本期摘要

政策法规方面，国家发展改革委发布《电力可靠性管理办法 (暂行)》，对电力企业的网络安全提出一系列要求。美国NIST推出《OT网络安全指南》草案，旨在解决包括性能、可靠性等要求在内的OT系统安全问题。美国众议员提出《能源网络安全大学领导力计划法案》，希望帮助美国能源基础设施解决日益增长的网络威胁挑战。

漏洞态势方面，五眼联盟发布一份联合安全咨询，提供了2021年攻击者最常利用的15个漏洞和以及其他经常被利用CVE的详细信息。思科修复其安全产品中的11个高危漏洞，其中最严重的漏洞可导致拒绝服务。微软在Linux操作系统中发现一组新的提权漏洞Nimbuspwn，可被用于部署root后门甚至勒索软件。AzurePostgreSQL数据库存在严重漏洞，微软表示目前尚不清楚有多少数据库已经暴露。

安全事件方面,美国能源部出资1200万美元支持资助六个大学领导的项目，旨在改善能源系统的网络安全。微软称俄罗斯对乌克兰发动了数百次网络攻击，近半数攻击目标针对关键基础设施组织。法国电信运营商遭网络攻击其电缆被迫切断，导致几个主要城市的互联网接入中断。Cloudflare缓解了峰值达每秒1500万次请求的DDoS攻击，称其为有史以来最大规模HTTPSDDoS攻击之一。

融资并购方面，工控安全厂商如磐科技获千万元天使轮投资，专注工控安全实战攻防与未知威胁防御。零信任厂商雪诺科技完成数千万元天使轮融资，致力构建新一代网络安全访问架构。代码安全公司SonarSource融资4.12亿美元，旨在解决软件供应链安全问题。Web应用安全公司SourceDefense融资2700万美元，其平台为组织提供安全性和合规性。

1、国家发展改革委发布《电力可靠性管理办法 (暂行)》
国家发展改革委发布《电力可靠性管理办法 (暂行)》，自2022年6月1日起施行。《办法》提出，电力企业应当落实网络安全保护责任，健全网络安全组织体系，设立专门的网络安全管理及监督机构，加快各级网络安全专业人员配备；落实网络安全等级保护、关键信息基础设施安全保护和数据安全制度，加强网络安全审查、容灾备份、监测审计、态势感知、纵深防御、信任体系建设、供应链管理等工作；开展网络安全监测、风险评估和隐患排查治理，提高网络安全监测分析与应急处置能力。
资料来源：http://www.gov.cn/zhengce/zhengceku/2022-04/25/content_5687101.htm

2.美国NIST推出《OT网络安全指南》草案
美国国家标准与技术研究院(NIST)4月26日发布了NISTSP 800-82和3版的一份初步公开草案，该草案指导如何提高运营技术(OT)系统的安全性，同时满足其性能、可靠性和安全要求。更新后的NISTSP 800-82文档提供了OT和典型系统拓扑的概述，识别了OT支持的组织使命和业务功能的典型威胁，描述了OT中的典型漏洞，并提供了推荐的安全保护措施和应对措施来管理相关风险。
资料来源：https://industrialcyber.co/analysis/nist-sp-800-82-addresses-ot-systems-security-including-unique-performance-reliability-safety-requirements/

3.美国众议员提出《能源网络安全大学领导力计划法案》
美国国会众议员提出《能源网络安全大学领导力计划法案》，希望帮助美国能源基础设施解决日益增长的网络威胁挑战。该法案将建立起能源网络安全大学领导力计划，为从事网络安全与能源基础设施研究的研究生及博士后研究员提供助学金和财政援助。此外，立法还要求能源部长在法案颁布后的一年之内，向国会提交一份关于计划制定与实施情况的报告。
资料来源：https://carey.house.gov/media/press-releases/carey-ross-introduce-legislation-protect-energy-infrastructure-amid-growing

