嵌入式系統(tǒng)：CPS最一般的特征之一是，由于與物理世界直接接口的幾臺(tái)計(jì)算機(jī)（傳感器，控制器或執(zhí)行器）僅執(zhí)行很少有具體的行動(dòng)，它們不需要經(jīng)典計(jì)算機(jī)（甚至移動(dòng)系統(tǒng)）的一般計(jì)算能力，因此它們往往資源有限。

實(shí)時(shí)系統(tǒng)：對(duì)于安全關(guān)鍵系統(tǒng)，執(zhí)行計(jì)算的時(shí)間對(duì)于確保系統(tǒng)的正確性非常重要。實(shí)時(shí)程序語(yǔ)法語(yǔ)言可以幫助開(kāi)發(fā)人員為其系統(tǒng)指定時(shí)序要求，實(shí)時(shí)操作系統(tǒng)（RTOS）保證接受和完成的時(shí)間來(lái)自應(yīng)用程序的任務(wù)

網(wǎng)絡(luò)協(xié)議：CPS的另一個(gè)特征是這些嵌入式系統(tǒng)相互通信，越來(lái)越多地通過(guò)IP兼容網(wǎng)絡(luò)進(jìn)行通信。雖然電力系統(tǒng)等許多關(guān)鍵基礎(chǔ)設(shè)施都使用串行通信來(lái)監(jiān)控其SCADA系統(tǒng)中的遠(yuǎn)程操作，但直到最近二十年，系統(tǒng)不同部分之間的信息交換已從串行通信遷移到IP兼容網(wǎng)絡(luò)。

無(wú)線(xiàn)：雖然大多數(shù)長(zhǎng)途通信是通過(guò)有線(xiàn)網(wǎng)絡(luò)完成的，但無(wú)線(xiàn)網(wǎng)絡(luò)也是CPS的共同特征。嵌入式系統(tǒng)的無(wú)線(xiàn)通信在2000年代初以傳感器網(wǎng)絡(luò)的形式引起了研究界的極大關(guān)注。

控制：最后，大多數(shù)CPS觀察并嘗試控制物理世界中的變量。反饋控制系統(tǒng)已經(jīng)存在了兩個(gè)多世紀(jì)，包括1788年推出的蒸汽調(diào)速器等技術(shù)。

普普點(diǎn)評(píng)

Fortinet近日發(fā)布《2022 下半年度全球威脅態(tài)勢(shì)研究報(bào)告》。報(bào)告指出，相對(duì)于組織攻擊面的不斷擴(kuò)大以及全球威脅態(tài)勢(shì)的持續(xù)演進(jìn)，網(wǎng)絡(luò)犯罪分子設(shè)計(jì)、優(yōu)化技術(shù)與戰(zhàn)術(shù)的能力也隨之與日俱增，全球各行業(yè)及各類(lèi)規(guī)模企業(yè)將持續(xù)面臨重大風(fēng)險(xiǎn)。

1、2022 年破壞性雨刷惡意軟件等類(lèi)似APT攻擊數(shù)量激增

2、CVE映射表明，漏洞紅區(qū)助力CISO精準(zhǔn)判定威脅優(yōu)先級(jí)

3、謀取非法暴利的網(wǎng)絡(luò)犯罪和勒索軟件威脅活動(dòng)仍高居不下

4、代碼復(fù)用成網(wǎng)絡(luò)攻擊者的“錦囊妙計(jì)”

5、傳統(tǒng)僵尸網(wǎng)絡(luò)復(fù)活增加攻擊供應(yīng)鏈彈性

6、Log4j 漏洞肆虐，已成眾矢之的

7、惡意軟件傳送方式改變，用戶(hù)安全意識(shí)亟待提高

隨著當(dāng)今網(wǎng)絡(luò)防御策略的不斷升級(jí)，企業(yè)網(wǎng)絡(luò)安全防線(xiàn)更加牢不可破。網(wǎng)絡(luò)攻擊者為持續(xù)獲得非法訪(fǎng)問(wèn)并成功繞過(guò)安全檢測(cè)，必然需借助更多偵察技術(shù)，部署更為復(fù)雜的替代攻擊方案，以有效利用雨刷惡意軟件或其他高級(jí)攻擊載荷等類(lèi)似高級(jí)持續(xù)性威脅（APT）攻擊方法，對(duì)特定目標(biāo)發(fā)起更具持續(xù)性和破壞性攻擊。

普普點(diǎn)評(píng)

如今，網(wǎng)絡(luò)安全正迅速成為各大組織關(guān)注的焦點(diǎn)。由于對(duì)數(shù)字化系統(tǒng)的依賴(lài)性越來(lái)越強(qiáng)，網(wǎng)絡(luò)威脅對(duì)于各種規(guī)模的企業(yè)來(lái)說(shuō)都是主要的挑戰(zhàn)。網(wǎng)絡(luò)攻擊可能導(dǎo)致數(shù)據(jù)泄露、敏感信息被竊取、財(cái)產(chǎn)損失和企業(yè)名譽(yù)受損。

