10月速遞
工業(yè)信息安全“信息共享”，金瀚信安帶您一站式掌握2022年10月份國(guó)內(nèi)外工業(yè)信息安全資訊～
政策法規(guī)
我國(guó)工業(yè)互聯(lián)網(wǎng)平臺(tái)領(lǐng)域首批國(guó)家標(biāo)準(zhǔn)發(fā)布，對(duì)我國(guó)工業(yè)互聯(lián)網(wǎng)平臺(tái)標(biāo)準(zhǔn)化建設(shè)具有重要意義。歐盟委員會(huì)提出建議草案，以建立歐盟關(guān)鍵基礎(chǔ)設(shè)施的彈性。美國(guó)TSA對(duì)鐵路運(yùn)輸公司發(fā)布新的網(wǎng)絡(luò)安全要求。美國(guó)國(guó)土安全部發(fā)布《網(wǎng)絡(luò)安全績(jī)效目標(biāo)》。美國(guó)能源部發(fā)布《美國(guó)電網(wǎng)分布式能源的網(wǎng)絡(luò)安全注意事項(xiàng)》報(bào)告。美國(guó)NCCoE推出液化天然氣(LNG)網(wǎng)絡(luò)安全框架配置文件。
工業(yè)互聯(lián)網(wǎng)平臺(tái)領(lǐng)域首批國(guó)家標(biāo)準(zhǔn)正式發(fā)布實(shí)施
10月14日，國(guó)家市場(chǎng)監(jiān)督管理總局(國(guó)家標(biāo)準(zhǔn)化管理委員會(huì))發(fā)布2022年第13號(hào)中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)公告，批準(zhǔn)GB/T 41870-2022《工業(yè)互聯(lián)網(wǎng)平臺(tái) 企業(yè)應(yīng)用水平與績(jī)效評(píng)價(jià)》和GB/T 23031.1-2022《工業(yè)互聯(lián)網(wǎng)平臺(tái) 應(yīng)用實(shí)施指南 第1部分：總則》2項(xiàng)國(guó)家標(biāo)準(zhǔn)正式發(fā)布。
資料來(lái)源：https://mp.weixin.qq.com/s/N9CkPwlQJ9zv3ieIsNtXVQ
工業(yè)互聯(lián)網(wǎng)總體網(wǎng)絡(luò)架構(gòu)國(guó)家標(biāo)準(zhǔn)正式發(fā)布
10月14日，國(guó)家市場(chǎng)監(jiān)督管理總局(國(guó)家標(biāo)準(zhǔn)化管理委員會(huì))發(fā)布2022年第13號(hào)中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)公告，批準(zhǔn)發(fā)布國(guó)家標(biāo)準(zhǔn)GB/T 42021-2022《工業(yè)互聯(lián)網(wǎng)總體網(wǎng)絡(luò)架構(gòu)》，這是我國(guó)工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)領(lǐng)域發(fā)布的首個(gè)國(guó)家標(biāo)準(zhǔn)，標(biāo)志著我國(guó)工業(yè)互聯(lián)網(wǎng)體系建設(shè)邁出了堅(jiān)實(shí)的一步。
資料來(lái)源：https://www.miit.gov.cn/jgsj/xgj/gzdt/art/2022/art_c7695e22ef0e4ef5b4b48ba94f5d0f0d.html
歐盟委員會(huì)提出建議草案，以建立歐盟關(guān)鍵基礎(chǔ)設(shè)施的彈性
歐盟委員會(huì)提議加強(qiáng)歐盟關(guān)鍵基礎(chǔ)設(shè)施的彈性，建議草案旨在最大化和加快保護(hù)經(jīng)濟(jì)運(yùn)行所需的資產(chǎn)、設(shè)施和系統(tǒng)的工作，并通過(guò)確保盡可能快的恢復(fù)來(lái)減輕任何攻擊的影響。該機(jī)構(gòu)指出，雖然所有此類基礎(chǔ)設(shè)施都應(yīng)受到保護(hù)，但目前優(yōu)先考慮的是能源、數(shù)字基礎(chǔ)設(shè)施、運(yùn)輸和空間部門。
資料來(lái)源：https://industrialcyber.co/critical-infrastructure/european-commission-proposes-draft-recommendations-to-build-resilience-of-eu-critical-infrastructure/
美國(guó)TSA對(duì)鐵路運(yùn)輸公司發(fā)布新的網(wǎng)絡(luò)安全要求
