本期摘要

政策法规方面，市场监管总局、网信办将开展数据安全管理认证工作，加强网络数据安全保护。英国宣布防御性网络攻击合法，当关键基础设施和服务受到攻击时，可以“反击”。美国政府拟出台《保护隐私数据共享和分析》国家战略，提出负责任地利用隐私保护数据共享和分析来造福个人和社会的愿景。

漏洞态势方面，CISA警告Illumina医疗设备存在5个漏洞，攻击者可利用其完全控制设备并进入其所在网络。UNISOC芯片存在超危漏洞，数百万智能手机面临遭受远程代码执行或拒绝服务攻击的风险。嵌入式设备U-Boot引导加载程序存在2个只能本地利用的漏洞，可实现任意越界写入和DoS攻击。CISA发布“必须修复”漏洞列表标准，需满足有CVE标识符、在野利用证据以及补救措施。

安全事件方面,工业网络安全公司Dragos推出OT-CERT计划，在为工业资产所有者和运营商提供免费的网络安全资源。意大利巴勒莫市遭到网络攻击，所有服务、公共网站和在线门户都处于离线状态。

融资并购方面，工控安全厂商威努特完成新一轮融资，计划加强人才梯队建设，以期满足更多工控安全需求。数安行完成Pre-A轮融资，持续打造基于DataSecOps的数据安全生态。云数据访问公司Immuta融资1亿美元，其平台发现、保护和监控组织的数据。IBM宣布收购攻击面管理公司Randori，并将与IBM的扩展检测和响应(XDR)功能相结合。

1. 市场监管总局、网信办将开展数据安全管理认证工作
6月9日，国家市场监督管理总局、国家互联网信息办公室发布关于开展数据安全管理认证工作的公告。公告指出，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国认证认可条例》有关规定，国家市场监督管理总局、国家互联网信息办公室决定开展数据安全管理认证工作，鼓励网络运营者通过认证方式规范网络数据处理活动，加强网络数据安全保护。
资料来源：https://mp.weixin.qq.com/s/6RQ7MPwad_SH4aHBV0x0vw

2.英国宣布防御性网络攻击合法
英国总检察长宣布，当“关键服务”（如关键基础设施和银行）受到国外威胁行为者的攻击时，该国可以利用防御性网络攻击。同时表示不干涉其他主权国家事务的国际原则现在应该以相称的方式扩展到网络攻击和反措施。并确定了四个被认为特别容易受到网络入侵的部门：能源安全、基本医疗保健、供应链中断和民主进程。
资料来源：https://www.cpomagazine.com/cyber-security/defensive-cyber-attacks-declared-legal-by-uk-ag-path-cleared-to-hack-back-when-critical-infrastructure-services-attacked/

3.美国政府拟出台《保护隐私数据共享和分析》国家战略
美国政府希望收集、分析和分享更多美国人的数据，尤其是在新技术和程序提供了这样做的潜力而又不损害公民隐私的情况下，并且正在制定《保护隐私数据共享和分析》国家战略，以使政策和法规与该目标保持一致。该通知列举了几个关键领域，其中改进的数据共享可以加速重要的创新，包括医疗保健、气候变化、金融犯罪、人口贩运和大流行应对。
资料来源：https://www.nextgov.com/analytics-data/2022/06/white-house-developing-national-strategy-increase-data-collection-privacy-tech-improves/367941/

4.CISA警告Illumina DNA测序产品软件存在5个漏洞
Illumina仪器在全球范围内部署于医疗保健和公共卫生部门，可以指定用于对人的DNA进行测序。美国网络安全和基础设施安全局(CISA)表示，这些漏洞包括路径遍历、危险类型文件的无限制上传、访问控制不当以及敏感信息的明文传输。利用这些漏洞可能会让未经身份验证的恶意攻击者远程控制受影响的产品并在操作系统级别采取任何行动。
资料来源：https://industrialcyber.co/cisa/cisa-fda-warns-of-cybersecurity-vulnerabilities-in-software-used-in-illumina-dna-sequencing-offerings/

5.UNISOC芯片存在超危漏洞
网络威胁情报公司Checkpoint研究人员在摩托罗拉Moto G20、E30和E40手机的Unisoc Tiger T700芯片中发现了一个超危漏洞，CVSS评分9.4。研究人员通过该漏洞发现智能手机缺少检查以确保调制解调器的连接处理程序在连接到LTE网络时正在读取有效的IMSI或其他用户ID。攻击者可通过让处理程序读取一个零位字段来创建堆栈溢出条件，从而阻止用户使用LTE网络并被用于远程代码执行或拒绝服务。
资料来源：https://www.infosecurity-magazine.com/news/vulnerability-in-motorolas-unisoc/?&web_view=true

6.GitLab修复超危账户接管漏洞
​GitLab修复了超危账户接管漏洞CVE-2022-1680，CVSS评分9.9。将SAML SSO组配置完成后，SCIM功能（仅适用于Premium+订阅）可能允许Premium组的任何所有者通过其用户名和电子邮件邀请任意用户，然后通过SCIM将这些用户的电子邮件地址更改为攻击者控制的电子邮件地址。如果没有对受影响的账户启用双因素身份验证选项，则此类操作将导致攻击者接管它们。
资料来源：https://thehackernews.com/2022/06/gitlab-issues-security-patch-for.html

