2024-09-17 星期二
Vol-2024-224
1
.
NIST SP 800-50r1
：构建联邦政府网络安全与隐私学习计划
2.
俄罗斯拟立法打击深度造假技术非法使用0
3.
Google
宣布在
Chrome
浏览器中进行后量子密码学的重要变更
4.
人工智能滥用：网络犯罪新威胁
5.
2024
年奥运会遭遇信息攻击，社交媒体打造假新闻传播工具
6.
美国白宫联合
IT
巨头共同打击
深度造假
7.
D-Link
迅速修复
WiFi 6
路由器严重安全漏洞
8.
GCP Composer
漏洞揭示云服务安全挑战与
AI
科研潜力
9.
Entro
安全实验室揭示非人类身份管理中的严重安全风险
10.
1D-CNN-IDS
：基于
1D CNN
的
IIoT
入侵检测系统
1
1. 美国网络司令部发布AI路线图以增强军事网络行动
12. AST SpaceMobile发射五颗蓝鸟卫星，开启全球通信新时代
13. 德国广播电台遭勒索软件攻击 播放紧急录音
14. 美国加强军用卫星网络安全以应对威胁
15. 美国唯一铂金矿遭受勒索软件攻击，数千名员工泄露数据
16. XSS.is论坛账户泄露引发网络安全担忧
17. Spring框架新漏洞CVE-2024-38816允许攻击者获取系统文件
18. Azure API管理漏洞可导致权限提升
19. 苹果发布iOS
18更新，修复33个安全漏洞
20. 新型无文件Remcos
RAT通过武器化Excel文档传播
1. NIST SP 800-50r1：构建联邦政府网络安全与隐私学习计划
【Industrialcyber网站9月16日报道】美国家标准与技术研究院（NIST）发布《NIST特别出版物800-50r1》，旨在为联邦政府提供网络安全与隐私学习计划（CPLPs）的构建与管理指导。该修订版强调了隐私与网络安全的整合，引入生命周期模型以适应不断变化的安全环境。文档提出了员工为中心的文化，将学习计划与组织目标相结合，以管理网络安全与隐私风险。CPLPs需积极管理，通过ADDIE模型（分析、设计、开发、实施、评估）来定制和实施学习活动。此外，文档还强调了测量学习计划影响的重要性，并鼓励创建积极的网络安全和隐私文化，以支持组织目标并促进持续改进。
来源：https://industrialcyber.co/nist/nist-sp-800-50r1-focuses-on-building-federal-cybersecurity-and-privacy-learning-programs/
【Security Lab网站9月16日消息】俄罗斯国家杜马提交了一项新法案，旨在对使用深度造假（deepfake）技术进行非法活动的个人或团体进行法律制裁。该法案由杜马劳工、社会政策和退伍军人事务委员会主席雅罗斯拉夫·尼洛夫和参议员阿列克谢·普什科夫提出，建议在《刑法》中增加对使用深度造假技术的限定。根据法案，利用深度造假技术进行诽谤或欺诈的行为将面临重罚，包括最高150万卢布的罚款或长达两年的监禁，而使用该技术进行诈骗的刑罚则可能高达40万卢布罚款或六年监禁。法案强调了现代技术，尤其是神经网络和人工智能在创建难以辨别真伪的虚假视频和音频材料方面的能力。然而，俄罗斯政府对该法案的官方回应中指出了一些问题，包括缺乏对身份替代技术使用的行业立法监管，以及法案解释性说明中缺少支持公共危险性的数据。政府认为，由于缺乏相应的实体立法规范，将这些规定纳入刑法可能会带来错误执法行为的风险。
来源：https://www.securitylab.ru/news/552096.php
3. Google宣布在Chrome浏览器中进行后量子密码学的重要变更
【Security Lab网站9月16日消息】Google宣布在Chrome浏览器中实施后量子密码学的重大更新。此前，Chrome对结合了X25519和Kyber算法的混合密钥交换进行了测试，但随着Kyber完成标准化并更名为ML-KEM，Google决定在Chrome 131版本中全面采用ML-KEM，同时淘汰Kyber算法。这一变更旨在避免非标准化算法的固化并简化后量子密码学的复杂性。Google的加密库BoringSSL已集成ML-KEM，以支持依赖该库的服务。此外，Google计划通过IETF的新草案规范解决后量子算法的兼容性问题，提高算法效率。
来源：https://www.securitylab.ru/news/552104.php
【Security Lab网站9月16日消息】美国马萨诸塞州一名男子因长期跟踪、人肉搜索并威胁一名女教师而被捕。该男子涉嫌使用人工智能技术制作受害者的假裸体图像，并在性爱聊天网站上创建含有受害者信息的聊天机器人，用于进一步的骚扰和羞辱。法庭文件显示，该男子在网上发布了128张假照片，并在一年多时间内公开受害者的个人信息，包括姓名、家庭住址、电话号码和工作信息，共发布了687条帖子。此外，他还利用聊天机器人泄露受害者的敏感信息。此案揭示了人工智能技术可能被滥用于网络犯罪，包括制作虚假图像和聊天机器人，对个人隐私和安全构成严重威胁。
来源：https://www.securitylab.ru/news/552095.php
5. 2024年奥运会遭遇信息攻击，社交媒体打造假新闻传播工具
