工业互联网“安全知” （2023年第33期）
2023-04-19 11:19:53   来源： 工业互联网和车联网安全中心   评论：0 点击：

　　目录

　　国际视野

　　美国CISA与USACE-ERDC联合发布海上运输系统弹性评估指南

　　美国白宫技术委员会成立网络物理弹性工作组

　　美国CISA发布《基于利益相关者的网络安全绩效目标》更新版

　　美国参议院能源委员会解决能源基础设施关键部分的网络安全风险

　　美国国防部发布网络安全参考架构

　　美国推动联邦数据中心增强法案以强化物理和数字安全

　　国内动态

　　国家市场监督管理总局 中央网络安全和信息化委员会办公室 工业和信息化部 公安部联合印发《关于开展网络安全服务认证工作的实施意见》

　　工信微报|新型工业化深入推进

　　黑龙江省工信厅发布《关于开展工业领域网络和数据安全专家征集工作的通知》

　　安全事件

　　Vice Society勒索软件组织攻击波多黎各自来水公司

　　北京亚控科技ICS平台存在信息泄露和缓冲区溢出漏洞

　　意大利跑车制造商法拉利遭遇网络攻击事件并受到黑客勒索

　　WellinTech Industrial Data Historian中发现高危漏洞

　　美国CISA警告：美国八个工业控制系统存在多个高危漏洞

　　英国工业软件制造商Aveva的人机界面和监控与数据采集产品爆出严重漏洞

　　未修补的安全漏洞使水泵控制器遭受远程黑客攻击

　　科技前沿

　　Waterfall Security和TXOne Networks推出新的OT安全设备

　　美国能源部将量子传感器用于电网优化

　　产业新闻

　　中国信息通信研究院发布五星平台安全防护优秀方案-卡奥斯COSMOPlat工业互联网平台

　　中国信通院总工程师敖立：工业互联网规模化发展，加速中国新型工业化进程

　　中国移动5G全连接工厂建设启动大会暨5G全连接工厂军团宁波落地仪式成功召开

　　Radiflow与Camozzi Group合作实现工业基础设施的弹性和安全性

　　欧盟网络安全局最新报告：勒索软件攻击成运输部门的“最突出”威胁

　　Mandiant揭示黑客行动主义者越来越多地瞄准OT系统

　　欧盟发布《ENISA运输威胁形势》报告

　　Nanolock Security和Istari合作提供OT网络保护

　　国际视野

　　1、美国CISA与USACE-ERDC联合发布海上运输系统弹性评估指南

　　关键词：美国、海上运输系统、弹性、评估指南

　　3月16日消息，美国网络安全和基础设施安全局(CISA)与美国陆军工程兵团工程师研发中心(USACE-ERDC)合作制定了海上运输系统弹性评估指南(MTS Guide)。该文件将供联邦机构、地方政府和行业决策者使用，可以通过进行弹性评估来管理风险并增强对关键基础设施系统和功能的弹性评估。MTS指南还组织了多种方法和港口弹性评估工具来支持相关的弹性规划。

　　信息来源：

　　http://raim.u.dwx1.sbs/0zVEG8C

　　2、美国白宫技术委员会成立网络物理弹性工作组

　　关键词：美国、关键基础设施、网络弹性

　　3月16日消息，总统科学技术顾问委员会(PCAST)宣布成立一个新的工作组，重点是在美国数字网络中实施网络弹性基础设施。新工作组的基本任务包括了重组和重构数字系统以抵御网络攻击，为此，PCAST正在征求公众关于如何最好地加强关键基础设施数字网络的建议。美国白宫官员将采纳这些建议，并与国家标准与技术研究所、MITRE公司、国防高级研究计划活动和国土安全部等其他标准组织合作应用相关内容。

　　信息来源：

　　https://www.nextgov.com/cybersecurity/2023/03/white-house-tech-council-launches-cyber-physical-resilience-working-group/384096/

　　3、美国CISA发布《基于利益相关者的网络安全绩效目标》更新版

　　关键词：美国、网络安全、OT、工业控制系统

　　3月21日，美国CISA发布了《基于利益相关者的网络安全绩效目标(CPG》)更新版。为了响应从关键基础设施社区收到的反馈，这些CPG已经过重组、重新排序和重新编号，与NIST网络安全框架功能紧密结合。CISA局长表示，全球运营技术和工业控制系统 (OT/ICS) 社区呼吁与传统IT安全一起被看到，并认可他们在保护日益互联的电网、医院、供水设施和其他关键基础设施方面的重要作用。

