9月速遞
工業(yè)信息安全“信息共享”，金瀚信安帶您一站式掌握2022年9月份國內(nèi)外工業(yè)信息安全資訊～
政策法規(guī)
國家網(wǎng)信辦發(fā)布公開征求《關(guān)于修改〈中華人民共和國網(wǎng)絡(luò)安全法〉的決定(征求意見稿)》意見的通知，以做好《中華人民共和國網(wǎng)絡(luò)安全法》與相關(guān)法律的銜接協(xié)調(diào)。美國環(huán)境保護署敲定公共供水系統(tǒng)網(wǎng)絡(luò)安全支持計劃，以確定應(yīng)優(yōu)先提供網(wǎng)絡(luò)安全支持的特定公共供水系統(tǒng)的方法。
國家網(wǎng)信辦發(fā)布《關(guān)于修改〈中華人民共和國網(wǎng)絡(luò)安全法〉的決定(征求意見稿)》
國家互聯(lián)網(wǎng)信息辦公室于9月14日發(fā)布公開征求《關(guān)于修改〈中華人民共和國網(wǎng)絡(luò)安全法〉的決定(征求意見稿)》意見的通知?！墩髑笠庖姼濉诽岢?，擬對網(wǎng)絡(luò)安全法作出如下修改：一是完善違反網(wǎng)絡(luò)運行安全一般規(guī)定的法律責(zé)任制度，二是修改關(guān)鍵信息基礎(chǔ)設(shè)施安全保護的法律責(zé)任制度，三是調(diào)整網(wǎng)絡(luò)信息安全法律責(zé)任制度，四是修改個人信息保護法律責(zé)任制度。
資料來源：http://www.cac.gov.cn/2022-09/14/c_1664781649609823.htm
美國環(huán)境保護署敲定公共供水系統(tǒng)網(wǎng)絡(luò)安全支持計劃
美國環(huán)境保護署(EPA)向國會提交了一份涵蓋公共供水系統(tǒng)網(wǎng)絡(luò)安全支持計劃的文件。除了規(guī)定向特定公共供水系統(tǒng)提供自愿網(wǎng)絡(luò)安全技術(shù)支持的時間表外，該計劃還研究了確定應(yīng)優(yōu)先提供網(wǎng)絡(luò)安全支持的特定公共供水系統(tǒng)的方法。
資料來源：https://g.yam.com/P7HHI
安全事件
國家計算機病毒應(yīng)急處理中心發(fā)布了關(guān)于西北工業(yè)大學(xué)遭受境外網(wǎng)絡(luò)攻擊的調(diào)查報告。OTORIO針對GhostSec黑客組織攻陷以色列Berghof PLC工控設(shè)備和入侵ProMinent Aegis II控制器事件發(fā)布了安全公告。卡巴斯基發(fā)布《2022年上半年工業(yè)自動化系統(tǒng)威脅格局》報告。美國NSA和CISA發(fā)布工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全咨詢。歐洲將建設(shè)一個主權(quán)自主衛(wèi)星系統(tǒng)用于實現(xiàn)安全的信息交換。
西北工業(yè)大學(xué)遭網(wǎng)絡(luò)攻擊事件調(diào)查報告發(fā)布
9月5日，國家計算機病毒應(yīng)急處理中心發(fā)布了關(guān)于西北工業(yè)大學(xué)遭受境外網(wǎng)絡(luò)攻擊的調(diào)查報告。調(diào)查發(fā)現(xiàn)，美國國家安全局(NSA)下屬的特定入侵行動辦公室(TAO)多年來對我國國內(nèi)的網(wǎng)絡(luò)目標(biāo)實施了上萬次的惡意網(wǎng)絡(luò)攻擊，控制了相關(guān)網(wǎng)絡(luò)設(shè)備，疑似竊取了高價值數(shù)據(jù)。
資料來源：https://www.cverc.org.cn/head/zhaiyao/news20220905-NPU.htm
GhostSec黑客組織攻陷以色列Berghof PLC工控設(shè)備
9月6日，工業(yè)網(wǎng)絡(luò)安全公司OTORIO針對GhostSec黑客組織攻陷以色列Berghof PLC工控設(shè)備事件發(fā)布了安全公告，還原了攻擊事件的細節(jié)并評估了潛在風(fēng)險。OTORIO評估說，與針對IT基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊不同，OT安全漏洞可能非常危險，因為它們會影響物理流程，在某些情況下甚至?xí)?dǎo)致危及生命的情況。
