工业网络安全周报

政策法规方面，本周观察到国内外网络安全相关政策法规5项，值得关注的有国家标准《信息安全技术网络安全保险应用指南》公开征求意见、美国能源部拨款3900万美元的研究经费以推进DER的网络安全等。

漏洞态势方面，本周监测到漏洞动态28条，值得关注的有严重CodeMeter漏洞影响多种西门子产品。

安全事件方面，本周监测到重大网络安全事件26起，其中典型的事件有新西兰奥克兰交通局的HOP卡遭遇重大网络攻击致票务系统部分瘫痪、空中客车公司敏感数据泄露等。

产品技术方面，霍尼韦尔使用量子计算加密密钥来增强公用事业公司的数据安全性、新的Armis Centrix AI支持平台有助于主动保护资产并修复漏洞等。

01、国家标准《信息安全技术网络安全保险应用指南》公开征求意见

全国信息安全标准化技术委员会归口的国家标准《信息安全技术网络安全保险应用指南》现已形成标准征求意见稿。据《全国信息安全标准化技术委员会标准制修订工作程序》要求，现将该标准征求意见稿面向社会公开征求意见。

资料来源：http://pjvd2.xai6.sbs/i36J1vE

02、美国能源部拨款3900万美元的研究经费以推进DER的网络安全

美国能源部(DOE)通过其网络安全、能源安全和应急响应办公室(CESER)宣布为9个新的国家实验室项目提供3900万美元资金，以推进分布式能源( DER)的网络安全。这些项目将致力于推进清洁分布式能源新网络工具和技术的研究、开发和演示。

资料来源：http://jmgy3.xai8.sbs/szVdLmj

03、CISA发布开源软件安全路线图

9月12日，美国网络安全和基础设施安全局(CISA)发布了一份新文件，详细介绍了其支持开源软件(OSS)生态系统并确保联邦机构使用OSS的计划。据该机构称，任何人都可以访问、修改和分发的OSS可以驱动更高质量的代码并促进协作，但也通过Log4Shell等影响广泛的漏洞带来高风险。

资料来源：http://suhq6.xai8.sbs/2tLWynU

04、美国CISA小组提出国家网络安全警报系统的想法

为美国网络安全和基础设施安全局(CISA)提供咨询的一个小组表示，美国需要一个国家网络安全警报系统，该系统可以提供有关威胁和风险的可操作信息。在没有具体说明这样的系统是什么样子或它将如何运行的情况下，专家组发现“确实需要一个国家网络安全警报系统，以例行化24/7考虑和提供网络警报。

资料来源：http://16n26.xai8.sbs/2DbDmFz

05、严重CodeMeter漏洞影响多种西门子产品

西门子发布了7份新公告，涵盖影响该公司工业产品的总共45个漏洞。其中一份公告描述了CVE-2023-3935，这是一个影响Wibu Systems CodeMeter软件许可和保护技术的严重漏洞，该技术被多种西门子产品使用，包括PSS、SIMATIC、SIMIT、SINEC和SINEMA。如果CodeMeter Runtime配置为服务器，则未经身份验证的远程攻击者可以利用该缺陷执行任意代码。如果CodeMeter Runtime配置为客户端，则该错误可能允许经过身份验证的本地攻击者将权限升级到root。

资料来源：http://qvvo2.xai6.sbs/PZPIIHJ

06、SAP修补了影响NetWeaver、S/4HANA的严重漏洞

9月12日，德国商业软件制造商SAP宣布，作为2023年9月安全补丁日的一部分，发布13个新安全说明和5个更新安全说明。安全更新涉及两个严重漏洞，包括BusinessObjects中的一个严重漏洞(CVE-2023-40622，CVSS评分为9.9)以及CommonCryptoLib中缺少授权检查的问题(CVE-2023-40309，CVSS评分为9.8)。

资料来源：http://xczn3.xai8.sbs/NkDuEwg

07、Kubernetes漏洞导致远程代码执行

Akamai的安全研究人员警告说，Kubernetes中的一个高严重性漏洞可被利用在集群内的所有Windows端点上实现远程代码执行(RCE)。该漏洞编号为CVE-2023-3676(CVSS评分为8.8)，影响Kubernetes对YAML文件的处理，这些文件在容器编排系统中用于配置、管理、秘密处理等。