美國(guó)運(yùn)輸安全管理局(TSA)10月18日發(fā)布了一項(xiàng)網(wǎng)絡(luò)安全指令，對(duì)指定的客運(yùn)和貨運(yùn)鐵路承運(yùn)人進(jìn)行監(jiān)管，以通過(guò)注重基于績(jī)效的措施來(lái)增強(qiáng)網(wǎng)絡(luò)安全彈性。鐵路承運(yùn)人必須使用TSA提供的表格進(jìn)行網(wǎng)絡(luò)安全漏洞評(píng)估，并將表格提交給TSA。漏洞評(píng)估將包括評(píng)估當(dāng)前的做法和活動(dòng)，以解決IT和OT系統(tǒng)的網(wǎng)絡(luò)風(fēng)險(xiǎn)。
資料來(lái)源：https://www.hstoday.us/federal-pages/dhs/tsa-issues-new-cybersecurity-requirements-for-passenger-and-freight-railroad-carriers/
美國(guó)國(guó)土安全部發(fā)布《網(wǎng)絡(luò)安全績(jī)效目標(biāo)》
10月27日，美國(guó)國(guó)土安全部發(fā)布了網(wǎng)絡(luò)安全績(jī)效目標(biāo)(CPG)，這是一種自愿做法，概述了各種規(guī)模的企業(yè)和關(guān)鍵基礎(chǔ)設(shè)施所有者可以采取的最高優(yōu)先級(jí)基線措施，以保護(hù)自己免受網(wǎng)絡(luò)威脅。
資料來(lái)源：https://www.hstoday.us/federal-pages/dhs/dhs-announces-new-cybersecurity-performance-goals-for-critical-infrastructure/
美國(guó)能源部發(fā)布《美國(guó)電網(wǎng)分布式能源的網(wǎng)絡(luò)安全注意事項(xiàng)》報(bào)告
10月6日，美國(guó)能源部發(fā)布了《美國(guó)電網(wǎng)分布式能源的網(wǎng)絡(luò)安全注意事項(xiàng)》報(bào)告。報(bào)告概述了電力部門在對(duì)美國(guó)電網(wǎng)進(jìn)行轉(zhuǎn)型時(shí)應(yīng)考慮的網(wǎng)絡(luò)安全注意事項(xiàng)，包括公用事業(yè)和分布式能源運(yùn)營(yíng)商、供應(yīng)商、集成商、開發(fā)商以及政策制定者。
資料來(lái)源：https://industrialcyber.co/reports/doe-reports-on-cybersecurity-considerations-for-distributed-energy-resources-across-us-electric-grid/
美國(guó)NCCoE推出液化天然氣(LNG)網(wǎng)絡(luò)安全框架配置文件
10月17日，美國(guó)國(guó)家網(wǎng)絡(luò)安全卓越中心(NCCoE)發(fā)布了為液化天然氣(LNG)行業(yè)和支持LNG總體液化過(guò)程、運(yùn)輸和分配的附屬功能開發(fā)的網(wǎng)絡(luò)安全框架配置文件。LNG網(wǎng)絡(luò)安全框架簡(jiǎn)介探討了行業(yè)將其組織要求和目標(biāo)、風(fēng)險(xiǎn)偏好和資源與網(wǎng)絡(luò)安全框架核心的預(yù)期結(jié)果的獨(dú)特一致性。
資料來(lái)源：https://industrialcyber.co/threats-attacks/nccoe-rolls-out-draft-lng-cybersecurity-framework-profile-to-supplement-existing-directives-calls-for-comments/
安全事件
印度能源公司Tata Power的IT基礎(chǔ)設(shè)施受到網(wǎng)絡(luò)攻擊。研究人員發(fā)現(xiàn)CNC控制器易受到拒絕服務(wù)(DoS)、劫持和數(shù)據(jù)盜竊等攻擊。Dragos發(fā)布2022年第三季度工業(yè)勒索軟件分析報(bào)告。英特爾確認(rèn)Alder Lake BIOS源代碼泄露。物業(yè)管理公司SSKB遭受網(wǎng)絡(luò)攻擊，部分?jǐn)?shù)據(jù)遭到泄露。
印度能源公司Tata Power的IT基礎(chǔ)設(shè)施受到網(wǎng)絡(luò)攻擊
