信安标委《网络清静标准实践指南—远程办公清静防护》；2019年开源代码误差数目增添近50％
宣布时间 2020-03-171.信安标委《网络清静标准实践指南—远程办公清静防护》
天下信息清静标准化手艺委员会秘书处针对远程办公清静问题，组织相关厂商和清静专家，体例了《网络清静标准实践指南—远程办公清静防护》。《实践指南》给出了远程办公的典范应用场景，剖析了远程办公可能面临的办公系统自身清静、数据清静、装备清静和小我私家信息�；さ任：�，针对远程办公系统的使用方和用户，划分给出了清静控制步伐建议。其中，使用方应在治理和手艺两方面开展清静防护，健全远程办公治理制度，增强运维治理，强化清静步伐。用户应提高自身清静意识，重点针对装备、数据、情形等方面的清静危害举行防护。
原文链接：
https://www.tc260.org.cn/upload/2020-03-13/1584090952093076364.pdf
2.2019年开源代码误差数目首次凌驾6000个，增添近50％
凭证开源清静与合规公司WhiteSource的一份报告，去年开源代码中的误差激增。该报告称，2017年和2018年开源误差的数目稳固在4000多个，与2017年之前从未突破2000个的数字相比，误差数目增添了一倍以上。然后在2019年，开源误差数目再次飙升，首次凌驾6000个，这代表了近50％的增添。到现在为止开源误差中最常见的类型是跨站点剧本（XSS），该类型险些占所有误差的四分之一，其次是输入验证不准确、缓冲区过失、越界读取和信息泄露。
原文链接：
https://nakedsecurity.sophos.com/2020/03/16/open-source-bugs-have-soared-in-the-past-year/
3.2020年云设置过失报告，已往两年泄露330亿条纪录
凭证DivvyCloud的2020年云设置过失报告，2018年和2019年有近334亿条纪录因云设置过失导致泄露，全球企业的本钱为快要5万亿美元。从2018年到2019年，云设置过失袒露的纪录数目同比增添了80％，与之相关的公司总本钱也有所增添。不幸的是，专家们预计这种上升趋势将一连下去，由于公司继续迅速接纳云服务但未能实验适当的云清静步伐。Elasticsearch设置过失占所有泄露的20％，但这些事务泄露的纪录数目占所有纪录的44％。从2018年到2019年，由Elasticsearch设置过失导致的泄露数目险些增添了两倍。S3存储桶设置过失占所有泄露的16％，可是与2018年相比，2019年设置过失的S3服务器镌汰了45％。
原文链接：
https://www.computerweekly.com/news/252478833/Cost-of-cloud-misconfigurations-set-at-5tn?&web_view=true
4.Android跟踪软件MonitorMinor，可跟踪Gmail用户运动
卡巴斯基清静专家发明新Android跟踪软件MonitorMinor，它可以跟踪Gmail、WhatsApp、Instagram和Facebook的用户运动。清静专家称MonitorMinor比其家族的所有现有软件功效更强盛，它使用了SuperUser类型的应用程序（SU适用程序）来获得系统的root会见权限，还可以提取设惫亓/data/system/gesture.key文件，该文件包括了屏幕解锁模式/密码的哈希值。MonitorMonor攻击者可以使用它来解锁装备，这是第一个实现此功效的跟踪软件。MonitorMinor还使用Accessibility Services API来阻挡目的APP中的事务，纵然没有root权限，它也可以使用此API在所有装备上有用运行。凭证卡巴斯基的说法，该跟踪软件大大都装置在印度（14.71％）、其次是墨西哥（11.76％）、德国、沙特阿拉伯和英国（5.88％）。
原文链接：
https://securelist.com/monitorminor-vicious-stalkerware/95575/?utm_source=rss&utm_medium=rss&utm_campaign=monitorminor-vicious-stalkerware
5.研究团队宣布新勒索软件家族PXJ的剖析报告
IBM X-Force的清静专家发明了一种新的勒索软件PXJ Ransomware，只管该勒索软件实现了大大都勒索软件共有的功效，但它似乎并未与已知的勒索软件家族共享底层代码。研究职员在2月29日首次发明了PXJ，其时有两个样本被上传到VirusTotal。PXJ的名称来自附加到加密文件的扩展名，该恶意软件也被称为XVFXGW，来自于恶意软件建设的“XVFXGW DOUBLE SET”及勒索票据中包括的电子邮件地点（“xvfxgw3929@protonmail.com”和“xvfxgw213@decoymail.com”）。PXJ使用AES和RSA算法来加密数据。研究职员在报告中剖析了有关PXJ的手艺细节，包括入侵指标（IoC）。
原文链接：
https://securityintelligence.com/posts/pxj-ransomware-campaign-identified-by-x-force-iris/
6.美国卫生与公众服务部（HHS）遭DDoS攻击
美国卫生与公众服务部（HHS）于周日遭到DDoS攻击，但该机构体现事务并未造成任何重大破损。首次报道这一事务的彭博社最初使用了“网络入侵”一词，但厥后将其从文章正文中删除-但仍然保保存副问题中。《华盛顿邮报》称HS的网站现实上从未因这次攻击而瓦解。凭证一些报道，攻击可能是由外国攻击者提倡的，其目的是破损HHS对COVID-19�；姆从�，但这一理论尚未获得证实。
原文链接：
https://www.securityweek.com/hhs-says-ddos-attack-failed-cause-disruption
京公网安备11010802024551号