本期摘要

政策法规方面，《工业互联网与钢铁行业融合应用参考指南（2021年）》发布，将加快工业互联网与钢铁行业融合应用，推动钢铁行业转型升级。韩国率先发布全球首部《数据基本法》，旨在为发展数据产业和振兴数据经济奠定基础。欧洲通过《数字市场法》草案，由于其规则严苛、涉及广泛，被视为到目前为止全球最严格的科技监管立法尝试。美国NIST发布《消费类软件网络安全标识基线标准草案》，公开征集意见。
漏洞态势方面，飞利浦医疗产品存在高危漏洞，攻击者可利用这些漏洞进行未经授权的数据访问以及拒绝服务攻击。思科ASA和FTD中存在高危漏洞，众多组织的防火墙将面临严峻的考验。Imunify360 Web服务器安全产品存在严重漏洞，攻击者可以利用该漏洞在服务器上执行任意代码。在微软发布最新Microsoft Exchange零日漏洞信息两周之后，研究人员发布针对该漏洞的PoC。VMware修复了vCenter Server中的文件读取、SSRF漏洞。
安全事件方面，英国国家网络安全中心发布《2021年度审查报告》，概述了NCSC在2021年处理的777起网络攻击。丹麦风力涡轮机巨头Vestas Wind Systems遭遇网络攻击，其部分内部IT基础设施被破坏，数据遭泄露。未知威胁行为者访问了美国犹他州法明顿的放射医学中心的患者个人信息，超580,000名患者受影响。
融资并购方面，漏洞管理公司华云安获亿元A+轮融资，将持续夯实人才体系建设，加速实现攻击面检测和管理的技术创新与突破。数据安全公司全知科技完成数亿元融资，旨在保证数据在安全可控的同时也能够创造价值。物联网安全公司Shield-IoT融资740万美元，旨在帮助服务提供商和物联网品牌保护B2B物联网和IIoT网络。DNV收购工业网络安全公司Applied Risk，致力于努力打造一个“工业网络安全强国”。
1. 1、《工业互联网与钢铁行业融合应用参考指南（2021年）》发布

联网产业联盟联合中国钢铁工业协会、中国金属学会研究编制了《工业互联网与钢铁行业融合应用参考指南（2021年）》（以下简称《指南》）。《指南》旨在为钢铁行业工业互联网建设过程中的需求场景识别、应用模式打造、关键系统构建和组织实施路径提供参考借鉴,加快工业互联网与钢铁行业融合应用，推动钢铁行业转型升级。
资料来源：https://mp.weixin.qq.com/s/J8ZPpHbwpKvpXBkzkLDErw


2. 2、韩国率先发布全球首部《数据基本法》

振兴和利用促进基本法》，旨在为发展数据产业和振兴数据经济奠定基础，并将于明年4月全面实施。《数据基本法》是全球首部规制数据产业的基本立法，对数据的开发利用进行统筹安排。根据该法，韩国将在总理办公室下设国家数据政策委员会，作为国家数据产业政策的管理机构，并将每三年审议并发布一版数据产业振兴综合计划。
资料来源：https://www.secrss.com/articles/36503

3. 3、欧洲通过《数字市场法》草案

11月23日，欧洲议会内部市场和消费者保护委员会通过了旨在限制互联网巨头的《数字市场法》（DMA）的草案。由于其规则严苛、涉及广泛，DMA被视为到目前为止全球最严格的科技监管立法尝试。欧盟监管机构将这些具有举足轻重的行业地位的互联网公司定义为“守门员”。DMA规定了“守门员”公司在欧盟市场内“该做的”和“不该做的”行为，如果不遵守规则，欧盟委员会可以对其上一财政年度的全球总营业额处以“不低于4%、但不超过20%”的罚款。
资料来源：https://www.euractiv.com/section/digital/news/eu-parliaments-key-committee-adopts-digital-markets-act/

2. 4、美国NIST《消费类软件网络安全标识基线标准草案》公开征集意见

2021年11月1日，美国国家标准与技术研究院 (NIST)在题为《消费类软件网络安全标识基线标准草案》的白皮书中公布了该标准的初稿。白皮书定义了必须在标签上公开的与安全相关的信息，以及软件供应商必须遵循的特定安全实践。这个标准是与联邦贸易委员会(FTC)协调开发的，可能会为FTC未来的指导和执法活动提供信息。NIST要求公众在2021年12月16日之前对白皮书提出意见和建议。最终版本预计将于2022年2月6日发布。
资料来源：https://www.mwe.com/insights/nist-publishes-draft-security-criteria-for-consumer-software/

