嵌入式系統(tǒng)：CPS最一般的特征之一是，由于與物理世界直接接口的幾臺計算機(jī)（傳感器，控制器或執(zhí)行器）僅執(zhí)行很少有具體的行動，它們不需要經(jīng)典計算機(jī)（甚至移動系統(tǒng)）的一般計算能力，因此它們往往資源有限。

實(shí)時系統(tǒng)：對于安全關(guān)鍵系統(tǒng)，執(zhí)行計算的時間對于確保系統(tǒng)的正確性非常重要。實(shí)時程序語法語言可以幫助開發(fā)人員為其系統(tǒng)指定時序要求，實(shí)時操作系統(tǒng)（RTOS）保證接受和完成的時間來自應(yīng)用程序的任務(wù)

網(wǎng)絡(luò)協(xié)議：CPS的另一個特征是這些嵌入式系統(tǒng)相互通信，越來越多地通過IP兼容網(wǎng)絡(luò)進(jìn)行通信。雖然電力系統(tǒng)等許多關(guān)鍵基礎(chǔ)設(shè)施都使用串行通信來監(jiān)控其SCADA系統(tǒng)中的遠(yuǎn)程操作，但直到最近二十年，系統(tǒng)不同部分之間的信息交換已從串行通信遷移到IP兼容網(wǎng)絡(luò)。

無線：雖然大多數(shù)長途通信是通過有線網(wǎng)絡(luò)完成的，但無線網(wǎng)絡(luò)也是CPS的共同特征。嵌入式系統(tǒng)的無線通信在2000年代初以傳感器網(wǎng)絡(luò)的形式引起了研究界的極大關(guān)注。

控制：最后，大多數(shù)CPS觀察并嘗試控制物理世界中的變量。反饋控制系統(tǒng)已經(jīng)存在了兩個多世紀(jì)，包括1788年推出的蒸汽調(diào)速器等技術(shù)。

普普點(diǎn)評

Fortinet近日發(fā)布《2022 下半年度全球威脅態(tài)勢研究報告》。報告指出，相對于組織攻擊面的不斷擴(kuò)大以及全球威脅態(tài)勢的持續(xù)演進(jìn)，網(wǎng)絡(luò)犯罪分子設(shè)計、優(yōu)化技術(shù)與戰(zhàn)術(shù)的能力也隨之與日俱增，全球各行業(yè)及各類規(guī)模企業(yè)將持續(xù)面臨重大風(fēng)險。

1、2022 年破壞性雨刷惡意軟件等類似APT攻擊數(shù)量激增

2、CVE映射表明，漏洞紅區(qū)助力CISO精準(zhǔn)判定威脅優(yōu)先級

3、謀取非法暴利的網(wǎng)絡(luò)犯罪和勒索軟件威脅活動仍高居不下

4、代碼復(fù)用成網(wǎng)絡(luò)攻擊者的“錦囊妙計”

5、傳統(tǒng)僵尸網(wǎng)絡(luò)復(fù)活增加攻擊供應(yīng)鏈彈性

6、Log4j 漏洞肆虐，已成眾矢之的

7、惡意軟件傳送方式改變，用戶安全意識亟待提高

隨著當(dāng)今網(wǎng)絡(luò)防御策略的不斷升級，企業(yè)網(wǎng)絡(luò)安全防線更加牢不可破。網(wǎng)絡(luò)攻擊者為持續(xù)獲得非法訪問并成功繞過安全檢測，必然需借助更多偵察技術(shù)，部署更為復(fù)雜的替代攻擊方案，以有效利用雨刷惡意軟件或其他高級攻擊載荷等類似高級持續(xù)性威脅（APT）攻擊方法，對特定目標(biāo)發(fā)起更具持續(xù)性和破壞性攻擊。

普普點(diǎn)評

如今，網(wǎng)絡(luò)安全正迅速成為各大組織關(guān)注的焦點(diǎn)。由于對數(shù)字化系統(tǒng)的依賴性越來越強(qiáng)，網(wǎng)絡(luò)威脅對于各種規(guī)模的企業(yè)來說都是主要的挑戰(zhàn)。網(wǎng)絡(luò)攻擊可能導(dǎo)致數(shù)據(jù)泄露、敏感信息被竊取、財產(chǎn)損失和企業(yè)名譽(yù)受損。

