工业信息安全快讯（11月）

安全事件

• 11月6日，美国官员披露称，威胁行为者曾在2020年7月使用无人机企图袭击宾州的一个变电站。这架曾被用于破坏电网的小型无人机在宾夕法尼亚州的一个变电站附近坠毁，没有损坏电力供应或设备。美国联邦调查局、国土安全部和国家反恐中心在公告中称此次事件是美国境内第一起无人机攻击能源基础设施的案例并警告称，随着无人机价格下降，攻击者越来越青睐于利用这些易于控制的设备发起针对关键基础设施的攻击。
• 11月11日，澳大利亚昆士兰的用水供应商SunWater被发现服务器遭黑客入侵整整9个月未被发现。昆士兰审计署发布的年度财务审计报告显示，SunWater为昆士兰宽湾-伯内特和西北地区的5000多位客户供水，并为多家政府客户提供用水相关咨询服务，负责管理19座主要水坝和长达1600英里的管道。攻击者在2020年8月至2021年5月之间出于经济动机发起攻击，当时受感染的服务器正在运行该软件的旧版本和有缺陷的版本，但该黑客未从受感染的服务器中窃取敏感数据或财务信息。
• 11月22日，北美领先的风力涡轮机制造商、安装商和服务公司维斯塔斯风力系统公司披露其本月19日遭受网络攻击。维斯塔斯表示，这次攻击迫使他们关闭了多个业务部门和地点的IT系统，以防止攻击蔓延，客户、员工和其他利益相关者可能会受到这种中断的影响。维斯塔斯方称，目前已知该事件影响了维斯塔斯内部的部分IT基础设施运转，并且数据遭到泄露，但攻击事件对其制造、建筑和服务的影响很小。他们仍在努力恢复其IT系统，但还没有恢复系统的时间表。随着各国加快采取减少污染政策并推出可再生能源投资计划，维斯塔斯作为此类服务提供商发挥着至关重要的作用，而中断制造、安装和维修流程会对依赖于风力涡轮机作为动力源的地区可能产生重大影响。
• 11月29日， 日本电子巨头松下公司承认其网络上的服务器在11月11日遭第三方非法入侵访问，造成数据泄露事件。日本跨国企业集团松下26日发布公告，称有未知威胁行为者本月入侵并访问了其文件服务器上的一些数据，目前已向有关当局报告了该事件并采取措施防止外部服务器再次访问其网络。除此之外，松下还聘请了第三方机构调查数据泄漏情况，查明在入侵期间访问的数据是否包括客户个人信息和/或社会基础设施等敏感信息。公告并未公布攻击的其他具体细节。据悉，攻击者实际在6月至11月期间都可以访问松下服务器 ，在松下11月11日发现恶意活动之前，该团伙已经获得了对松下客户和员工敏感信息的访问权限。