印度最大的綜合電力公司Tata Power證實(shí)，它已成為網(wǎng)絡(luò)攻擊的目標(biāo)。該公司在向印度國(guó)家證券交易所提交的一份文件中表示，對(duì)IT基礎(chǔ)設(shè)施的入侵影響了“其部分IT系統(tǒng)”。它進(jìn)一步表示，它已采取措施檢索和恢復(fù)受影響的機(jī)器，并為面向客戶的門戶設(shè)置了安全邊界，以防止未經(jīng)授權(quán)的訪問(wèn)。
資料來(lái)源：https://techcrunch.com/2022/10/14/india-power-company-tata-power-cyber-attack/?&web_view=true
CNC設(shè)備存在安全風(fēng)險(xiǎn)
研究人員對(duì)Haas、Okuma、Heidenhain和Fanuc的CNC(Computer numerical control)控制器進(jìn)行安全測(cè)試，發(fā)現(xiàn)CNC控制器易受到拒絕服務(wù)(DoS)、劫持和數(shù)據(jù)盜竊等攻擊。研究人員表示，對(duì)制造過(guò)程有廣泛了解的攻擊者可能會(huì)控制CNC控制器，以錯(cuò)誤配置其工具幾何形狀，從而導(dǎo)致生產(chǎn)的零件出現(xiàn)細(xì)微缺陷。
資料來(lái)源：https://www.trendmicro.com/en_us/research/22/j/uncovering-security-blind-spots-in-cnc-machines.html
Dragos發(fā)布2022年第三季度工業(yè)勒索軟件分析報(bào)告
10月26日，Dragos發(fā)布了2022年第三季度工業(yè)勒索軟件分析報(bào)告，報(bào)告指出勒索軟件仍然是全球工業(yè)組織面臨的最具威脅性的財(cái)務(wù)和運(yùn)營(yíng)風(fēng)險(xiǎn)之一。報(bào)告顯示，在2022年第三季度，68%的勒索軟件攻擊針對(duì)制造業(yè)，9%的攻擊針對(duì)食品和飲料行業(yè)，石油和天然氣行業(yè)受到6%的攻擊，能源和制藥行業(yè)受到10%的攻擊，運(yùn)輸行業(yè)受到3%的攻擊，化學(xué)、采礦、工程以及水和廢水系統(tǒng)部門分別受到1%的攻擊。資料來(lái)源：
https://www.dragos.com/blog/industry-news/dragos-industrial-ransomware-analysis-q3-2022/
英特爾確認(rèn)Alder Lake BIOS源代碼泄露
芯片制造商英特爾已證實(shí)，與其Alder Lake CPU相關(guān)的專有源代碼已被泄露，此前未知第三方在4chan和GitHub上發(fā)布了該源代碼。發(fā)布的內(nèi)容包含Alder Lake的統(tǒng)一可擴(kuò)展固件接口(UEFI )代碼，還包括大量文件和工具，其中一些似乎來(lái)自固件供應(yīng)商Insyde Software。英特爾表示，此次泄漏并未暴露任何新的安全漏洞。
資料來(lái)源：https://thehackernews.com/2022/10/intel-confirms-leak-of-alder-lake-bios.html
物業(yè)管理公司SSKB遭受網(wǎng)絡(luò)攻擊
10月27日，澳大利亞物業(yè)管理公司SSKB發(fā)布安全公告，披露了網(wǎng)絡(luò)攻擊事件。公告中指出，攻擊者未經(jīng)授權(quán)訪問(wèn)了SSKB的IT環(huán)境，下載了一些信息并在暗網(wǎng)上發(fā)布了贖金要求。據(jù)《澳大利亞人報(bào)》報(bào)道，攻擊者聲稱從SSKB竊取了200GB的數(shù)據(jù)，包括建筑項(xiàng)目數(shù)據(jù)、客戶財(cái)務(wù)信息、管理信函、合同和協(xié)議。
資料來(lái)源：https://www.itnews.com.au/news/australian-strata-company-sskb-breached-587093
漏洞態(tài)勢(shì)
西門子和施耐德修復(fù)其產(chǎn)品中的多個(gè)漏洞，部分漏洞可導(dǎo)致任意代碼執(zhí)行。Horner PLC軟件存在7個(gè)遠(yuǎn)程代碼執(zhí)行漏洞。CISA發(fā)布多項(xiàng)工業(yè)控制系統(tǒng)公告。
西門子修復(fù)其產(chǎn)品中的24個(gè)漏洞
