德國間諜機構被起訴！被指監控全球互聯網交換數據；ICS-CERT公告：美國必康美德醫療設備曝多個安全漏洞
內容提要：
1.德國間諜機構被起訴！被指監控全球互聯網交換數據
2. ICS-CERT公告：美國必康美德醫療設備曝多個安全漏洞
3. 美當局發布「殭屍網路報告」 以應對DDoS攻擊
4. Windows曝0day遠程代碼執行漏洞
5. 為美國中央司令部規劃網路行動，承包商須什麼水平？
6. 警告！黑客組織Iron瞄準中國門羅幣錢包發起攻擊
7. 確保工業物聯網（IIoT）安全為何如此困難？
8. 1000台路由器暴露，Singtel電信員工這個失誤你同樣會犯
9. 聯網汽車授權框架：防範未經授權感測器、數據訪問
1 德國間諜機構被起訴！被指監控全球互聯網交換數據
當地時間2018年5月30日，德國東部城市萊比錫的聯邦行政法院就德國商業互聯網交換中心（De-Cix）質疑「德國聯邦情報局（簡稱 BND）對該中心的數據流進行的全面監控」違反合法性一案進行了開庭審理。BND 還被認為與美國國家安全局（NSA）有合作。De-Cix 是全球領先的互聯網數據交換服務商。De-Cix 表示，其位於德國法蘭克福的互聯網交換中心是全球最大的互聯網交換中心，涉及到來自中國、俄羅斯、中東和非洲的數據流，在流量高峰時每秒甚至處理 6TB 的數據。
2 ICS-CERT公告：美國必康美德醫療設備曝多個安全漏洞
最近，美國 ICS-CERT 發布並修改了一份名為《美國必康美德TotalAlert Scroll 醫用空氣系統》（ICSMA-18-144-01）的公告，警告稱在美國必康美德公司 TotalAlert Scroll 醫用空氣系統的醫療設備中發現了三個安全漏洞。ICS-CERT 表示，攻擊者可利用 TotalAlert Scroll 醫用空氣系統 web 應用程序中的漏洞，查看和修改一些設備信息和 web 應用程序設置。這些漏洞由安全研究員馬克西姆·魯普向美國國土安全部（DHS）的國家網路安全和通信整合中心（NCCIC）報告，由 NCCIC 下的 ICS-CERT 負責發出警報公告。
3 美當局發布「殭屍網路報告」 以應對DDoS攻擊
2016年底，Mirai殭屍網路爆發，致美國 Netflix 和《紐約時報》大量知名網站無法訪問。2017年5月，特朗普於簽署了網路安全行政令。這份行政令要求美國商務部（DoC）和國土安全部（DHS）提交應對 DDoS 攻擊和殭屍網路的報告。2018年5月30日，美國商務部和國土安全部終於發布長達51頁的報告，提出美國聯邦政府應「率先以身作則」，確保計算機和聯網設備免遭殭屍網路劫持，鼓勵行業帶頭確定如何保護這些設備。DoC 和 DHS 在報告中概述了互聯網和全球通信生態系統領域的技術和政策現狀以及未來願景。這份報告主要提到5大總體目標和24個具體行動舉措，強調構建更安全、更具彈性的物聯網，並提出政府與行業之間應加強合作。
4 Windows曝0day遠程代碼執行漏洞
近日，windows 系統又發現一起 0day 漏洞，該漏洞是由系統中的 JScript 組件造成的，允許遠程攻擊者在用戶的 PC 上執行惡意代碼，雖然微軟並未提供計劃推出補丁的確切時間表，但一位發言人表明他們正在進行修復。Windows 操作系統的 JScript 組件中存在一個 0day 漏洞，可能允許攻擊者在用戶計算機上執行惡意代碼。
5 為美國中央司令部規劃網路行動，承包商須什麼水平？
美國中央司令部（CENTCOM）是美國國防部下的一個戰區級聯合作戰司令部，負責中東、中亞和北非部分地區軍事行動。該司令部正在尋找承包商，以幫助其確定目標，規劃並執行網路行動。除了具備基本的網路和地緣政治專業知識，符合標準的承包商需配備8名了解軍事網路行動的政策和流程的人員。
6 警告！黑客組織Iron瞄準中國門羅幣錢包發起攻擊
以色列網路安全公司 Intezer 2018年5月29日發博文稱，其在2018年4月監測公共數據流時發現一個先前未知的後門。該後門由 Iron 勒索軟體背後的網路犯罪組織開發，Interzer 將該組織稱為「Iron網路犯罪組織」（Iron Cybercrime Group），且懷疑該黑客組織來源於中國。據推測，Iron 網路犯罪組織過去18個月一直處於活躍狀態。該組織在此次的後門中使用了義大利間諜軟體廠商 Hacking Team 被泄露的 RCS 源代碼。
7確保工業物聯網（IIoT）安全為何如此困難？
目前市場上充斥著幾十億未得到充分保護的工業設備，而這些設備要達到「有意義」的工業物聯網（IIoT）安全水平，可能需要五年或更長時間。廣義上講，IIoT市場包含所有帶有集成電路的聯網設備，該市場中原始設備製造商（OEM）、運營商、集成商和網路提供商競爭激烈。美國工業互聯網聯盟（簡稱 IIC）執行理事理查德·索利的表示，IIoT 擁有多個部分，難以令各部分都滿足大量最佳實踐和標準規範。其中一個最大的障礙是統一 IIoT 中各個不同的部分，這需要一套相對明確的定義，來闡述安全的內涵以及如何讓晶元製造商持續將安全納入到產品當中。
8 1000台路由器暴露，Singtel電信員工這個失誤你同樣會犯
物聯網網路安全公司 NewSky Security公司5月28日披露，新加坡最大的電信運營商 Singtel 約1000台客戶路由器因10000埠未受保護暴露在潛在攻擊當中。新加坡電信公司（Singtel）在25個國家擁有4億用戶，在全球行動電話服務商中排名前三十，現在正集中於提供互聯網接入、IPTV（Singtel TV）、手機（新電信流動）和固網電話服務，同時也是國際組織 Bridge Alliance 的創始會員。
9 聯網汽車授權框架：防範未經授權感測器、數據訪問
美國德克薩斯大學聖安東尼奧分校（UTSA）的研究人員近日開展了一項新研究，以調查新一代智能汽車（無人駕駛、聯網汽車等）面臨的網路安全風險。研究人員為聯網汽車制定了一個授權框架，旨在為智能汽車生態系統中動態和短期交互所需的各種訪問控制決策和執行點提供概念性指引。聯網汽車允許駕駛員、甚至行人進行實時通信，這種連接性可讓汽車了解車輛周圍的安全及環境狀況，包括道路障礙物、交通事故，同時還允許行駛車輛進行實時交互。企業甚至可以利用這種連接性實現基於位置的營銷策略，為駕駛員提供附近的服務信息。
