关键基础设施安全资讯周报20220117期 - 网安 - 专业的网络安全产业、社区、知识平台

技术标准规范

新版《网络安全审查办法》发布实施重在压实平台运营者网络安全主体责任
国务院印发《“十四五”数字经济发展规划》
《关于加强国家网络安全行政命令》的解读
新版《网络安全审查办法》筑牢网络安全和数据安全防线

行业发展动态

恶意软件Purple Fox 伪装成 Telegram 安装程序传播
黑客邮寄恶意U盘攻击美国国防公司
“网络安全应急技术国家工程研究中心”入选国家发改委新序列管理的191家国家工程研究中心
新版《网络安全审查办法》助推企业构筑更加健全的安全防线
英国警告！俄罗斯潜艇正在威胁海底电缆网络安全
白宫关于开源软件安全的高层会议前，Apache软件基金会 (ASF)公开呼吁上下游供应商协同解决开源软件供应链安全问题
2021年国内十大信息泄漏事件
光刻机巨头阿斯麦工厂火灾后启动恢复
2021年全球十大信息泄漏事件
2022年端点安全十大发展趋势
从美首次因网络攻击宣布进入紧急状态看勒索软件的发展
白宫开源软件网络安全峰会集思广义，未来挑战依然艰巨
白宫定于今日举办开源软件安全峰会

安全威胁分析

与时俱进筑牢国家安全的审查防线
普通办公电话也能泄露美国政府的秘密？中国通信设备公司-厦门亿联网络又被盯上了！
新型智慧城市网络安全协同防护框架研究
奋力推动工信领域网络和数据安全工作再上新台阶
新的Zloader活动利用微软的签名验证对用户发起攻击
网络空间威胁狩猎的研究综述
使用Amazon Inspector和SentinelOne对AWS工作负载进行主动攻击面管理
研究人员在广泛使用的 URL 解析器库中发现漏洞
美网络司令部分享疑似伊朗黑客软件新样本
暗网出现攻击 SS7 七号信令实现劫持和跟踪的服务

安全技术方案

原创 | 基于CODESYS软件PLC的“震网式”攻击
安全建设的支点：五大网络安全框架介绍
区块链的应用：安全威胁与解决策略

技术标准规范

1.新版《网络安全审查办法》发布实施重在压实平台运营者网络安全主体责任

当前社会的网络化进程不断深化，网络已经深刻影响到我国经济发展和民众日常生活，一些大型网络平台甚至已成为支撑社会运转的数字基础设施。

https://mp.weixin.qq.com/s/LC8RRkkxRL9xswbpn74MDQ

2.国务院印发《“十四五”数字经济发展规划》

现将《“十四五”数字经济发展规划》印发给你们，请认真贯彻执行。

https://mp.weixin.qq.com/s/VEiGF_0vyXqPMoVZ79Tjsg

3.《关于加强国家网络安全行政命令》的解读

2021年连续多起备受瞩目的重大网络安全事件加速了美国《关于加强国家网络安全行政命令》的出台，该行政命令将重点推动美国威胁情报信息共享、联邦政府网络安全现代化、软件供应链安全、网络安全审查委员会的建立、漏洞和事件处置能力的提升等七大重点工作。

https://mp.weixin.qq.com/s/G2UMuuTmgUnSxqVfehYy0A

4.新版《网络安全审查办法》筑牢网络安全和数据安全防线

《网络安全审查办法》自实施以来，在确保关键信息基础设施供应链安全、维护国家安全方面起到了重要的保障作用。

https://mp.weixin.qq.com/s/A6C0YX0qY4TEjCcB041Y3w

行业发展动态

5.恶意软件Purple Fox 伪装成 Telegram 安装程序传播

据Securityaffairs消息，Minerva实验室日前发现，未知攻击者正使用受感染的 Telegram 安装程序传播Purple Fox(紫狐)恶意程序。

https://mp.weixin.qq.com/s/yumgDzOjBG6RaMmozj58zw

6.黑客邮寄恶意U盘攻击美国国防公司

联邦调查局 (FBI) 在最近更新的紧急警报中警告美国公司，出于经济动机的 FIN7网络犯罪组织正在通过包含恶意USB设备的软件包瞄准美国国防工业。

https://mp.weixin.qq.com/s/lfCIwvrECa39GCXDkIuSQw

7.“网络安全应急技术国家工程研究中心”入选国家发改委新序列管理的191家国家工程研究中心

2021年2月，国家发展和改革委员会开展了第一批国家工程研究中心、国家工程实验室优化整合工作，按照“减量提质”的总体要求，仅42%的国家工程研究中心纳入新序列。8月，国家工程研究中心参加了第二批优化整合。