2. 5、飞利浦医疗产品存在高危漏洞

工业网络安全公司Nozomi Networks的研究人员在飞利浦的医疗产品中发现了漏洞。在IntelliBridge EC 40和EC 80集线器患者监测系统发现了两个高危漏洞，其中集成了医院信息系统点的护理设备。这些漏洞与使用硬编码凭据和身份验证绕过有关。PIC iX患者监护系统和Efficia CM系列患者监护仪中存在三个与不正确的输入验证、弱加密算法的使用以及硬编码加密密钥的使用相关的中危漏洞。成功利用这些漏洞可能允许攻击者未经授权访问数据以及进行拒绝服务攻击。
资料来源：https://www.securityweek.com/philips-working-patches-vulnerabilities-found-medical-products


2. 6、思科防火墙存在高危漏洞

PositiveTechnologies研究员Nikita Abramov在Cisco ASA（自适应安全设备）和Cisco FTD（Firepower威胁防御）的防火墙中检测到了CVE-2021-34704漏洞，CVSS评分8.6，属于高危漏洞。如果漏洞被利用，组织的防火墙将被削弱，使其更容易受到攻击，远程工作的员工将无法访问组织的内部网络。攻击者无需提升权限，仅通过构造一个简单的请求即可利用该漏洞。当缓冲区中的数据量超过其存储容量时，对请求的进一步解析将触发缓冲区溢出，受影响的系统随后将突然关闭并重新启动。
资料来源：https://www.infosecurity-magazine.com/news/cisco-flaw-affects-firewalls/?&web_view=true

2. 7、Imunify360Web服务器安全产品存在严重漏洞

思科Talos部门的研究人员发现Imunify360受到一个高危漏洞的影响，远程攻击者可以利用该漏洞使用特制文件在服务器上执行任意代码。Imunify360是专为网络托管服务器设计的安全平台。它包括网站保护和Web服务器安全功能，包括入侵防御和检测系统、Web应用程序和网络防火墙、防病毒保护和补丁管理。该漏洞被追踪为CVE-2021-21956，并被描述为反序列化问题，存在于Ai-Bolit恶意软件扫描程序组件中。
资料来源：https://www.securityweek.com/serious-vulnerability-found-imunify360-web-server-security-product


2. 8、研究人员发布最新Microsoft Exchange零日漏洞PoC

一位安全研究人员发布了针对最近修复的影响本地Microsoft Exchange Server安装的代码执行漏洞的概念验证(PoC)漏洞利用代码。该漏洞被跟踪为CVE-2021-42321，CVSS评分8.8，该漏洞影响本地Microsoft Exchange Server，包括Exchange混合模式实例，被描述为影响Exchange 2016和2019的验证后漏洞。微软表示，经过身份验证的攻击者可以利用安全漏洞在易受攻击的系统上远程执行代码。
资料来源：https://www.securityweek.com/poc-exploit-published-latest-microsoft-exchange-zero-day

2. 9、VMware修复vCenter Server中的文件读取、SSRF漏洞

VMware 11月23号向客户通报了影响其vCenter Server产品的任意文件读取和服务器端请求伪造(SSRF)漏洞补丁的可用性。任意文件读取漏洞被跟踪为CVE-2021-21980，它影响vSphere Web Client，攻击者可以利用该漏洞访问vCenter Server上的443端口，从而获取敏感信息。第二个漏洞为CVE-2021-22049，影响vSAN Web Client插件。在vCenter Server上443端口上有访问权限的恶意行为者可以通过访问vCenter Server之外的URL请求或访问内部服务来利用这个漏洞。
资料来源：https://securityaffairs.co/wordpress/124973/security/vmware-ssrf-vcenter-server.html


2. 10、英国国家网络安全中心发布《2021年度审查报告》

2021年11月17日，英国国家网络安全中心（NCSC）发布了最新的2021年度审查报告，详细介绍了过去12个月的网络威胁趋势及其为保护英国而开展的工作。概述了NCSC在2021年处理的777起网络攻击，以及专业、有组织的勒索软件活动对英国组织的破坏性影响，并强调了勒索软件即服务（RaaS）商业模式的持续演变。
资料来源：https://www.ncsc.gov.uk/collection/ncsc-annual-review-2021

