本期摘要

政策法规方面，2021年工业互联网安全标准体系正式发布，对促进网络安全产业高质量发展具有重要支撑作用。美国与澳大利亚签署CLOUD法案双边协议，将用于跨境获取数据。美国国土安全部启动“Hack DHS”漏洞赏金计划，旨在识别其系统中的潜在网络安全漏洞并提高该部的网络安全弹性。
漏洞态势方面，SAP针对其20个应用程序中的Log4Shell漏洞发布了补丁，但仍有12个应用程序尚待修复。12月14日，微软修复了67个漏洞，包括一个被用于传播恶意软件的零日漏洞。联想笔记本电脑（ThinkPad和Yoga系列）存在高危漏洞，攻击者可利用其获取管理员权限。Mozilla修复Firefox中13个漏洞，包括6个可用于执行任意代码的严重漏洞。谷歌修复Chrome中的零日漏洞，这是2021年谷歌修复的第17个零日漏洞。
安全事件方面，CISA呼吁提高关键基础设施的安全性，建议通过实施网络安全最佳实践，确保其组织做好应对事件的准备。微软研究显示：在过去12到24个月内，针对IoT/OT设备的攻击数量在“增加”或“显著增加”。卡巴斯基专家发现，大规模间谍软件活动以全球数千台ICS计算机为目标，其中工程和楼宇自动化是受影响最严重的行业。
融资并购方面，瑞数信息完成C3轮亿元级融资，提供涵盖Web、App和API的全渠道的专业网络安全产品及服务。铁路网络安全公司Cylus融资3000万美元，用于保护全球干线和城市铁路公司免受一系列威胁和风险。容器和云安全公司Sysdig融资3.5亿美元，旨在为组织的容器、云和Kubernetes提供安全性和可见性功能。网络浏览安全公司Guardio融资4700万美元，旨在抵御基于网络和云的威胁。API安全平台Noname Security融资1.35亿美元，成为网络安全独角兽企业。
1. 1、2021年工业互联网安全标准体系正式发布

12月9日，在工业和信息化部网络安全管理局指导下，工业信息安全产业发展联盟、工业互联网产业联盟、工业和信息化部商用密码应用推进标准工作组共同发布《工业互联网安全标准体系（2021年）》。工业互联网安全标准体系包括分类分级安全防护、安全管理、安全应用服务等3个类别、16个细分领域以及76个具体方向，对于发挥标准规范引领作用、推动建立网络安全分类分级管理制度、强化工业互联网企业安全防护能力，促进网络安全产业高质量发展具有重要支撑作用。
资料来源：https://mp.weixin.qq.com/s/EAtOE5CrjUI2CPbW1Y6gvA

2. 2、美国与澳大利亚签署CLOUD法案双边协议

2021年12月15日，澳大利亚和美国签署了一项具有里程碑意义的CLOUD法案协议，该协议旨在在防止严重犯罪、恐怖主义、勒索软件攻击、关键基础设施破坏和儿童性虐待方面作出努力。该协议是第二个在《澄清境外合法使用数据法案》(CLOUD Act) 框架下达成的双边协议。通过双边协议，澳大利亚执法机构能够发布命令，迫使美国服务提供商提供通信数据，以打击直接针对美国公司的严重犯罪，反之亦然。
资料来源：https://www.zdnet.com/article/australia-and-the-us-enter-into-cloud-act-agreement-for-cross-border-access-to-electronic-evidence/

2. 3、美国国土安全部启动“Hack DHS”漏洞赏金计划

美国国土安全部 (DHS) 宣布启动一项漏洞赏金计划，重点是识别其系统中的漏洞。该计划将在整个 2022 财年分三个阶段运行，首先是识别漏洞，然后进入现场面对面的黑客活动，然后是评估期，在此期间国土安全部将审查吸取的经验教训。Hack DHS 将使用该部门网络安全和基础设施安全局 (CISA) 创建的平台，并由 DHS 首席信息官办公室进行监控。漏洞赏金奖励将根据所报告缺陷的严重程度确定——其范围在 500 美元到 5,000 美元之间。
资料来源：https://www.dhs.gov/news/2021/12/14/dhs-announces-hack-dhs-bug-bounty-program-identify-potential-cybersecurity?utm_source=hp_slideshow&utm_medium=web&utm_campaign=dhsgov