　　信息来源：

　　https://industrialcyber.co/cisa/cisa-cpgs-reorganized-reordered-renumbered-to-align-with-nist-csf-functions-following-industry-feedback/

　　4、美国参议院能源委员会解决能源基础设施关键部分的网络安全风险

　　关键词：美国、能源基础设施、网络安全风险

　　3月23日，美国参议院能源和自然资源委员会举行了一次全体委员会听证会，以审查国家能源基础设施的网络安全漏洞。此次听证会的证人有美国能源部网络安全、能源安全和应急响应办公室主任Puesh M.Kumar、工业网络安全公司Dragos首席执行官兼联合创始人Robert M. Lee等。委员会调查发现能源正被用作针对美国盟友的地缘政治武器，而其对手越来越多地开始使用网络攻击渗透美国基础设施，以破坏能源安全和经济。

　　信息来源：

　　https://industrialcyber.co/utilities-energy-power-water-waste/us-senate-energy-committee-addresses-cybersecurity-risks-to-critical-parts-of-energy-infrastructure/

　　5、美国国防部发布网络安全参考架构

　　关键词：美国、网络安全、参考架构

　　3月26日消息，美国国防部近期发布网络安全参考架构(CSRA)，旨在由国防部用来指导网络安全的现代化，提出改善国家网络安全以及关于改善国家安全国防部和情报界系统的网络安全的国家安全备忘录的要求。CSRA的目的是以原则、基本组件、能力和设计模式的形式建立网络安全架构的特征，以应对存在于传统网络边界内外的威胁。

　　信息来源：

　　https://mp.weixin.qq.com/s/iiCo_ttbTCC4RGFI32ER0A

　　6、美国推动联邦数据中心增强法案以强化物理和数字安全

　　关键词：美国、法案、物理和数字安全

　　3月26日消息，随着各机构继续巩固其信息存储库，两党参议员小组重新提出立法，以加强联邦数据中心的物理和数字安全，使其免受一系列潜在威胁。联邦数据中心增强法案于3月22日提出，将要求管理和预算办公室与联邦政府合作机构为新的联邦数据中心制定最低要求-“满足网络安全、弹性、可用性和可持续性的高标准”。

　　信息来源：

　　https://www.nextgov.com/policy/2023/03/senators-reintroduce-bill-bolster-federal-data-center-security/384478/

　　国内动态

　　1、国家市场监督管理总局 中央网络安全和信息化委员会办公室 工业和信息化部 公安部联合印发《关于开展网络安全服务认证工作的实施意见》

　　关键词：网络安全、服务认证、实施意见

　　为推进网络安全服务认证体系建设，提升网络安全服务机构能力水平和服务质量，根据《网络安全法》《认证认可条例》，市场监管总局、中央网信办、工业和信息化部、公安部就开展国家统一推行的网络安全服务认证工作提出若干意见，于3月28日正式发布《关于开展网络安全服务认证工作的实施意见》。

　　信息来源：

　　https://www.miit.gov.cn/jgsj/waj/gzdt/art/2023/art_f61bbcddc170426ab4e34c46526cc7a1.html

　　2、工信微报|新型工业化深入推进

　　关键词：新型工业化、工业互联网、制造业

　　3月31日，工业和信息化部发表文章《新型工业化深入推进》，表示我国持续推进新型工业化的好消息不断传出，指出未来5年我国将聚焦5G、生物制造、工业互联网、绿色低碳等重点领域，不断丰富和拓展新的应用场景。扩大国家制造业创新中心在新兴产业领域的建设布局，实施“机器人+”应用行动，推动物联网产业规模化、集约化发展。

　　信息来源：

　　https://mp.weixin.qq.com/s/5_qzzxUEpl3RfBNCeTt_DA

　　3、黑龙江省工信厅发布《关于开展工业领域网络和数据安全专家征集工作的通知》

　　关键词：黑龙江、网络和数据安全、安全专家征集

　　3月31日，黑龙江省工信厅发布《关于开展工业领域网络和数据安全专家征集工作的通知》，表明为推动黑龙江省网络和数据安全产业发展，进一步发挥专家智库在政策制定、产业发展、项目建设等方面的专业支撑和智力支持作用，组织开展工业领域网络和数据安全专家征集工作。省工信厅将根据征集情况对申请入库的专家择优纳入省工信厅专家库，后期将根据工作需要，对专家库专家进行动态调整，适时进行增补。

