普普安全資訊一周概覽(0311-0317)

作者:

時間:
2023-03-17


1、網(wǎng)絡(luò)物理系統(tǒng)安全之CPS的特點(diǎn)

嵌入式系統(tǒng):CPS最一般的特征之一是,由于與物理世界直接接口的幾臺計算機(jī)(傳感器,控制器或執(zhí)行器)僅執(zhí)行很少有具體的行動,它們不需要經(jīng)典計算機(jī)(甚至移動系統(tǒng))的一般計算能力,因此它們往往資源有限。

實(shí)時系統(tǒng):對于安全關(guān)鍵系統(tǒng),執(zhí)行計算的時間對于確保系統(tǒng)的正確性非常重要。實(shí)時程序語法語言可以幫助開發(fā)人員為其系統(tǒng)指定時序要求,實(shí)時操作系統(tǒng)(RTOS)保證接受和完成的時間來自應(yīng)用程序的任務(wù)

網(wǎng)絡(luò)協(xié)議:CPS的另一個特征是這些嵌入式系統(tǒng)相互通信,越來越多地通過IP兼容網(wǎng)絡(luò)進(jìn)行通信。雖然電力系統(tǒng)等許多關(guān)鍵基礎(chǔ)設(shè)施都使用串行通信來監(jiān)控其SCADA系統(tǒng)中的遠(yuǎn)程操作,但直到最近二十年,系統(tǒng)不同部分之間的信息交換已從串行通信遷移到IP兼容網(wǎng)絡(luò)。

無線:雖然大多數(shù)長途通信是通過有線網(wǎng)絡(luò)完成的,但無線網(wǎng)絡(luò)也是CPS的共同特征。嵌入式系統(tǒng)的無線通信在2000年代初以傳感器網(wǎng)絡(luò)的形式引起了研究界的極大關(guān)注。

控制:最后,大多數(shù)CPS觀察并嘗試控制物理世界中的變量。反饋控制系統(tǒng)已經(jīng)存在了兩個多世紀(jì),包括1788年推出的蒸汽調(diào)速器等技術(shù)。

普普安全資訊一周概覽(0311-0317)
普普點(diǎn)評

在我們討論網(wǎng)絡(luò)安全問題之前,我們描述了如何在自動控制系統(tǒng)下運(yùn)行的物理系統(tǒng)如何受到保護(hù),免受事故和自然故障的影響,以及這些針對非惡意對手的保護(hù)如何不足以抵御戰(zhàn)略攻擊者(即知道這些攻擊者的攻擊者)。


普普安全資訊一周概覽(0311-0317)

2、Fortinet 發(fā)布《2022下半年度全球威脅態(tài)勢研究報告》,七大發(fā)現(xiàn)值得關(guān)注!

Fortinet近日發(fā)布《2022 下半年度全球威脅態(tài)勢研究報告》。報告指出,相對于組織攻擊面的不斷擴(kuò)大以及全球威脅態(tài)勢的持續(xù)演進(jìn),網(wǎng)絡(luò)犯罪分子設(shè)計、優(yōu)化技術(shù)與戰(zhàn)術(shù)的能力也隨之與日俱增,全球各行業(yè)及各類規(guī)模企業(yè)將持續(xù)面臨重大風(fēng)險。

1、2022 年破壞性雨刷惡意軟件等類似APT攻擊數(shù)量激增

2、CVE映射表明,漏洞紅區(qū)助力CISO精準(zhǔn)判定威脅優(yōu)先級

3、謀取非法暴利的網(wǎng)絡(luò)犯罪和勒索軟件威脅活動仍高居不下

4、代碼復(fù)用成網(wǎng)絡(luò)攻擊者的“錦囊妙計”

5、傳統(tǒng)僵尸網(wǎng)絡(luò)復(fù)活增加攻擊供應(yīng)鏈彈性

6、Log4j 漏洞肆虐,已成眾矢之的

7、惡意軟件傳送方式改變,用戶安全意識亟待提高

隨著當(dāng)今網(wǎng)絡(luò)防御策略的不斷升級,企業(yè)網(wǎng)絡(luò)安全防線更加牢不可破。網(wǎng)絡(luò)攻擊者為持續(xù)獲得非法訪問并成功繞過安全檢測,必然需借助更多偵察技術(shù),部署更為復(fù)雜的替代攻擊方案,以有效利用雨刷惡意軟件或其他高級攻擊載荷等類似高級持續(xù)性威脅(APT)攻擊方法,對特定目標(biāo)發(fā)起更具持續(xù)性和破壞性攻擊。