2. 4、SAP修复20个应用程序中的Log4Shell漏洞

德国软件制造商SAP正在争分夺秒地修复其应用程序中的Log4Shell漏洞，SAP发现共有32个应用程序受到Log4Shell漏洞的影响，并已经为其中的20个提供了补丁，同时正在尽快修复其余12个。此外，SAP发布了两个新安全公告。其中第一个修复了SAPCommerce中的11个代码执行漏洞、拒绝服务（DoS）以及服务器端请求伪造（SSRF）漏洞。第二个公告通过停用有漏洞的代码修复了ABAP服务器和ABAP平台中的一个代码注入漏洞。
资料来源：https://www.securityweek.com/sap-patches-log4shell-vulnerability-20-applications

2. 5、微软修复被用于传播恶意软件的零日漏洞

12月的补丁星期二，微软共修复了67个漏洞，包括7个严重漏洞。其中最关键的是CVE-2021-43890（CVSS评分7.1），这是一个Windows AppX安装程序欺骗漏洞，微软表示可利用该漏洞实现任意代码执行，该漏洞被滥用于提供Emotet、TrickBot或Bazaloader恶意软件负载。较低的严重性评级表明代码执行取决于登录用户级别，这意味着“帐户配置为在系统上拥有较少用户权限的用户可能比使用管理用户权限操作的用户受到的影响更小。”
资料来源：https://thehackernews.com/2021/12/microsoft-issues-windows-update-to.html

2. 6、联想笔记本电脑存在高危漏洞

联想笔记本电脑（包括ThinkPad和Yoga系列）受到ImControllerService服务中权限提升漏洞的影响，该漏洞允许攻击者以管理员权限执行命令。这些漏洞被跟踪为CVE-2021-3922和CVE-2021-3969，分别是竞争条件漏洞和使用时间检查时间(TOCTOU)漏洞。该漏洞存在于ImControllerService处理高特权子进程执行的方式中，这允许具有系统本地访问权限的非特权攻击者提升他们的特权。
资料来源：https://securityaffairs.co/wordpress/125711/hacking/lenovo-laptops-privileges-escalation-flaws.html

2. 7、Mozilla修复Firefox中的高危漏洞

Mozilla发布了Firefox浏览器的安全更新，包括针对13个漏洞的补丁，其中有6个严重漏洞，如果成功利用，可能允许攻击者在易受攻击的应用程序的上下文中执行任意代码，将导致整个系统受到损害。其中CVE-2021-43536可能导致在执行异步功能时在导航期间暴露目标URL。CVE-2021-43537则是由“从64位到32位整数的大小类型转换不正确”引起的堆缓冲区溢出漏洞。
资料来源：https://www.securityweek.com/mozilla-patches-high-severity-vulnerabilities-firefox-thunderbird?&web_view=true

2. 8、谷歌修复Chrome中的零日漏洞

谷歌发布了Chrome96更新，共修复了五个漏洞，包括一个在攻击中被利用的零日漏洞，该漏洞被跟踪为CVE-2021-4102，属于高危漏洞，被描述为V8JavaScript引擎中的释放后使用问题，于12月9日由一位匿名研究人员报告给谷歌。新修复的漏洞中最严重的是CVE-2021-4098，为严重漏洞，在Mojo中被描述为数据验证不足。攻击者可以利用其在浏览器的上下文中执行任意代码。
资料来源：https://www.securityweek.com/chrome-96-update-patches-exploited-zero-day-vulnerability

2. 9、CISA呼吁提高关键基础设施的安全性

美国网络安全和基础设施安全局(CISA)呼吁关键基础设施所有者和运营商改善他们对恶意网络攻击的安全立场。CISA建议通过实施网络安全最佳实践，确保其组织做好应对事件的准备。为了提高防御能力，CISA建议关键基础设施组织消除IT/OT安全人员覆盖范围内的差距，并通过提高意识和良好实施的事件响应程序为快速响应做好准备。对于拥有OT或工业控制系统(ICS)资产的实体，CISA还建议识别关键流程并保护它们，开发变通方法和手动控制以在需要时隔离关键流程，并确保实施备份程序。
资料来源：https://www.securityweek.com/cisa-calls-improved-critical-infrastructure-security

2. 10、微软研究显示：对物联网/OT设备的攻击数量不断增加

根据微软委托进行的一项新研究，对物联网和OT设备的攻击数量正在增加，并且在许多情况下，这些系统是攻击者专门针对的目标。参与调查的600多名受访者中有44%表示，他们的组织在过去两年中经历了涉及IoT或OT设备的网络事件。39%的人表示这样的设备是攻击的目标，35%的人表示该设备被用来进行更广泛的攻击。半数受访者表示，在过去12到24个月内，他们组织中针对物联网/OT设备的攻击数量“增加”或“显着增加”。此外，只有不到20%的受访者认为未来一段时间内攻击量会减少。
资料来源：https://www.microsoft.com/en-us/download/details.aspx?id=103698

