一周安全头条（20190113-0119）

本周，安全牛发布2019年网络安全行业全景图。本次发布的全景图共分为18个一级安全领域，71个二级细分领域，包含近300家安全企业和相关机构。本次全景图与2018年7月份发布的版本相比，新增加2个一级领域、7个二级分类，并对二级领域的覆盖范围做了更加详细的划分及调整。

调查报告  容器安全

近期，Tripwire开展了一项针对容器安全状态的调查报告。在这项研究中，Tripwire对311位IT安全专业人员进行了调查。调查结果显示，86％的受访企业正在创建容器，而生产中的容器越多，他们遇到容器安全问题的可能性就越大。在那些生产了100多个容器的组织机构中，有75%已经遭遇过一起安全事故。所以当有94%的受访者都表达了他们对容器安全的担忧也不足为奇了。71%的受访者甚至预测，新的一年里容器安全事故将会增加。

调查报告  Web应用漏洞

近期，Imperva发布了一项针对2018年Web应用漏洞状况的报告。结果显示，2018年记录的Web应用漏洞共有17,142个，比2017年增长21%。Web应用漏洞类型多样，其中最常见的是跨站脚本(XSS)漏洞——占所有报告漏洞的14%，且比2017年翻了一番。但最大的问题还是注入漏洞，比上年增长了588%，占2018年度Web应用漏洞的19%。融资并购  虚拟化安全

Golden Sachs日前投资了一家英国安全创业公司Immersive Labs，A轮融资达800万美元。Immersive Labs为用户提供一个游戏化的平台，使企业员工在各种不同的虚拟环境里提升他们的安全能力。融资并购  IAM

基于云的IAM供应商OneLogin宣布获得融资1亿美金，总融资额达到1.7亿美金。OneLogin成立于2009年，提供企业级的UAM平台来解锁应用、设备和数据。全球共有2,500家左右的企业使用他们的产品，并且OneLogin在过去三年中年收入翻了三倍。在获取了这次融资后，OneLogin将发展在多因子验证方面的技术。

融资并购  云安全

提供云环境的数据和身份控制解决方案的初创企业Sonrai获得A轮融资1,850万美元。Sonrai的云数据控制产品能为企业提供在云环境下发现、绘制、分类以及自动化控制数据与用户的能力。融资并购  通讯安全

数字工作公司WorkJam收购通信安全公司Peerio。WorkJam是一家致力于内部员工沟通合作，增强团队工作效率的企业；而Peerio则是一家提供端到端加密通信的安全公司。由于在很多企业内部的沟通交流以及数据传输会存在大量的敏感信息，WorkJam为了保护通信中的隐私安全，对Peerio进行了收购，加强了自身产品的安全性能。

融资并购  邮件安全

邮件安全公司Zix周二宣布以2.75亿美金收购另一家安全公司AppRiver。AppRiver成立于2002年，为全球超过6万企业提供基于云的网站保护、邮件加密、以及安全存档解决方案。

数据泄露  Voipo

近期，一家名叫 Voipo 通信提供商被爆泄露了价值数十亿美元的客户数据。Voipo 是一家总部位于加利福尼亚州 Lake Forest 的互联网语音服务提供商，提供面向住宅和商用的电话服务，并且支持云端控制。据悉，迄今已有 700 万通话和600 万短信纪录、以及其它包含未加密密码的内部文档被泄露。

数据泄露  亚马逊

近期，亚马逊商城遭受恶意攻击导致印度站卖家从网站上下载2018年12月份卖家税务报告（MTRs）时可下载其他用户的账户及消费信息。随后，亚马逊承认，这一问题是由于数据泄露造成的，并表示可能有近40万卖家会受到数据泄露的影响。

数据泄露  网络犯罪

8人因非法窃取证券信息遭到美国起诉。这8人在2016年到2017年间，通过攻击政府数据库获得了大量未公开的企业财政信息，包括部分申请IPO的公司财报，通过兜售以及根据这些财报进行投资，获利410万美元。

数据泄露  国家安全

美国俄克拉荷马证券委员会发生数据泄露，造成3TB的信息泄露。数据泄露的原因是因为储存这些信息的服务器缺乏密码保护，从而使得每个人都能连接到服务器。需要注意的是，在这些被泄露的信息中，包含了FBI几年来对一些企业的数百万份调查资料。漏洞补丁  零日漏洞

