復(fù)使用之前被泄露過的密碼。此外還有其它一些有趣的發(fā)現(xiàn)，例如超過 32.7 萬個被暴露的密碼與 Taylor Swift 和 Bad Bunny 有關(guān)，26.1 萬個與流媒體服務(wù)如 Netflix 和 Hulu 有關(guān)，超過 16.7 萬個與英國王室和伊麗莎白女王去世有關(guān)。

該研究還發(fā)現(xiàn)，在 2022 年有 86 億個可識別個人身份信息資產(chǎn)被暴露。其中包括 14 億個全名、3.32 億個國家身份證 / 完整社會保障號碼和 6700 萬張信用卡號碼。

普普安全資訊一周概覽（0311-0317）
普普點評

面對密碼泄露風(fēng)險，普普資訊提醒：安裝高質(zhì)量的互聯(lián)網(wǎng)安全軟件，確保它包含主動防御新威脅的功能，而不單單具備基本的反病毒保護功能。使用雙因素身份驗證，越來越多的在線提供商要求您輸入一次性代碼和您的常規(guī)密碼（例如，通過短信發(fā)送到您移動設(shè)備上的代碼），以此幫助您保護帳戶。