嵌入式系統：CPS最一般的特征之一是，由于與物理世界直接接口的幾臺計算機（傳感器，控制器或執行器）僅執行很少有具體的行動(dòng)，它們不需要經(jīng)典計算機（甚至移動(dòng)系統）的一般計算能力，因此它們往往資源有限。

實(shí)時(shí)系統：對于安全關(guān)鍵系統，執行計算的時(shí)間對于確保系統的正確性非常重要。實(shí)時(shí)程序語(yǔ)法語(yǔ)言可以幫助開(kāi)發(fā)人員為其系統指定時(shí)序要求，實(shí)時(shí)操作系統（RTOS）保證接受和完成的時(shí)間來(lái)自應用程序的任務(wù)

網(wǎng)絡(luò )協(xié)議：CPS的另一個(gè)特征是這些嵌入式系統相互通信，越來(lái)越多地通過(guò)IP兼容網(wǎng)絡(luò )進(jìn)行通信。雖然電力系統等許多關(guān)鍵基礎設施都使用串行通信來(lái)監控其SCADA系統中的遠程操作，但直到最近二十年，系統不同部分之間的信息交換已從串行通信遷移到IP兼容網(wǎng)絡(luò )。

無(wú)線(xiàn)：雖然大多數長(cháng)途通信是通過(guò)有線(xiàn)網(wǎng)絡(luò )完成的，但無(wú)線(xiàn)網(wǎng)絡(luò )也是CPS的共同特征。嵌入式系統的無(wú)線(xiàn)通信在2000年代初以傳感器網(wǎng)絡(luò )的形式引起了研究界的極大關(guān)注。

控制：最后，大多數CPS觀(guān)察并嘗試控制物理世界中的變量。反饋控制系統已經(jīng)存在了兩個(gè)多世紀，包括1788年推出的蒸汽調速器等技術(shù)。

普普點(diǎn)評

Fortinet近日發(fā)布《2022 下半年度全球威脅態(tài)勢研究報告》。報告指出，相對于組織攻擊面的不斷擴大以及全球威脅態(tài)勢的持續演進(jìn)，網(wǎng)絡(luò )犯罪分子設計、優(yōu)化技術(shù)與戰術(shù)的能力也隨之與日俱增，全球各行業(yè)及各類(lèi)規模企業(yè)將持續面臨重大風(fēng)險。

1、2022 年破壞性雨刷惡意軟件等類(lèi)似APT攻擊數量激增

2、CVE映射表明，漏洞紅區助力CISO精準判定威脅優(yōu)先級

3、謀取非法暴利的網(wǎng)絡(luò )犯罪和勒索軟件威脅活動(dòng)仍高居不下

4、代碼復用成網(wǎng)絡(luò )攻擊者的“錦囊妙計”

5、傳統僵尸網(wǎng)絡(luò )復活增加攻擊供應鏈彈性

6、Log4j 漏洞肆虐，已成眾矢之的

7、惡意軟件傳送方式改變，用戶(hù)安全意識亟待提高

隨著(zhù)當今網(wǎng)絡(luò )防御策略的不斷升級，企業(yè)網(wǎng)絡(luò )安全防線(xiàn)更加牢不可破。網(wǎng)絡(luò )攻擊者為持續獲得非法訪(fǎng)問(wèn)并成功繞過(guò)安全檢測，必然需借助更多偵察技術(shù)，部署更為復雜的替代攻擊方案，以有效利用雨刷惡意軟件或其他高級攻擊載荷等類(lèi)似高級持續性威脅（APT）攻擊方法，對特定目標發(fā)起更具持續性和破壞性攻擊。

普普點(diǎn)評

如今，網(wǎng)絡(luò )安全正迅速成為各大組織關(guān)注的焦點(diǎn)。由于對數字化系統的依賴(lài)性越來(lái)越強，網(wǎng)絡(luò )威脅對于各種規模的企業(yè)來(lái)說(shuō)都是主要的挑戰。網(wǎng)絡(luò )攻擊可能導致數據泄露、敏感信息被竊取、財產(chǎn)損失和企業(yè)名譽(yù)受損。