技术研究

• 11月1日，网络安全公司Proofpoint研究人员称发现一个冒充菲律宾卫生、劳工和海关组织以及位于菲律宾的其他实体传播恶意软件的新兴威胁行为者Balikbayan Foxes(TA2722)团伙。该团伙常使用COVID-19感染率、计费、发票和咨询等主题的钓鱼电子邮件进行鱼叉式网络钓鱼攻击，达到窃取（敏感）信息、监视和控制受害者计算机的目的。该团伙的攻击范围主要是航运/物流、制造、商业服务、制药和能源等行业实体，受害者分布在北美、欧洲和东南亚。
• 11月3日，网络安全公司Lookout的一份新报告称，尽管老旧和未及时安装补丁的脆弱设备存在于所有行业，但数据表明，其对能源行业的影响可能是最大的，其次是金融、制药、政府和制造业。此外，与去年相比，针对全球能源行业的网络钓鱼攻击呈上升趋势，针对能源行业员工的移动网络钓鱼攻击增加了161%，且趋势无放缓迹象。在地理方面，亚太地区的网络钓鱼攻击事件数量位居榜首，其次是欧洲，然后是北美。间谍软件、键盘记录器、特洛伊木马程序，甚至勒索软件植入程序仍然是难以解决的问题。因此，员工培训对于最大程度地减少安全失误至关重要，因为人为因素仍然是安装风险软件和点击/点击可疑链接的最大风险。
• 11月4日，法国计算机应急响应小组 (CERT-FR) 发布安全公告称，新勒索软件组织Lockean是过去2年间对法国组织发起一系列攻击的幕后黑手，该组织的攻击目标包括运输物流公司Gefco、制药公司Fareva和Pierre Fabre集团，以及法国Ouest-France报。公告称，Lockean被认为与多个勒索软件即服务 (RaaS) 有关，包括 DoppelPaymer、Maze、Prolock、Egregor 和 Sodinokibi。公告称，通过对该团伙的攻击手法和工具判断，该组织是这些RaaS服务的附属公司。
• 11月8日，Palo Alto Networks网络安全专家警告称，自9月17日开始大的近两个月，攻击者利用自助式密码管理和单点登录解决方案软件Zoho ManageEngine ADSelfService Plus中的一个可能导致远程代码执行 (RCE)的严重漏洞发起网络间谍活动。攻击者利用在美国租用的基础设施扫描互联网上数百个易受攻击的组织，目前已损害了全球至少9个关键领域的组织，包括国防、医疗保健和能源等领域的组织。
• 11月9日，安全公司Forescout警告称，Nucleus TCP/IP堆栈中存在13个漏洞（NUCLEUS:13），可能导致黑客获取敏感信息、远程执行代码和发起拒绝服务攻击。Nucleus是为实时嵌入式应用而设计的一个抢先式多任务操作系统内核。Nucleus广泛用于依赖运营技术（OT）的医疗保健和其他组织。西门子在11月9日即周二例行补丁日已发布相应漏洞修复和缓解的安全公告。研究人员公布了西门子Nucleus实时操作系统 (RTOS) 中的13个漏洞，该系统为医疗、工业、汽车和航空航天领域使用的设备提供支持。
• 11月15日，研究人员警告DDS协议可能存在能被利用于横向移动和恶意软件C&C的漏洞。DDS由标准开发组织对象管理组 (OMG) 维护，是一种用于数据连接的中间件协议和 API标准，被称为关键业务物联网系统的理想选择，被广泛应用于公共交通、空中交通管理、航空航天、自动驾驶、工业机器人、医疗设备、导弹和其他军事系统等领域，已知用户包括NASA、西门子和大众等组织以及流行的机器人操作系统 (ROS) 。攻击者可以利用这些漏洞执行任意代码、窃取信息或发起拒绝服务 (DoS) 攻击，一定情况下该漏洞还能被攻击者利用于发现其他端点、横向移动以及恶意软件命令和控制 (C&C) 。
• 11月22日，思科Talos 威胁情报研究团队在专为关键工业和商业应用设计的Lantronix Wi-Fi模块中发现了20多个漏洞，多为严重和高严重性漏洞。受影响的产品PremierWave 2050企业的Wi-Fi模块提供始终在线的5G Wi-Fi 连接，专为敏感、关键任务、工业和商业应用设计，据称能够提供企业级安全性。此次披露的漏洞包括操作系统命令注入、远程代码执行、信息泄露、文件覆盖漏洞等，可能造成的影响主要取决于该Wi-Fi模块所嵌入系统的功能，利用得当，远程攻击者甚至可以利用这些漏洞完全破坏PremierWave 2050操作系统。Talos研究人员指出，供应商6月15日以来就知道这些漏洞，但并未发布针对这些安全漏洞的官方补丁。