资料来源：http://2vsd5.xai6.sbs/YsNXDuS

08、新西兰奥克兰交通局的HOP卡遭遇重大网络攻击致票务系统部分瘫痪

9月14日，据媒体报道，奥克兰交通局(AT)的HOP卡系统遭遇重大网络事件，导致充值和其他服务中断。该事件似乎是勒索软件攻击，但调查仍在进行中。奥克兰交通局已启动安全协议，并正在与专家合作伙伴合作，尽快解决该问题。

资料来源：https://therecord.media/montreal-electricity-organization-lockbit-victim/

09、空中客车公司敏感数据泄露

9月12日，据The Record报道，欧洲跨国航空航天公司空中客车公司(Airbus)确认其3,200家供应商的数据(包括姓名、家庭地址、电子邮件地址以及电话号码)被泄露。目前空客公司已启动本次网络安全事件调查。

资料来源：

https://www.hackread.com/uk-air-traffic-control-system-collapses-travel-chaos/

10、伊朗国家黑客组织Peach Sandstorm攻击全球卫星和国防组织

最新研究表明，作为间谍活动的一部分，与伊朗政府有关的黑客针对卫星、国防和制药行业的数千个组织进行了攻击。根据微软周四(9月14日)发布的一份报告，此次攻击背后的黑客组织被微软追踪为Peach Sandstorm，成功入侵了一些目标组织并窃取了他们的数据。

资料来源：

https://therecord.media/iranian-hackers-target-satellite-defense-orgs

11、西方国家的ICS计算机遭受的攻击不断增加

根据卡巴斯基最新的工业控制系统(ICS)威胁态势报告，西方世界的工业控制系统(ICS)计算机受到的攻击越来越多，但与全球其他地区相比，比例仍然较小。2023年上半年，卡巴斯基拦截了34%受其产品保护的ICS计算机的威胁，第二季度创下2019年以来的最高季度水平。

资料来源：http://v6l96.xai8.sbs/cZ3pdNb

12、英国第二支主要警察部队在不到一个月内遭受网络攻击

据美联社报道，一家生产身份证的公司窃取了大曼彻斯特警察局数千名警官和工作人员的个人信息，这是不到一个月内第二次影响英国主要警察部队的此类网络攻击。大曼彻斯特警方于9月14日表示，身份徽章和授权卡的详细信息，包括姓名、照片和身份证号码或警察项圈号码，在勒索软件攻击中被盗。第三方供应商的身份尚未确定。

资料来源：http://ouml6.xai8.sbs/CdaAGWO

13、霍尼韦尔使用量子计算加密密钥来增强公用事业公司的数据安全性

霍尼韦尔宣布正在将量子计算强化加密密钥集成到智能公用事业电表中，帮助保护最终用户数据免受高级网络安全威胁。该公司选择利用Quantinuum的Quantum Origin技术来帮助提高数字化转型公用事业领域的可靠性和信任度。Quantinuum的先进技术为最终用户和关键基础设施提供了针对威胁的增强保护。

资料来源：http://en8d6.xai8.sbs/7BEf1wA

14、新的Armis Centrix AI支持平台有助于主动保护资产并修复漏洞

9月13日，资产情报网络安全公司Armis推出了Armis Centrix，这是其人工智能驱动的网络暴露管理平台。凭借其无缝、顺畅、基于云的平台，Centrix有助于主动保护所有资产、修复漏洞、阻止威胁并保护整个攻击面。这有助于确保组织攻击面得到实时防御和管理。Armis Centrix与行业无关，允许制造、健康和医疗、IT(信息技术)、能源和公用事业、金融服务、交通、电信和媒体以及公共部门等从其功能中受益。

资料来源：http://uynr6.xai8.sbs/Yc40dFQ

15、Claroty在其SaaS平台中添加VRM功能，以帮助组织降低CPS风险

9月13日，网络物理系统(CPS)保护公司Claroty宣布增强其SaaS平台的漏洞和风险管理(VRM)功能，进一步增强安全团队评估和加强其组织的CPS风险态势。这些增强功能包括独特的细粒度且灵活的风险评分框架、使漏洞优先级工作流程的效率比行业标准1高11倍的功能，以及对不断发展的软件物料清单(SBOM)环境的支持。

资料来源：http://i6vt5.xai6.sbs/gQCLJ5S

16、Certa融资3500万美元，将人工智能引入第三方风险管理

总部位于旧金山的Certa创始人兼首席执行官表示，该公司计划利用3500万美元投资人工智能，该人工智能将基于文本的政策应用于从ESG和法律到合规和采购等各个方面，并将其转换为与第三方工具集成的受控工作流程。

资料来源：http://2gqo6.xai8.sbs/UM9PNg6