https://mp.weixin.qq.com/s/6yzINYqbT_-yiiz1E61xuQ

8.新版《网络安全审查办法》助推企业构筑更加健全的安全防线

2022年1月4日，国家互联网信息办公室会同国家发展改革委、工业和信息化部等多个部门联合发布了新的《网络安全审查办法》(以下简称《办法》)。此次新修订的《办法》共23条，对2020年4月13日公布的原版内容作出了修订。

https://mp.weixin.qq.com/s/Im5kkRxDQwLDO2F-opuv2A

9.英国警告！俄罗斯潜艇正在威胁海底电缆网络安全

英国国防部部长托尼·拉达金爵士警告说，俄罗斯潜艇威胁到海底网络电缆网络，这些网络电缆是英国社会的关键基础设施，多项活动严重依赖全球海底电缆网络，包括金融交易和通信。

https://mp.weixin.qq.com/s/ZwUeWHw0EnCaPfHAqDrVgQ

10.白宫关于开源软件安全的高层会议前，Apache软件基金会 (ASF)公开呼吁上下游供应商协同解决开源软件供应链安全问题

Apache软件基金会 (ASF) 呼吁营利性公司不能只做利用开源代码的”吸血蚂蟥“，ASF认为仅通过上游生产者来解决开源供应链问题是完全不足够的，警告说“只有一小部分”下游供应商正在为保护开源生态系统做出贡献。

https://mp.weixin.qq.com/s/rPAWk9t7nydB8kg9-Fz3lA

11.2021年国内十大信息泄漏事件

随着互联网的飞速发展和各项新技术的普及应用，数据呈爆发式增长，其价值与日俱增，倍受各界关注。数据已上升至国家战略层面，与此同时相关数据泄漏事件频发，在此，为大家盘点2021年国内具有代表性的十大信息泄漏事件。

https://mp.weixin.qq.com/s/BjCBlx5ssFIyCGg2Z4aZwA

12.光刻机巨头阿斯麦工厂火灾后启动恢复

荷兰光刻机巨头阿斯麦(ASML)位于德国柏林的一家工厂发生火灾，阿斯麦正启动一项恢复计划。

https://mp.weixin.qq.com/s/8DYSd9uyn0BZp5r68B4eiA

13.2021年全球十大信息泄漏事件

据1月报道消息，美国第三大手机运营商T-Mobile 在其网站上发布了一份通知。它称，最近发现一些客户的账号信息遭到了未经授权的访问，其中包括T-Mobile 为提供手机服务而收集的客户数据。

https://mp.weixin.qq.com/s/FTu9gymO2JxE3ya7JBfFXg

14.2022年端点安全十大发展趋势

转眼2022年已来临，2021年网络安全行业发生了众多变化，从年初的SolarWind供应链攻击，到Colonial Pipeline输油管道的勒索软件攻击，再到年末的Log4j2的超级危险漏洞，以及疫情常态化导致的远程办公暴露的各种安全问题，还有数据安全相关法律法规对各行各业提出了更多要求等，无不显示出网络安全形势的严峻。

https://mp.weixin.qq.com/s/72sZ4o68jZXL1OS-cAjcSg

15.从美首次因网络攻击宣布进入紧急状态看勒索软件的发展

5月7日，美国最大燃油运输管道商ColonialPipeline公司因受勒索软件攻击，被迫临时关闭其美国东部沿海各州供油的关键燃油网络。

https://mp.weixin.qq.com/s/rB5sVNXpEvoII7zAUqJvQQ

16.白宫开源软件网络安全峰会集思广义，未来挑战依然艰巨

在爆炸性的Apache Log4j 漏洞席卷全球之后，白宫在当地时间1月13日如期举行的峰会上与来自科技界的领导人和联邦机构的负责人，共同讨论提高开源软件安全性的方法。

https://mp.weixin.qq.com/s/maeAeaKWK49qwK_SF4Lwzg

17.白宫定于今日举办开源软件安全峰会

白宫已于今天会见美国主要科技巨头的领导人，讨论开源软件的安全性。白宫声称这是对令行业和网络界担忧的广泛存在的史诗级Log4j漏洞的回应。

https://mp.weixin.qq.com/s/2gQ8slfUtu7u3r8yrJ5lEQ

安全威胁分析

18.与时俱进筑牢国家安全的审查防线

在习近平总书记关于网络强国的重要思想的指引下，我国网络空间安全立法不断推进，目前已经形成了包括《网络安全法》《数据安全法》和《个人信息保护法》等三部基本法律为纲的治理框架。

