TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补

admin 2022年3月30日19:18:12评论52 views字数 4112阅读13分42秒阅读模式

TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补


TOP5

3月30日全球信安资讯  


1


CISA敦促机构组织对Chrome、Redis漏洞进行修补


> > > >

信源:freebuf

TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补

近日,美国网络安全与基础设施安全局(CISA)下令联邦民事机构在未来三周内对谷歌Chrome零日漏洞和Redis的一个重要漏洞进行修补。

根据谷歌在上周发布的一份报告显示,追踪代码为CVE-2022-1096的Chrome零日安全漏洞是Chrome V8 JavaScrip引擎中出现的一个高度严重类型混淆漏洞,该漏洞允许攻击者在目标设备上执行任意代码。

继3月10日公开发布了一个概念验证(PoC)漏洞后,Muhstik恶意软件团伙为Redis Lua沙盒逃脱漏洞添加了一个专门的散布器漏洞(追踪代码为CVE-2022-1096)。

根据去年11月发布的一项约束性作业指令(BOD 22-01),联邦民事行政机构(FCEB)机构有保护他们的系统免受这些漏洞的攻击的义务,因此CISA要求他们在4月18日之前修补漏洞。“这些类型的漏洞是各种恶意攻击者频繁利用的载体,它们会对联邦企业构成重大风险”,对此美国网络安全机构如此解释道。

虽然BOD 22-01指令只适用于民事行政机构机构,但CISA也敦促私营和公共部门组织尽可能修补这些缺陷,以减少遭受持续网络攻击的风险。

上周五,CISA在其被积极利用的漏洞目录中又增加了66个漏洞,其中包括一个Windows Print Spooler漏洞(追踪代码为CVE-2022-21999),该漏洞允许代码作为系统执行。随后,CISA命令联邦机构尽快修补这些漏洞,以消除安全隐患。

2022年以来,CISA已共计在其目录中增加了数百个漏洞,它们都有充分被积极利用的证据。

值得一提的是,本次CISA还增加了一个Mitel TP-240 VoIP接口漏洞(追踪代码为CVE-2022-26143),它的DDoS攻击放大倍数创造了新的记录,达到了43亿比1。

事实上,自2022年初以来,美国网络安全机构CISA就不断敦促联邦民事机构对以下领域的漏洞进行积极修补:

Mozilla的Firefox浏览器Zabbix服务器谷歌Chrome和Adobe Commerce/Magento开放源代码IPhone、Ipad和MacWindows系统





2


日本陆上自卫队成立电子作战队,目前180人专注国家网络安全


> > > >

信源:hexun

TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补

陆上自卫队的新部队“电子作战队”成立了,将在九州、冲绳地区强化电子作战和反制能力。

本部位于朝霞驻扎地(东京都练马区等),为了强化在电磁波领域的应对能力,自去年以来,以九州、冲绳为中心,依次在全国的驻扎地设立了电子战的专门部队。

防卫省在中国和俄罗斯的技术力量进步的基础上,将宇宙、网络、电磁波这三个领域定位为下一代安全保障的新支柱。2023年度末,冲绳县与那国和长崎县对马的两个驻扎地将被配置在边境。陆自的电子战部队将大幅强化体制。

据陆自称,电子作战队将于17日成立。陆上总队统一负责陆自部队运用,旗下运用“网络电子战系统”。平时负责电磁波信息的收集、分析和评价,一旦有事的话敌人就会使用电波进行活动,使其变得无力。现状是全国约180人体制。

作战队集结的部队在留萌(北海道留萌市)、相浦(长崎县佐世保市)、健军(熊本市)、奄美(鹿儿岛县奄美市)、那霸(那霸市)的各驻扎地和知念分屯地(冲绳县南城市)。朝霞也和本部分开设置了部队。健军是去年3月,其他是今年3月成立的。





3


拜登政府发布5.8万亿预算,网络安全预算再次增加


> > > >

信源:bleepingcomputer

TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补

2022年3月28日,拜登政府公布了总额达5.8万亿美元的2023财年预算案,美国总统拜登28日向国会提交了一份约5.8万亿美元的2023财年预算计划,包括进一步援助乌克兰,对亿万富翁和公司增税,降低政府赤字,呼吁增加国防开支强化美军等。 
值得一提的是,和2022财年相比,拜登政府再次增加了数十亿的网络安全方面的预算。美国2023 财年预算提案指出,“网络威胁已成为关键基础设施和政府服务的最大风险,本届政府致力于解决网络安全根本问题,采取转型措施使美国网络安全现代化。”
该提案还拟提议增加投资,“将根据政府的优先事项,专注于解决根本原因的结构性问题,促进联邦机构之间加强合作和协调,解决阻碍政府技术愿景的能力挑战”。
以下是网络安全预算关键要点:
1、根据拜登政府的规划,美国民事机构将收到总计 109 亿美元的网络努力,比2022财政年度支出增加 11%。
2、提案要求国会为国土安全部的网络安全和基础设施安全局(CISA)提供25 亿美元,还包括用于该部门的持续诊断和缓解计划的4.25亿美元。
3、司法部的国家安全部门预算为1.335亿美元,较2022年增加了大约1300万美元。该提案将为联邦调查局额外提供5200万美元用于进行数字调查,并为该局提供3700万美元用于保护自己的系统。
4、拜登为政府的技术现代化基金申请了3亿美元。
5、预算将提供2.15亿美元用于保护和保护财政部敏感的系统和信息,包括那些被认为是高价值资产的系统和信息。
6、国家网络总监办公室除去2021年基础设施法案中获得的2100万美元的启动资金外,预算还将提供2190万美元。
7、除了美国民事机构外,拜登还要求为国防部的“网络空间活动”提供112亿美元。



