本期摘要

政策法规方面，银保监会发布《银行保险机构消费者权益保护管理办法（征求意见稿）》，强调消费者个人信息保护。美国参议院小组通过《政府内部网络安全信息共享法》，以促进有关网络安全威胁的信息交流。意大利发布《2022至2026年国家网络安全战略》，并加强了政府应对网络威胁和提高该国抵御网络攻击的能力的承诺。

漏洞态势方面，Open Automation Software自动化软件平台存在超危漏洞，包括能源、航天等行业在内的众多ICS设备受到影响。思科修复正在被积极利用的IOSXR漏洞，未经身份验证的远程攻击者可利用其访问Redis实例。QCT服务器存在“Pantsdown”BMC超危漏洞，涉及对BMC物理地址空间的任意读写访问，导致任意代码执行。研究人员因发现跨链协议Wormhole漏洞获得1000万美元奖金，创下新纪录。

安全事件方面,美国能源部成立电能OT安全配置文件工作组，将用作设计、实施、测试和维护电能OT系统及其网络安全功能。惠誉评级发布报告，表示对ICS/OT系统的网络攻击更有可能产生信用和ESG影响。美澳印日宣布了一项伙伴关系，将围绕加固软件、供应链和用户数据，共同开展若干网络安全举措。米高梅度假村1.42亿条客户记录遭泄露，超3000万人受到影响。

融资并购方面，工业互联网安全厂商双湃智安完成数千万Pre-A轮融资，加速市场拓展。云安全厂商边界无限天使轮融资超千万，RASP及网络攻防能力备受认可。OT远程访问公司Xona融资720万美元，支持专为OT和其他关键基础设施系统构建的无摩擦用户访问。云数据安全公司DigSecurity融资1100万美元，提供云中数据资产的实时可见性、控制和保护。

1. 银保监会发布《银行保险机构消费者权益保护管理办法（征求意见稿）》
银保监会发布《银行保险机构消费者权益保护管理办法（征求意见稿）》，向社会公开征求意见，意见反馈截止时间为2022年6月19日。《管理办法》要求银行保险机构应当建立消费者个人信息保护机制，完善内部管理制度、分级授权审批和内部控制措施，对消费者个人信息实施全流程分级分类管控，坚持“合法、正当、必要”原则，切实保护消费者信息安全权。
资料来源：http://www.gov.cn/xinwen/2022-05/20/content_5691409.htm

2.美国参议院小组通过《政府内部网络安全信息共享法》
美国参议院国土安全委员会5月25日批准了《政府内部网络安全信息共享法》。该法案要求国土安全部(DHS) 与参议院和众议院签订信息共享协议，以促进有关网络安全威胁的信息交流。国土安全部必须就协议与总统办公厅和其他执行机构进行协商。国土安全部还必须定期向国会介绍协议的执行情况。该法案将提交参议院投票表决，是立法者为保护美国联邦网络和系统抵御潜在网络攻击所做的最新尝试。
资料来源：https://therecord.media/senate-panel-oks-cyber-information-sharing-bill/

3.意大利发布《2022至2026年国家网络安全战略》
意大利政府5月25日发布《2022至2026年国家网络安全战略》，并加强了政府应对网络威胁和提高该国抵御网络攻击的能力的承诺。战略确定了三大基本目标以更好地应对国家面临的挑战，包括：一是保护目标，即通过旨在管理和减轻风险的系统性方法保护国家战略资产；二是响应目标，即通过部署增强的国家监控、检测、分析和响应能力以及启动国家网络安全生态系统流程对国家网络威胁、事件和危机做出响应；三是发展目标，即有意识和安全地发展能够响应市场需求的数字技术、研究和产业竞争力。
资料来源：https://securityaffairs.co/wordpress/131674/security/italy-national-cybersecurity-strategy.html