IT基礎架構安全性分為4個(gè)層級

1、數據

2、應用程序

3、網(wǎng)絡(luò )

4、物理

防范網(wǎng)絡(luò )攻擊的十大安全措施

1、網(wǎng)絡(luò )安全策略

2、用戶(hù)準入審查

3、安全協(xié)議

4、經(jīng)過(guò)驗證的軟硬件

5、強大的防火墻系統

6、遵循安全開(kāi)發(fā)規則的代碼

7、數據加密

8、備份副本

9、定期系統測試

10、聘請網(wǎng)絡(luò )安全專(zhuān)家

普普點(diǎn)評

根據安全機構 FlashPoint 官方博文，在密碼管理器 Bitwarden 的瀏覽器擴展程序中發(fā)現了一個(gè)高危漏洞，可以泄露用戶(hù)的密碼信息。

惡意網(wǎng)站可以利用該漏洞，在受信任頁(yè)面中嵌入 IFRAME 代碼。用戶(hù)訪(fǎng)問(wèn)這些惡意網(wǎng)站，并使用 Bitwarden 自動(dòng)填充之后，就可以獲取用戶(hù)的憑證信息。

IT之家從博文中獲悉，導致這個(gè)漏洞的關(guān)鍵是 Bitwarden 以非典型方式處理網(wǎng)頁(yè)中的嵌入式 iframe。

瀏覽器通過(guò)同源策略，分開(kāi) iframe 嵌入頁(yè)面和父頁(yè)面。也就是說(shuō)，iframe 嵌入頁(yè)面和父頁(yè)面應該是互相隔離的狀態(tài)，無(wú)法訪(fǎng)問(wèn)其內容。目前包括 Firefox、Chrome 等主要瀏覽器均采用了這個(gè)安全概念。

Bitwarden 瀏覽器擴展還在通過(guò) iframe 嵌入來(lái)自其他域的第三方內容的頁(yè)面上使用自動(dòng)填充功能。通過(guò) iframe 嵌入的網(wǎng)頁(yè)無(wú)權訪(fǎng)問(wèn)父頁(yè)面的內容。

但安全研究人員寫(xiě)道無(wú)需進(jìn)一步的用戶(hù)交互，該頁(yè)面可以等待登錄表單的輸入，并將輸入的憑據轉發(fā)到遠程服務(wù)器。

Bitwarden 文檔確實(shí)包含一條警告，即“受感染或不受信任的網(wǎng)站”可能會(huì )利用此來(lái)竊取憑據。安全研究人員表示，如果網(wǎng)站本身受到威脅，擴展幾乎無(wú)法阻止竊取憑據。

普普點(diǎn)評

近日，根據 Fortinet 最新報告：不明來(lái)源的的攻擊者利用零日漏洞針對政府和大型組織，導致操作系統和文件損壞以及數據丟失。

數據竊取惡意軟件

該事件是在被攻擊的Fortigate設備中斷后發(fā)現的，由于FIPS錯誤，系統進(jìn)入錯誤模式并無(wú)法重新啟動(dòng)。

Fortinet說(shuō)，發(fā)生這種情況是因為其支持FIPS的設備驗證了系統組件的完整性，而且它們被設置為自動(dòng)關(guān)閉并停止啟動(dòng)，以便在檢測到破壞時(shí)阻止網(wǎng)絡(luò )入侵。

這些Fortigate防火墻是通過(guò)受害者網(wǎng)絡(luò )上的FortiManager設備被破壞的，因為它們同時(shí)停止，并且FortiGate路徑遍歷漏洞與通過(guò)FortiManager執行的腳本同時(shí)啟動(dòng)。

用來(lái)攻擊政府網(wǎng)絡(luò )的零日

Fortinet認為，這些攻擊具有很強的針對性，主要針對政府網(wǎng)絡(luò )。攻擊者還具有很強的攻擊手段及能力，包括反向設計FortiGate設備的部分操作系統。因為該漏洞需要對FortiOS和底層硬件有深入的了解。