4


Microsoft Defender导致Windows 11 Build 22581遇到视频播放问题


> > > >

信源:cnbeta

TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补

尽管未能赢得 AV-TEST 的最高防病毒(AV-Comparatives)等级评价,但 Microsoft Defender 仍是市面上最合适的产品之一。尴尬的是,在 Windows 11 Build 22581 编译版本中,许多人发现遇到了媒体播放问题,问题与系统自带的 Defender SmartScreen 功能冲突有关。
事实上,Microsoft Defender 反病毒软件仍不够完美,比如此前 Defender for Endpoint 有误将自家的 Office 更新标记为恶意软件。
现在,Defender SmartScreen 又为 Windows 11 最新 Beta 测试版本带来了视频播放 Bug 。除了已知的 MKV 格式,其它容器格式也可能受到“延迟执行”问题的影响,意味着微软在发布前的测试阶段出现了重大疏漏。缓解方案 只需禁用 SmartScrren 设置下的“检查应用程序和文件”,即可正常播放视频。
不过在实施这项修改之前,还请确保相关文件是从可信赖的来源下载的、或者借助其它靠谱的第三方病毒防护软件。升级至最新固件版本后,虽然Netatalk 服务将不再可用,但仍可通过SMB继续访问网络共享。




5


英伟达人工智能网络安全框架即将上线

> > > >

信源:bleepingcomputer

TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补

英伟达近日声称,已对“墨菲斯AI”安全框架进行了几次更新,并将于4月正式发布该应用框架。

除了发布墨菲斯的预构建版本,Nvidia还将在GitHub上发布该框架的完整源代码,以允许开发人员修改墨菲斯并在该软件之上构建安全应用程序。

英伟达高级人工智能基础设施经理Richardson表示,自九个月前通过ETA(抢先访问计划)设计出墨菲斯以来,包括思科、F5、Lacework和Splunk在内的近700名开发人员和安全供应商已经使用Nvidia的框架构建了威胁检测和日志提取程序。

墨菲斯是一个人工智能网络安全框架,旨在使安全数据源的推断更加容易、快速、鲁棒性更强。

具体而言,墨菲斯允许安全开发者通过过滤和处理来自日志和其他网络遥感数据(包括Nvidia BlueField DPU),创建人工智能管道,以解决特定场景用例,如欺诈和钓鱼检测或泄露的敏感信息。它建立在开源RAPIDS软件库、深度学习框架和Nvidia的Triton推理服务器之上。

"自上次更新以来,墨菲斯发生了很多变化,”Richardson表示。这些变化将在下个月从ETA转向全面可用。

开发人员经验

其中一些变化与让开发者更容易在网络安全中利用GPU。这些更新将允许程序员从C++或Python中的可重用阶段创建流水线。它还增加了对多GPU执行的支持,而无需开发人员编写新代码,这使得基于墨菲斯构建的应用程序能够扩展和处理更多数据。

此外,英伟达对API进行了改进,以实现更多定制和灵活性。

“在分析带宽流量时,性能非常重要。因此,Morpheus现在包括额外的管道监控和检查工具,让你能够捕获细粒度的性能指标,以验证你的管道是否正常运行。”

墨菲斯在数据预处理和推理阶段也以更快的速度获得了性能提升。

“在推理过程中,我们经常希望将项目分类到buckets中。这些分类可能是二进制或多类分类,我们改进了NLP工作流的二进制分类和FIL工作流的二进制分类,前者提高了20倍以上,梯形图提高了近12倍。”。

新的墨菲斯版本还可以比早期版本快200倍地从模型中提取原始异常分数。“这可以让你更快地从模型中获得置信分数、概率分数或异常分数”,从而更快地采取行动。

预构建欺诈检测

墨菲斯的另一个新特性是:预先构建的欺诈检测用例将使用图形神经网络检测欺诈,可以更准确地扫描在线交易以及这些交易之间的相互关联。

“首先,节点聚合让我们能够看到欺诈节点的交易如何与其他欺诈节点异常连接。其次,恶意交互通常与协同攻击有关。通过观察这些模式,欺诈者很难在整个图表中隐藏他们的行为。无处藏身。”

Richardson表示,信用卡欺诈等犯罪预计将在未来十年给信用卡行业造成4000多亿美元的欺诈损失,除此之外,欺诈导致的身份盗窃对企业和消费者也构成了越来越大的威胁。

他指出:“2020年有超过100万份(欺诈)报告,比两年前增加了1663%。目前的方法太慢,依赖于预先确定的专家构建功能,需要大量标记数据才能有效。下一代欺诈检测解决了所有这些缺点。”

声 明

资讯来自全球范围内媒体报道,版权归作者所有。
文章内容仅代表作者独立观点,不代表聚锋实验室立场。
转载目的在于传递更多信息,如有侵权,请公众号后台联系 。


TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补


原文始发于微信公众号(聚锋实验室):TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年3月30日19:18:12
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   TOP5 | 头条:CISA敦促机构组织对Chrome、Redis漏洞进行修补http://cn-sec.com/archives/854930.html

发表评论

匿名网友 填写信息