新闻动态

News information

六方云 安全态势周刊丨第227期

<<返回

2022年12月05日 16:00

01.

业界动态


1、美国太空探索技术公司正式发布“星盾”卫星项目

2022年12月2日,美国太空探索技术公司正式在其官网主页发布了专门为政府服务的 “星盾”卫星项目。“星盾”卫星将利用“星链”卫星的技术和发射能力,为国家安全工作提供支持和保障。

https://www.secrss.com/articles/49688


2、以威胁国家安全为由,美国禁止销售中兴、海康威视等电信和监控设备

美国当地时间11月25日,据The Hacker News报道,美国联邦通信委员会(FCC)正式宣布,禁止进口和销售包括华为和中兴通讯在内的,中国科技巨头制造的电信和监控设备,认为这些设备“对国家安全构成不可接受的风险”。

https://view.inews.qq.com/wxn2/20221128A072HK00


3、北约举行年度“网络联盟”演习

11月28日,北约举行一年一度的“网络联盟”演习(Cyber Coalition),芬兰、瑞典、日本等国以“北约伙伴国”身份派人参加。

https://baijiahao.baidu.com/s?id=1750808165988032541&wfr=spider&for=pc


4、全国首例!云南破获域名黑产大案,抓获630人

云南公安机关历时8个多月,成功破获全国首例域名黑产犯罪案件,经全国各地公安机关连续奋战,共侦破案件300起,抓获涉案人员630人,查封用于黄、赌、诈等违法网站域名50余万个。近日,该案在昆明市西山区人民法院依法进行审理,案件中违规销售域名的某网络科技公司被判处罚金200万元;李某某、怀某某等主要犯罪嫌疑人一审分别被判处一至二年不等有期徒刑,并处罚金。

https://www.freebuf.com/news/351436.html



02.

关键基础设施



1、俄罗斯政府机构遭CryWiper勒索软件攻击

外媒报道称,俄罗斯市长的办公室和法院遭到了一种新的加密病毒的攻击。该程序在计算机上对数据进行编码,要求支付赎金——超过50万卢布。但是,即使您将这笔金额转移给黑客,病毒也会将文件完全删除。

https://www.securitylab.ru/news/535064.php


2、Keralty 勒索软件攻击影响哥伦比亚的医疗保健系统

Keralty 跨国医疗机构遭遇勒索软件攻击,扰乱了该公司及其子公司的网站和运营。

https://www.bleepingcomputer.com/news/security/keralty-ransomware-attack-impacts-colombias-health-care-system/



03.

安全事件



1、三星小米等厂商均受影响,谷歌披露威胁数百万安卓设备的高危漏洞

12 月 3 日消息,谷歌安卓合作伙伴漏洞计划(APVI)网站上的一个新帖子中,曝光了一个影响数百万安卓设备的安全漏洞。黑客利用该漏洞,就能够在三星、LG、小米等诸多 OEM 厂商品牌手机中植入恶意软件。而且这些恶意软件可以获得系统级别的最高权限。

https://www.ithome.com/0/658/513.htm


2、因泄露5.33亿用户隐私,Facebook被罚2.65亿欧元

据BleepingComputer 11月28日消息,近日,爱尔兰数据保护委员会 (DPC) 因2021 年 Facebook 大规模数据泄露事件,向其母公司Meta开出 2.65 亿欧元(约20亿人民币)巨额罚单。

https://www.freebuf.com/news/351014.html


3、Twitter 540万用户数据在暗网公开

Twitter再次传来一个重磅消息,超过540万条用户数据已经在暗网公开,并且免费共享给所有人。此外,安全人员还披露了另外一个可能泄露的,规模更大的数据库,其中包含了上千万条Twitter数据。

https://www.freebuf.com/news/350907.html



04.