4.五眼联盟发布2021年最常被利用的15个漏洞
五眼联盟4月27日联合发布了一份网络安全咨询，提供了2021年攻击者最常利用的15个漏洞和以及其他经常被利用CVE的详细信息。前15个漏洞包括称为Log4Shell的Log4j漏洞、跟踪为ProxyLogon的四个MicrosoftExchange漏洞，以及跟踪为ProxyShell的三个Exchange漏洞。其中三个漏洞（CVE-2020-1472、CVE-2018-13379和CVE-2019-11510）在2020年也被经常利用，表明许多组织未能及时修补软件，并且仍然容易受到恶意攻击。
资料来源：https://industrialcyber.co/threats-attacks/global-cybersecurity-authorities-release-details-on-routinely-exploited-software-vulnerabilities-in-2021/

5.思科修复其安全产品中的11个高危漏洞
思科发布其2022年4月针对思科自适应安全设备(ASA)、Firepower威胁防御(FTD)和Firepower管理中心(FMC)的安全公告包，修复了19个漏洞，包括11个高危漏洞。其中最严重的为CVE-2022-20746，CVSS评分8.8。由于TCP流未得到正确处理从而导致该漏洞，未经身份验证的攻击者可以通过受影响的设备发送精心设计的TCP流来利用此漏洞，可能使设备重新加载，从而完成拒绝服务攻击。
资料来源：https://www.securityweek.com/cisco-patches-11-high-severity-vulnerabilities-security-products

6.微软在Linux操作系统中发现新的提权漏洞
微软4月26日披露了Linux操作系统中的一组两个权限提升漏洞（CVE-2022-29799和CVE-2022-29800），被统称为“Nimbuspwn”，这些漏洞可以链接使用以获得Linux系统上的root权限，允许攻击者部署有效负载，如root后门，并通过任意root代码执行其他恶意操作。最重要的是，这些漏洞也可能被武器化为root访问的载体，以部署更复杂的威胁，例如勒索软件。
资料来源：https://thehackernews.com/2022/04/microsoft-discovers-new-privilege.html

7.Azure PostgreSQL数据库存在严重漏洞
云安全公司Wiz研究人员在AzureDatabase for PostgreSQL Flexible Server中发现了两个漏洞，暂时未分配CVE号，被统称为“ExtraReplica”。在ExtraReplica攻击中，攻击者首先需要识别目标PostgreSQLFlexible Server实例，攻击者可以利用其实例上的第一个漏洞来提权并实现任意代码执行。然后他们可以扫描目标实例的子网并利用身份验证绕过漏洞来获得对目标数据库的读取访问权限，该数据库可以存储敏感数据。
资料来源：https://www.securityweek.com/critical-vulnerabilities-azure-postgresql-exposed-user-databases

8.美国能源部出资1200万美元以支持六个能源系统网络安全项目
美国能源部(DOE)宣布提供1200万美元的资金，用于支持六个由大学领导的项目，这些项目旨在加强美国能源系统内的网络安全。目标还在于领导新网络技术的研究、开发和演示(RD&D)。这笔资金还支持美国政府对保护关键基础设施和在全国范围内提高能源部门网络安全能力的承诺。每个项目都获得了约2,000,000美元的奖励，计划开发尖端的网络物理平台工具和技术，以检测和缓解能源输送系统中的事件。
资料来源：https://industrialcyber.co/analysis/doe-funds-six-university-led-projects-with-aim-of-improving-cybersecurdoe-funds-six-university-led-projects-with-intention-of-improving-cybersecurity-of-energy-systems/

9.微软称俄罗斯对乌克兰发动了数百次网络攻击
微软披露了自俄乌战争爆发以来俄罗斯针对乌克兰的网络攻击的真实规模。在微软观察到的针对乌克兰数十家组织的破坏性攻击（2月23日至4月8日期间近40次）中，微软表示，32%的攻击直接针对乌克兰政府组织，超过40%的攻击目标针对关键基础设施组织。微软还注意到网络攻击和军事行动之间存在直接联系，黑客攻击和入侵之间的时间与俄罗斯军方协调的导弹袭击和围攻时间非常接近。
资料来源：https://www.bleepingcomputer.com/news/security/microsoft-says-russia-hit-ukraine-with-hundreds-of-cyberattacks/