10月11日，西門子發(fā)布了15條公告，涵蓋了24個(gè)漏洞。其中最嚴(yán)重的漏洞CVE-2022-38465與未正確保護(hù)的全局加密密鑰有關(guān)。威脅行為者可以對(duì)單個(gè)Siemens PLC發(fā)起離線攻擊，并獲得一個(gè)私鑰，可以用來(lái)破壞整個(gè)產(chǎn)品線。然后，攻擊者可以獲得敏感的配置數(shù)據(jù)或發(fā)起中間人(MitM)攻擊，使他們能夠讀取或修改PLC與其連接的HMI和工程工作站之間的數(shù)據(jù)。資料來(lái)源：
https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-release-19-new-security-advisories
施耐德修復(fù)其產(chǎn)品中的12個(gè)漏洞
10月11日，施耐德發(fā)布了四項(xiàng)新公告，修復(fù)了12個(gè)漏洞。在EcoStruxure Operator Terminal Expert和Pro-face BLUE產(chǎn)品中發(fā)現(xiàn)了六個(gè)高危任意代碼執(zhí)行漏洞。EcoStruxure Power Operation和Power SCADA Operation軟件存在一個(gè)漏洞，可能導(dǎo)致數(shù)據(jù)泄露、設(shè)置被更改或造成中斷。EcoStruxure Panel Server Box受到可被用于任意寫入和DoS攻擊的中、高危漏洞的影響。SAGE RTU產(chǎn)品使用的第三方ISaGRAF Workbench軟件存在三個(gè)中危漏洞，可能導(dǎo)致任意代碼執(zhí)行或權(quán)限提升。
資料來(lái)源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-release-19-new-security-advisories
Horner PLC軟件存在7個(gè)遠(yuǎn)程代碼執(zhí)行漏洞
研究人員在Horner Automation的Cscape PLC軟件中發(fā)現(xiàn)了7個(gè)高危遠(yuǎn)程代碼執(zhí)行漏洞。這些漏洞被描述為基于堆的緩沖區(qū)溢出、越界讀/寫以及與應(yīng)用程序解析字體時(shí)用戶提供的數(shù)據(jù)驗(yàn)證不當(dāng)有關(guān)的未初始化指針問(wèn)題。攻擊者可以利用這些漏洞通過(guò)讓用戶打開特制字體文件來(lái)在當(dāng)前進(jìn)程的上下文中執(zhí)行任意代碼。
資料來(lái)源：https://www.securityweek.com/several-horner-plc-software-vulnerabilities-allow-code-execution-malicious-font-files
CISA警告Advantech和Hitachi存在影響工業(yè)設(shè)備的嚴(yán)重漏洞
美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)10月18日發(fā)布了兩項(xiàng)工業(yè)控制系統(tǒng)(ICS)公告，涉及研華R-SeeNet和日立能源APM Edge設(shè)備的嚴(yán)重漏洞。R-SeeNet監(jiān)控解決方案中的三個(gè)漏洞，可能導(dǎo)致未經(jīng)授權(quán)的攻擊者遠(yuǎn)程刪除系統(tǒng)上的文件或允許遠(yuǎn)程執(zhí)行代碼。更新了Hitachi變壓器資產(chǎn)性能管理(APM) Edge于2021年12月2日發(fā)布的公告，新增了29個(gè)影響1.0、2.0和3.0版本的漏洞。
資料來(lái)源：https://www.cisa.gov/uscert/ncas/current-activity/2022/10/18/cisa-releases-two-industrial-control-systems-advisories
CISA發(fā)布八項(xiàng)工業(yè)控制系統(tǒng)公告
10月25日，CISA(美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局)發(fā)布了八項(xiàng)ICS(工業(yè)控制系統(tǒng))公告，其中一項(xiàng)涉及AliveCor KardiaMobile醫(yī)療設(shè)備，剩余七項(xiàng)涉及西門子、日立能源、江森自控、臺(tái)達(dá)電子、哈斯和海德漢工業(yè)控制系統(tǒng)設(shè)備。
資料來(lái)源：https://www.cisa.gov/uscert/ncas/current-activity/2022/10/25/cisa-releases-eight-industrial-control-systems-advisories