2. 11、大规模间谍软件活动以全球数千台ICS计算机为目标

从2021年1月到11月，卡巴斯基专家发现了一种新的恶意软件，该恶意软件针对195个国家/地区的35,000多台计算机。由于与高级持续威胁(APT)组织Lazarus的Manuscrypt恶意软件相似，这种新恶意软件被称为“PseudoManuscrypt”，它包含高级间谍功能，并已被视为针对政府组织和众多行业的工业控制系统(ICS)。许多目标是工业和政府组织，包括军工企业和研究实验室。7.2%的受攻击计算机是工业控制系统(ICS)的一部分，其中工程和楼宇自动化是受影响最严重的行业。
资料来源：https://www.kaspersky.com/about/press-releases/2021_mass-spyware-campaign-targets-thousands-of-ics-computers-around-the-world

2. 12、瑞数信息完成C3轮亿元级融资

瑞数信息于12月17日正式宣布完成亿元级C3轮融资。瑞数信息是中国动态安全技术的创新者和Bots自动化攻击防护领域的专业厂商。瑞数信息提供涵盖Web、App和API的全渠道应用安全、业务安全、数据安全、云安全等在内的专业网络安全产品及服务。本次融资除了用于进一步扩大对现有安全业务的市场拓展、持续完善与升级动态安全技术在应用与业务安全领域的产品线，还将进一步加大数据安全创新产品的研发。
资料来源：https://mp.weixin.qq.com/s/SbQt0GVgMu_VyYo6s3zM7Q

2. 13、铁路网络安全公司Cylus融资3000万美元

铁路网络安全公司Cylus在B轮融资中筹集了3000万美元。Cylus是一家位于特拉维夫的铁路网络安全初创公司，它构建了一个网络安全解决方案CylusOne，以保护全球干线和城市铁路公司免受一系列威胁和风险。Cylus的解决方案为所有铁路系统提供持续监控和360度实时保护，无论其规模和地理位置如何，从而实现实时威胁检测、高级取证和缓解、简化安全操作等。CylusOne只需几个小时即可完成安装，零停机时间，与新旧系统完全集成，无需更改网络架构，在几秒钟内提供完整的可见性。
资料来源：https://techcrunch.com/2021/12/15/cylus-raises-30m-series-b-to-help-protect-trains-and-metros-worldwide/

2. 14、容器和云安全公司Sysdig融资3.5亿美元

容器和云安全公司Sysdig宣布在G轮融资中筹集3.5亿美元。Sysdig表示计划利用这笔资金加速其在欧洲、中东、亚太地区和南美的扩张。这笔资金还将使公司能够增强其产品、扩大其合作伙伴计划并雇用更多人员。Sysdig提供了一个安全的DevOps平台，旨在为组织的容器、云和Kubernetes提供安全性和可见性功能。该公司的解决方案使客户能够保护软件构建管道、检测和响应运行时威胁、监控云和容器服务的性能和容量，以及管理云状态和合规性。
资料来源：https://www.securityweek.com/sysdig-raises-350-million-25-billion-valuation

2. 15、网络浏览安全公司Guardio融资4700万美元

网页浏览安全公司Guardio宣布，它已完成4700万美元的融资。Guardio表示，它利用机器学习和专有算法为全球的小型企业和最终用户提供企业级保护，抵御基于网络和云的威胁。该公司提供了一个浏览器内扩展，专门用于保护用户在使用消息、购物、银行和加密托管等数字服务时免受针对他们的威胁。Guardio声称每天为大约900万用户提供服务，其中数万是付费客户。
资料来源：https://www.securityweek.com/web-browsing-security-firm-guardio-raises-47-million

2. 16、API安全平台Noname Security融资1.35亿美元

API安全平台Noname Security宣布，在完成1.35亿美元的C轮融资后，它已成为网络安全独角兽。Noname Security对API安全采取主动方法，分析代码、配置和流量以识别安全问题，例如错误配置和设计缺陷。Noname Security表示，它每天阻止1,000多次攻击，声称已经识别并解决了可能导致数十亿敏感记录泄露的错误配置的API。其平台为20%的财富500强公司提供API安全功能。Noname Security计划利用新投资扩大其上市和研发团队。
资料来源：https://www.securityweek.com/noname-security-raises-135-million-unicorn-valuation