一周安全头条（20200601-0607)

行业动态 《网络安全审查办法》 正式实施

由国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、国家安全部、财政部、商务部、中国人民银行、国家市场监督管理总局、国家广播电视总局、国家保密局、国家密码管理局联合制定的《网络安全审查办法》（以下简称“办法”）于6月1日起开始实施。

https://mp.weixin.qq.com/s/hY3uRLZG4JhceCzmIKldZA

行业动态 联成科技 A+轮千万融资

2020年4月，联成科技获得A+轮投资人南京高新创投、应天资本千万级投资，为进一步持续助力等保2.0落地建设注入了强劲动力。据悉，联成科技早在在2015年获得南京银行、平衡资本、江苏金财机构A轮融资。

https://mp.weixin.qq.com/s/W2G79QwClfAGwZl7xhkVkA

行业动态 信长城 A+轮千万融资

2020年3月，信长城逆势完成A+轮千万级融资，该融资由中国第一汽车集团旗下“长春一汽富晟集团有限公司（以下简称一汽富晟）”投资。信长城继获得亚信软件谷、联通创投两轮产业投资后，再次获得一汽富晟的投资，表明产业资本对信长城及物联网未来商业机会持续看好。

https://mp.weixin.qq.com/s/RRrAupaUW9yfFqWY5Y_JFA

行业动态 区块链 漏洞共享平台CNVD

6月3日，国家信息安全漏洞共享平台（CNVD）正式上线区块链漏洞子库。CNVD区块链漏洞子库由国家互联网应急中心运营，当前已收录区块链相关漏洞247个，其中高危漏洞60个，中危漏洞173个，低危漏洞14个。CNVD区块链漏洞子库充分依托国家级网络安全资源，为我国区块链行业安全保障工作提供重要技术支撑和数据支持。

https://www.cnvd.org.cn/webinfo/show/5557

报告调研 2019年 数据泄露 《消费者身份信息违规报告》

根据ForgeRock《消费者身份信息违规报告》最近公布的数据，网络犯罪分子在2019年暴露了超过50亿条数据记录，给美国组织造成了超过1.2万亿美元的损失。再加上2018年的数据泄露造成的超过6,540亿美元的损失，过去两年数据泄露给美国带来的损失超过1.8万亿美元。医疗保健在2019年成为最被针对的行业，占382起违规事件，损失超过24.5亿美元，较2018年发生的164起违规事件，和6.33亿美元损失有显著增加。继医疗行业之后，银行/保险/金融行业是2019年泄露最严重的行业，占所有违规事件的12％。其次是教育（7％）、政府（5％）和零售（5％）。

https://mp.weixin.qq.com/s/OBgkNdVHPOm8zmVAVzBvlw

报告调研 云安全

IDC的一项调查显示，云安全问题正在急剧恶化，在过去的18个月中，近80％的公司至少经历了一次云数据泄露，而43％的公司报告了10次或更多泄露。根据参与调查的300位CISO的反馈，安全相关的配置错误（67％），对访问设置和活动缺乏足够的可见性（64％）以及身份和访问管理（IAM）许可错误（61％）是他们最关注的云生产环境安全问题。同时，有80％的人报告他们无法识别IaaS/PaaS环境中对敏感数据的过度访问。根据2020年Verizon数据泄露报告，在数据泄露的根源方面，只有黑客攻击排名高于错误配置错误。

https://mp.weixin.qq.com/s/gOVwDR2jk7_63UvvJIdCCQ

技术产品 物联网安全 用户信息收集 隐私保护

卡内基梅隆大学CyLab的一组研究人员开发了一个原型物联网安全和隐私“营养标签”，目前在用户测试中表现良好。为了开发该标签，该团队与行业，政府和学术界的22名安全和隐私专家进行了广泛的磋商。该团队还开发了一个IoT标签生成器，供物联网设备制造商用来为其设备创建标签。该隐私标签黏贴在设备的外壳上，标签主要信息包括该设备收集的个人数据类型、目的、与谁共享数据。通过扫描标签上的二维码，消费者可以在线访问标签的第二层信息，例如设备保留数据的时间以及共享数据的频率。这两层信息合在一起显示了47条有关设备安全和隐私惯例的不同信息。

