普普安全資訊一周概覽（0225-0303）

作者：

時(shí)間：
2023-03-03
01

數(shù)百個(gè)Docker容器鏡像中隱藏漏洞

下載量高達(dá)數(shù)十億次



Rezilion發(fā)現(xiàn)了數(shù)百個(gè)Docker容器鏡像的存在，這些鏡像包含了大多數(shù)標(biāo)準(zhǔn)漏洞掃描器和SCA工具都沒有檢測到的漏洞研究發(fā)現(xiàn)，數(shù)百個(gè)Docker容器鏡像中隱藏著許多高危險(xiǎn)性/關(guān)鍵性的漏洞，這些容器鏡像的下載量合計(jì)達(dá)數(shù)十億次。其中包括已被公開的高知名漏洞。

一些隱藏的漏洞在野外被積極利用，這些漏洞是CISA已知被利用漏洞合集中的一部分，包括CVE-2021-42013、CVE-2021-41773、CVE-2019-17558經(jīng)過研究發(fā)現(xiàn)漏洞存在的根本原因是無法檢測未被軟件包管理器管理的軟件組件。該研究解釋了標(biāo)準(zhǔn)漏洞掃描器和SCA工具的固有操作方法是如何依靠從軟件包管理器獲取數(shù)據(jù)來了解掃描環(huán)境中存在哪些軟件包的，這使得它們?nèi)菀自诙喾N常見情況下遺漏易受攻擊的軟件包，即軟件的部署方式規(guī)避了這些軟件包管理器。

普普建議

只要漏洞掃描程序和SCA工具無法適應(yīng)這些情況任何以這種方式安裝軟件包或可執(zhí)行文件的容器映像最終都可能包含隱藏漏洞。

02
工業(yè)物聯(lián)網(wǎng)攻擊是否對企業(yè)構(gòu)成嚴(yán)重威脅?

工業(yè)物聯(lián)網(wǎng)如今正在迅速得到采用，并為企業(yè)提供了更廣闊的視野。企業(yè)可以采取一些措施來保護(hù)自己免受工業(yè)物聯(lián)網(wǎng)攻擊。一些最佳實(shí)踐包括：

制定網(wǎng)絡(luò)安全計(jì)劃：企業(yè)應(yīng)制定網(wǎng)絡(luò)安全計(jì)劃，考慮到與工業(yè)物聯(lián)網(wǎng)相關(guān)的獨(dú)特風(fēng)險(xiǎn)。

進(jìn)行定期風(fēng)險(xiǎn)評估：定期風(fēng)險(xiǎn)評估對于識(shí)別工業(yè)物聯(lián)網(wǎng)環(huán)境中的漏洞是必要的。

實(shí)施適當(dāng)?shù)脑L問控制：對工業(yè)物聯(lián)網(wǎng)系統(tǒng)的訪問應(yīng)僅限于授權(quán)人員。

使用安全通信協(xié)議：工業(yè)物聯(lián)網(wǎng)設(shè)備應(yīng)使用安全通信協(xié)議，例如SSL/TLS，以確保數(shù)據(jù)安全傳輸。

在邊緣實(shí)施安全措施：邊緣計(jì)算允許安全措施在更靠近數(shù)據(jù)源的地方實(shí)施，從而有助于保護(hù)工業(yè)物聯(lián)網(wǎng)系統(tǒng)。

確保軟件和固件是最新的：保持軟件和固件是最新的以確保已知的漏洞得到解決是必不可少的。

實(shí)施適當(dāng)?shù)奈锢戆踩胧簯?yīng)實(shí)施訪問控制和監(jiān)控等物理安全措施，以保護(hù)工業(yè)物聯(lián)網(wǎng)設(shè)備免受物理篡改。

制定事件響應(yīng)計(jì)劃：應(yīng)制定事件響應(yīng)計(jì)劃，以確保在工業(yè)物聯(lián)網(wǎng)攻擊期間采取適當(dāng)?shù)男袆?dòng)。

