FreeBuf早报，安全圈值得关注的每日大事件

【全球动态】

1. 十年间，美国因数据泄露事件损失超过1.5万亿美元【阅读原文】

从公共消息来源收集的数据显示，自2008年以来美国发生了近9,700起违规事件，涉及超过107亿条记录，以2018年平均成本计算为每条记录148美元，粗略计算10年里财务损失超过1.6万亿美元。这些信息仅依赖于国家来源和媒体报道公布的细节。由于数据泄露披露法律因州而异，因此数据还可能比较保守。 在某些情况下，甚至不需要通知其数据暴露的个人。根据报告，加利福尼亚州是违规行为公开记录最多的州，也是认真对待消费者隐私的州，1,493起事件影响了55.9亿个人记录。

2. 科技部：启动实施“宽带通信和新型网络”重点专项【阅读原文】

为落实《国家中长期科学和技术发展规划纲要（2006—2020年）》《2006—2020年国家信息化发展战略》提出的任务，国家重点研发计划启动实施“宽带通信和新型网络”重点专项（以下简称“本重点专项”）。本重点专项总体目标是：开展新型网络与高效传输全技术链研发，使我国成为普适性IP网络和媒体网络技术与产业未来发展的重要主导者，B5G与6G无线移动通信技术和标准研发的全球引领者，并在光通信领域研发达到国际先进水平，为“网络强国”和“互联网+”国家战略的实施提供坚实的技术支撑。在网络通信核心芯片、一体化融合网络、高速光通信设备、未来无线移动通信等方面取得一批突破性成果，制定产业标准，开展应用示范，打造完善的技术协同创新体系。

3. 自称是比特币创始人的Craig Wright起诉质疑他的人【阅读原文】

去年 4 月举行的一个有关比特币的座谈会邀请了曾自称是比特币创始人中本聪的澳大利亚人 Craig Wright 做了演讲，在演讲后的 FAQ 中，以太坊的创始人 Vitalik Buterin 与这位“中本聪”进行了对峙，公开指责他是骗子，称为什么请这个骗子来演讲。没有人怀疑 Buterin 在以太坊中的作用，但也几乎没有人相信 Wright 是神秘的中本聪。Buterin 对他的嘲笑在社交媒体上引发了广泛热议，但一年后 4 月 12 日 Buterin 收到了 Wright 的律师函，称要在英国起诉他诽谤。不要一周之后，Wright 又起诉了一名叫 Peter McCormack 的播客，索赔 10 万英镑。5 月 2 日，早期比特币投资者 Roger Ver 也遭到起诉。Ver 已经表示会在法庭上为自己辩护，其他两人尚未置评。

4. “网剑行动”直指电商不正当竞争 严格海外代购监管【阅读原文】

6月20日，国家市场监督管理总局在官网发布关于印发2019网络市场监管专项行动（网剑行动）方案的通知。通知称，以落实《电子商务法》为统领，规范网络经营行为，净化网络市场交易环境，维护良好网络市场秩序，网络市场监管部际联席会议各成员单位决定于6-11月联合开展2019网络市场监管专项行动（网剑行动）。具体来看，今年网剑行动的七项重点任务包括：着力规范电子商务主体资格；厉打击网上销售假冒伪劣产品、不安全食品及假药劣药；严厉打击不正当竞争行为；深入开展互联网广告整治工作；依法打击其他各类网络交易违法行为；强化网络交易信息监测和产品质量抽查；落实电子商务经营者责任。