資料來源：https://www.otorio.com/blog/pro-palestinian-hacking-group-compromises-berghof-plcs-in-israel/
卡巴斯基發(fā)布《2022年上半年工業(yè)自動化系統(tǒng)威脅格局》報告
卡巴斯基在發(fā)布的《2022年上半年工業(yè)自動化系統(tǒng)威脅格局》報告中指出，組織的運營技術(shù)基礎(chǔ)設(shè)施中計算機的主要威脅源為互聯(lián)網(wǎng)、可移動介質(zhì)和電子郵件。在樓宇自動化行業(yè)，阻止惡意電子郵件附件和網(wǎng)絡(luò)釣魚鏈接的ICS計算機的百分比(14.4%)是全世界平均值(7%)的兩倍。
資料來源：https://www.secrss.com/articles/46908
GhostSec黑客組織入侵ProMinent Aegis II控制器
9月14日，工業(yè)網(wǎng)絡(luò)安全公司OTORIO對GhostSec黑客組織入侵ProMinent Aegis II控制器事件發(fā)布了安全公告，確認(rèn)了攻擊事件的真實性并還原事件細節(jié)。根據(jù)GhostSec最近的違規(guī)行為，OTORIO表示可以通過簡單、正確的配置輕松避免網(wǎng)絡(luò)攻擊。例如禁止將資產(chǎn)暴露在互聯(lián)網(wǎng)上，并保持良好的密碼策略，尤其是更改默認(rèn)登錄憑據(jù)。
資料來源：https://g.yam.com/5uS9Y
美國NSA和CISA發(fā)布工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全咨詢
9月22日，美國國家安全局(NSA)和網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)發(fā)布了一份網(wǎng)絡(luò)安全咨詢(CSA)，重點介紹了惡意行為者通常采取的攻擊破壞運營技術(shù)(OT)/工業(yè)控制系統(tǒng)(ICS)資產(chǎn)的步驟并提供有關(guān)如何防御它們的建議。
資料來源：https://g.yam.com/lWlpR
歐洲將建設(shè)一個主權(quán)自主衛(wèi)星系統(tǒng)用于實現(xiàn)安全的信息交換
9月22日，由衛(wèi)星運營商SES牽頭的20家歐洲公司組成財團，在歐洲航天局(ESA)和歐盟委員會的支持下，將開發(fā)和發(fā)射EAGLE-1衛(wèi)星綜合體，這是一個安全量子密鑰分發(fā)系統(tǒng)(QKD)。在此運行階段，衛(wèi)星將允許政府和歐盟機構(gòu)以及關(guān)鍵部門長距離訪問QKD，以確保高度安全的數(shù)據(jù)傳輸。
資料來源：https://www.securitylab.ru/news/534022.php
漏洞態(tài)勢
西門子、施耐德和Dataprobe的工業(yè)產(chǎn)品存在漏洞，部分漏洞可導(dǎo)致任意代碼執(zhí)行。Kingspan的水箱管理系統(tǒng)存在超危漏洞，攻擊者無需身份驗證即可以更改各種設(shè)置。飛機WiFi設(shè)備存在漏洞，可獲取WiFi設(shè)備的管理權(quán)限。Stacked VLAN存在安全漏洞，可對目標(biāo)發(fā)起拒絕服務(wù)或中間人攻擊。輸液泵存在漏洞,可導(dǎo)致治療延遲或中斷。
西門子修復(fù)其產(chǎn)品中的5個漏洞
9月13日，西門子發(fā)布了五項新公告，共描述了37個已修復(fù)漏洞。其中一項公告涉及用于管理網(wǎng)絡(luò)服務(wù)的基于Web的Sinec INS(基礎(chǔ)設(shè)施網(wǎng)絡(luò)服務(wù))應(yīng)用程序中的第三方組件缺陷。在產(chǎn)品使用的第三方組件中，共發(fā)現(xiàn)了14個中高危漏洞，包括BIND、ISC DHCP、OpenSSL、Lodash和Axios。
資料來源：https://g.yam.com/D4faf
施耐德修復(fù)其產(chǎn)品中的反序列化漏洞