　　信息来源：

　　http://gxt.hlj.gov.cn/gxt/c106958/202303/c00_31563403.shtml

　　安全事件

　　1、Vice Society勒索软件组织攻击波多黎各自来水公司

　　关键词：勒索软件、供水系统、关键基础设施

　　波多黎各供水和下水道管理局(PRASA)正在调查3月19日发生的一起安全事件，指出此次网络攻击目的并不是破坏供水系统，而是收集机密信息。据美国环境保护署称，供水系统是关键基础设施，受到独立网络犯罪分子和政府支持的黑客攻击的风险越来越大。最近的安全审计表明，公共供水公司的安全系统往往很薄弱，这些企业的员工缺乏网络安全领域的理论知识和实践技能，容易受到社会工程攻击。

　　信息来源：

　　https://www.securitylab.ru/news/537206.php

　　2、北京亚控科技ICS平台存在信息泄露和缓冲区溢出漏洞

　　关键词：北京亚控科技、工业控制系统、安全漏洞

　　3月21消息，研究人员在北京亚控科技KingHistorian工业控制系统(ICS)数据管理器中发现了两个漏洞。一个是信息泄露漏洞，跟踪为CVE-2022-45124，CVSS评分7.5，用户身份验证数据包中包含恢复用户名和密码的信息。另一个漏洞跟踪为CVE-2022-43663，CVSS评分9.8，存在于软件的DLL中，可能允许攻击者发送恶意数据包来导致缓冲区溢出。

　　信息来源：

　　http://jkws.u.dwx1.sbs/ewTskOp

　　3、意大利汽车品牌法拉利遭遇网络攻击事件并受到黑客勒索

　　关键词：法拉利、网络攻击、黑客勒索

　　当地时间3月21日，法拉利首席执行官本尼迪克特·维尼亚发文称，法拉利公司遭遇了一起网络攻击事件，黑客入侵其系统并窃取了部分用户数据，包括姓名、地址、电子邮箱和电话号码。经法拉利方面调查，目前用户付款信息、银行账号等敏感信息未被泄露。近日，一名黑客以曝光用户信息为由勒索法拉利方面，要求支付高额赎金。

　　信息来源：

　　https://www.secrss.com/articles/53030

　　4、WellinTech Industrial Data Historian中发现高危漏洞

　　关键词：工业软件、工业控制系统、安全漏洞

　　3月23日消息，思科的Talos威胁情报和研究部门披露了去年KingHistorian工业数据历史软件中发现的两个高危漏洞的详细信息。KingHistorian用于收集和处理“大量”工业控制系统数据。其中一个漏洞跟踪为CVE-2022-45124，攻击者可以通过拦截身份验证数据包来获取登录系统的合法用户的用户名和口令。第二个漏洞跟踪为CVE-2022-43663，可通过发送触发缓冲区溢出的特制网络数据包加以利用。

　　信息来源：

　　https://www.securityweek.com/high-severity-vulnerabilities-found-in-wellintech-industrial-data-historian/

　　5、美国CISA警告：美国八个工业控制系统存在多个高危漏洞

　　关键词：美国、工业控制系统、高危漏洞

　　3月24日消息，美国网络安全和基础设施安全局(CISA)发布了八项工业控制系统公告，警告称存在影响Delta Electronics和Rockwell Automation设备的严重缺陷。Delta Electronics的实时设备监控软件InfraSuite Device Master中的 13 个安全漏洞，成功利用这些漏洞可能允许未经身份验证的攻击者获得对文件和凭据的访问权限、提升权限并远程执行任意代码。Rockwell Automation ThinManager ThinServer中存在可能导致任意远程代码执行的高严重性缓冲区溢出漏洞。

　　信息来源：

　　https://mp.weixin.qq.com/s/9TyE8Ec9QTsJqfj6fsaBkg

　　6、英国工业软件制造商Aveva的人机界面和监控与数据采集产品爆出严重漏洞

　　关键词：工业软件制造商、SCADA、安全漏洞

　　3月25日消息，Aveva和美国CISA发布安全公告告知用户InTouch Access Anywhere HMI和Plant SCADA Access Anywhere产品中的漏洞，漏洞目前已修复。其中，最严重的漏洞跟踪为CVE-2021-3711，CVSS评分9.8，描述为OpenSSL错误，可能导致拒绝服务(DoS)攻击或任意代码执行。第二个漏洞为CVE-2022-23854，CVSS评分7.5，可能允许未经身份验证的用户读取安全网关Web服务器外部系统上的文件。最后一个漏洞为CVE-2020-11022，CVSS评分6.1，使用易受攻击的jQuery版本，可能会执行不受信任的代码。