5. 内容审核员控诉Facebook是美国的血汗工厂【阅读原文】

本文作者是Casey Newton。在Facebook内容审核员因压力大、创伤大、环境恶劣等原因选择起诉或离职的境况下，作者对Facebook12位现任和前任内容审核员以及经理进行了采访。Keith Utley曾在海岸警卫队服役，晋升为中尉指挥官。之后，他结了婚，有了孩子，全心全意地爱着他的两个小女儿。退伍后，他进入Facebook成了一名内容审核员，负责清除该社交网络上用户每天发布的最糟糕的一些内容，例如仇恨言论、谋杀、儿童色情。Utley在佛罗里达州坦帕市的Facebook内容审核网站上夜班，该网站由一家名为Cognizant的专业服务供应商运营。该公司有约800名员工，都活在巨大的压力之下。老板要求他们更好地执行社交网络的社区标准，但是他们几乎每天都会收到更新，员工永远处于不确定状态。坦帕网站经常无法达到Facebook设定的98%的“准确率”目标。事实上，它的得分一直在92分左右徘徊，是Facebook在北美表现最差的网站。

【安全事件】

1. 思科修复SD-WAN和DNA产品的关键漏洞【外刊-阅读原文】

思科周三发布了针对其SD-WAN、DNA中心、TelePresence、StarOS、RV路由器、Prime服务目录和Meeting Server产品的几个关键和高严重性漏洞补丁。据思科称，数字网络架构（DNA）中心受到一个严重漏洞的影响，该漏洞允许网络攻击者绕过身份验证并访问关键内部服务。该公司的SD-WAN解决方案，特别是其命令行界面（CLI），受到一个严重漏洞的影响，本地攻击者可利用该漏洞将权限提升为root并更改系统配置。SD-WAN还受到高严重性漏洞的影响，该漏洞允许通过vManage基于Web用户界面进行权限提升。同样的产品也受到高严重性问题的影响，该问题允许经过身份验证的远程攻击者以root权限执行命令。StarOS操作系统和多个RV路由器中的拒绝服务（DoS）问题也被分配了“高”严重等级，这些漏洞可以在没有身份验证的情况下远程利用。

2. 美国俄勒冈州人力资源服务部门发生数据泄露，影响645000名客户【外刊-阅读原文】

美国俄勒冈州人力资源服务部门官员证实，该组织在今年1月发生了数据泄漏事件，645000名用户的个人详细信息和健康信息受影响。受数据泄露影响的个人参加了该部门的福利和针对儿童安全事件的服务计划。违规行为发生在1月8日针对该部门的电子邮件”网络钓鱼“攻击中，九名员工打开了该电子邮件，并点击了一个链接，让攻击者能够访问他们的电子邮件帐户，然后进一步访问数据。

3. Samba漏洞可能会破坏活动目录组件【外刊-阅读原文】

某些版本的Samba软件中存在的漏洞可允许攻击者崩溃网络上的关键进程，比如负责提供目录、应用程序和其他服务的核心进程。其中一个漏洞被跟踪为CVE-2019-12436，影响自4.10.0以来的所有Samba版本，利用该漏洞需要先获取对LDAP服务器的读访问权限。第二个漏洞被标识为CVE-2019-12435，是一个空指针漏洞，会影响Samba版本4.9和4.10，利用它需要身份验证。这两个漏洞可以单独使用，以破坏Samba Active Directory域控制器中的LDAP（轻量级目录访问协议）和RPC（远程过程调用）服务器进程。

4. Desjardins发生数据泄露事件，290万会员受影响【外刊-阅读原文】

Desjardins集团是北美最大的信用合作社协会，根据其官方推特账户，也是加拿大最大的合作金融集团。大约290万Desjardins集团成员的个人敏感信息在未经授权的访问中向公司外部人员泄露。泄露的个人会员信息包括：姓名、出生日期、社会保险号码、地址、电话号码、电子邮件地址、及银行信息和Desjardins产品的详细信息。 对于商业会员，泄露的数据包括公司名称、公司地址、公司电话号码、所有者姓名和AccèsDAffaires帐户上的用户名称，以及与AccèsDAffaires帐户用户相关的一些个人信息。