為員工提供培訓(xùn)：員工應(yīng)接受與工業(yè)物聯(lián)網(wǎng)相關(guān)的風(fēng)險(xiǎn)以及如何識(shí)別和應(yīng)對潛在威脅的培訓(xùn)。

普普建議

工業(yè)物聯(lián)網(wǎng)的迅速采用提高了工作效率，但最終在物聯(lián)網(wǎng)領(lǐng)域產(chǎn)生了更廣泛的威脅向量。防范工業(yè)物聯(lián)網(wǎng)攻擊需要多方面的方法，包括強(qiáng)大的訪問控制、安全通信協(xié)議、定期風(fēng)險(xiǎn)評估和全面的事件響應(yīng)計(jì)劃。通過采取這些措施，企業(yè)可以最大限度地降低與工業(yè)物聯(lián)網(wǎng)相關(guān)的風(fēng)險(xiǎn)，并保護(hù)自己免受潛在毀滅性后果的影響。

03
2022年的五大威脅將繼續(xù)影響2023年

網(wǎng)絡(luò)安全公司Malwarebytes在其最新發(fā)布的《年度惡意軟件狀態(tài)報(bào)告》中，選擇了五種威脅，他們認(rèn)為這些威脅是2022年觀察到的一些最常見的惡意軟件家族的原型：

LockBit勒索軟件

Emotet僵尸網(wǎng)絡(luò)

SocGholish網(wǎng)頁掛馬攻擊/過路式下載攻擊( drive-by download )

Android木馬

macOS Genio廣告軟件

該公司在報(bào)告中指出，“想要在2023年剩余的時(shí)間里保護(hù)業(yè)務(wù)正常運(yùn)營，你需要明白一點(diǎn)：你將面臨的最危險(xiǎn)的網(wǎng)絡(luò)威脅并非你所見過的最奇怪的攻擊，也非最復(fù)雜或最引人注目的攻擊，它們甚至并非最普遍的攻擊。相反地，這些最危險(xiǎn)的威脅往往來自一系列已知的、成熟的工具和策略，整個(gè)網(wǎng)絡(luò)犯罪生態(tài)系統(tǒng)都依賴這些工具和策略，且每年從中獲利數(shù)十億美元。”

普普點(diǎn)評

威脅形勢是高度多樣化的，攻擊的復(fù)雜程度也從最基本的騙局發(fā)展為國家級(jí)別的網(wǎng)絡(luò)間諜活動(dòng)。企業(yè)需要優(yōu)先考慮可能影響業(yè)務(wù)運(yùn)營和員工安全的最常見威脅，并部署針對性防御措施。

04
物聯(lián)網(wǎng)時(shí)代，我們要面對什么樣的挑戰(zhàn)呢？

在中國，物聯(lián)網(wǎng)(IoT)已經(jīng)激增，現(xiàn)在連接的事物比連接的人還多。

隨著物聯(lián)網(wǎng)時(shí)代擴(kuò)展到工業(yè)應(yīng)用和新興技術(shù)的發(fā)展，仍然需要解決一些問題，包括其規(guī)模化部署。

在物聯(lián)網(wǎng)的新時(shí)代，必須正面應(yīng)對基礎(chǔ)設(shè)施差距、個(gè)人數(shù)據(jù)保護(hù)和電子垃圾等社會(huì)挑戰(zhàn)。

2022年8月，中國聯(lián)網(wǎng)“物”(移動(dòng)設(shè)備)的數(shù)量首次超過了聯(lián)網(wǎng)“人”的數(shù)量。

根據(jù)工業(yè)和信息化部(MIIT)的數(shù)據(jù)，中國移動(dòng)網(wǎng)絡(luò)中連接物聯(lián)網(wǎng)(IoT)的設(shè)備達(dá)到16.98億臺(tái)，超過了手機(jī)用戶的數(shù)據(jù)。這一趨勢正在加速。