https://mp.weixin.qq.com/s/R90FqhGl83GxjRpbITCC3w

技术产品 暗网监测工具

近日，人工智能应用安全公司ImmuniWeb发布了一个新的免费暗网监测工具（https://www.immuniweb.com/radar），用于监视和衡量组织在暗网（Dark Web）上的暴露程度。该工具还可以通过免费的API使用，这使其成为SOC安全分析人员及时发现新Web安全和隐私威胁的有用工具。为了改善网络安全专业人员的决策过程，该免费工具可搜索暗网市场、黑客论坛和Surface Web资源（例如Pastebin或GitHub），以了解在售或泄漏的数据的分类架构。使用该工具进行暗网搜索非常简单，只需输入您想要检索的企业域名。

https://mp.weixin.qq.com/s/EmtixjKFN4T7ZlBh5wRIGA

漏洞补丁 思科 nexus以太网交换机

近日，思科在其网络操作系统NX-OS软件中修补了一个严重缺陷，该系统被思科nexus系列以太网交换机所使用。如果利用该漏洞，未经身份验证的远程攻击者可以绕过在受影响的Nexus交换机上配置的输入访问控制列表(ACLs)，并对设备发起拒绝服务(DoS)攻击。思科周一（6月1日）发布的安全报告称，该漏洞(CVE-2020-10136)源于思科NX-OS软件的网络堆栈。

https://www.easyaq.com/fastinfo

漏洞补丁 VMware Cloud Director 代码注入

6月2日，东方联盟网络安全研究人员披露了VMware Cloud Director平台中一个新漏洞的详细信息，该漏洞可能使攻击者能够访问敏感信息并控制整个基础架构中的私有云。代码注入漏洞被追踪为CVE-2020-3956，其源于不正确的输入处理，该输入处理可能被经过身份验证的攻击者滥用以将恶意流量发送到Cloud Director，从而导致执行任意代码。CVSS v.3漏洞严重性等级中评分为8.8。

https://www.cnblogs.com/hacker520/p/13032873.html

漏洞补丁 永恒之蓝 “黑球”行动

近日，腾讯安全威胁情报中心检测到永恒之蓝下载器木马出现最新变种，此次变种的病毒延续上个版本的邮件蠕虫攻击方法，利用附带Office漏洞CVE-2017-8570漏洞的doc文档以及JS诱饵文件发送与新冠肺炎主题相关的钓鱼邮件。同时新增SMBGhost（CVE-2020-0796）漏洞检测和上报、新增SSH爆破攻击相关代码，推测其可能在后续攻击活动中利用SMBGhost漏洞或发起针对Linux系统的攻击。

https://mp.weixin.qq.com/s/QEE95HTKzuT4-NykfvHfGQ

漏洞复现 微软SMBv3协议 远程代码执行

6月2日，绿盟科技监测到SMBv3协议远程代码执行漏洞（CVE-2020-0796）远程利用的PoC代码被公布，极大增加了该漏洞的潜在危害，建议还未修复漏洞的用户尽快采取措施进行防护。Microsoft Server Message Block 3.1.1(SMBv3)协议在处理某些请求的方式中存在代码执行漏洞。攻击者可以精心构造数据包发送到SMB服务器，无需经过身份验证，即可在目标服务器上执行任意代码。

https://mp.weixin.qq.com/s/q3dL6YI0K-cFLbNzySabHQ

数据泄露 中国台湾 居民信息

近日，威胁情报机构Cyble声称，经验证属于2000万中国台湾人民的敏感个人数据已出现在暗网市场上。目前中国台湾人口为2380万人，这差不多意味着全体台湾人民的个人数据都遭到了泄露。据Cyble称，这个3.5GB的数据库包含个人的全名、邮政地址、电话号码、身份ID、性别和出生日期。Cyble表示，到目前为止，它尚无法确定数据泄露的具体时间，但是泄密事件可以追溯到始于2019年。据悉，Cyble6月2日更新了其博客文章，称其已与中国台湾的计算机紧急响应小组（Taiwan CERT）分享了其发现，并仍在调查漏洞。

https://mp.weixin.qq.com/s/lgjJoYc6kLtagBBCmfbj2w

数据泄露 JRD网站 开源内容管理

近日，Joomla开源内容管理系统 (CMS) 团队称遭数据泄露事件。Joomla Resources Directory (JRD) 团队的一名成员将 JRD 网站 (resources.joomla.org) 的完整备份遗留在 Amazon WebServices S3 存储桶后导致数据遭泄露。Joomla 团队表示该备份文件未加密且包含约2700名注册并创建资料的用户详情。目前尚不清楚是否有人发现并从第三方公司的 S3服务器上下载了这些数据。

https://www.secrss.com/articles/19918

相关阅读

一周安全头条（20200525-0531)

 

本文来源于互联网:一周安全头条（20200601-0607)