IT基礎(chǔ)架構(gòu)安全性分為4個(gè)層級(jí)

1、數(shù)據(jù)

2、應(yīng)用程序

3、網(wǎng)絡(luò)

4、物理

防范網(wǎng)絡(luò)攻擊的十大安全措施

1、網(wǎng)絡(luò)安全策略

2、用戶(hù)準(zhǔn)入審查

3、安全協(xié)議

4、經(jīng)過(guò)驗(yàn)證的軟硬件

5、強(qiáng)大的防火墻系統(tǒng)

6、遵循安全開(kāi)發(fā)規(guī)則的代碼

7、數(shù)據(jù)加密

8、備份副本

9、定期系統(tǒng)測(cè)試

10、聘請(qǐng)網(wǎng)絡(luò)安全專(zhuān)家

普普點(diǎn)評(píng)

根據(jù)安全機(jī)構(gòu) FlashPoint 官方博文，在密碼管理器 Bitwarden 的瀏覽器擴(kuò)展程序中發(fā)現(xiàn)了一個(gè)高危漏洞，可以泄露用戶(hù)的密碼信息。

惡意網(wǎng)站可以利用該漏洞，在受信任頁(yè)面中嵌入 IFRAME 代碼。用戶(hù)訪(fǎng)問(wèn)這些惡意網(wǎng)站，并使用 Bitwarden 自動(dòng)填充之后，就可以獲取用戶(hù)的憑證信息。

IT之家從博文中獲悉，導(dǎo)致這個(gè)漏洞的關(guān)鍵是 Bitwarden 以非典型方式處理網(wǎng)頁(yè)中的嵌入式 iframe。

瀏覽器通過(guò)同源策略，分開(kāi) iframe 嵌入頁(yè)面和父頁(yè)面。也就是說(shuō)，iframe 嵌入頁(yè)面和父頁(yè)面應(yīng)該是互相隔離的狀態(tài)，無(wú)法訪(fǎng)問(wèn)其內(nèi)容。目前包括 Firefox、Chrome 等主要瀏覽器均采用了這個(gè)安全概念。

Bitwarden 瀏覽器擴(kuò)展還在通過(guò) iframe 嵌入來(lái)自其他域的第三方內(nèi)容的頁(yè)面上使用自動(dòng)填充功能。通過(guò) iframe 嵌入的網(wǎng)頁(yè)無(wú)權(quán)訪(fǎng)問(wèn)父頁(yè)面的內(nèi)容。

但安全研究人員寫(xiě)道無(wú)需進(jìn)一步的用戶(hù)交互，該頁(yè)面可以等待登錄表單的輸入，并將輸入的憑據(jù)轉(zhuǎn)發(fā)到遠(yuǎn)程服務(wù)器。

Bitwarden 文檔確實(shí)包含一條警告，即“受感染或不受信任的網(wǎng)站”可能會(huì)利用此來(lái)竊取憑據(jù)。安全研究人員表示，如果網(wǎng)站本身受到威脅，擴(kuò)展幾乎無(wú)法阻止竊取憑據(jù)。

普普點(diǎn)評(píng)

近日，根據(jù) Fortinet 最新報(bào)告：不明來(lái)源的的攻擊者利用零日漏洞針對(duì)政府和大型組織，導(dǎo)致操作系統(tǒng)和文件損壞以及數(shù)據(jù)丟失。

數(shù)據(jù)竊取惡意軟件

該事件是在被攻擊的Fortigate設(shè)備中斷后發(fā)現(xiàn)的，由于FIPS錯(cuò)誤，系統(tǒng)進(jìn)入錯(cuò)誤模式并無(wú)法重新啟動(dòng)。

Fortinet說(shuō)，發(fā)生這種情況是因?yàn)槠渲С諪IPS的設(shè)備驗(yàn)證了系統(tǒng)組件的完整性，而且它們被設(shè)置為自動(dòng)關(guān)閉并停止啟動(dòng)，以便在檢測(cè)到破壞時(shí)阻止網(wǎng)絡(luò)入侵。

這些Fortigate防火墻是通過(guò)受害者網(wǎng)絡(luò)上的FortiManager設(shè)備被破壞的，因?yàn)樗鼈兺瑫r(shí)停止，并且FortiGate路徑遍歷漏洞與通過(guò)FortiManager執(zhí)行的腳本同時(shí)啟動(dòng)。

