嵌入式系统：CPS最一般的特征之一是，由于与物理世界直接接口的几台计算机（传感器，控制器或执行器）仅执行很少有具体的行动，它们不需要经典计算机（甚至移动系统）的一般计算能力，因此它们往往资源有限。

实时系统：对于安全关键系统，执行计算的时间对于确保系统的正确性非常重要。实时程序语法语言可以帮助开发人员为其系统指定时序要求，实时操作系统（RTOS）保证接受和完成的时间来自应用程序的任务

网络协议：CPS的另一个特征是这些嵌入式系统相互通信，越来越多地通过IP兼容网络进行通信。虽然电力系统等许多关键基础设施都使用串行通信来监控其SCADA系统中的远程操作，但直到最近二十年，系统不同部分之间的信息交换已从串行通信迁移到IP兼容网络。

无线：虽然大多数长途通信是通过有线网络完成的，但无线网络也是CPS的共同特征。嵌入式系统的无线通信在2000年代初以传感器网络的形式引起了研究界的极大关注。

控制：最后，大多数CPS观察并尝试控制物理世界中的变量。反馈控制系统已经存在了两个多世纪，包括1788年推出的蒸汽调速器等技术。

普普点评

Fortinet近日发布《2022 下半年度全球威胁态势研究报告》。报告指出，相对于组织攻击面的不断扩大以及全球威胁态势的持续演进，网络犯罪分子设计、优化技术与战术的能力也随之与日俱增，全球各行业及各类规模企业将持续面临重大风险。

1、2022 年破坏性雨刷恶意软件等类似APT攻击数量激增

2、CVE映射表明，漏洞红区助力CISO精准判定威胁优先级

3、谋取非法暴利的网络犯罪和勒索软件威胁活动仍高居不下

4、代码复用成网络攻击者的“锦囊妙计”

5、传统僵尸网络复活增加攻击供应链弹性

6、Log4j 漏洞肆虐，已成众矢之的

7、恶意软件传送方式改变，用户安全意识亟待提高

随着当今网络防御策略的不断升级，企业网络安全防线更加牢不可破。网络攻击者为持续获得非法访问并成功绕过安全检测，必然需借助更多侦察技术，部署更为复杂的替代攻击方案，以有效利用雨刷恶意软件或其他高级攻击载荷等类似高级持续性威胁（APT）攻击方法，对特定目标发起更具持续性和破坏性攻击。

普普点评

如今，网络安全正迅速成为各大组织关注的焦点。由于对数字化系统的依赖性越来越强，网络威胁对于各种规模的企业来说都是主要的挑战。网络攻击可能导致数据泄露、敏感信息被窃取、财产损失和企业名誉受损。

IT基础架构安全性分为4个层级

1、数据

2、应用程序

3、网络

4、物理

防范网络攻击的十大安全措施

1、网络安全策略

2、用户准入审查

3、安全协议

4、经过验证的软硬件

5、强大的防火墙系统

6、遵循安全开发规则的代码

7、数据加密

8、备份副本

9、定期系统测试

10、聘请网络安全专家

普普点评

根据安全机构 FlashPoint 官方博文，在密码管理器 Bitwarden 的浏览器扩展程序中发现了一个高危漏洞，可以泄露用户的密码信息。

恶意网站可以利用该漏洞，在受信任页面中嵌入 IFRAME 代码。用户访问这些恶意网站，并使用 Bitwarden 自动填充之后，就可以获取用户的凭证信息。

IT之家从博文中获悉，导致这个漏洞的关键是 Bitwarden 以非典型方式处理网页中的嵌入式 iframe。

浏览器通过同源策略，分开 iframe 嵌入页面和父页面。也就是说，iframe 嵌入页面和父页面应该是互相隔离的状态，无法访问其内容。目前包括 Firefox、Chrome 等主要浏览器均采用了这个安全概念。