5. 深圳警方通报优衣库偷拍事件：科技公司员工为求刺激安装针孔摄像头【阅读原文】

6月15日下午，市民钟女士在龙华ICO购物中心优衣库试衣服时，发现试衣间内藏有针孔摄像头，之后优衣库店长与钟女士报警。优衣库总部公关称，系不法分子所为，公司将配合警方工作。今天下午，深圳龙华公安通报优衣库偷拍事件，经周密调查、多方取证，警方于6月19日7时许将嫌疑人邓某某（男，28岁，某科技公司员工）抓获。经审讯，邓某某对其利用针孔摄像装备实施偷拍的违法事实供认不讳。经查，邓某某为寻求刺激从网上购买了一套针孔摄像装备，于6月15日13时许将设备安装在某品牌服装店一试衣间实施偷拍，并将部分视频保存在自己的手机。经检查，未发现偷拍视频泄露。目前，邓某某因违反治安管理处罚法第42条规定，被依法处以行政拘留10日处罚。

6. WhatsApp修复高危缓冲区溢出漏洞【阅读原文】

WhatsApp修补了一个在野外被利用的远程漏洞CVE-2019-3568，研究人员通过diff分析补丁，发现修补了一个整数溢出和缓冲区溢出漏洞。研究人员就在想攻击者会如何利用这个RCE漏洞长期对目标设备进行监听。最后发现，攻击者是通过漏洞获取App执行权限之后调用App中的代码执行WhatsApp Web功能，使得远端的Web浏览器对设备长期的监听。

【优质文章】

1. 猫鼠游戏：三种被滥用的逃避技术【阅读原文】

在对网络犯罪分子攻击手段的分析过程中，我们会不断遇到他们各式各样的伎俩，用以绕过企业的安全防御机制，这些伎俩有些是先进的，有些看起来显得“过时”，即使如此，在大多时候，通过对这些技术的有效应用也能帮助犯罪分子进入受害者的电脑，渗透到公司的网络之中。本篇文章旨在揭示目前被各类网络犯罪分子滥用的一些技术细节，以帮助企业、安全运营商和行业减轻它们的影响。

2. TP-Link Wi-Fi扩展器远程代码执行漏洞分析【阅读原文】

WiFi扩展器可以放大WiFi信号，主要用于大型或多层住宅，以及路由器信号无法覆盖家庭的情况下。扩展器的原理是从主路由器处获取WiFi信号，并广播道其他WiFi信号弱或没有信号的区域。IBM X-Force安全研究人员 Grzegorz Wypych近日在TP-Link Wi-Fi扩展器中发现一个0 day漏洞。攻击者成功利用该漏洞可以通过HTTP Header中伪造的user agent域来进行任意命令执行。这表明远程攻击者可以完全控制设备，并以设备合法用户的权限来运行命令。

3. 机器学习作用于安全方面的5大顶级用例【阅读原文】

机器学习可以帮助企业更好地了解自身面临的安全威胁，帮助员工专注于更有价值的战略任务。同时，它还可能是解决下一轮WannaCry风波的有力武器。20世纪中期，Arthur Samuel在AI之后创造了“机器学习”这个短语，并将其定义为“在没有被明确编程的情况下就能学习的能力。”跨大型数据集应用数学技术，机器学习算法可以构建行为模型，并基于新输入的数据，使用这些模型作为对未来进行预测的基础。视频网站（如Netflix）可以根据您之前的历史观看记录为您提供新剧集，自动驾驶汽车可以通过与行人近距离接触的过程了解道路状况，这些都是机器学习在生活中最普遍的例子。

4. 保障 IDC 安全：分布式 HIDS 集群架构设计【阅读原文】

近年来，互联网上安全事件频发，企业信息安全越来越受到重视，而IDC服务器安全又是纵深防御体系中的重要一环。保障IDC安全，常用的是基于主机型入侵检测系统Host-based Intrusion Detection System，即HIDS。在HIDS面对几十万台甚至上百万台规模的IDC环境时，系统架构该如何设计呢？复杂的服务器环境，网络环境，巨大的数据量给我们带来了哪些技术挑战呢？