漏洞事件



1、美国CISA警告:Oracle Fusion中间件漏洞已遭在野利用

美国网络安全和基础设施安全局 (CISA) 提醒称,在2022年年初修复的一个Oracle Fusion 中间件漏洞 (CVE-2021-35587)已遭利用。 

https://mp.weixin.qq.com/s/vFzaD17kitugR7Tiss6YQA


2、德国Festo 和 CODESYS公司的OT产品被曝存在漏洞

研究人员披露了影响 CODESYS 和 Festo 运营技术 (OT) 产品的三个新安全漏洞的详细信息,这些漏洞可能导致源代码篡改和拒绝服务 (DoS)。

https://thehackernews.com/2022/11/3-new-vulnerabilities-affect-ot.html


3、Mitsubishi Electric FA engineering software安全漏洞

 Mitsubishi Electric FA engineering software是日本三菱电机(Mitsubishi Electric)公司的一个工程软件。提供提高设计和调试的效率,减少停机时间和保护数据,多版本存在安全漏洞。

https://mp.weixin.qq.com/s/34p0HZsoZgKHfIjkTErLuQ



05.

政策监管



1、《广西壮族自治区大数据发展条例》2023年1月1日起施行

11月25日,《广西壮族自治区大数据发展条例》(以下简称条例)广西经自治区第十三届人大常委会第三十四次会议通过,并于2023年1月1日起施行。这是广西第一部数据领域地方性法规。条例共八章七十八条,包括总则、基础设施、数据资源、数据市场、发展应用、数据安全、法律责任以及附则。


条例规定实行数据安全责任制,按照谁是数据处理者,谁就是数据安全的责任主体的原则确定数据安全责任,规定责任主体义务。二是明确对数据进行分级分类管理,规定了网信、公安、国家安全、大数据等部门的监管职责和数据安全责任单位的保护责任,并对重要数据实行重点保护,保障数据的安全有序流动。三是提出对公共数据进行安全监测、应急处置、安全备份、安全协作、安全销毁等体系建设,对公共数据处理的各环节安全管理提出具体要求。

http://dsjfzj.gxzf.gov.cn/dtyw/t13961673.shtml


2、《贵州省信息基础设施条例》发布

12月1日贵州省人民代表大会常务委员会发布了第24号公告,明确《贵州省信息基础设施条例》自2023年3月1日起施行。


条例规范了信息技术设施主管部门、信息基础设施运营者应当履行保护与监管的相关责任,禁止实施危害信息基础设施安全的相关行为,迁移信息基础设施的相关要求。

https://dsj.guizhou.gov.cn/zwgk/xxgkml/zcwj/zcfg/202212/t20221202_77314949.html



06.

国家/行业标准



1、《工业互联网企业网络安全 第4部分:数据防护要求》(征求意见稿)发布

12月1日,全国信息安全标准化技术委员会秘书处发布《工业互联网企业网络安全 第4部分:数据防护要求》(征求意见稿),并向社会征求意见,意见提交截止时间为2023年01月30日。


征求意见稿给出了规定了不同级别工业互联网数据的安全防护流程、防护要求和安全管理要求。该文件适用于应用工业互联网的工业企业、工业互联网平台企业、工业互联网标识解析企业开展数据防护,也可供第三方评估机构等主体开展数据安全评估时参考。

https://www.tc260.org.cn/front/postDetail.html?id=20221201145510


2、《软件开发包(SDK)个人信息处理规范》等9项团体标准发布

11月25日,根据《电信终端产业协会标准管理办法》规定,电信终端产业协会发布《软件开发包(SDK)个人信息处理规范》等9项团体标准,分别为:

  • 《软件开发包(SDK)个人信息处理规范》
  • 《基于差分隐私的用户个人信息保护技术要求》
  • 《APP推荐算法用户权益保护技术要求及测评规范》
  • 《电信和互联网个人信息保护能力审计规范》
  • 《智能手表用户权益保护测评规范》
  • 《智能电视用户权益保护测评规范》
  • 《APP收集使用个人信息最小必要评估规范 第1部分:总则》 
  • 《APP用户权益保护测评规范 第7部分:欺骗误导强迫行为》 
  • 《移动智能终端应用软件分类与可卸载实施规范》

http://www.taf.org.cn/ASGG_Detail.aspx?_NOTICE_ID=656