本期摘要

政策法规方面，国家网信办发布公开征求《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》意见的通知，以做好《中华人民共和国网络安全法》与相关法律的衔接协调。全国信安标委发布《信息安全技术 网络数据分类分级要求》征求意见稿，给出了数据分类分级的原则和方法。

漏洞态势方面，西门子和施耐德发布安全公告，修复影响其工业产品的数十个漏洞。Apple发布安全更新，以修复用于攻击iPhone和Mac的0day漏洞。微软发布安全更新，总计修复63个安全漏洞。研究人员发现飞机WiFi设备存在高危漏洞，可获取WiFi设备的管理权限。

安全事件方面,卡巴斯基发布《2022年上半年工业自动化系统威胁格局》报告，报告中指出组织的运营技术基础设施中计算机的主要威胁来源是互联网、可移动媒体和电子邮件。OTORIO发布安全公告，证实GhostSec入侵了ProMinent Aegis II控制器。Lorenz利用Mitel MiVoice VOIP漏洞入侵企业网络，企业敏感信息遭到泄露。

产品技术方面，Asigra Tigris Data Protection整合CDR，以防止深度嵌入的恶意软件。OneSpan推出虚拟房间，以实现安全的面对面交易。

并购融资方面，谷歌完成了对Mandiant的收购，后续将提供端到端的安全运营套件。SandboxAQ收购Cryptosense，以加速向组织部署PQC解决方案。Opus Security完成1000万美元种子轮融资，用于提供云安全编排和修复。Fortanix完成9000万美元C轮融资，以改善高度监管行业的云安全和隐私。
1、‍国家网信办发布《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》
国家互联网信息办公室于9月14日发布公开征求《关于修改〈中华人民共和国网络安全法〉的决定（征求意见稿）》意见的通知。《征求意见稿》提出，拟对网络安全法作出如下修改：一是完善违反网络运行安全一般规定的法律责任制度，二是修改关键信息基础设施安全保护的法律责任制度，三是调整网络信息安全法律责任制度，四是修改个人信息保护法律责任制度。
资料来源：http://www.cac.gov.cn/2022-09/14/c_1664781649609823.htm

2、全国信安标委发布《信息安全技术 网络数据分类分级要求》征求意见稿
9月14日，全国信息安全标准化技术委员会发布《信息安全技术 网络数据分类分级要求》征求意见稿。《分类分级要求》给出了数据分类分级的原则和方法，包括数据分类分级基本原则、数据分类框架和方法、数据分级框架和方法等。适用于行业领域主管（监管）部门参考制定本行业本领域的数据分类分级标准规范，也适用于各地方、各部门开展本地区、本部门的数据分类分级工作，同时还可为数据处理者进行数据分类分级提供参考。
资料来源：https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20220914180530&norm_id=20211108000024&recode_id=48416

3.西门子修复其产品中的5个漏洞
9月13日，西门子发布了五项新公告，共描述了37个已修复漏洞。其中一项公告涉及用于管理网络服务的基于Web的Sinec INS（基础设施网络服务）应用程序中的第三方组件缺陷。在产品使用的第三方组件中，共发现了14个中高危漏洞，包括BIND、ISC DHCP、OpenSSL、Lodash和Axios。西门子表示，这些漏洞可允许攻击者引发DoS条件、获取敏感数据或破坏系统完整性。西门子还解决了Simcenter Femap和Parasolid产品中的多个漏洞，这些漏洞受到20个与文件解析相关的问题的影响，攻击者可以通过让目标用户打开带有受影响应用程序的特制文件来利用这些漏洞执行任意代码。
资料来源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-high-severity-vulnerabilities

4.施耐德修复其产品中的反序列化漏洞
9月13日，施耐德电气发布了一项新的公告，更新了十二项现有公告。新的公告指出EcoStruxure Machine SCADA Expert和Pro-face Blue Open Studio产品中存在不可信数据反序列化漏洞，该漏洞可在加载项目文件时导致任意代码执行、信息泄露或拒绝服务。
资料来源：https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-fix-high-severity-vulnerabilities

5.Apple发布安全更新用于修复0day漏洞
9月12日，Apple发布安全更新，修复了用于攻击iPhone和Mac的0day漏洞。该漏洞追踪为CVE-2022-32917，可通过恶意制作的应用程序以内核权限执行任意代码。Apple在安全通告中透露该漏洞可能已被积极利用，但尚未发布有关这些攻击的任何信息。
资料来源：https://www.bleepingcomputer.com/news/security/apple-fixes-eighth-zero-day-used-to-hack-iphones-and-macs-this-year/

6.微软发布安全更新用于修复63个漏洞
9月13日，微软发布安全更新，总计修复63个安全漏洞。此次修复的漏洞类型为18个提权漏洞、1个安全功能绕过漏洞、30个远程代码执行漏洞、7个信息泄露漏洞、7个拒绝服务漏洞和16个Edge-Chromium漏洞。此次安全更新修复了两个公开披露的0day漏洞，分别为Windows通用日志文件系统驱动程序中的提权漏洞（CVE-2022-37969）和Cache Speculation Restriction漏洞（CVE-2022-23960）。
资料来源：https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2022-patch-tuesday-fixes-zero-day-used-in-attacks-63-flaws/