2. 11、风电巨头维斯塔斯遭网络攻击并导致数据泄露

丹麦风力涡轮机巨头Vestas Wind Systems遭遇网络攻击，这起事件破坏了其部分内部IT基础设施并导致尚未明确的数据泄露。维斯塔斯在 11月19日事件发生后关闭了其部分系统。该公司尚未提供攻击事件具体发生的细节，拒绝说明这是否是勒索软件攻击，调查仍在进行中。在最新的更新声明中，该公司称发生了数据泄露，部分IT设施正在恢复中，没有证据表明事件影响了第三方运营，包括客户和供应链运营。
资料来源：https://www.cyberscoop.com/vestas-cyberattack-it-shutdown-wind-turbine/

2. 12、美国犹他州超580,000名患者信息遭泄露

美国犹他州法明顿的放射医学中心Utah Imaging Associates已开始通知其患者，他们的信息可能因数据泄露而受到损害。2021年9月4日，未知威胁行为者访问了包含与患者相关的敏感个人信息的文件。犹他州影像协会通知美国卫生与公众服务部，583,643人的数据在事件中遭到泄露。受影响的数据包括全名、出生日期、邮寄地址、健康保险单号和社会安全号码。医疗信息，包括诊断、处方详情和治疗信息也受到影响。
资料来源：https://www.securityweek.com/utah-medical-group-discloses-data-breach-affecting-over-580000-patients


2. 13、漏洞管理公司华云安获亿元A+轮融资

北京华云安信息技术有限公司完成亿元人民币的A+轮融资，此轮融资由同创伟业领投，微村智科和国君景泰跟投。华云安是一家专注漏洞管理与AI攻防的网络安全技术型厂商。历经两年时间的沉淀与打磨，华云安在攻防实战中探索全面风险管理的新方法，在持续的升级优化中夯实核心技术能力。华云安表示，在本轮融资的加码下，将持续夯实人才体系建设，加速实现攻击面检测和管理的技术创新与突破，全力打造攻击面管理第一产品力，持续提升用户网络安全防御能力。
资料来源：https://mp.weixin.qq.com/s/YaEbwPoIUHJQJdyPrzt6NQ

2. 14、数据安全公司全知科技完成数亿元融资

全知科技（杭州）有限责任公司宣布完成B轮数亿元融资。全知科技率先提出在数据流动和业务场景中进行安全防护和风险监控，保证数据在安全可控的同时也能够创造价值。全知科技的新一代数据安全体系就是建立在数据动态流动之上的风险识别控制体系。在未来，全知科技将继续加大研发力度，进一步建立数据全域关联的产品矩阵，分布开发覆盖，逐渐形成全域数据流动安全产品体系。
资料来源：https://mp.weixin.qq.com/s/RahIhzH2ieoQ0JFqEpgbDA

2. 15、物联网安全公司Shield-IoT融资740万美元

物联网(IoT)和工业物联网安全提供商Shield-IoT宣布已完成740万美元的A轮融资。Shield-IoT旨在帮助服务提供商和物联网品牌保护B2B物联网和IIoT网络，确保设备、数据以及关键基础设施和服务免受物联网网络威胁。除了帮助保护智能城市之外，其基于云的解决方案已经在政府、制造、电信、交通和公用事业等垂直领域使用。Shield-IoT表示，其coreset-AI技术通过将大数据转换为小数据集，为物联网海量数据分析带来了一种新方法，可在几分钟内提供准确的异常检测。
资料来源：https://www.securityweek.com/iot-security-company-shield-iot-raises-74-million

2. 16、DNV收购工业网络安全公司Applied Risk

风险管理解决方案提供商DNV正在收购工业网络安全公司Applied Risk，以努力打造一个“工业网络安全强国”。两家公司将合并为DNV品牌，交易的财务条款尚未披露。Applied Risk为各行各业的组织提供工业安全、认证和合规、事件响应和取证以及培训服务。DNV首席执行官Liv Hovem表示：“将应用风险公司和DNV令人印象深刻的工业网络安全专家团队聚集在一起，是我们通过收购和与全球顶级网络安全公司合作建立网络安全强国计划的第一步。”
资料来源：https://www.securityweek.com/industrial-cybersecurity-firm-applied-risk-acquired-dnv