一周安全头条(20191216-1221)

行业动态 印度 全国断网伊朗和印度应该是为数不多的频繁通过断网来整顿民众镇压事件的国家吧……上周五，印度政府为了控制新入籍政策引发的抗议，切断了阿萨姆邦和梅加拉亚邦的互联网访问。此前，印度总统 Ram Nath Kovind在议会通过之后批准了国籍修正案。在修正案通过之后，阿萨姆邦和梅加拉亚邦就爆发了抗议，当地居民长期以来就担忧来自这些领国的移民。阿萨姆邦和梅加拉亚邦有3200万人口，除了网络被切断之外，短信服务也受到限制，印度政府为了控制局势还派遣了军队。

行业动态 漏洞披露标准 意见征集近日，互联网工程指导小组 (IESG)发布了网络漏洞披露标准Security.txt的最终征求意见稿，该网络安全策略旨在使研究人员尽可能简化漏洞披露过程。目前，IESG漏洞披露标准已经进入最终意见征求阶段，对该标准感兴趣的各方还有不到一个月的时间提交评论。标准提案 “Web安全策略方法”旨在改善独立安全研究人员当前用来披露Web服务漏洞的通信渠道。该标准的实施也非常简单，组织和站点管理员只需要将标准化文件Security.txt放入站点指定目录路径中。安全研究人员可以轻松地通过这个文件与公司联系。

行业动态 DNS安全 Mozilla NextDNS近日，Mozilla宣布与NextDNS合作，以帮助提高其用户的隐私和安全性。NextDNS跟随Cloudflare成为Firefox的Trusted Recursive Resolver（TRR）计划的成员，该计划旨在增强DNS安全性和隐私性。

报告调研 2019年 中国网络安全产业中国网络安全产业联盟组织编写了《中国网络安全产业分析报告（2019年）》，现正式发布。为进一步贯彻落实习近平总书记网络强国战略思想，推进我国网络安全产业高质量发展，为相关部门制定产业政策提供依据，为网络安全企业制定战略规划提供参考。本报告以120多家企业的有效数据为基础进行统计分析研究，最终得出2018年我国网络安全产业规模约为393亿元，同比增长率约为17.8%，预计未来三年产业整体市场依然会保持20%左右的高速增长，到2021年我国网络安全产业规模将达到668亿元。

报告调研 FireMon 防火墙现状近日，FireMon调查访问了573名网络/安全工程师、IT 运营经理和首席级高管，推出了其第六年度的《防火墙现状》报告。报告显示，65%的受访者当前并没有采用自动化来管理其环境，36%称不准确性、错误配置或网络问题占了返工修改请求原因的24%。45%的受访者每周处理10到99个修改请求；38%的受访者通过紧急电话/短信/电子邮件才发现错误配置的防火墙。近1/3的受访者在其网络上部署了超过100个防火墙（去年这一比例是26%）；超过12%的受访者拥有的防火墙甚至高达500个以上。95%的受访者称防火墙至少比以往任何时候都更重要，65%（去年这一数字是56%）的受访者将安全预算的10%到49%花费在防火墙技术上。

报告调研 SplashData 弱密码由SplashData公布的最差密码100强，是从密码管理服务SplashID、TeaMSID和Gpass收集得来。今年排名前五位的最差密码，分别是“123456”、“123456789”、“qwerty”、“password”和“1234567”。至于完整的最差密码100强列表，可以在 SplashData 的官网查到详细资讯。

漏洞补丁 Google 数据丢失Google开始推送更新修复上周曝出的Chrome 79数据丢失bug。该bug主要影响基于 WebView/Chrome的Android应用，原因是Chrome 79改变了user profile目录的位置，AppCache、File System、localStorage、IndexedDB、Service Workers和WebSQL等API生成的用户数据留在了旧的目录，没有迁移到新的目录，结果就是升级到新版本的用户发现许多Android应用突然重置、数据丢失或账号锁定。在开发者报告之后，Google Chrome团队暂停了更新推送。Google发言人称，用户数据仍然是完整的，在更新之后所有受影响的数据将会恢复。

漏洞补丁 VPN劫持近日，安全研究人员发现了一个漏洞允许攻击者劫持VPN连接。漏洞存在于使用Weak Host Model 的TCP/IP协议栈，主要影响同一子网络中的VPN连接，比如同一个WiFi网络。在测试中，研究人员劫持了访问他们控制的无线网络的VPN连接。因为漏洞与TCP/IP协议栈相关，它影响Linux发行版，BSD发行版、macOS、iOS和Android，对OpenVPN、WireGuard和 IKEv2/IPSec都有效。

