信息安全快讯丨密标委发布信息系统密码应用基本要求；国家漏洞库关于微软多个安全漏洞的通报；支付宝检测到部分苹果用户ID被盗
*举措
德国爱尔兰介入调查Google+安全漏洞
关键词：谷歌安全漏洞
搜索巨头谷歌旗下同名社交网络Google+“软件故障”被曝光后，引发欧洲隐私保护机构关注。德国汉堡的数据保护专员约翰内斯·卡斯帕(Johannes Caspar)宣布，该机构已经开始调查此事，这个漏洞可能导致多达50万用户的个人数据被泄露。爱尔兰隐私管理局表示，它将从谷歌获取有关这些问题的信息。将来，该机构可能成为这家科技巨头在欧洲的主要监管者。
其实谷歌早在今年3月份就发现了这一漏洞，但考虑Facebook的遭遇，担心会给自己引来监管机构的审查，所以没有公开。
近日，欧盟28个隐私监管机构的联合组织表示，它尚未接到有关这一数据泄露的正式通知，但它似乎确实比新法案GDPR生效更早发生。
欧盟司法专员维拉·朱罗娃(Vera Jourova)表示，这“再次提醒了我们，为什么欧盟推进现代数据保护规则是正确的。许多大型科技公司似乎并不希望进行公平竞争。”（来源：网易科技）
美国国土安全部警惕针对精细农业的威胁
关键词：精细农业网络安全
美国国土安全部 (DHS) 发布报告称，由于精细农业依赖多种嵌入式和联网技术改进工业和畜牧管理，因此易受多种漏洞和网络威胁的影响。
DHS 报告指出，精细农业所使用的技术“依靠远程传感、全球定位系统和通信系统生成大数据、数据分析和机器学习”。报告结果基于对美国大型农场和精细农业技术制造商的走访。这些技术使农业和畜牧管理更加精细（肥料、种子和杀虫剂）从而降低成本并提高产量，但同时也使农业行业易遭攻击。
精细农业不仅面临网络攻击，而且还面临其它风险如自然灾害、*袭击、设备崩溃或内部威胁。精细农业所面临的关键威胁包括故意窃取数据、故意公开机密信息、访问无人空中系统数据、出售机密数据、误报信息以实现破坏目的、引入恶意数据以破坏庄稼或牲畜、破坏定位导航和定时系统以及破坏通信网络。（来源：freebuf）
密标委发布《GＭ/T 0054-2018 信息系统密码应用基本要求》
关键词：信息系统密码基本要求
密码作为保护网络安全的必备手段，在等保方案的设计中必不可少。尤其是在等保三级系统中，必须要用到密码。
自密标委发布了《GＭ/T 0054-2018 信息系统密码应用基本要求》（简称国密0054标准）后，让众多等保工作者有了密码应用宝典。该标准分别从密码算法、密码产品、密码服务几方面总结了所有级别信息系统需要遵循的要求。
另外，国密0054标准从“物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全”四个方面，提出了等级保护不同级别的密码技术应用要求、**管理和安全管理要求。（来源：信安在线咨询）
网络安全事件
900万台杭州雄迈科技生产的视频监控设备被曝DVR漏洞
关键词：DVR漏洞
安全研究人员发现的漏洞包括默认管理员密码（即无密码，初始设置没有强制设置密码）、“默认”帐户的不安全凭据、多个未加密信道、薄弱的更新机制和未签名的固件等。
研究人员表示帮助用户连接到公司“XMEye P2P Cloud”并与设备进行交互操作的ID很容易通过设备的MAC地址获得，而且与云服务器提供商建立的链路（默认情况下已启用）没有加密，这些服务器的地理位置等信息暂时没有想请提供。最关键的是，设备的P2P云功能可以绕过防火墙并允许远程连接到专用网络，这也是之前成为Mirai僵尸网络重灾区的原因之一。（来源：helpnetsecurity）
国家漏洞库CNNVD：关于微软多个安全漏洞的通报
关键词：微软安全漏洞
近日，微软官方发布了多个安全漏洞的公告，包括MS XML 远程执行代码漏洞（CNNVD-201810-294、CVE-2018-8494）、Windows Hyper-V 远程执行代码漏洞（CNNVD-201810-327、CVE-2018-8490）等多个漏洞。成功利用上述安全漏洞的攻击者，可以在目标系统上执行任意代码。微软多个产品和系统受漏洞影响。目前，微软官方已经发布补丁修复了上述漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。（来源：安全内参）
华夏银行技术处长编病毒程序取款 700 余万，现已受审
关键词：华夏银行内鬼
利用职务便利，在华夏银行总行核心系统内植入计算机病毒程序，使跨行ATM机取款交易不能计入账户，之后成功取款717.9万元非法占为己有。10 号上午，覃某因涉嫌职务侵占罪在北京朝阳法院受审。