Bitwarden 浏览器扩展还在通过 iframe 嵌入来自其他域的第三方内容的页面上使用自动填充功能。通过 iframe 嵌入的网页无权访问父页面的内容。

但安全研究人员写道无需进一步的用户交互，该页面可以等待登录表单的输入，并将输入的凭据转发到远程服务器。

Bitwarden 文档确实包含一条警告，即“受感染或不受信任的网站”可能会利用此来窃取凭据。安全研究人员表示，如果网站本身受到威胁，扩展几乎无法阻止窃取凭据。

普普点评

近日，根据 Fortinet 最新报告：不明来源的的攻击者利用零日漏洞针对政府和大型组织，导致操作系统和文件损坏以及数据丢失。

数据窃取恶意软件

该事件是在被攻击的Fortigate设备中断后发现的，由于FIPS错误，系统进入错误模式并无法重新启动。

Fortinet说，发生这种情况是因为其支持FIPS的设备验证了系统组件的完整性，而且它们被设置为自动关闭并停止启动，以便在检测到破坏时阻止网络入侵。

这些Fortigate防火墙是通过受害者网络上的FortiManager设备被破坏的，因为它们同时停止，并且FortiGate路径遍历漏洞与通过FortiManager执行的脚本同时启动。

用来攻击政府网络的零日

Fortinet认为，这些攻击具有很强的针对性，主要针对政府网络。攻击者还具有很强的攻击手段及能力，包括反向设计FortiGate设备的部分操作系统。因为该漏洞需要对FortiOS和底层硬件有深入的了解。

今年1月，Fortinet披露了一系列非常类似的事件，2022年12月打了补丁并被追踪为CVE-2022-42475的FortiOS SSL-VPN漏洞也被用作针对政府组织和政府相关实体的零日漏洞。

普普点评

3 月 15 日消息，最近 ChatGPT 光速走红，很多网友都争相尝试它智能的交互效果。但骗子也紧随科技热点，与 ChatGPT 相关的骗局最近呈现高发趋势，支付宝安全中心发布了相关提醒。

一些不法分子借此机会，在网上发布代注册 ChatGPT 账号服务和山寨版 ChatGPT 应用，并收取费用，牟取非法利益。很多网友并不清楚 ChatGPT 的访问方法，从而误入了山寨版 ChatGPT 应用。

山寨版 ChatGPT 收费套路多，还过度索取注册信息，网友的个人隐私得不到保障。高价代注册 ChatGPT 账号或贩卖 ChatGPT 账号算是黄牛基本套路，一些黄牛还会借机索取网友的身份证、银行卡等身份信息转手贩卖给黑灰产。各种山寨版 ChatGPT 更是层出不穷，以免费试用为噱头，吸引用户注册使用后，再推出收费服务。这主要有两种模式：一种是声称取得 ChatGPT 官方接口，以“中间人”角色搬运问题和回复，通俗来说就是“二道贩子”；另一种则是纯粹的“山寨”应用，服务质量堪忧。

在收费方面，有的按对话次数充值收费，有的收取会员费。但这些山寨应用，热度过了就卷款跑路，网友们的付费权益得不到保障。一些页面甚至还有“加入代理赚钱”的选项，助其推广，涉嫌刷单。有的则需要观看 30 秒、60 秒广告方可提问一次，想跳过广告则需另付费。

普普点评

网络安全公司 SpyCloud 发布了 2023 年身份暴露报告，揭示了 2022 年网络数据泄露的严重情况。该报告显示，该公司的研究人员在网上发现了 7.215 亿个被泄露的密码，其中有一半是来自僵尸网络（即被恶意软件感染并被黑客控制的计算机网络，用于部署窃取信息的恶意软件）。

更令人担忧的是，该研究发现，在 2022 年数据泄露中被暴露的用户中有 72% 仍然在重复使用之前被泄露过的密码。此外还有其它一些有趣的发现，例如超过 32.7 万个被暴露的密码与 Taylor Swift 和 Bad Bunny 有关，26.1 万个与流媒体服务如 Netflix 和 Hulu 有关，超过 16.7 万个与英国王室和伊丽莎白女王去世有关。

该研究还发现，在 2022 年有 86 亿个可识别个人身份信息资产被暴露。其中包括 14 亿个全名、3.32 亿个国家身份证 / 完整社会保障号码和 6700 万张信用卡号码。

普普点评