10.“电缆攻击”导致法国城市互联网中断
法国互联网和移动电话服务提供商Free表示，其光纤电缆在一夜之间因关键基础设施受到“攻击”而被切断后，4月27日法国几个主要城市的互联网接入出现中断或缓慢的情况。该公司表示攻击发生在当地时间凌晨4点，在Twitter上的一条消息中，该公司提到了攻击者针对其电缆的“多种恶意行为”。目前尚不清楚问题的根源，但专家强调，对电缆的明显协同攻击是前所未有的。
资料来源：https://www.securityweek.com/internet-outages-french-cities-after-cable-attacks-operator

11.Cloudflare缓解了峰值达每秒1500万次请求的DDoS攻击
Cloudflare4月27日披露，它缓解了每秒1530万次请求(RPS)的分布式拒绝服务(DDoS)攻击，称其为有记录以来最大的HTTPSDDoS攻击之一。Cloudflare表示，该DDoS攻击持续了不到15秒，是由一个由大约6,000台受感染设备组成的僵尸网络发起的，其中15%的攻击流量来自印度尼西亚，其次是俄罗斯、巴西、印度、哥伦比亚和美国。Cloudflare系统在没有任何人工干预的情况下自动监测和干预了这次攻击。
资料来源：https://thehackernews.com/2022/04/cloudflare-thwarts-record-ddos-attack.html

12.工控安全厂商如磐科技获千万元天使轮投资
工控安全厂商如磐科技近日宣布完成千万元人民币天使轮融资。野草创投表示：如磐科技在工控安全未知威胁攻防领域具有长期与深度的技术积累，突破了多项技术难关，通过资深的安全专家经验以及与人工智能专家的深度学习和神经网络技术的深度融合，研发出了国内首个针对工业控制系统和工业软件的自动化漏洞挖掘系统，实现对工业控制系统固件和工业软件漏洞的自动挖掘。
资料来源：https://36kr.com/p/1717163793906944

13.零信任厂商雪诺科技完成数千万元天使轮融资
零信任厂商雪诺科技于近日宣布完成数千万元天使轮融资。雪诺云零信任安全接入平台的主要思路是把精细化动态管控和威胁分析结合起来达成安全建设，而非仅关注威胁分析。从网络不可信及业务应用安全两方面考虑出发，对应用访问贯彻”最小特权原则”，同时对不同网络流量进行安全分析。在落地的应用场景上，雪诺科技已经针对远程办公、业务上云、第三方人员访问、数据安全、IOT物联网、移动设备接入等场景，提供了针对性的解决方案。
资料来源：https://www.36kr.com/p/1711139664762633

14.代码安全公司SonarSource融资4.12亿美元
瑞士代码安全公司SonarSource4月26日宣布完成4.12亿美元的融资。SonarSource为动态分析和编码指导提供IDE扩展，并提供产品以处理持续代码库检查和CI/CD工作流的静态分析。该公司声称其产品帮助超过500万开发人员编写没有错误和安全漏洞的高标准代码。该公司表示，随着软件不断更新，SonarSource工具可用于将干净的代码直接嵌入到开发过程中，从而改善代码库的整体健康状况并减少技术债务。
资料来源：https://www.securityweek.com/code-security-firm-sonarsource-raises-412-million-47-billion-valuation

15.Web应用安全公司SourceDefense融资2700万美元
Web应用程序客户端保护提供商SourceDefense宣布完成2700万美元的B轮融资。SourceDefense正在构建技术，通过保护网站使用的客户端JavaScript代码来帮助减轻第三方供应链风险。除了漏洞保护和预防，该公司的产品线还提供威胁检测功能。该公司表示，其平台为组织提供安全性和合规性，以便企业可以保护用户的个人和财务信息。SourceDefense表示，它将利用这笔资金通过投资于研发、销售和营销来加速增长。
资料来源：https://www.securityweek.com/web-application-security-firm-source-defense-raises-27-million