4.Open Automation Software自动化软件平台存在超危漏洞
Open Automation Software公司的开放自动化软件(OAS)平台为ICS或IoT设备、数据库和自定义应用程序提供连接解决方案。思科Talos的研究人员发现OAS平台受到八个漏洞的影响，攻击者可以利用这些漏洞执行任意代码、DoS攻击、获取敏感信息和其他目的。其中两个为超危漏洞，文件写入漏洞CVE-2022-26082，攻击者可以利用特制的网络请求进行远程代码执行，以及CVE-2022-26833，攻击者利用其通过空白用户名和密码作为默认用户进行身份验证。
资料来源：https://www.securityweek.com/critical-vulnerabilities-found-open-automation-software-platform

5.思科修复正在被积极利用的IOSXR漏洞
思科修复了IOSXR软件的中危漏洞CVE-2022-20821，CVSS评分6.5，攻击者正在积极利用该漏洞进行攻击。该漏洞影响IOSXR软件中的健康检查RPM，并且与TCP端口6379有关，RPM在激活时默认打开该端口。攻击者可以通过连接到开放端口上的Redis实例来利用此漏洞。成功的利用可能允许攻击者写入Redis内存数据库，将任意文件写入容器文件系统，并检索有关Redis数据库的信息。
资料来源：https://www.securityweek.com/cisco-warns-exploitation-attempts-targeting-new-ios-xr-vulnerability

6.QCT服务器存在“Pantsdown”BMC超危漏洞
Quanta Cloud Technology(QCT)制造的服务器受到被称为“Pantsdown”的基板管理控制器(BMC)漏洞的影响。该漏洞被跟踪为CVE-2019-6260，CVSS评分9.8，该超危漏洞涉及对BMC物理地址空间的任意读写访问，导致任意代码执行。成功利用该漏洞可以为攻击者提供对服务器的完全控制权，从而可以使用恶意代码覆盖BMC固件、部署持久性恶意软件、泄露数据，甚至破坏系统。
资料来源：https://www.securityweek.com/qct-servers-affected-pantsdown-bmc-vulnerability

7.研究人员因发现跨链协议Wormhole漏洞获得1000万美元奖金
一名白帽黑客在发现以太坊上的Wormhole核心桥接协议中的一个严重安全漏洞后，获得了创纪录的1000万美元的漏洞赏金奖励。根据发布的PoC，利用该漏洞的攻击者可能会以以太坊虫洞桥将被堵塞为威胁来勒索整个协议，称该协议中的所有资金将永远丢失。PoC还指出，在提交时，合同中存在价值7.36亿美元的资产。
资料来源：https://portswigger.net/daily-swig/blockchain-bridge-wormhole-pays-record-10m-bug-bounty-reward?&web_view=true

8.美国能源部成立电能OT安全配置文件工作组
美国能源部(DOE)、全球设备供应商和其他利益相关者5月25日宣布成立电能OT安全配置文件工作组。电能OT安全配置文件将是使用ISA/IEC62443系列标准的网络安全工作产品。电能OT安全配置文件将免费向资产所有者、制造商、标准组织和其他行业利益相关者公开。应用配置文件将用作设计、实施、测试和维护电能OT系统及其网络安全功能的基础，还将对全球的第三方评估组织和监管机构发挥作用。
资料来源：https://industrialcyber.co/analysis/new-electric-energy-ot-security-profile-working-group-set-up-as-part-of-isa99-standards-committee/

9.惠誉评级表示对ICS/OT系统的网络攻击更有可能产生信用和ESG影响
R信用评级机构惠誉评级将网络风险视为对被评级实体日益增长的威胁，并认为运营技术(OT)系统攻击比对IT的相应攻击更有可能影响信用，因为修复的潜在时间及其对现金周转的影响。在题为“美国运营技术中的网络风险（运营技术如何影响关键基础设施的网络风险）”的报告中，惠誉评级探讨了电力和公用事业以及供水和下水道行业的IT/OT挑战。报告显示，与对信息技术的相应攻击相比，对运营技术的攻击更有可能产生信用和ESG影响。
资料来源：https://industrialcyber.co/utilities-energy-power-water-waste/cyberattacks-on-ics-ot-systems-more-likely-to-have-credit-esg-impact-than-a-corresponding-it-attack-fitch-ratings-says/