Tenable Research发现了四个IDenticard接入控制系统中的零日漏洞。这些漏洞包括了直接写死在源码中的后门账户以及密码，攻击者一旦利用这些漏洞，可以进行几乎所有的高权限操作，并且查阅各种弱加密的敏感信息。尽管这套系统被广泛应用于学校、政府、医疗中心以及五百强公司，IDenticard对Tenable Research发出的告警进行了无视，同时在45天后依然没有进行任何补丁措施。

漏洞补丁  Windows7

近日，微软公司宣布Windows7系统将于美国时间2020年1月14日正式退役，微软将会停止对Windows 7的外延支持，也不再发布任何安全更新。　Windows 7操作系统于2009年正式发，一直深受用户的喜爱，虽然Windows 10系统已推出好几年，但是直到去年年底，Windows 10的桌面用户量(39.2%)才勉强实现对前辈Windows 7(36.9%)的超越。据悉，Windows 7系统的退役只针对个人用户，如果是支付了费用的企业用户，则仍可以享受来自微软的技术补丁。

漏洞补丁  甲骨文

甲骨文于1月15日发布了自己2019年的第一个重大补丁，修复了284个漏洞，其中有大量CVSS评分超过9分的漏洞，受这些漏洞影响的功能涵盖Oracle Fusion中间件、SQL和Java等关键功能。

漏洞补丁  认证安全

Check Point安全团队发现网络游戏《堡垒之夜》存在数个漏洞，攻击者可以利用这些漏洞获取玩家账户的认证token。Check Point在发现开发游戏的厂商Epic Games存在数个不使用的子域名后对厂商进行了研究，发现在这些子域名中存在数个漏洞，使得攻击者可以利用钓鱼以及XSS进行攻击。

漏洞悬赏  特斯拉

特斯拉决定将自己最新的Model 3电力车放上今年三月的Pwn2Own黑客比赛上。届时，黑客只要现场展示自己发现的可利用漏洞，就可以根据不同的破解部分获得不同金额的赏金；而获得最多Pwn积分的黑客将可以赢得一辆特斯拉的最新款电力车。

会议活动  威胁情报生态峰会

1月17日，国内首个聚焦生态的威胁情报生态峰会在北京举行。来自公安部网络安全保卫局、国家保密局科学技术司、中科院信息工程研究所CNTIC工作组、国家互联网应急中心以及360企业安全集团、华为、中国人民银行金融信息中心、中国华电集团、天际友盟等多家机构和企业的领导、专家出席了大会，从威胁情报生态的不同角色，分享了威胁情报在安全信息通报、安全能力建设、安全体系建设、威胁捕猎等多个领域的应用，以及基于威胁情报生态的合作模式和实践探索。

战略合作  工业互联网安全

近日，360企业安全集团与清华大学网络科学与网络空间研究院正式签约成立“清华大学网络研究——360企业安全集团网络安全联合研究中心”。据悉，未来三年360企业安全集团将至少投入1500万，与清华大学联手对互联网基础设施安全、IPv6和下一代互联网安全体系和关键技术、网络安全协议的漏洞分析与安全测量、数据驱动的网络入侵检测和应急响应、软件与系统安全、物联网与工控系统安全领域，展开深入研究。

国际动态  政企合作

威尔士政府和法国航空以及安全公司法国泰雷兹集团将斥资2,000万英镑在南威尔士建立国家数字中心。中心将分为四个部分：高级安全学院、应用数字信任环境、项目区以及数字教育中心。其中，应用数字信任环境以及项目区的主要功能将作为基于商业目的的创新电子测试中心。

网络犯罪  DDoS

英国以色列双国籍男子Daniel Kaye因对电信运营商网络进行DDoS攻击获刑2年8个月。Kaye被Lonestar Cell MTN的竞争对手Cellcom雇佣，对Lonestar的网络进行DDoS攻击，使得整个利比里亚的网络崩溃，造成了上千万美元的损失。

网络攻击  勒索病毒

美国得克萨斯州某城市受到勒索病毒攻击，使得整个市政府的IT系统被迫关闭。暂时不明确勒索病毒的类型，攻击者要求以比特币以及门罗币支付赎金。另外，不同的是，这次攻击者在留下的勒索信息中给了自己的电话号码。FBI以及相关调查人员已经对事件着手进行调查。