今年1月，Fortinet披露了一系列非常類(lèi)似的事件，2022年12月打了補丁并被追蹤為CVE-2022-42475的FortiOS SSL-VPN漏洞也被用作針對政府組織和政府相關(guān)實(shí)體的零日漏洞。

普普點(diǎn)評

3 月 15 日消息，最近 ChatGPT 光速走紅，很多網(wǎng)友都爭相嘗試它智能的交互效果。但騙子也緊隨科技熱點(diǎn)，與 ChatGPT 相關(guān)的騙局最近呈現高發(fā)趨勢，支付寶安全中心發(fā)布了相關(guān)提醒。

一些不法分子借此機會(huì )，在網(wǎng)上發(fā)布代注冊 ChatGPT 賬號服務(wù)和山寨版 ChatGPT 應用，并收取費用，牟取非法利益。很多網(wǎng)友并不清楚 ChatGPT 的訪(fǎng)問(wèn)方法，從而誤入了山寨版 ChatGPT 應用。

山寨版 ChatGPT 收費套路多，還過(guò)度索取注冊信息，網(wǎng)友的個(gè)人隱私得不到保障。高價(jià)代注冊 ChatGPT 賬號或販賣(mài) ChatGPT 賬號算是黃?；咎茁?，一些黃牛還會(huì )借機索取網(wǎng)友的身份證、銀行卡等身份信息轉手販賣(mài)給黑灰產(chǎn)。各種山寨版 ChatGPT 更是層出不窮，以免費試用為噱頭，吸引用戶(hù)注冊使用后，再推出收費服務(wù)。這主要有兩種模式：一種是聲稱(chēng)取得 ChatGPT 官方接口，以“中間人”角色搬運問(wèn)題和回復，通俗來(lái)說(shuō)就是“二道販子”；另一種則是純粹的“山寨”應用，服務(wù)質(zhì)量堪憂(yōu)。

在收費方面，有的按對話(huà)次數充值收費，有的收取會(huì )員費。但這些山寨應用，熱度過(guò)了就卷款跑路，網(wǎng)友們的付費權益得不到保障。一些頁(yè)面甚至還有“加入代理賺錢(qián)”的選項，助其推廣，涉嫌刷單。有的則需要觀(guān)看 30 秒、60 秒廣告方可提問(wèn)一次，想跳過(guò)廣告則需另付費。

普普點(diǎn)評

網(wǎng)絡(luò )安全公司 SpyCloud 發(fā)布了 2023 年身份暴露報告，揭示了 2022 年網(wǎng)絡(luò )數據泄露的嚴重情況。該報告顯示，該公司的研究人員在網(wǎng)上發(fā)現了 7.215 億個(gè)被泄露的密碼，其中有一半是來(lái)自僵尸網(wǎng)絡(luò )（即被惡意軟件感染并被黑客控制的計算機網(wǎng)絡(luò )，用于部署竊取信息的惡意軟件）。

更令人擔憂(yōu)的是，該研究發(fā)現，在 2022 年數據泄露中被暴露的用戶(hù)中有 72% 仍然在重復使用之前被泄露過(guò)的密碼。此外還有其它一些有趣的發(fā)現，例如超過(guò) 32.7 萬(wàn)個(gè)被暴露的密碼與 Taylor Swift 和 Bad Bunny 有關(guān)，26.1 萬(wàn)個(gè)與流媒體服務(wù)如 Netflix 和 Hulu 有關(guān)，超過(guò) 16.7 萬(wàn)個(gè)與英國王室和伊麗莎白女王去世有關(guān)。

該研究還發(fā)現，在 2022 年有 86 億個(gè)可識別個(gè)人身份信息資產(chǎn)被暴露。其中包括 14 億個(gè)全名、3.32 億個(gè)國家身份證 / 完整社會(huì )保障號碼和 6700 萬(wàn)張信用卡號碼。

普普點(diǎn)評