10.美国、澳大利亚、印度和日本宣布关于软件、供应链的网络安全举措
美国和三个盟国5月24日宣布了一项伙伴关系，各国将围绕加固软件、供应链和用户数据，共同开展若干网络安全举措。各国领导人承诺通过分享威胁信息和识别数字产品和服务供应链中的潜在风险，改善关键基础设施的集体网络安全。白宫在一份声明中表示，四国伙伴将在四国网络安全伙伴关系下协调印太地区的能力建设计划，并将首次发起四国网络安全日。
资料来源：https://therecord.media/us-australia-india-and-japan-announce-cybersecurity-initiatives-on-software-supply-chains/?web_view=true

11.米高梅度假村1.42亿条客户记录遭泄露
2020年7月14日，Hackread.com报道称，一名黑客通过NightLion的DataViperw网站窃取了多个数据库。其中一个数据库属于米高梅度假村，包含1.42条客户的个人数据。据VPNMentor研究人员称，他们在2022年5月22日确定了数据，发现了四个包含8.7GB数据的文件档案。目前，研究人员尚不清楚受影响用户的确切数量，但粗略估计表明这次泄漏可能会影响大约超3000万人。泄露的信息包括全名、出生日期、电话号码以及电子邮件地址。
资料来源：https://www.hackread.com/142-million-mgm-resorts-records-leak-telegram-download/?web_view=true

12.工业互联网安全厂商双湃智安完成数千万Pre-A轮融资
工业互联网安全厂商双湃智安完成数千万Pre-A轮融资。双湃智安创新“三级联动”解决方案，致力于中国百万家工业企业，能够颠覆性替代传统解决方案，解决工业企业网络安全“看不见、投不起、没人管、响应长”的用户痛点，能够为企业提供高效、可信赖、易获取的工业互联网安全服务订阅（SECaaS）。目前，双湃已服务企业数百家，使工业企业以最小成本提升安全可视性和成熟度，提高企业生产力。
资料来源：https://mp.weixin.qq.com/s/7T6qKxFWL25APPMEVA7Tzw

13.云安全厂商边界无限天使轮融资超千万
北京边界无限科技有限公司于5月23日正式宣布完成天使轮融资。边界无限是国内提供全链路云安全防护产品和顶级攻防体系建设的新锐网络安全企业，致力于通过还原真实攻防来帮助政企客户构建更安全、更灵动的网络及更动态、更有价值的纵深防御体系，其推出的首款产品是靖云甲·RASP全栈式云安全防护系统。天使轮融资超千万，这代表着边界无限业界领先的RASP产品及顶级网络攻防能力备受认可。
资料来源：https://mp.weixin.qq.com/s/D19FJLfFdnL1tX5aHmA1XQ

14.OT远程访问公司Xona完成720万美元A轮融资
OT远程访问公司Xona完成720万美元A轮融资。Xona支持专为运营技术(OT)和其他关键基础设施系统构建的无摩擦用户访问。Xona专有的协议隔离和零信任架构与技术无关并在几分钟内完成配置，可立即消除常见的攻击媒介，同时为授权用户提供从任何位置或设备对操作技术的无缝和安全控制。
资料来源：https://www.securityweek.com/ot-remote-access-firm-xona-raises-72-million-series-funding

15.云数据安全公司DigSecurity融资1100万美元
云数据安全公司DigSecurity融资1100万美元。DigSecurity开发了一种数据检测和响应(DDR)解决方案，旨在通过单个统一策略引擎提供云中数据资产的实时可见性、控制和保护。Dig表示，其平台使用云数据攻击模型来检测、分析和响应威胁。它向组织发出异常或可疑活动的警报，帮助他们防止数据泄露和员工滥用数据。
资料来源：https://www.securityweek.com/cloud-data-security-firm-dig-emerges-stealth-11-million-funding