六方云安全态势周刊丨第227期

01.

业界动态

1、美国太空探索技术公司正式发布“星盾”卫星项目

2022年12月2日，美国太空探索技术公司正式在其官网主页发布了专门为政府服务的 “星盾”卫星项目。“星盾”卫星将利用“星链”卫星的技术和发射能力，为国家安全工作提供支持和保障。

https://www.secrss.com/articles/49688

2、以威胁国家安全为由，美国禁止销售中兴、海康威视等电信和监控设备

美国当地时间11月25日，据The Hacker News报道，美国联邦通信委员会（FCC）正式宣布，禁止进口和销售包括华为和中兴通讯在内的，中国科技巨头制造的电信和监控设备，认为这些设备“对国家安全构成不可接受的风险”。

https://view.inews.qq.com/wxn2/20221128A072HK00

3、北约举行年度“网络联盟”演习

11月28日，北约举行一年一度的“网络联盟”演习(Cyber Coalition)，芬兰、瑞典、日本等国以“北约伙伴国”身份派人参加。

https://baijiahao.baidu.com/s?id=1750808165988032541&wfr=spider&for=pc

4、全国首例！云南破获域名黑产大案，抓获630人

云南公安机关历时8个多月，成功破获全国首例域名黑产犯罪案件，经全国各地公安机关连续奋战，共侦破案件300起，抓获涉案人员630人，查封用于黄、赌、诈等违法网站域名50余万个。近日，该案在昆明市西山区人民法院依法进行审理，案件中违规销售域名的某网络科技公司被判处罚金200万元；李某某、怀某某等主要犯罪嫌疑人一审分别被判处一至二年不等有期徒刑，并处罚金。

https://www.freebuf.com/news/351436.html

02.

关键基础设施

1、俄罗斯政府机构遭CryWiper勒索软件攻击

外媒报道称，俄罗斯市长的办公室和法院遭到了一种新的加密病毒的攻击。该程序在计算机上对数据进行编码，要求支付赎金——超过50万卢布。但是，即使您将这笔金额转移给黑客，病毒也会将文件完全删除。

https://www.securitylab.ru/news/535064.php

2、Keralty 勒索软件攻击影响哥伦比亚的医疗保健系统

Keralty 跨国医疗机构遭遇勒索软件攻击，扰乱了该公司及其子公司的网站和运营。

https://www.bleepingcomputer.com/news/security/keralty-ransomware-attack-impacts-colombias-health-care-system/

03.

安全事件

1、三星小米等厂商均受影响，谷歌披露威胁数百万安卓设备的高危漏洞

12 月 3 日消息，谷歌安卓合作伙伴漏洞计划（APVI）网站上的一个新帖子中，曝光了一个影响数百万安卓设备的安全漏洞。黑客利用该漏洞，就能够在三星、LG、小米等诸多 OEM 厂商品牌手机中植入恶意软件。而且这些恶意软件可以获得系统级别的最高权限。

https://www.ithome.com/0/658/513.htm

2、因泄露5.33亿用户隐私，Facebook被罚2.65亿欧元

据BleepingComputer 11月28日消息，近日，爱尔兰数据保护委员会 (DPC) 因2021 年 Facebook 大规模数据泄露事件，向其母公司Meta开出 2.65 亿欧元（约20亿人民币）巨额罚单。

https://www.freebuf.com/news/351014.html

3、Twitter 540万用户数据在暗网公开

Twitter再次传来一个重磅消息，超过540万条用户数据已经在暗网公开，并且免费共享给所有人。此外，安全人员还披露了另外一个可能泄露的，规模更大的数据库，其中包含了上千万条Twitter数据。

https://www.freebuf.com/news/350907.html

04.

漏洞事件

1、美国CISA警告：Oracle Fusion中间件漏洞已遭在野利用

美国网络安全和基础设施安全局 (CISA) 提醒称，在2022年年初修复的一个Oracle Fusion 中间件漏洞 (CVE-2021-35587)已遭利用。

https://mp.weixin.qq.com/s/vFzaD17kitugR7Tiss6YQA

2、德国Festo 和 CODESYS公司的OT产品被曝存在漏洞

研究人员披露了影响 CODESYS 和 Festo 运营技术 (OT) 产品的三个新安全漏洞的详细信息，这些漏洞可能导致源代码篡改和拒绝服务 (DoS)。

https://thehackernews.com/2022/11/3-new-vulnerabilities-affect-ot.html

3、Mitsubishi Electric FA engineering software安全漏洞

Mitsubishi Electric FA engineering software是日本三菱电机（Mitsubishi Electric）公司的一个工程软件。提供提高设计和调试的效率，减少停机时间和保护数据，多版本存在安全漏洞。

https://mp.weixin.qq.com/s/34p0HZsoZgKHfIjkTErLuQ

05.

政策监管

1、《广西壮族自治区大数据发展条例》2023年1月1日起施行

11月25日，《广西壮族自治区大数据发展条例》（以下简称条例）广西经自治区第十三届人大常委会第三十四次会议通过，并于2023年1月1日起施行。这是广西第一部数据领域地方性法规。条例共八章七十八条，包括总则、基础设施、数据资源、数据市场、发展应用、数据安全、法律责任以及附则。

条例规定实行数据安全责任制，按照谁是数据处理者，谁就是数据安全的责任主体的原则确定数据安全责任，规定责任主体义务。二是明确对数据进行分级分类管理，规定了网信、公安、国家安全、大数据等部门的监管职责和数据安全责任单位的保护责任，并对重要数据实行重点保护，保障数据的安全有序流动。三是提出对公共数据进行安全监测、应急处置、安全备份、安全协作、安全销毁等体系建设，对公共数据处理的各环节安全管理提出具体要求。

http://dsjfzj.gxzf.gov.cn/dtyw/t13961673.shtml

2、《贵州省信息基础设施条例》发布

12月1日贵州省人民代表大会常务委员会发布了第24号公告，明确《贵州省信息基础设施条例》自2023年3月1日起施行。

条例规范了信息技术设施主管部门、信息基础设施运营者应当履行保护与监管的相关责任，禁止实施危害信息基础设施安全的相关行为，迁移信息基础设施的相关要求。

https://dsj.guizhou.gov.cn/zwgk/xxgkml/zcwj/zcfg/202212/t20221202_77314949.html

06.

国家/行业标准

1、《工业互联网企业网络安全第4部分：数据防护要求》（征求意见稿）发布

12月1日，全国信息安全标准化技术委员会秘书处发布《工业互联网企业网络安全第4部分：数据防护要求》（征求意见稿），并向社会征求意见，意见提交截止时间为2023年01月30日。

征求意见稿给出了规定了不同级别工业互联网数据的安全防护流程、防护要求和安全管理要求。该文件适用于应用工业互联网的工业企业、工业互联网平台企业、工业互联网标识解析企业开展数据防护，也可供第三方评估机构等主体开展数据安全评估时参考。

https://www.tc260.org.cn/front/postDetail.html?id=20221201145510

2、《软件开发包（SDK）个人信息处理规范》等9项团体标准发布