　　信息来源：

　　http://srhl.u.dwx1.sbs/Aexoe9c

　　7、未修补的安全漏洞使水泵控制器遭受远程黑客攻击

　　关键词：水泵控制器、安全漏洞、黑客攻击

　　3月31日消息，ProPump and Controls制造的水泵系统受到多个漏洞的影响，漏洞可导致远程代码执行、跨站点请求伪造、身份验证绕过、跨站点脚本、命令注入等问题，许多漏洞无需身份验证即可被利用，这可能会让黑客利用并造成重大问题。受影响的产品是由总部位于美国的ProPump and Controls制造的Osprey泵控制器，该公司专门从事泵送系统和自动控制的广泛应用，包括高尔夫球场和草坪灌溉、市政供水和下水道、工业等。

　　信息来源：

　　https://www.securityweek.com/unpatched-security-flaws-expose-water-pump-controllers-to-remote-hacker-attacks/

　　科技前沿

　　1、Waterfall Security和TXOne Networks推出新的OT安全设备

　　关键词：入侵防御系统、OT、安全网关

　　3月25消息，TXOne宣布在全球范围内推出EdgeIPS 103入侵防御系统，该系统旨在保护关键任务机器免受网络威胁。EdgeIPS 103设备提供虚拟补丁、全面的资产可见性、集中管理和网络分段功能。Waterfall Security Solutions宣布推出WF-600单向安全网关。Waterfall将该网关宣传为防火墙的替代品。WF-600单向安全网关提供对OT网络、系统和数据的可见性，使用该产品不需要在工业或企业计算机上安装任何软件。

　　信息来源：

　　http://h1ca.f.dzxt.sbs/jVhpD79

　　2、美国能源部将量子传感器用于电网优化

　　关键词：美国、量子传感器、电网、关键基础设施

　　4月4日消息，能源技术转型办公室的高级商业化主管Rima Oueid与Nextgov讨论了该机构围绕在现有基础设施中实施量子信息科学和技术(QIST)的更大目标，强调了量子传感器应用的众多好处。Oueid指出，目前正在研究可用于监测电网、异常检测并使电网对气候变化更具弹性的量子传感器。量子传感器是一种目前用于磁共振成像机和原子钟的量子信息技术，可以报告关键基础设施所依赖的更精确的数据。

　　信息来源：

　　https://www.nextgov.com/emerging-tech/2023/04/energy-looks-quantum-sensors-grid-optimization/384755/

　　产业新闻

　　1、中国信通院发布五星平台安全防护优秀方案-卡奥斯COSMOPlat工业互联网平台

　　关键词：中国信通院、平台安全、服务认证

　　3月29日，中国信通院发布五星平台安全防护优秀方案之卡奥斯COSMOPlat工业互联网平台。介绍以数据安全技术体系、零信任技术体系、安全态势感知为核心，以安全管理体系、安全运营体系为辅助，形成覆盖云基础设施安全、网络基础设施、边界安全、业务和应用安全、数据安全的工业互联网平台安全纵深防御解决方案。

　　信息来源：

　　https://mp.weixin.qq.com/s/epURqBAIBlgaH4AXGr_a9A

　　2、中国信通院总工程师敖立：工业互联网规模化发展，加速中国新型工业化进程

　　关键词：新型工业化、工业互联网安全

　　中国信息通信研究院《专家谈》栏目开辟“工业互联网”系列专题。4月6日，首期邀请到中国信通院总工程师敖立，开篇对话工业互联网。敖立指出，工业互联网安全体系建设快速推进。威胁监测和信息通报的处置不断强化，企业安全的主体责任意识逐步增强，国家安全态势感知平台与31个省级系统全部实现对接，态势感知、风险预警和基础资源汇聚能力明显增强。工业互联网企业网络安全分类分级管理试点工作深入推进。