7.飞机WiFi设备存在漏洞
研究人员在为飞机提供互联网连接的无线LAN设备中发现了两个高危漏洞（CVE–2022–36158与CVE-2022-36159）。这些漏洞影响了Contec制造的Flexlan FX3000和FX2000系列无线LAN设备。为修复漏洞，研究人员表示Contec应在生产设备中删除隐藏的工程网页并在制造过程中为每台设备生成不同的密码。
资料来源：https://www.infosecurity-magazine.com/news/vulnerabilities-found-airplane/

8.卡巴斯基发布《2022年上半年工业自动化系统威胁格局》报告
卡巴斯基在发布的《2022年上半年工业自动化系统威胁格局》报告中指出，组织的运营技术基础设施中计算机的主要威胁源为互联网、可移动介质和电子邮件。在楼宇自动化行业，阻止恶意电子邮件附件和网络钓鱼链接的ICS计算机的百分比（14.4%）是全世界平均值（7%）的两倍。在石油和天然气行业，连接可移动介质时阻止威胁的ICS计算机的百分比（10.4%）是全世界平均百分比（3.5%）的3倍。
资料来源：https://www.secrss.com/articles/46908

9.GhostSec黑客组织入侵ProMinent Aegis II控制器
9月14日，工业网络安全公司OTORIO对GhostSec黑客组织入侵ProMinent Aegis II控制器事件发布了安全公告，确认了攻击事件的真实性并还原事件细节。根据GhostSec最近的违规行为，OTORIO表示可以通过简单、正确的配置轻松避免网络攻击。例如禁止将资产暴露在互联网上，并保持良好的密码策略，尤其是更改默认登录凭据。
资料来源：https://www.otorio.com/blog/ghostsec-strikes-again-in-israel-seeking-to-impact-swimming-pools/

10.Lorenz利用VoIP设备入侵企业网络
研究人员发现Lorenz勒索软件组织利用流行的VoIP设备中的漏洞对一个匿名企业发起了网络攻击。Lorenz勒索软件组织首先通过Mitel MiVoice Connect远程代码执行漏洞（CVE-2022-29499）获取了目标企业的反向shell，随后使用开源隧道工具Chisel进入网络。在初次访问后等待了近一个月后，该组织继续进行横向移动，通过FileZilla泄露数据，并在ESXi系统上使用BitLocker和Lorenz勒索软件进行加密。目前Mitel已经修补了这个关键的0day漏洞，并敦促所有客户应用该修复程序。
资料来源：https://www.infosecurity-magazine.com/news/ransomware-gang-hacks-voip-for/

11.Asigra Tigris Data Protection现已整合CDR
勒索软件威胁使得主数据和备份数据都面临重大风险，Asigra Tigris 数据保护软件为此结合了CDR（Content Disarm & Reconstruction），以防止深度嵌入的恶意软件。新的安全功能CDR将支持的文件解构为最小的组件，以确定其中是否嵌入了恶意代码、宏、链接或可执行文件。该技术通过消除嵌入在每个文件中的任何潜在有效载荷威胁，优于基于预测检测的方法。
资料来源：https://www.helpnetsecurity.com/2022/09/14/asigra-tigris-data-protection/

12.OneSpan推出虚拟房间
OneSpan推出了其安全的虚拟房间云服务，使组织能够在高度可靠的虚拟环境中为其客户提供实时、高度接触的帮助。虚拟房间为组织提供创建个性化、高接触、人工辅助交互的机会，并通过改善客户体验、提高协议完成率以及降低安全风险和欺诈来补充数字优先交易体验。
资料来源：https://www.helpnetsecurity.com/2022/09/16/onespan-virtual-room/

13.谷歌完成对Mandiant的收购
谷歌完成了对Mandiant的收购，后续将提供端到端的安全运营套件。该套件具有更强大的功能，可以跨云和本地环境为客户提供支持。Mandiant以提供前线专业知识和威胁情报而闻名，在帮助顶级企业和组织准备和应对网络安全事件方面得到广泛认可。
资料来源：https://www.helpnetsecurity.com/2022/09/14/google-mandiant/

14.SandboxAQ完成对Cryptosense的收购
SandboxAQ对Cryptosense的收购，补充并加速了SandboxAQ的后量子密码学（PQC）解决方案在全球企业和政府机构中的部署。SandboxAQ的网络安全产品使大型企业能够在其IT基础设施中扩展加密管理，为首席信息安全官提供单一的360°视图，了解如何在整个企业中使用加密。
资料来源：https://www.helpnetsecurity.com/2022/09/15/sandboxaq-cryptosense/

15.Opus Security完成1000万美元种子轮融资
Opus Security完成1000万美元种子轮融资，用于提供云安全编排和修复。Opus构建了一个单一的总体平台，该平台连接现有的云和安全工具以及相关利益相关者，并根据久经考验、易于部署的指南和手册在所有组织环境中协调整个响应和补救过程。Opus最大限度地利用自动化，知道敏感问题何时需要人工参与，并允许自动化解决其余问题。
资料来源：https://www.helpnetsecurity.com/2022/09/15/opus-security-funding/

16.Fortanix完成9000万美元C轮融资
Fortanix完成9000万美元C轮融资，以改善高度监管行业的云安全和隐私。传统的以网络安全为主导的方法在防止数据泄露和勒索软件方面并未完全成功。Fortanix提倡的数据优先安全方法通过将安全性与基础设施分离，正面解决了这个问题，并提供了一种优雅的方式来保护数据。
资料来源：https://www.helpnetsecurity.com/2022/09/16/fortanix-funding/