在短短幾個(gè)月的時(shí)間里，到2022年底，中國52.3%的連接是由“物聯(lián)網(wǎng)”(18.45億)代表6的。因此，在未來幾年，中國將看到更多由物聯(lián)網(wǎng)驅(qū)動(dòng)的數(shù)字化轉(zhuǎn)型。

同時(shí)：物聯(lián)網(wǎng)時(shí)代出現(xiàn)了三個(gè)社會(huì)挑戰(zhàn)

1、基礎(chǔ)設(shè)施差距

2、個(gè)人資料的隱私和安全

3、電子垃圾增加對環(huán)境造成沖擊

普普點(diǎn)評

未來十年，我們將看到物理世界、數(shù)字世界和生物世界的融合，這將帶來巨大的希望和潛在的危險(xiǎn)。

我們將需要并實(shí)施數(shù)千億甚至數(shù)萬億美元的新數(shù)字基礎(chǔ)設(shè)施。行業(yè)轉(zhuǎn)型將遠(yuǎn)遠(yuǎn)超過我們過去十年見證的消費(fèi)互聯(lián)網(wǎng)熱潮，電子垃圾問題可能會(huì)被放大。

我們是否為新的萬物互聯(lián)準(zhǔn)備好了足夠的數(shù)據(jù)監(jiān)管、隱私保護(hù)和人工智能道德了呢?

05
如何確保物聯(lián)網(wǎng)邊緣設(shè)備處理器的安全性

你的物聯(lián)網(wǎng)邊緣設(shè)備處理器安全嗎?以下是提高邊緣安全性的方法。

保護(hù)邊緣設(shè)備：利用MCU和MPU

有無數(shù)種方法可以保護(hù)邊緣設(shè)備及其流程?；谟布陌踩椒ㄍǔ?yōu)于僅使用軟件的方法。物聯(lián)網(wǎng)邊緣設(shè)備的優(yōu)勢在于，其具有良好的處理能力和內(nèi)存，可以相對輕松地運(yùn)行高級(jí)安全流程。

基于處理器的邊緣安全策略

基于處理器的安全功能通常通過集成安全I(xiàn)P塊來實(shí)現(xiàn)，這些安全I(xiàn)P塊可以提供可編程的信任根核心、物理上不可克隆函數(shù)(PUF)、隨機(jī)數(shù)生成器(RNG)、唯一ID、安全套接字層(SSL)/傳輸層安全(TLS)支持、安全區(qū)域、加密塊等。

整體硬件-軟件-網(wǎng)絡(luò)方法

物聯(lián)網(wǎng)邊緣安全并不一定只從硬件的角度提供，軟件、網(wǎng)絡(luò)和云級(jí)別上有許多安全技術(shù)也提供了重要的保護(hù)。

普普點(diǎn)評

隨著安全處理器市場的成熟，成本和復(fù)雜性降低，使得這些技術(shù)更容易獲得，并更容易集成到越來越多的應(yīng)用中。標(biāo)準(zhǔn)和法規(guī)有助于創(chuàng)建基線，進(jìn)一步促進(jìn)互操作性和采用。物聯(lián)網(wǎng)邊緣的安全處理器市場顯然正在迅速發(fā)展，并將帶來巨大的創(chuàng)新。