【Security Lab网站9月16日消息】2024年巴黎奥运会期间，共记录了43次针对奥运会的信息攻击，黑客利用社交媒体传播恐吓信息和煽动两极恐恐话题。法国的VIGINUM服务追踪了这些活动，发现大多数攻击是自发的，但也有两个系统性、协调性的行动。其中一个代号为“OLIMPIYA”的行动是由亲阿塞拜疆黑客发起的，试图发起对抗战争，尽管攻击发生广泛传播，未能对公众产生显着影响然而，一些恐吓视频和错误信息，特别是在奥运会开幕前几天的威胁视频，引发了国际媒体的关注。尽管这些信息攻击没有产生长期后果，但它们加剧了社会紧张局势，提醒人们在信息收集时，国际合作和快速反应的重要性。
来源：https://www.securitylab.ru/news/552087.php
【Security Lab网站9月16日消息】美国白宫联合多家IT巨头，包括Adobe、微软、OpenAI等，共同发起了一项旨在打击未经同意传播色情图像的行动。这些公司承诺改进AI开发流程，防止产品被滥用于创建和分发性化深度假货。他们将加强对系统的审查，从训练数据中移除裸露内容，并停止为相关活动提供支付服务。此外，谷歌和Meta也加强了对未经同意的亲密图像的打击力度。这些措施是对之前白宫呼吁采取更多措施打击网络暴力的回应，体现了私营部门在防止数字空间中的暴力和滥用方面的关键作用。
来源：https://www.securitylab.ru/news/552088.php
7. D-Link迅速修复WiFi 6路由器严重安全漏洞
【BleepingComputer网站9月16日消息】D-Link修复了其WiFi 6路由器中的多个严重安全漏洞。这些漏洞涉及三款流行的无线路由器模型，包括COVR-X1870、DIR-X4860和DIR-X5460，它们允许远程攻击者执行任意代码或使用硬编码凭证访问设备。公告中列出的五个漏洞中，有三个被评为严重级别，包括两个基于栈的缓冲区溢出和一个允许通过硬编码凭证远程访问的Telnet服务漏洞。D-Link建议用户升级到最新的固件版本以修复这些漏洞。尽管D-Link在得知漏洞后立即开始修复工作，但第三方在没有标准90天修复期限的情况下提前披露了这些漏洞。目前，D-Link没有报告这些漏洞在野外被利用的情况，但考虑到其产品常被恶意软件攻击，安装安全更新显得尤为重要。
来源：https://www.bleepingcomputer.com/news/security/d-link-fixes-critical-rce-hardcoded-password-flaws-in-wifi-6-routers/
8. GCP Composer漏洞揭示云服务安全挑战与AI科研潜力
【Security Lab网站9月16日消息】Tenable公司的研究人员发现了Google Cloud Platform（GCP）Composer中的一个名为CloudImposer的严重漏洞，该漏洞允许攻击者远程执行代码。GCP Composer是一个广泛使用的云工作流程自动化服务。CloudImposer漏洞利用了名为Dependency Confusion的供应链攻击策略，攻击者通过在公共仓库发布假冒包来欺骗包管理器，从而在云环境中注入恶意代码。Google在2024年1月得知此漏洞后，于5月发布了修复，并建议使用更安全的包管理策略。此外，NASA科学家Kyle
Kabasares分享了使用OpenAI
ChatGPT o1在一小时内完成复杂代码开发的经验，突显了人工智能在科研领域的潜力。
来源：https://www.securitylab.ru/news/552108.php
9. Entro 安全实验室揭示非人类身份管理中的严重安全风险
【Gbhackers网站9月16日消息】Entro安全实验室发布了关于非人类身份（NHI）和机密管理的最新研究报告，揭示广泛的安全风险。报告显示，97%的NHI拥有过多特权，92%的NHI被公开给第三方，增加了未授权访问的风险。令人担心的是，44%的密钥令牌通过不安全的平台传输，极易导致数据泄露。此外，组织中NHI的管理存在漏洞增加，如73%的保险库配置错误，91%的前员工代币仍然活跃，71%的NHI未按建议时间轮换。这些问题了身份管理复杂性和系统漏洞。Entro呼吁组织重新评估其 NHI 和机密管理实践，澳大利亚可能存在安全漏洞的扩大。报告强调，改进在艺术博物馆的安全实践。
来源：https://gbhackers.com/entro-security-labs-releases-non-human-identities-research-security-advisory/
10. 1D-CNN-IDS：基于1D CNN的IIoT入侵检测系统
【ARXIV网站9月13日文章】物联网(IoT)的需求呈指数级增长。这些进步得益于人工智能、云计算和边缘计算的技术进步。然而，这些进步也带来了多重挑战，包括网络威胁、安全和隐私问题以及潜在财务损失的风险。为此，作者研究开发了一种计算成本低廉的一维卷积神经网络(1DCNN)算法，用于网络攻击分类。文章研究对九种网络攻击的分类准确率达到99.90%。还评估了多个其他性能指标，以验证所提方案的有效性。此外，还与现有的最先进方案进行了比较。研究的结果可以显著促进IIoT系统安全入侵检测的发展。
来源：https://arxiv.org/abs/2409.08529