用來(lái)攻擊政府網(wǎng)絡(luò)的零日

Fortinet認(rèn)為，這些攻擊具有很強(qiáng)的針對(duì)性，主要針對(duì)政府網(wǎng)絡(luò)。攻擊者還具有很強(qiáng)的攻擊手段及能力，包括反向設(shè)計(jì)FortiGate設(shè)備的部分操作系統(tǒng)。因?yàn)樵撀┒葱枰獙?duì)FortiOS和底層硬件有深入的了解。

今年1月，F(xiàn)ortinet披露了一系列非常類(lèi)似的事件，2022年12月打了補(bǔ)丁并被追蹤為CVE-2022-42475的FortiOS SSL-VPN漏洞也被用作針對(duì)政府組織和政府相關(guān)實(shí)體的零日漏洞。

普普點(diǎn)評(píng)

3 月 15 日消息，最近 ChatGPT 光速走紅，很多網(wǎng)友都爭(zhēng)相嘗試它智能的交互效果。但騙子也緊隨科技熱點(diǎn)，與 ChatGPT 相關(guān)的騙局最近呈現(xiàn)高發(fā)趨勢(shì)，支付寶安全中心發(fā)布了相關(guān)提醒。

一些不法分子借此機(jī)會(huì)，在網(wǎng)上發(fā)布代注冊(cè) ChatGPT 賬號(hào)服務(wù)和山寨版 ChatGPT 應(yīng)用，并收取費(fèi)用，牟取非法利益。很多網(wǎng)友并不清楚 ChatGPT 的訪(fǎng)問(wèn)方法，從而誤入了山寨版 ChatGPT 應(yīng)用。

山寨版 ChatGPT 收費(fèi)套路多，還過(guò)度索取注冊(cè)信息，網(wǎng)友的個(gè)人隱私得不到保障。高價(jià)代注冊(cè) ChatGPT 賬號(hào)或販賣(mài) ChatGPT 賬號(hào)算是黃?；咎茁?，一些黃牛還會(huì)借機(jī)索取網(wǎng)友的身份證、銀行卡等身份信息轉(zhuǎn)手販賣(mài)給黑灰產(chǎn)。各種山寨版 ChatGPT 更是層出不窮，以免費(fèi)試用為噱頭，吸引用戶(hù)注冊(cè)使用后，再推出收費(fèi)服務(wù)。這主要有兩種模式：一種是聲稱(chēng)取得 ChatGPT 官方接口，以“中間人”角色搬運(yùn)問(wèn)題和回復(fù)，通俗來(lái)說(shuō)就是“二道販子”；另一種則是純粹的“山寨”應(yīng)用，服務(wù)質(zhì)量堪憂(yōu)。

在收費(fèi)方面，有的按對(duì)話(huà)次數(shù)充值收費(fèi)，有的收取會(huì)員費(fèi)。但這些山寨應(yīng)用，熱度過(guò)了就卷款跑路，網(wǎng)友們的付費(fèi)權(quán)益得不到保障。一些頁(yè)面甚至還有“加入代理賺錢(qián)”的選項(xiàng)，助其推廣，涉嫌刷單。有的則需要觀看 30 秒、60 秒廣告方可提問(wèn)一次，想跳過(guò)廣告則需另付費(fèi)。

普普點(diǎn)評(píng)

網(wǎng)絡(luò)安全公司 SpyCloud 發(fā)布了 2023 年身份暴露報(bào)告，揭示了 2022 年網(wǎng)絡(luò)數(shù)據(jù)泄露的嚴(yán)重情況。該報(bào)告顯示，該公司的研究人員在網(wǎng)上發(fā)現(xiàn)了 7.215 億個(gè)被泄露的密碼，其中有一半是來(lái)自僵尸網(wǎng)絡(luò)（即被惡意軟件感染并被黑客控制的計(jì)算機(jī)網(wǎng)絡(luò)，用于部署竊取信息的惡意軟件）。

更令人擔(dān)憂(yōu)的是，該研究發(fā)現(xiàn)，在 2022 年數(shù)據(jù)泄露中被暴露的用戶(hù)中有 72% 仍然在重復(fù)使用之前被泄露過(guò)的密碼。此外還有其它一些有趣的發(fā)現(xiàn)，例如超過(guò) 32.7 萬(wàn)個(gè)被暴露的密碼與 Taylor Swift 和 Bad Bunny 有關(guān)，26.1 萬(wàn)個(gè)與流媒體服務(wù)如 Netflix 和 Hulu 有關(guān)，超過(guò) 16.7 萬(wàn)個(gè)與英國(guó)王室和伊麗莎白女王去世有關(guān)。

該研究還發(fā)現(xiàn)，在 2022 年有 86 億個(gè)可識(shí)別個(gè)人身份信息資產(chǎn)被暴露。其中包括 14 億個(gè)全名、3.32 億個(gè)國(guó)家身份證 / 完整社會(huì)保障號(hào)碼和 6700 萬(wàn)張信用卡號(hào)碼。

普普點(diǎn)評(píng)