检方指控，覃某将其编写的“计算机病毒程序”植入华夏银行总行核心系统应用服务器，并通过该计算机病毒程序使其跨行ATM机取款的交易不能计入账户，自2016年11月至2018年1月间，覃某通过其掌控的华夏银行卡多次在ATM机上跨行取款，将银行资金717.9万元转入其使用控制的银行账户，非法占为己有。对于指控，覃某当庭表示认罪。[来源：网易新闻]
支付宝检测到部分苹果用户ID被盗
关键词：支付宝苹果用户被盗
近日，支付宝官方微博发布关于苹果手机的安全提示，称检测到部分苹果用户ID被盗，由此带来ID绑定支付工具遭到资金损失。支付宝表示，已经多次联系苹果公司并推动其尽快定位被盗原因，提升安全防范水平，并彻底解决用户权益损失的问题。苹果公司回复已经在积极解决，支付宝建议苹果用户调低免密支付额度以最大限度保护资产安全。（新浪科技）
程序员非法出售v*n被判刑三年，罚款10000元
关键词：非法出售v*n
近日，上海市宝山区人民法院依法公开开庭宣判被告人戴某提供侵入、非法控制计算机信息系统程序、工具罪一案，判处有期徒刑三年，缓刑三年，并处罚金人民币一万元。
宝山区法院经审理查明，被告人戴某原在某证券管理公司从事软件开发工作。自2016年4月起，其为牟取非法利益，创建某网站，并在网站上出售v*n*软件的账户。同时租用*服务商的多台服务器，向所出售的账户提供可以访问国内IP不能访问的外国网站服务。戴某于2017年10月10日被抓获，截至2017年10月案发，戴某共计向数百人次非法提供v*n服务。（来源：人民法院报）
重大系统故障袭击东京证券交易所
关键词：证券交易所故障
近日，东京证券交易所遭遇重大计算机故障，暂时关闭其交易系统，影响了几家经纪公司。这些故障影响了将这些经纪商与交易所交易系统之间接受订单的线路。
日本最大的证券交易所设法通过使用备用线路恢复交易，而正常交易预计将在周三恢复。然而，包括野村证券公司，SMBC日兴证券和大和证券公司在内的大型经纪公司完全停止了订单处理，因为故障已经失控。与此同时，野村证券（Nomura Securities）周二下午开始恢复接受客户的订单。
东京证券交易所没有具体提及它是否会补偿那些交易受影响的经纪公司，一位受影响的经纪公司的官员表示，它们不能否认系统故障通过丧失股权交易机会而影响客户的可能性。
根据The Mainichi的说法，证券交易所检测到系统中的故障，该系统旨在接受买卖股票，交易所交易基金，房地产投资信托和可转换债券的订单。（来源：cnbeta）
数据统计
2018 上半年有 45 亿账号被盗 平均每分钟 4822 个
关键词：账号被盗
根据Gemalto公布的最新报告[PDF]，2018上半年用户账户信息被盗数量达到惊人的4,553,172,708，同比增长133%。
如果按照行业来划分，那么账号被盗的重灾区就是社交媒体，在所有被盗记录中的占比达到了56.11%，其次是*，占比达到26.62%。此外56.08%的数据泄露是外部攻击者通过漏洞或者恶意软件等方式窃取的，记录的被窃记录达到36亿条，增长了1000%。
意外丢失和内部人士恶意窃取占比分别为33.65%和6.46%，事故发生率下降至9亿，下降了47%。Gemalto将泄露事件类型分为身份盗窃，账户凭证，金融凭证，骚扰和Existential Data，其中身份盗窃占比高达64.55%，其次是账号凭证（17.47%）和金融凭证（13.02%）。（来源：cnBeta）
大规模DDoS攻击的物联网僵尸网络：2018年第二季度威胁报告
关键词：2018年第二季度威胁报告
根据Nexusguard发布的2018年第二季度威胁报告，物联网僵尸网络使DDoS攻击的规模急剧增长，跟2017年第四季度相比，这一季度里发生的DDoS攻击无论是攻击规模还是影响，都出现了大规模增长。
绝大部分的DDoS攻击（55.28%）持续时间都不会超过90分钟，40.1%的攻击持续时间会在90分钟至1200分钟之间，仅有4.62%的攻击会持续超过1200分钟。从流量方面来看，64.13%的攻击活动流量小于10Gbps，35.87%的攻击活动流量高于10Gbps。
美国和中国是目前DDoS攻击的主要来源地区，紧随其后的分别是法国、德国和俄罗斯。（来源：FreeBuf.COM）
漏洞速递
10月8日-10月14日：
国家信息安全漏洞共享平台（简称 CNVD）共收集、整理信息安全漏洞249个，其中高危漏洞91个，中危漏洞139个，低危漏洞19个。关注度最高的漏洞：
免责声明：
信息安全快讯的内容及图片出于传递更多信息之目的，属于非营利性的转载。如无意中侵犯了某个媒体或个人的知识产权，请联系我们，我们将立即删除相关内容。其他媒体、网络或个人从本网下载使用须自负版权等法律责任。
获取更多网络安全行业资讯，请关注e安在线微信公众号：