信安标委《网络安全尺度实际指南—远程办公安全防护》 ；2019年开源代码缝隙数量增长近50％
颁布功夫 2020-03-171.信安标委《网络安全尺度实际指南—远程办公安全防护》
全国信息安全尺度化技术委员会秘书处针对远程办公安全问题 ，组织有关厂商和安全专家 ，假造了《网络安全尺度实际指南—远程办公安全防护》。《实际指南》给出了远程办公的典型利用场景 ，分析了远程办公可能面对的办公系统自身安全、数据安全、设备安全和幼我信息� ；さ确缦� ，针对远程办公系统的使用方和用户 ，别离给出了安全节造措施建议。其中 ，使用方应在治理和技术两方面发展安全防护 ，健全远程办公治理造度 ，加强运维治理 ，强化安全措施。用户应提高自身安全意识 ，沉点针对设备、数据、环境等方面的安全风险进行防护。
原文链接：
https://www.tc260.org.cn/upload/2020-03-13/1584090952093076364.pdf
2.2019年开源代码缝隙数量初次超过6000个 ，增长近50％
凭据开源安全与合规公司WhiteSource的一份汇报 ，去年开源代码中的缝隙激增。该汇报称 ，2017年和2018年开源缝隙的数量不变在4000多个 ，与2017年之前从未突破2000个的数字相比 ，缝隙数量增长了一倍以上。而后在2019年 ，开源缝隙数量再次飙升 ，初次超过6000个 ，这代表了近50％的增长。到目前为止开源缝隙中最常见的类型是跨站点剧本（XSS） ，该类型险些占所有缝隙的四分之一 ，其次是输入验证不正确、缓冲区谬误、越界读取和信息泄露。
原文链接：
https://nakedsecurity.sophos.com/2020/03/16/open-source-bugs-have-soared-in-the-past-year/
3.2020年云配置谬误汇报 ，从前两年泄露330亿笔纪录
凭据DivvyCloud的2020年云配置谬误汇报 ，2018年和2019年有近334亿笔纪录因云配置谬误导致泄露 ，全球企业的成本为将近5万亿美元。从2018年到2019年 ，云配置谬误露出的纪录数量同比增长了80％ ，与之有关的公司总成本也有所增长。不幸的是 ，专家们预计这种上升趋向将持续下去 ，由于公司持续迅速选取云服务但未能执行适当的云安全措施。Elasticsearch配置谬误占所有泄露的20％ ，但这些事务泄露的纪录数量占所有纪录的44％。从2018年到2019年 ，由Elasticsearch配置谬误导致的泄露数量险些增长了两倍。S3存储桶配置谬误占所有泄露的16％ ，但是与2018年相比 ，2019年配置谬误的S3服务器削减了45％。
原文链接：
https://www.computerweekly.com/news/252478833/Cost-of-cloud-misconfigurations-set-at-5tn?&web_view=true
4.Android跟踪软件MonitorMinor ，可跟踪Gmail用户活动
卡巴斯基安全专家发现新Android跟踪软件MonitorMinor ，它能够跟踪Gmail、WhatsApp、Instagram和Facebook的用户活动。安全专家称MonitorMinor比其家族的所有现有软件职能更壮大 ，它利用了SuperUser类型的利用法式（SU实用法式）来获得系统的root接见权限 ，还能够提取设备上的/data/system/gesture.key文件 ，该文件蕴含了屏幕解锁模式/密码的哈希值。MonitorMonor攻击者能够利用它来解锁设备 ，这是第一个实现此职能的跟踪软件。MonitorMinor还利用Accessibility Services API来拦截指标APP中的事务 ，即便没有root权限 ，它也能够使用此API在所有设备上有效运行。凭据卡巴斯基的说法 ，该跟踪软件大无数装置在印度（14.71％）、其次是墨西哥（11.76％）、德国、沙特阿拉伯和英国（5.88％）。
原文链接：
https://securelist.com/monitorminor-vicious-stalkerware/95575/?utm_source=rss&utm_medium=rss&utm_campaign=monitorminor-vicious-stalkerware
5.钻研团队颁布新勒索软件家族PXJ的分析汇报
IBM X-Force的安全专家发现了一种新的勒索软件PXJ Ransomware ，只管该勒索软件实现了大无数勒索软件共有的职能 ，但它似乎并未与已知的勒索软件家族共享底层代码。钻研人员在2月29日初次发现了PXJ ，其时有两个样本被上传到VirusTotal。PXJ的名称来自附加到加密文件的扩大名 ，该恶意软件也被称为XVFXGW ，来自于恶意软件创建的“XVFXGW DOUBLE SET”及勒索单据中蕴含的电子邮件地址（“xvfxgw3929@protonmail.com”和“xvfxgw213@decoymail.com”）。PXJ使用AES和RSA算法来加密数据。钻研人员在汇报中分析了有关PXJ的技术细节 ，蕴含入侵指标（IoC）。
原文链接：
https://securityintelligence.com/posts/pxj-ransomware-campaign-identified-by-x-force-iris/
6.美国卫生与公家服务部（HHS）遭DDoS攻击
美国卫生与公家服务部（HHS）于周日遭到DDoS攻击 ，但该机构暗示事务并未造成任何沉大粉碎。初次报路这一事务的彭博社最初使用了“网络入侵”一词 ，但后来将其从文章正文中删除-但依然保留在副标题中。《华盛顿邮报》称HS的网站现实上从未因这次攻击而崩溃。凭据一些报路 ，攻击可能是由表国攻击者提议的 ，其主张是粉碎HHS对COVID-19� ；姆从� ，但这一理论尚未得到证实。
原文链接：
https://www.securityweek.com/hhs-says-ddos-attack-failed-cause-disruption
京公网安备11010802024551号