IT基礎(chǔ)架構(gòu)安全性分為4個層級

1、數(shù)據(jù)

2、應(yīng)用程序

3、網(wǎng)絡(luò)

4、物理

防范網(wǎng)絡(luò)攻擊的十大安全措施

1、網(wǎng)絡(luò)安全策略

2、用戶準(zhǔn)入審查

3、安全協(xié)議

4、經(jīng)過驗(yàn)證的軟硬件

5、強(qiáng)大的防火墻系統(tǒng)

6、遵循安全開發(fā)規(guī)則的代碼

7、數(shù)據(jù)加密

8、備份副本

9、定期系統(tǒng)測試

10、聘請網(wǎng)絡(luò)安全專家

普普點(diǎn)評

根據(jù)安全機(jī)構(gòu) FlashPoint 官方博文，在密碼管理器 Bitwarden 的瀏覽器擴(kuò)展程序中發(fā)現(xiàn)了一個高危漏洞，可以泄露用戶的密碼信息。

惡意網(wǎng)站可以利用該漏洞，在受信任頁面中嵌入 IFRAME 代碼。用戶訪問這些惡意網(wǎng)站，并使用 Bitwarden 自動填充之后，就可以獲取用戶的憑證信息。

IT之家從博文中獲悉，導(dǎo)致這個漏洞的關(guān)鍵是 Bitwarden 以非典型方式處理網(wǎng)頁中的嵌入式 iframe。

瀏覽器通過同源策略，分開 iframe 嵌入頁面和父頁面。也就是說，iframe 嵌入頁面和父頁面應(yīng)該是互相隔離的狀態(tài)，無法訪問其內(nèi)容。目前包括 Firefox、Chrome 等主要瀏覽器均采用了這個安全概念。

Bitwarden 瀏覽器擴(kuò)展還在通過 iframe 嵌入來自其他域的第三方內(nèi)容的頁面上使用自動填充功能。通過 iframe 嵌入的網(wǎng)頁無權(quán)訪問父頁面的內(nèi)容。

但安全研究人員寫道無需進(jìn)一步的用戶交互，該頁面可以等待登錄表單的輸入，并將輸入的憑據(jù)轉(zhuǎn)發(fā)到遠(yuǎn)程服務(wù)器。

Bitwarden 文檔確實(shí)包含一條警告，即“受感染或不受信任的網(wǎng)站”可能會利用此來竊取憑據(jù)。安全研究人員表示，如果網(wǎng)站本身受到威脅，擴(kuò)展幾乎無法阻止竊取憑據(jù)。

普普點(diǎn)評

近日，根據(jù) Fortinet 最新報告：不明來源的的攻擊者利用零日漏洞針對政府和大型組織，導(dǎo)致操作系統(tǒng)和文件損壞以及數(shù)據(jù)丟失。

數(shù)據(jù)竊取惡意軟件

該事件是在被攻擊的Fortigate設(shè)備中斷后發(fā)現(xiàn)的，由于FIPS錯誤，系統(tǒng)進(jìn)入錯誤模式并無法重新啟動。

Fortinet說，發(fā)生這種情況是因?yàn)槠渲С諪IPS的設(shè)備驗(yàn)證了系統(tǒng)組件的完整性，而且它們被設(shè)置為自動關(guān)閉并停止啟動，以便在檢測到破壞時阻止網(wǎng)絡(luò)入侵。

這些Fortigate防火墻是通過受害者網(wǎng)絡(luò)上的FortiManager設(shè)備被破壞的，因?yàn)樗鼈兺瑫r停止，并且FortiGate路徑遍歷漏洞與通過FortiManager執(zhí)行的腳本同時啟動。