普普安全資訊一周概覽(0311-0317)
普普點(diǎn)評

為有效防范此類高級持續(xù)性網(wǎng)絡(luò)犯罪戰(zhàn)術(shù),企業(yè)組織亟需利用機(jī)器學(xué)習(xí)等先進(jìn)智能技術(shù),實(shí)時獲取所有安全設(shè)備的協(xié)同可操作威脅情報,全方位檢測可疑行為,跨越不斷擴(kuò)展的攻擊面,執(zhí)行協(xié)調(diào)一致的威脅緩解措施。


普普安全資訊一周概覽(0311-0317)

3、探索增強(qiáng)IT基礎(chǔ)設(shè)施保護(hù)的十種網(wǎng)絡(luò)安全措施

如今,網(wǎng)絡(luò)安全正迅速成為各大組織關(guān)注的焦點(diǎn)。由于對數(shù)字化系統(tǒng)的依賴性越來越強(qiáng),網(wǎng)絡(luò)威脅對于各種規(guī)模的企業(yè)來說都是主要的挑戰(zhàn)。網(wǎng)絡(luò)攻擊可能導(dǎo)致數(shù)據(jù)泄露、敏感信息被竊取、財產(chǎn)損失和企業(yè)名譽(yù)受損。

IT基礎(chǔ)架構(gòu)安全性分為4個層級

1、數(shù)據(jù)

2、應(yīng)用程序

3、網(wǎng)絡(luò)

4、物理

防范網(wǎng)絡(luò)攻擊的十大安全措施

1、網(wǎng)絡(luò)安全策略

2、用戶準(zhǔn)入審查

3、安全協(xié)議

4、經(jīng)過驗(yàn)證的軟硬件

5、強(qiáng)大的防火墻系統(tǒng)

6、遵循安全開發(fā)規(guī)則的代碼

7、數(shù)據(jù)加密

8、備份副本

9、定期系統(tǒng)測試

10、聘請網(wǎng)絡(luò)安全專家

普普安全資訊一周概覽(0311-0317)
普普點(diǎn)評

網(wǎng)絡(luò)安全措施在保護(hù)IT基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)攻擊以及確保機(jī)密、完整和敏感信息的可用性方面發(fā)揮著關(guān)鍵作用。實(shí)施全面的網(wǎng)絡(luò)安全策略,包括定期的安全審計、網(wǎng)絡(luò)安全措施、人員培訓(xùn),以及事件響應(yīng)計劃,都能極大地降低網(wǎng)絡(luò)攻擊的成功率。


普普安全資訊一周概覽(0311-0317)

4、可泄露用戶密碼,Bitwarden密碼管理器瀏覽器擴(kuò)展發(fā)現(xiàn)新漏洞

根據(jù)安全機(jī)構(gòu) FlashPoint 官方博文,在密碼管理器 Bitwarden 的瀏覽器擴(kuò)展程序中發(fā)現(xiàn)了一個高危漏洞,可以泄露用戶的密碼信息。

惡意網(wǎng)站可以利用該漏洞,在受信任頁面中嵌入 IFRAME 代碼。用戶訪問這些惡意網(wǎng)站,并使用 Bitwarden 自動填充之后,就可以獲取用戶的憑證信息。

IT之家從博文中獲悉,導(dǎo)致這個漏洞的關(guān)鍵是 Bitwarden 以非典型方式處理網(wǎng)頁中的嵌入式 iframe。

瀏覽器通過同源策略,分開 iframe 嵌入頁面和父頁面。也就是說,iframe 嵌入頁面和父頁面應(yīng)該是互相隔離的狀態(tài),無法訪問其內(nèi)容。目前包括 Firefox、Chrome 等主要瀏覽器均采用了這個安全概念。

Bitwarden 瀏覽器擴(kuò)展還在通過 iframe 嵌入來自其他域的第三方內(nèi)容的頁面上使用自動填充功能。通過 iframe 嵌入的網(wǎng)頁無權(quán)訪問父頁面的內(nèi)容。