漏洞补丁 英特尔 Windows 10安全公司Safe Break的漏洞测试专家组最近进行的一项调查发现，早期版本的“英特尔快速存储技术”（RST）软件存在一个安全漏洞，该漏洞允许劫持Windows 10系统动态链接库（DLL）。因此，恶意程序可能绕过防病毒检测并破坏目标系统。需要注意的是，利用此漏洞需要攻击者获得目标系统的管理员权限。针对这份报告，英特尔发布了针对RST软件的各种安全补丁，包括15.x、16.x和17.x版。国际网络安全研究所（IICS）漏洞测试专家表示：准确地说，系统管理员应该升级到v15.9.8.x、v16.8.3.x或v17.5.1.x版。

勒索攻击 加拿大 LifeLabs 医疗机构LifeLabs是一家位于加拿大、业内领先的医疗诊断和测试服务提供商。该公司宣布向黑客支付赎金，以赎回上月安全泄露事件中被窃取的数据和资料。目前尚不清楚公司为恢复这些数据支付了多少费用。外媒ZDNet通过电话联系LifeLabs发言人时，表示不会立即对此事发表评论。LifeLabs此前表示本次泄露事件覆盖加拿大将近半数人口，超过1500万人的资料可能已经泄露。LifeLabs 指出，安全专家经过调查，包括监视暗网和其他网络地址，并未看到任何客户资料遭公开披露。

黑客攻击 美国 政厅网站近日，美国新奥尔良市官员试图遏制针对其网络的网络攻击。据悉，该攻击导致电脑离线、办公室关闭、市政府网站关闭。不过该市目前还没有发现任何密码被破解或数据在攻击中丢失的迹象，但大量涌入的电子邮件意味着该市的系统暂时关闭。

黑客攻击 美国 医疗机构近日，美国新泽西州最大的医疗机构Hackensack Merdian Health被曝其网络遭到了黑客攻击，导致一定数量的计算机被勒索软件被感染。因系统受到攻击而瘫痪，医护人员只能在没有任何计算机设备辅助的情况下开展工作。随后，为重新获得对系统的控制权，该院不得不向黑客支付了解锁文件的赎金。至于被锁定的文件数量、以及向恶意行为者交付的确切金额，该机构并未透露。

数据泄露 新加坡 医疗信息 艾滋病毒感染者信息近日，新加坡发生了一系列的数据泄露事件，如150万名SingHealth患者的医疗信息遭泄露，14200名艾滋病毒感染者的个人信息遭泄露。但新加坡近日又发生了一起重大数据泄露事件。这一次是因为一家第三方供应商未能妥善保护包含808201名献血者个人信息的服务器，导致献血者的血型、身份证、体重等数据遭到了泄露。

数据泄露 Facebook 员工信息彭博社的一份报告称，今年11月17日，存储了29,000名Facebook员工信息的未加密硬盘被盗。据悉，硬盘里存储了有关Facebook在2018年雇用的数千名美国工人的信息，包括银行帐号、员工姓名、社会保险号的后四位数、工资、奖金和股权明细等信息。随后，Facebook也曾通过电子邮件将此事通知了员工。

数据泄漏 Facebook 用户数据今日，据外媒报道，一个包含超过2.67亿Facebook用户信息的数据库再次在网上公开，任何人甚至不需要密码或其他身份验证，就能直接访问该数据库。据有关人士介绍，此次事件大多数受影响的用户来自美国，并且这些数据信息经过测试似乎都是有效的。每个记录包含：Facebook ID、电话号码、全名和时间戳。其中，Facebook ID是与特定账户相关的唯一公共号码，可以用来识别账户的用户名和其他配置文件信息。据猜测，这次泄露事件很可能是越南犯罪分子非法抓取操作或滥用Facebook API的结果。

数据泄漏 本田 用户信息距离上次Elasticsearch服务器泄漏内部安全系统40GB数据后仅仅几个月，汽车制造商本田公司近日再次曝出重大数据泄露事故。安全研究员鲍勃·迪亚琴科称，由于Elasticsearch云计算服务器的配置错误，该汽车制造商的北美业务泄漏了大约26,000条用户记录，主要是本田车主及其车辆的信息，包括姓名，联系方式和车辆信息。

相关阅读

一周安全头条 (20191208-1215)