融资动态

• 11月8日，意大利IT服务提供商Sesa通过其子公司Var Group收购了Datef的多数股权。这笔交易将使Sesa扩张其市场，并提高其在托管服务、云和网络安全领域的地位。Datef是一家意大利公司，提供云和网络安全服务，包括威胁检测和响应以及工业网络安全。
• 11月9日，加州漏洞和攻击模拟公司SafeBreach宣布在D轮融资中筹集5350万美元，本轮融资由Sonae IM和Israel Growth Partners (IGP)领投，金沙资本、Leumi Partners和现有投资者跟投。这轮融资使该公司的融资总额翻了一番多，达1.065亿美元。SafeBreach表示，这笔资金将用于继续其核心产品平台创新并扩大公司市场范围。SafeBreach的客户包括财富1000强中近100家企业，包括前五名最大的金融、医疗保健和制药公司。
• 11月9日，信息管理软件供应商deagen PLC宣布以1200万美元的价格收购悉尼RegTech提供商CompliSpace，这是其有史以来最大的一笔收购。CompliSpace是一家快速增长的治理、风险、合规 (GRC) 和政策管理软件供应商，主要为教育和社会关怀领域的组织提供基于风险的软件程序和教育，Ideagen 认为在这些领域具有全球引人注目的结构性增长顺风。Ideagen目前为航空、 金融服务、生命科学、 医疗保健和制造业等多个行业的 6,000 多个高度监管的客户提供全球软件和服务 ，业务遍及英国、美国、欧洲、中东和东南亚。
• 11月16日，IT托管服务提供商和网络基础设施公司General Informatics（GI）宣布收购技术解决方案和托管服务提供商Versiant。该交易将帮助双方公司扩展其服务组合、专业知识和市场范围。GI表示，收购Versant将有助于提高其能力，尤其是数据分析和网络安全方面。Versiant为其客户提供各种技术解决方案，包括创新的数据分析和安全服务，近年来发展迅猛，其业务垂直领域包括海事、物流、制造、消费品和医疗保健等。
• 11月24日，挪威的保证和风险管理解决方案提供商DNV收购工业网络安全公司Applied Risk，打造“工业网络安全强国”。两家公司将合并为DN品牌，具体成交金额未披露。Applied Risk 成立于2012年，总部位于荷兰阿姆斯特丹，为各行各业的组织提供工业安全、认证和合规、事件响应和取证以及培训服务。DNV 为海事、石油和天然气、电力、网络安全、航空航天、汽车、食品和饮料、医疗保健和其他领域的组织提供咨询、认证、分类、数据和分析、检查、软件、测试、培训以及验证和保证服务。
• 11月24日，以色列物联网 (IoT) 和工业物联网安全提供商 Shield-IoT宣布完成740万美元的A轮融资，融资总额达1100万美元。新一轮融资由Bloc Ventures和NextLeap Ventures领投。Shield-IoT 成立于 2017 年，旨在帮助服务提供商和物联网品牌保护 B2B物联网和IIoT网络，保护设备、数据以及关键基础设施和服务免受物联网网络威胁。该公司表示，除了帮助保护智能城市之外，其基于云的解决方案已经在政府、制造、电信、交通和公用事业等垂直领域使用。
• 11月29日，帮助企业发现和保护其设备的解决方案的Armis宣布筹得3亿美元，融资总额达到6亿美元，公司估值达34亿美元。本轮融资由One Equity Partners领投，现有投资者参与，未来Armis将继续独立运营。Armis开发了一个无代理平台，可以帮助组织清点和保护所有设备，包括托管、非托管、物联网、工业和医疗设备，以及应用程序和云实例。

研究成果

• 11月10日，工业网络安全公司Dragos联合Ponemon Institute和发布《2021年工业网络安全态势》报告显示，工业控制系统 (ICS) 或其他运营技术(OT)系统安全事件的平均成本约为300万美元到1亿美元不等。近三分之二的受访者表示在过去两年中经历了ICS/OT网络安全事件，最常见的原因是内部人员疏忽大意、与维护相关的问题或由于IT和OT之间的分割不当而“溢出”到OT网络的IT安全事件。

行业动态

• 11月10日，由工业和信息化部主管，国家工业信息安全发展研究中心主办的《工业信息安全》杂志公开征稿。《工业信息安全》是经国家新闻出版署批准，面向全国公开发行的科技学术期刊。作为专业科技期刊，《工业信息安全》坚持精品办刊方针，力争具有全球视野，服务宏观政策，推动行业发展，集聚各类人才，成为政府、科研院所、高校及企业从事工业信息安全研究、把握工业信息安全动向的重要学术刊物。为进一步提升期刊内容质量，特面向国内相关行业专业人士征稿。
• 11月22日，安恒信息与中国移动宁波分公司在宁波举行战略合作协议签约仪式。中国移动宁波分公司总经理徐孟强、安恒信息董事长范渊共同见证签约并发表致辞。双方就战略合作进行了友好探讨，重点就工业互联网安全大脑、信创安全、专线安全、数据安全岛等重要议题展开深入交流。双方将共建合作共赢的5G生态圈，助力宁波打造5G名城，为浙江省打造全球数字变革高地贡献出应有的力量。