https://mp.weixin.qq.com/s/7DLGKTQ-hHjhRHYFp5DGJQ

19.普通办公电话也能泄露美国政府的秘密？中国通信设备公司-厦门亿联网络又被盯上了！

据国防一号(defenseone.com)1月7日的报道，该媒体获得的一封信中，马里兰州民主党参议员克里斯·范·霍伦(ChrisVan Hollen)向商务部表达了他的担忧，称一家中国电话制造商可能会将美国消费者、公司甚至国家安全数据置于危险之中。

https://mp.weixin.qq.com/s/sq1yFhnR0Qbwsb6baXdb2A

20.新型智慧城市网络安全协同防护框架研究

新型智慧城市已经成为推进全球城镇化、提升城市治理水平、破解大城市病、提高公共服务质量、发展数字经济的战略选择，新一代信息技术的日新月异为新型智慧城市发展带来机遇的同时，也带来了挑战。

https://mp.weixin.qq.com/s/vh0flU7xSvLywxNLWo_-hw

21.奋力推动工信领域网络和数据安全工作再上新台阶

国工业和信息化工作会议近日召开。会议以习近平新时代中国特色社会主义思想为指导，全面贯彻党的十九大和十九届历次全会精神及中央经济工作会议精神，认真贯彻落实党中央、国务院决策部署，总结2021年工作，分析当前形势，部署2022年重点任务。

https://mp.weixin.qq.com/s/ifWyGMfRGo9o0b4LeXcxfg

22.新的Zloader活动利用微软的签名验证对用户发起攻击

Zloader 活动最后一次出现是在 2021 年 8 月，Zloader 是一种旨在窃取用户凭据和私人信息的银行类恶意软件，它以简单而复杂的感染链方式卷土重来。

https://mp.weixin.qq.com/s/49sJmx3iF_nI0jQdaFQ7KA

23.网络空间威胁狩猎的研究综述

近年来，随着网络的普及和信息化水平地不断提高，越来越多的公司把重要信息和机密文件存储在连接着网络的计算机上。

https://mp.weixin.qq.com/s/qEJGE8Q6ZhTKiB98GDPd7Q

24.使用Amazon Inspector和SentinelOne对AWS工作负载进行主动攻击面管理

在过去十年中，数字化转型主要是通过采用云服务来推动的，与传统的本地基础设施相比，这些服务提供了无与伦比的敏捷性并缩短了上市时间。

https://mp.weixin.qq.com/s/Ca2fH2Job1ZfHtYoHWPPVA

25.研究人员在广泛使用的 URL 解析器库中发现漏洞

日前，有研究人员对 16 个不同的统一资源定位符( URL )解析库进行调研后，发现了不一致和混乱的情形，它们可以被不法分子用来绕过验证机制，为众多攻击途径敞开大门。

https://mp.weixin.qq.com/s/twtj_F2LY5uFQmjlJzfdzA

26.美网络司令部分享疑似伊朗黑客软件新样本

美国网络司令部今天向公共存储库Virustotal发布了17个恶意软件样本，称如果网络管理员在他们的系统上看到两个或更多这些样本，它们可能已成为伊朗军事黑客的目标。

https://mp.weixin.qq.com/s/7VPBy6pix62KmVwLBBugVA

27.暗网出现攻击 SS7 七号信令实现劫持和跟踪的服务

信令系统#7(SS7：SignalingSystem #7)是由 ITU-T 定义的一组电信协议，主要用于为电话公司提供局间信令。

https://mp.weixin.qq.com/s/k5_H5H9rTTSejL3TocNvoA

安全技术方案

28.原创 | 基于CODESYS软件PLC的“震网式”攻击

震网(Stuxnet)攻击事件虽然已经过去了10年有余，除了使用了多个0day的使用外，对西门子Step7和Siemens系列PLC的攻击方式也一直被工业安全领域所关注。

https://mp.weixin.qq.com/s/RQ7mocqu0Ve4DhhFIBgk0w

29.安全建设的支点：五大网络安全框架介绍

如今我们生活在高度互联的世界，需要使用数字设备，并经常生成数据。

https://mp.weixin.qq.com/s/uqP_ReDs-zFZZXy83GvD4A

30.区块链的应用：安全威胁与解决策略

区块链技术具有去中心化、可追溯性和去信任化等特性，已被广泛应用于诸多领域。

https://mp.weixin.qq.com/s/cMHfM_Ha8BLJvlmggcwXrg