　　信息来源：

　　https://mp.weixin.qq.com/s/R_pTmCfkOZQQnTjXCzNHaw

　　3、中国移动5G全连接工厂建设启动大会暨5G全连接工厂军团宁波落地仪式成功召开

　　关键词：宁波、中国移动、5G全连接工厂、5G+安全

　　3月21日，中国移动5G全连接工厂建设启动大会(首站·宁波)暨5G全连接工厂军团宁波落地仪式成功召开。工控安全及工业互联网安全是建设5G全连接工厂的基本要求，宁波移动推出5G+安全方案，在保障数据安全传输、终端合法接入、网络免受攻击的基础上，进一步提供覆盖“云、网、边、端”的工业信息安全产品体系，具备面向工业控制系统全生命周期的安全服务能力，实现安全风险的可视可管。

　　信息来源：

　　https://m.thepaper.cn/baijiahao_22385566

　　4、Radiflow与Camozzi Group合作实现工业基础设施的弹性和安全性

　　关键词：工业基础设施、OT网络安全、弹性

　　3月13日消息，OT网络安全供应商Radiflow宣布与工业自动化解决方案供应商Camozzi Group合作，以加强任何行业工业基础设施的弹性和安全性，将网络安全视为核心战略业务支柱。此举将在Camozzi Group的生产基地实施网络安全技术。针对生产系统的OT网络安全攻击的风险已成为意大利和世界各地快速增长的现象，该合作旨在依靠高性能风险管理系统识别漏洞和攻击源。

　　信息来源：

　　http://kkic.u.dwx1.sbs/VwvkRLg

　　5、欧盟网络安全局最新报告：勒索软件攻击成运输部门的“最突出”威胁

　　关键词：欧盟网络安全局、交通运输、勒索软件

　　欧盟网络安全局(ENISA)在3月21日发布的交通行业威胁态势报告中称，勒索软件攻击已成为运输行业面临的最重大威胁。这些攻击紧随其后的是与数据相关的威胁，例如破坏和泄漏，因为网络犯罪分子将凭据、员工和客户数据以及知识产权作为牟利目标。这些袭击被认为具有投机性质。ENISA报告旨在通过绘制和研究2021年1月至2022年10月的网络事件，为运输部门的现实带来新的见解。

　　信息来源：

　　https://industrialcyber.co/transport/enisa-reports-ransomware-attacks-most-prominent-threat-against-transport-sector-as-attacks-by-hacktivists-rise/

　　6、Mandiant揭示黑客行动主义者越来越多地瞄准OT系统

　　关键词：黑客攻击、工业勒索、0T系统

　　3月22日，威胁情报公司Mandiant对黑客行动主义者针对OT系统的近期活动进行了全面分析，利用以前未公开和已知事件的信息来讨论对OT防御者的潜在影响。对新兴黑客行动主义趋势的认识有助于OT防御者确定反制措施的优先顺序，并区分利用黑客行动主义外衣的国家支持阵线。在过去的几年里，Mandiant追踪了各种黑客活动分子针对OT系统的索赔，认为在大多数情况下，黑客活动主义者的说法被夸大或未经证实。

　　信息来源：

　　https://industrialcyber.co/threat-landscape/mandiant-reveals-hacktivists-increasingly-targeting-ot-systems-raising-likelihood-of-actual-and-even-substantial-ot-incidents/

　　7、欧盟发布《ENISA运输威胁形势》报告

　　关键词：欧盟、交通运输、网络威胁

　　3月24日消息，欧盟近日发布《ENISA运输威胁形势》报告，报告深入分析了交通运输部门的网络威胁形势。报告考虑的运输部门包括航空、海运、铁路和公路运输，因为这些属于网络和信息安全(NIS)指令的范围。该报告考虑了更广泛的运输生态系统，包括运输制造商和供应商和国家运输当局，以确保该部门的威胁态势更加详细。

　　信息来源：

　　https://www.secrss.com/articles/53085

　　8、Nanolock Security和Istari合作提供OT网络保护

　　关键词：网络安全、零信任、OT保护

　　4月1日消息，设备级零信任OT网络安全公司NanoLock Security与ISTARI合作，为ISTARI的客户提供NanoLock的设备级零信任OT保护。该联盟还将满足针对美国、欧盟和新加坡关键基础设施安装的新兴联邦指导方针。NanoLock提供的设备级预防将确保为新旧OT资产提供与供应商无关的保护，以抵御外部和内部网络威胁。

　　信息来源：

　　http://9nvo.u.dwx1.sbs/RWaJ2XG