The Good 在本週呢,網路安全和基礎架構安全局(CISA)發布了第一個(也將會以系列型發布)的 “Cyber Essentials Toolkit”。 該機構計劃每月發布更新。 每個工具包的設計均與 CISA 的6個 “基本要素” 為基礎。 通過工具包的每個步驟和 module,目標是引導老闆們,CISO 和 information owners 完成開發和落實的網路安全實踐和習慣的過程。 通過採取這些 “小規模” 的措施,企業組織應具備管理和理解風險的能力,並適當的分隔信息和資源以補充降低風險和暴露的能力。 以下為 CISA定義的 6 個 “基本要素”是:
這些 toolkits 中的第一個以 “自己” 元素為重點,面向網絡安全人員以及 IT 專業人員和服務提供商。 整個項目面向 C -level 主管。 如果你想更了解有關 Cyber Essentials 工具包和相關的更多信息,我們建議你來看看 CISA 的網站以獲取持續更新。 The Bad 而這週的壞消息是由研究人員發現到,VMware Cloud Director 出現了一個關鍵漏洞,而該漏洞可能使攻擊者完全控制受影響的基礎架構。 這個缺陷是因為輸入處理不當,導致狀態允許任意代碼注入。 之後可以通過基於 Flex 和 HTML5 的接口以及提供的 API,通過惡意製作的流量來觸發安全漏洞。 Citadelo 的研究人員在一次安全審核中發現了並 report 為 CVE-2020-3956 的漏洞。 除了遠端執行, 研究人員還證明了通過此漏洞,攻擊者可以進入在外部的雲端基礎架構。 漏洞可利用來獲得 vCloud 數據庫的完全權限,操縱系統管理員帳戶的憑證,最終以完全特權進入所有的託管客戶。 那麼除了發布的安全漏洞的信息之外,Citadelo 還發布了詳細的 PoC 來 demo 這個漏洞。 VMware 已發布更新來解決此問題。 我們鼓勵所有被影響或相關的客戶來查看發布的資料,並建議遵循指南和修補程序。 The Ugly 那本週醜陋的主角是: DoppelPaymer - 這個勒索軟體的背後執行者宣布了對於在 Maryland 的IT服務提供商 Digital Management, LLC 的攻擊。 受害者有許多是榮登在 Fortune 100 客戶,包括了美國 NASA。 在 DoppelPaymer 的 blog 網站上還特別註明了 NASA 與 Digital Management, LLC 的關係。 而他們聲稱竊取了屬於 NASA 和 SpaceX 的內部文件,其中包括了: 設備設計和計劃,人力資源和人員數據。 據說被竊取出來的數據跨越了從 2016年或更早到今天。
有鑑於 Digital Management LLC 在隸屬聯邦的空間內運作,因此他們的合規性和法規要求,是比非聯邦實體要嚴格得多,因此他們可能會面臨來自監管機構和客戶的災難性影響。 在某些方面,這些攻擊可能比許多政府贊助的攻擊造成的損害更大。 儘管攻擊者可能缺乏 APT 的秘密技術,但其影響可能是毀滅性的,甚至是會破產的。 Digital Management,LLC 肯定會在試圖撲滅此漏洞造成的巨大影響中、及在其他方面展開艱苦的奮鬥。
0 Comments
Your comment will be posted after it is approved.
Leave a Reply. |
Categories
All
Archives
January 2021
|