用來攻擊政府網(wǎng)絡(luò)的零日

Fortinet認(rèn)為，這些攻擊具有很強(qiáng)的針對性，主要針對政府網(wǎng)絡(luò)。攻擊者還具有很強(qiáng)的攻擊手段及能力，包括反向設(shè)計FortiGate設(shè)備的部分操作系統(tǒng)。因?yàn)樵撀┒葱枰獙ortiOS和底層硬件有深入的了解。

今年1月，F(xiàn)ortinet披露了一系列非常類似的事件，2022年12月打了補(bǔ)丁并被追蹤為CVE-2022-42475的FortiOS SSL-VPN漏洞也被用作針對政府組織和政府相關(guān)實(shí)體的零日漏洞。

普普點(diǎn)評

3 月 15 日消息，最近 ChatGPT 光速走紅，很多網(wǎng)友都爭相嘗試它智能的交互效果。但騙子也緊隨科技熱點(diǎn)，與 ChatGPT 相關(guān)的騙局最近呈現(xiàn)高發(fā)趨勢，支付寶安全中心發(fā)布了相關(guān)提醒。

一些不法分子借此機(jī)會，在網(wǎng)上發(fā)布代注冊 ChatGPT 賬號服務(wù)和山寨版 ChatGPT 應(yīng)用，并收取費(fèi)用，牟取非法利益。很多網(wǎng)友并不清楚 ChatGPT 的訪問方法，從而誤入了山寨版 ChatGPT 應(yīng)用。

山寨版 ChatGPT 收費(fèi)套路多，還過度索取注冊信息，網(wǎng)友的個人隱私得不到保障。高價代注冊 ChatGPT 賬號或販賣 ChatGPT 賬號算是黃牛基本套路，一些黃牛還會借機(jī)索取網(wǎng)友的身份證、銀行卡等身份信息轉(zhuǎn)手販賣給黑灰產(chǎn)。各種山寨版 ChatGPT 更是層出不窮，以免費(fèi)試用為噱頭，吸引用戶注冊使用后，再推出收費(fèi)服務(wù)。這主要有兩種模式：一種是聲稱取得 ChatGPT 官方接口，以“中間人”角色搬運(yùn)問題和回復(fù)，通俗來說就是“二道販子”；另一種則是純粹的“山寨”應(yīng)用，服務(wù)質(zhì)量堪憂。

在收費(fèi)方面，有的按對話次數(shù)充值收費(fèi)，有的收取會員費(fèi)。但這些山寨應(yīng)用，熱度過了就卷款跑路，網(wǎng)友們的付費(fèi)權(quán)益得不到保障。一些頁面甚至還有“加入代理賺錢”的選項(xiàng)，助其推廣，涉嫌刷單。有的則需要觀看 30 秒、60 秒廣告方可提問一次，想跳過廣告則需另付費(fèi)。

普普點(diǎn)評

網(wǎng)絡(luò)安全公司 SpyCloud 發(fā)布了 2023 年身份暴露報告，揭示了 2022 年網(wǎng)絡(luò)數(shù)據(jù)泄露的嚴(yán)重情況。該報告顯示，該公司的研究人員在網(wǎng)上發(fā)現(xiàn)了 7.215 億個被泄露的密碼，其中有一半是來自僵尸網(wǎng)絡(luò)（即被惡意軟件感染并被黑客控制的計算機(jī)網(wǎng)絡(luò)，用于部署竊取信息的惡意軟件）。

更令人擔(dān)憂的是，該研究發(fā)現(xiàn)，在 2022 年數(shù)據(jù)泄露中被暴露的用戶中有 72% 仍然在重復(fù)使用之前被泄露過的密碼。此外還有其它一些有趣的發(fā)現(xiàn)，例如超過 32.7 萬個被暴露的密碼與 Taylor Swift 和 Bad Bunny 有關(guān)，26.1 萬個與流媒體服務(wù)如 Netflix 和 Hulu 有關(guān)，超過 16.7 萬個與英國王室和伊麗莎白女王去世有關(guān)。

該研究還發(fā)現(xiàn)，在 2022 年有 86 億個可識別個人身份信息資產(chǎn)被暴露。其中包括 14 億個全名、3.32 億個國家身份證 / 完整社會保障號碼和 6700 萬張信用卡號碼。

普普點(diǎn)評