但安全研究人員寫道無需進(jìn)一步的用戶交互,該頁面可以等待登錄表單的輸入,并將輸入的憑據(jù)轉(zhuǎn)發(fā)到遠(yuǎn)程服務(wù)器。

Bitwarden 文檔確實(shí)包含一條警告,即“受感染或不受信任的網(wǎng)站”可能會利用此來竊取憑據(jù)。安全研究人員表示,如果網(wǎng)站本身受到威脅,擴(kuò)展幾乎無法阻止竊取憑據(jù)。

普普安全資訊一周概覽(0311-0317)
普普點(diǎn)評

這個漏洞的存在提醒我們,任何密碼管理器都不是完全安全的。作為個人用戶,我們需要采取更多的安全措施來保護(hù)我們的賬戶和密碼。例如,使用不同的密碼和用戶名組合,并且定期更改密碼。


普普安全資訊一周概覽(0311-0317)

5、Fortinet:新的零日漏洞攻擊政府網(wǎng)絡(luò),竊取數(shù)據(jù)

近日,根據(jù) Fortinet 最新報告:不明來源的的攻擊者利用零日漏洞針對政府和大型組織,導(dǎo)致操作系統(tǒng)和文件損壞以及數(shù)據(jù)丟失。

數(shù)據(jù)竊取惡意軟件

該事件是在被攻擊的Fortigate設(shè)備中斷后發(fā)現(xiàn)的,由于FIPS錯誤,系統(tǒng)進(jìn)入錯誤模式并無法重新啟動。

Fortinet說,發(fā)生這種情況是因?yàn)槠渲С諪IPS的設(shè)備驗(yàn)證了系統(tǒng)組件的完整性,而且它們被設(shè)置為自動關(guān)閉并停止啟動,以便在檢測到破壞時阻止網(wǎng)絡(luò)入侵。

這些Fortigate防火墻是通過受害者網(wǎng)絡(luò)上的FortiManager設(shè)備被破壞的,因?yàn)樗鼈兺瑫r停止,并且FortiGate路徑遍歷漏洞與通過FortiManager執(zhí)行的腳本同時啟動。

用來攻擊政府網(wǎng)絡(luò)的零日

Fortinet認(rèn)為,這些攻擊具有很強(qiáng)的針對性,主要針對政府網(wǎng)絡(luò)。攻擊者還具有很強(qiáng)的攻擊手段及能力,包括反向設(shè)計FortiGate設(shè)備的部分操作系統(tǒng)。因?yàn)樵撀┒葱枰獙ortiOS和底層硬件有深入的了解。

今年1月,F(xiàn)ortinet披露了一系列非常類似的事件,2022年12月打了補(bǔ)丁并被追蹤為CVE-2022-42475的FortiOS SSL-VPN漏洞也被用作針對政府組織和政府相關(guān)實(shí)體的零日漏洞。

普普安全資訊一周概覽(0311-0317)
普普點(diǎn)評

建議Fortinet的用戶立即升級到FortiOS的補(bǔ)丁版本,以阻止?jié)撛诘墓簟?/p>


普普安全資訊一周概覽(0311-0317)

6、支付寶安全中心提醒“山寨 ChatGPT”騙局:既不聊天,還要付費(fèi),更索取個人信息

3 月 15 日消息,最近 ChatGPT 光速走紅,很多網(wǎng)友都爭相嘗試它智能的交互效果。但騙子也緊隨科技熱點(diǎn),與 ChatGPT 相關(guān)的騙局最近呈現(xiàn)高發(fā)趨勢,支付寶安全中心發(fā)布了相關(guān)提醒。

一些不法分子借此機(jī)會,在網(wǎng)上發(fā)布代注冊 ChatGPT 賬號服務(wù)和山寨版 ChatGPT 應(yīng)用,并收取費(fèi)用,牟取非法利益。很多網(wǎng)友并不清楚 ChatGPT 的訪問方法,從而誤入了山寨版 ChatGPT 應(yīng)用。