9月13日，施耐德電氣發(fā)布了一項新的公告，更新了十二項現(xiàn)有公告。新的公告指出EcoStruxure Machine SCADA Expert和Pro-face Blue Open Studio產(chǎn)品中存在不可信數(shù)據(jù)反序列化漏洞，該漏洞可在加載項目文件時導(dǎo)致任意代碼執(zhí)行、信息泄露或拒絕服務(wù)。
資料來源：https://g.yam.com/D4faf
Dataprobe配電單元iBoot-PDU存在7個漏洞
Claroty的研究人員發(fā)現(xiàn)Dataprobe的iBoot-PDU配電單元產(chǎn)品存在7個漏洞，該產(chǎn)品主要用于工業(yè)環(huán)境和數(shù)據(jù)中心。除了可利用暴露在互聯(lián)網(wǎng)上的設(shè)備，攻擊者還可以通過提供對設(shè)備管理頁面的訪問的基于云的平臺訪問未直接暴露于網(wǎng)絡(luò)的設(shè)備。成功利用這些漏洞可繞過NAT和防火墻，實現(xiàn)任意代碼執(zhí)行，使攻擊者能夠切斷PDU控制的所有設(shè)備的電源。
資料來源：https://www.securityweek.com/iboot-power-distribution-unit-flaws-allow-hackers-remotely-shut-down-devices
Kingspan 水箱管理系統(tǒng)超危漏洞尚未修復(fù)
研究人員Maxim?Rupp在Kingspan的水箱管理系統(tǒng)中發(fā)現(xiàn)了一個超危漏洞，是由于缺乏正確實施的訪問控制規(guī)則而導(dǎo)致的。攻擊者無需身份驗證，只需導(dǎo)航到特定的URL即可更改各種設(shè)置。受影響的產(chǎn)品在全球范圍內(nèi)用于水和廢水系統(tǒng)領(lǐng)域，但該漏洞仍未修復(fù)。
資料來源：https://www.securityweek.com/water-tank-management-system-used-worldwide-has-unpatched-security-hole
飛機WiFi設(shè)備存在漏洞
研究人員在為飛機提供互聯(lián)網(wǎng)連接的無線LAN設(shè)備中發(fā)現(xiàn)了兩個高危漏洞(CVE–2022–36158與CVE-2022-36159)。這些漏洞影響了Contec制造的Flexlan FX3000和FX2000系列無線LAN設(shè)備。為修復(fù)漏洞，研究人員表示Contec應(yīng)在生產(chǎn)設(shè)備中刪除隱藏的工程網(wǎng)頁并在制造過程中為每臺設(shè)備生成不同的密碼。
資料來源：https://www.infosecurity-magazine.com/news/vulnerabilities-found-airplane/
Stacked VLAN存在4個安全漏洞
9月27日，CERT Coordination Center發(fā)布安全公告，披露了Stacked VLAN以太網(wǎng)功能中的4個漏洞。漏洞分別為CVE-2021-27853、CVE-2021-27854、CVE-2021-27861和CVE-2021-2786，允許攻擊者使用定制的數(shù)據(jù)包對目標(biāo)發(fā)起拒絕服務(wù)(DoS)或中間人(MitM)攻擊。
資料來源：https://www.bleepingcomputer.com/news/security/ethernet-vlan-stacking-flaws-let-hackers-launch-dos-mitm-attacks/
Baxter Sigma Spectrum輸液泵存在4個漏洞
研究人員發(fā)Baxter Sigma Spectrum輸液泵存在4個漏洞，成功利用這些漏洞可能會導(dǎo)致訪問敏感數(shù)據(jù)和更改系統(tǒng)配置。Baxter在一份公告中強調(diào)，這些問題只影響使用Spectrum Infusion System無線功能的客戶，但也警告說如果將這些缺陷武器化可能會導(dǎo)致治療延遲或中斷。
資料來源：https://thehackernews.com/2022/09/new-vulnerabilities-reported-in-baxters.html