7.嵌入式设备U-Boot引导加载程序存在2个漏洞
NCC Group研究人员发现U-Boot中实现的IP碎片整理算法存在2个漏洞，这些漏洞可以通过制作格式错误的数据包从本地网络中被利用。U-Boot是一种开源引导加载程序，用于各种类型的嵌入式系统，包括ChromeOS和Android。第一个漏洞为CVE-2022-30790，CVSS评分9.6，可导致任意越界写入原语。第二个漏洞为CVE-2022-30552，CVSS评分7.1，被描述为可能导致拒绝服务(DoS)的缓冲区溢出。
资料来源：https://www.securityweek.com/critical-u-boot-vulnerability-allows-rooting-embedded-systems

8.CISA发布“必须修复”漏洞列表标准
美国网络安全和基础设施安全局(CISA)发布了将漏洞添加到其已知利用漏洞(KEV)目录的标准。KEV目录于2021年11月推出，现在有超过730个条目。该目录附有绑定操作指令22-01，该指令指示联邦机构在指定期限之前修补漏洞。CISA对向KEV目录添加漏洞有三个主要标准：它需要有CVE标识符，必须有可靠的在野利用证据，以及需要针对漏洞采取明确的补救措施（补丁、解决方法、或缓解）。
资料来源：https://www.securityweek.com/cisa-clarifies-criteria-adding-vulnerabilities-must-patch-list

9.墨西哥富士康工厂遭勒索软件攻击工业网络安全公司Dragos推出OT-CERT计划
工业网络安全公司Dragos6月7日宣布推出OT-CERT计划，在为工业资产所有者和运营商提供免费的网络安全资源。OT-CERT（运营技术网络应急准备小组）旨在帮助成员改善其网络安全态势、制定网络安全计划并降低风险。Dragos表示，目标是解决“在保护工业基础设施方面的严重差距：工业基础设施社区缺乏现成的OT特定资源。”
资料来源：https://s.vnshu.com/2LEime

10.美国能源部与网络安全解决方案提供商合作以保护电网
美国能源部(DOE)的清洁能源网络安全加速器(CECA)中心正在与网络安全解决方案提供商合作，接受为分布式能源提供强大认证的应用程序，以保护现代电网并加快将经过测试的解决方案推向市场。根据DOE的一份声明，CECA预计将在第一批中选择最多五名参与者，要求参与者必须位于美国，并围绕网络安全主题优先级提供创新。这些参与者将参加3到12个月的潜伏期，在实验室验证解决方案之前分享想法和威胁情报。
资料来源：https://s.vnshu.com/1eeKuP

11.意大利巴勒莫市关闭所有系统以抵御网络攻击
意大利南部巴勒莫市6月3日遭受网络攻击，对该城市的公民和来访游客产生了巨大影响。攻击发生后的三天内，当地的IT专家一直在尝试恢复系统，但所有服务、公共网站和在线门户都处于离线状态。受影响的系统包括公共视频监控管理、市警察行动中心以及市政府的所有服务。由于无法通过数字通信请求市政服务，市民不得不使用传真机才能到达公共办公室。
资料来源：https://www.bleepingcomputer.com/news/security/italian-city-of-palermo-shuts-down-all-systems-to-fend-off-cyberattack/

12.工控安全厂商威努特完成新一轮融资
威努特是国内专注于工控安全领域的国家高新技术企业。以率先独创的“白环境”整体解决方案为核心，深度结合工控系统安全特点研发了覆盖工控网络安全的5大类20款自主可控产品，提供工控安全咨询、安全培训、风险评估、安全检测、安全应急、安全建设及运维等全流程服务。日前已完成新一轮融资。
资料来源：https://36kr.com/p/1772132397054211

13.数据安全厂商数安行完成Pre-A轮融资
数安行作为数据安全领域的技术创新型企业，于行业国内首次提出DataSecOps（数据运营安全）的数据安全理念，强调在数据运营全流程中内嵌安全属性，将数据安全左移，在数据随业务的流动中保障数据的安全。以DataSecOps为理念，数安行构建了AI驱动的零信任数据运营安全平台，为用户提供智能化的数据安全产品及服务。今日宣布完成Pre-A轮融资。
资料来源：https://www.sohu.com/a/555131760_120964858?scm=1005.1002.0.0.0

14.云数据访问公司Immuta融资1亿美元
云数据访问公司Immuta完成1亿美元E轮融资。其数据访问控制平台发现、保护和监控组织的数据，以确保用户可以在正确的时间访问正确的数据。该平台的四个主要功能是基于属性的访问控制(ABAC)、发现和分类、政策执行和审计、以及掩蔽和匿名化。其平台与所有领先的云数据平台集成，能够在不影响性能的情况下透明地保护数据访问。
资料来源：https://www.securityweek.com/cloud-data-access-firm-immuta-raises-100-million

15.IBM收购Randori用于攻击面管理技术
IBM宣布了收购攻击面管理公司Randori的计划，IBM计划将Randori的攻击面管理软件与IBM Security QRadar的扩展检测和响应(XDR)功能相结合。该计划是将来自Randori的攻击性安全洞察力提供给QRadar XDR，为安全团队提供工具，以实现实时攻击面可见性、智能警报分类、威胁搜寻和事件响应。
资料来源：https://www.securityweek.com/ibm-acquire-randori-attack-surface-management-tech