山寨版 ChatGPT 收費(fèi)套路多,還過度索取注冊信息,網(wǎng)友的個人隱私得不到保障。高價代注冊 ChatGPT 賬號或販賣 ChatGPT 賬號算是黃牛基本套路,一些黃牛還會借機(jī)索取網(wǎng)友的身份證、銀行卡等身份信息轉(zhuǎn)手販賣給黑灰產(chǎn)。各種山寨版 ChatGPT 更是層出不窮,以免費(fèi)試用為噱頭,吸引用戶注冊使用后,再推出收費(fèi)服務(wù)。這主要有兩種模式:一種是聲稱取得 ChatGPT 官方接口,以“中間人”角色搬運(yùn)問題和回復(fù),通俗來說就是“二道販子”;另一種則是純粹的“山寨”應(yīng)用,服務(wù)質(zhì)量堪憂。

在收費(fèi)方面,有的按對話次數(shù)充值收費(fèi),有的收取會員費(fèi)。但這些山寨應(yīng)用,熱度過了就卷款跑路,網(wǎng)友們的付費(fèi)權(quán)益得不到保障。一些頁面甚至還有“加入代理賺錢”的選項(xiàng),助其推廣,涉嫌刷單。有的則需要觀看 30 秒、60 秒廣告方可提問一次,想跳過廣告則需另付費(fèi)。

普普安全資訊一周概覽(0311-0317)
普普點(diǎn)評

提高警惕,辨別山寨應(yīng)用。一些山寨網(wǎng)站、小程序打著 ChatGPT、智能 AI 等旗號,誘導(dǎo)用戶下載或注冊,不僅借機(jī)牟利,服務(wù)質(zhì)量差,還有可能在收取用戶會員費(fèi)或套餐費(fèi)用后,隨時關(guān)閉跑路,用戶售后服務(wù)無保障。

保護(hù)個人隱私,謹(jǐn)慎提供隱私信息。一些山寨網(wǎng)站、小程序可能會收集和濫用用戶個人信息數(shù)據(jù),侵害用戶個人信息安全。

當(dāng)心捆綁下載與惡意病毒。山寨網(wǎng)站、小程序可能包含惡意軟件,進(jìn)而危及用戶設(shè)備或數(shù)據(jù)安全。


普普安全資訊一周概覽(0311-0317)

7、報告:2022年有超過7.2億個密碼在網(wǎng)上泄露

網(wǎng)絡(luò)安全公司 SpyCloud 發(fā)布了 2023 年身份暴露報告,揭示了 2022 年網(wǎng)絡(luò)數(shù)據(jù)泄露的嚴(yán)重情況。該報告顯示,該公司的研究人員在網(wǎng)上發(fā)現(xiàn)了 7.215 億個被泄露的密碼,其中有一半是來自僵尸網(wǎng)絡(luò)(即被惡意軟件感染并被黑客控制的計算機(jī)網(wǎng)絡(luò),用于部署竊取信息的惡意軟件)。

更令人擔(dān)憂的是,該研究發(fā)現(xiàn),在 2022 年數(shù)據(jù)泄露中被暴露的用戶中有 72% 仍然在重復(fù)使用之前被泄露過的密碼。此外還有其它一些有趣的發(fā)現(xiàn),例如超過 32.7 萬個被暴露的密碼與 Taylor Swift 和 Bad Bunny 有關(guān),26.1 萬個與流媒體服務(wù)如 Netflix 和 Hulu 有關(guān),超過 16.7 萬個與英國王室和伊麗莎白女王去世有關(guān)。

該研究還發(fā)現(xiàn),在 2022 年有 86 億個可識別個人身份信息資產(chǎn)被暴露。其中包括 14 億個全名、3.32 億個國家身份證 / 完整社會保障號碼和 6700 萬張信用卡號碼。

普普安全資訊一周概覽(0311-0317)
普普點(diǎn)評

面對密碼泄露風(fēng)險,普普資訊提醒:安裝高質(zhì)量的互聯(lián)網(wǎng)安全軟件,確保它包含主動防御新威脅的功能,而不單單具備基本的反病毒保護(hù)功能。使用雙因素身份驗(yàn)證,越來越多的在線提供商要求您輸入一次性代碼和您的常規(guī)密碼(例如,通過短信發(fā)送到您移動設(shè)備上的代碼),以此幫助您保護(hù)帳戶。