信安标委《网络清静标准实践指南—远程办公清静防护》；2019年开源代码误差数目增添近50％
宣布时间 2020-03-171.信安标委《网络清静标准实践指南—远程办公清静防护》
天下信息清静标准化手艺委员会秘书处针对远程办公清静问题 ，组织相关厂商和清静专家 ，体例了《网络清静标准实践指南—远程办公清静防护》。《实践指南》给出了远程办公的典范应用场景 ，剖析了远程办公可能面临的办公系统自身清静、数据清静、装备清静和小我私家信息�；さ任：� ，针对远程办公系统的使用方和用户 ，划分给出了清静控制步伐建议。其中 ，使用方应在治理和手艺两方面开展清静防护 ，健全远程办公治理制度 ，增强运维治理 ，强化清静步伐。用户应提高自身清静意识 ，重点针对装备、数据、情形等方面的清静危害举行防护。
原文链接：
https://www.tc260.org.cn/upload/2020-03-13/1584090952093076364.pdf
2.2019年开源代码误差数目首次凌驾6000个 ，增添近50％
凭证开源清静与合规公司WhiteSource的一份报告 ，去年开源代码中的误差激增。该报告称 ，2017年和2018年开源误差的数目稳固在4000多个 ，与2017年之前从未突破2000个的数字相比 ，误差数目增添了一倍以上。然后在2019年 ，开源误差数目再次飙升 ，首次凌驾6000个 ，这代表了近50％的增添。到现在为止开源误差中最常见的类型是跨站点剧本（XSS） ，该类型险些占所有误差的四分之一 ，其次是输入验证不准确、缓冲区过失、越界读取和信息泄露。
原文链接：
https://nakedsecurity.sophos.com/2020/03/16/open-source-bugs-have-soared-in-the-past-year/
3.2020年云设置过失报告 ，已往两年泄露330亿条纪录
凭证DivvyCloud的2020年云设置过失报告 ，2018年和2019年有近334亿条纪录因云设置过失导致泄露 ，全球企业的本钱为快要5万亿美元。从2018年到2019年 ，云设置过失袒露的纪录数目同比增添了80％ ，与之相关的公司总本钱也有所增添。不幸的是 ，专家们预计这种上升趋势将一连下去 ，由于公司继续迅速接纳云服务但未能实验适当的云清静步伐。Elasticsearch设置过失占所有泄露的20％ ，但这些事务泄露的纪录数目占所有纪录的44％。从2018年到2019年 ，由Elasticsearch设置过失导致的泄露数目险些增添了两倍。S3存储桶设置过失占所有泄露的16％ ，可是与2018年相比 ，2019年设置过失的S3服务器镌汰了45％。
原文链接：
https://www.computerweekly.com/news/252478833/Cost-of-cloud-misconfigurations-set-at-5tn?&web_view=true
4.Android跟踪软件MonitorMinor ，可跟踪Gmail用户运动
卡巴斯基清静专家发明新Android跟踪软件MonitorMinor ，它可以跟踪Gmail、WhatsApp、Instagram和Facebook的用户运动。清静专家称MonitorMinor比其家族的所有现有软件功效更强盛 ，它使用了SuperUser类型的应用程序（SU适用程序）来获得系统的root会见权限 ，还可以提取设惫亓/data/system/gesture.key文件 ，该文件包括了屏幕解锁模式/密码的哈希值。MonitorMonor攻击者可以使用它来解锁装备 ，这是第一个实现此功效的跟踪软件。MonitorMinor还使用Accessibility Services API来阻挡目的APP中的事务 ，纵然没有root权限 ，它也可以使用此API在所有装备上有用运行。凭证卡巴斯基的说法 ，该跟踪软件大大都装置在印度（14.71％）、其次是墨西哥（11.76％）、德国、沙特阿拉伯和英国（5.88％）。
原文链接：
https://securelist.com/monitorminor-vicious-stalkerware/95575/?utm_source=rss&utm_medium=rss&utm_campaign=monitorminor-vicious-stalkerware
5.研究团队宣布新勒索软件家族PXJ的剖析报告
IBM X-Force的清静专家发明了一种新的勒索软件PXJ Ransomware ，只管该勒索软件实现了大大都勒索软件共有的功效 ，但它似乎并未与已知的勒索软件家族共享底层代码。研究职员在2月29日首次发明了PXJ ，其时有两个样本被上传到VirusTotal。PXJ的名称来自附加到加密文件的扩展名 ，该恶意软件也被称为XVFXGW ，来自于恶意软件建设的“XVFXGW DOUBLE SET”及勒索票据中包括的电子邮件地点（“xvfxgw3929@protonmail.com”和“xvfxgw213@decoymail.com”）。PXJ使用AES和RSA算法来加密数据。研究职员在报告中剖析了有关PXJ的手艺细节 ，包括入侵指标（IoC）。
原文链接：
https://securityintelligence.com/posts/pxj-ransomware-campaign-identified-by-x-force-iris/
6.美国卫生与公众服务部（HHS）遭DDoS攻击
美国卫生与公众服务部（HHS）于周日遭到DDoS攻击 ，但该机构体现事务并未造成任何重大破损。首次报道这一事务的彭博社最初使用了“网络入侵”一词 ，但厥后将其从文章正文中删除-但仍然保保存副问题中。《华盛顿邮报》称HS的网站现实上从未因这次攻击而瓦解。凭证一些报道 ，攻击可能是由外国攻击者提倡的 ，其目的是破损HHS对COVID-19�；姆从� ，但这一理论尚未获得证实。
原文链接：
https://www.securityweek.com/hhs-says-ddos-attack-failed-cause-disruption
京公网安备11010802024551号