06
如何通過零信任架構(gòu)實(shí)現(xiàn) API 安全？

有數(shù)據(jù)顯示，大多數(shù)企業(yè)在面對API攻擊時(shí)都沒做好準(zhǔn)備：

API攻擊在過去681個(gè)月中增加了12%

95%的受訪者在過去一年內(nèi)均有經(jīng)歷過API安全事件

34%的受訪者表示缺乏API安全策略

62%的受訪者承認(rèn)，由于API安全問題，推遲了新應(yīng)用程序的上線

根據(jù)Google Cloud最近關(guān)于API安全的報(bào)告顯示，API安全威脅主要來自：

API配置錯(cuò)誤（40%）

過時(shí)的API、數(shù)據(jù)和組件（35%）

垃圾郵件、濫用、機(jī)器人（34%）

零信任安全防護(hù)系統(tǒng)，是一款基于 “永不信任、持續(xù)驗(yàn)證”安全理念，采用S I M技術(shù)的架構(gòu)體系，整合軟件定義邊界技術(shù)（SDP）、身份認(rèn)證及訪問管理控制技術(shù)（IAM）和微隔離技術(shù)（MSG）等技術(shù)的安全防護(hù)系統(tǒng)，確保政企業(yè)務(wù)訪問過程身份安全、設(shè)備安全、鏈路安全和應(yīng)用安全，為政企應(yīng)用提供統(tǒng)一、安全、高效的訪問入口，打造了'安全+可信+合規(guī)'三位一體政企網(wǎng)絡(luò)的縱深安全防御體系。

普普點(diǎn)評

零信任安全防護(hù)系統(tǒng)，是一款基于 “永不信任、持續(xù)驗(yàn)證”安全理念，采用S I M技術(shù)的架構(gòu)體系，整合軟件定義邊界技術(shù)（SDP）、身份認(rèn)證及訪問管理控制技術(shù)（IAM）和微隔離技術(shù)（MSG）等技術(shù)的安全防護(hù)系統(tǒng)，確保政企業(yè)務(wù)訪問過程身份安全、設(shè)備安全、鏈路安全和應(yīng)用安全，為政企應(yīng)用提供統(tǒng)一、安全、高效的訪問入口，打造了'安全+可信+合規(guī)'三位一體政企網(wǎng)絡(luò)的縱深安全防御體系。

07
全球暗網(wǎng)監(jiān)控工具 TOP10

希望領(lǐng)先于數(shù)據(jù)泄露的企業(yè)可以從暗網(wǎng)監(jiān)控工具中獲取諸多收益，例如掃描個(gè)人身份信息，甚至響應(yīng)攻擊。

大多數(shù)企業(yè)不需要直接進(jìn)行暗網(wǎng)研究，相反地，他們可以利用監(jiān)控工具來掃描暗網(wǎng)。此外，像擴(kuò)展檢測和響應(yīng)（XDR）等工具或托管檢測和響應(yīng)（MDR）等服務(wù)，通常也會(huì)從暗網(wǎng)收集數(shù)據(jù)，以識(shí)別受感染的帳戶、評估風(fēng)險(xiǎn)并為威脅分析提供上下文。下述列舉了10款此類工具。下述列舉了10款此類工具。

Brandefense

CTM360 CyberBlindspot和ThreatCover

IBM X-Force Exchange

IntSights威脅情報(bào)平臺(tái)

惡意軟件信息共享平臺(tái)-MISP

MandiantDigital Threat Monitoring

OpenCTI

Palo Alto Networks AutoFocus

Recorded FutureIntelligence Cloud Platform

SOCRadar RiskPrime

普普點(diǎn)評

每個(gè)首席信息官都不希望自己公司的數(shù)據(jù)最終落入暗網(wǎng)這種地方。一般來說，暗網(wǎng)包括那些沒有被谷歌這樣的流行搜索引擎索引的網(wǎng)站，也包括那些通常通過網(wǎng)絡(luò)攻擊獲得數(shù)據(jù)的地下黑市。獲取這些網(wǎng)站中數(shù)據(jù)提供的運(yùn)營情報(bào)對于防范網(wǎng)絡(luò)犯罪分子至關(guān)重要，這些網(wǎng)絡(luò)犯罪分子會(huì)利用泄露的賬戶進(jìn)行攻擊、實(shí)施欺詐，或使用魚叉式網(wǎng)絡(luò)釣魚或品牌欺騙進(jìn)行活動(dòng)。暗網(wǎng)也是犯罪集團(tuán)的行動(dòng)、戰(zhàn)術(shù)和意圖的情報(bào)來源。監(jiān)控暗網(wǎng)泄露數(shù)據(jù)的工具可用于這些目的。