行业动态 Gartner 安全访问服务边缘 (SASE) 模型近日，Gartner 发布《网络安全的未来在云端》报告，提出了安全访问服务边缘 (SASE)模型，并详细说明了新型网络及安全模型基础上云端网络和安全转型的潜力。Gartner声称，SASE 有潜力将已建立的网络和安全服务堆栈从一个基于数据中心的服务堆栈转变为一个将身份焦点转移到用户和终端设备的设计。SASE 解决云端采用的传统网络安全方法里发现的诸多问题。此类问题的根源大多存在于网络安全架构必须位于数据中心连接核心的思想意识。

行业动态 下一代防火墙 (NGFW) 应用指南近日，安全牛正式发布的《下一代防火墙 (NGFW) 应用指南》报告，将这个话题的范围限定在中国市场，并结合以 “网络安全等级保护 2.0” 为基础的合规需求，着重探讨不同应用场景下选择下一代防火墙方案时建议考虑的关键点，并对未来发展趋势进行展望。

融资并购 OpenText Carbonite 基于云的数据安全据路透社报道，OpenText将以现金约8亿美元的形式收购Carbonite，包括债务在内总计收购价值近14.2亿美元，此次交易预计在90天内完成。Carbonite成立于2005年，是一家云和业务连续性解决方案的提供商，每年的收入约为3.574亿美元。就在此次收购的9个月前，Carbonite刚刚以6.185亿美元的价格完成了对Webroot的收购。OpenText官方表示，收购Carbonite将进一步加强OpenText作为云领域领导者的地位，完善终端安全与保护的能力，并将开辟一条通过Carbonite的渠道和产品与用户联系的新途径。

融资并购 Sepio 硬件攻击检测安全创业公司Sepio获得A轮融资650万美元，由Hanaco Ventures与Merlin Ventures领投，总融资额到1,100万美元。Sepio以云服务的方式，检测并缓和基于硬件的攻击、流氓软件、不可视的网络设备以及被操控的固件；从而对硬件资产以及它们的行为提供实时的可视化能力。

融资并购 Pcysys 渗透测试 以色列以色列安全厂商Pcysys周三宣布获得A轮融资1,000万美元，总融资额达1,500万美元。Pcysys提供一个自动化的渗透测试平台，扫描并得体地渗透进企业网络，从而帮助客户发现并理清不同优先度的威胁。这一轮融资由加拿大风投Awz Ventures领投，并且有黑石集团参与。

报告调研 JavaScript框架 安全漏洞近日，Snyk发布了2019年度的JavaScript框架安全状况报告，除了最流行的JS框架 Angular和React外，报告还观察了其它三个流行JS前端框架Vue.js、Bootstrap和jQuery的安全漏洞。jQuery过去12个月的下载量超过了1.2亿次，是Vue.js的4000万次和Bootstrap的7900万次之和。Vue.js发现了4个漏洞，都已经修复。Bootstrap发现了7个跨站脚本漏洞，3个是在2019年披露的，无安全修正。jQuery发现了6个影响所有版本的安全漏洞，4个是中等危险级别的跨站脚本漏洞，1个是中危Prototype Pollution漏洞，还有一个是低危拒绝服务漏洞。

“虚假”勒索软件 特朗普 恶意锁屏 普京近日，思科 Talos Intelligence 恶意软件研究人员表示，他们发现了一些以特朗普图像为特征的虚假勒索软件和恶意锁屏程序，即以唐纳德·特朗普 (Donald Trump) 主题的虚假勒索软件出现在电子邮箱的收件箱里，这些勒索软件试图欺骗受害者，让他们支付一定费用来解密从未加密过的文件。据悉，网络犯罪分子和骗子不仅利用特朗普的品牌来包装他们的恶意软件，还将俄罗斯总统弗拉基米尔·普京的形象展示在锁定屏幕上，并显示 “普京锁屏软件已经锁定了你的电脑”。

网络攻击 勒索软件 墨西哥 石油公司Pemex上周日，墨西哥国有石油公司Pemex的系统遭到DoppelPaymer勒索软件感染并破坏，被索要490万美元的赎金。该公司发布的安全公告中写道，“和其他国际政府以及金融公司和机构一样，Pemex经常收到威胁和网络攻击。11月10日星期日，这家国有生产公司遭遇了网络攻击，这些攻击最终被及时消除，并且只影响了不到5％的个人计算机设备的运行。此次事件过后，Pemex重申其燃料生产，供应和库存是有安全保障的。” Pemex确认其基础设施与所有主要的国家和国际政府以及金融组织一样，正不断面对来自黑客的攻击，因此公司正在持续加强安全措施。

垃圾邮件 WebEx 重定向漏洞近日，研究人员发现一种新型的垃圾邮件传播活动，其伪装成WebEx的会议邀请，并使用思科开放的重定向漏洞将远程访问木马推送收件人，以此牵引访问者到攻击者的目标的站点。

漏洞补丁 Facebook iPhone摄像头近日，iPhone用户反映Facebook应用程序在滚动浏览提要或查看社交网络照片时，后台秘密激活了手机摄像头。测试表明该漏洞仅影响运行iOS 13.2.2的iPhone用户。该漏洞源于244版Facebook iOS应用横向模式的错误启动，导致应用部分导航到相邻相机屏幕，尚不清楚该程序是否通过错误访问相机记录上传了用户隐私。目前Facebook已向苹果提交了该应用程序的补丁版本。

安全研究 英特尔处理器 边信道攻击 ZombieLoad今年 5 月，计算机科学家公开了英特尔处理器的新边信道攻击 ZombieLoad，攻击影响 2011 年之后发布的几乎所有英特尔处理器。现在新的 Zombieload 漏洞变种 v2 能影响最近发布的英特尔处理器，其中包括 Cascade Lake。英特尔正在释出处理器的微码更新去修复最新的漏洞。Zombieload 漏洞与 之前披露的 Meltdown、Spectre 和 Foreshadow 漏洞类似，都是利用预测执行，去实现跨线程、权限边界和超线程的数据泄露。

漏洞补丁 5G近日，研究人员发现了11 个全新5G 漏洞。这些漏洞允许黑客创建一个恶意的无线基站，对用户进行实时位置追踪，可能触发紧急警报或对手机发动攻击。专家表示，只要掌握4G和5G 网络相关知识，并拿到低成本的软件无线电，即可发动攻击。目前研究员已通知GSM 协会（GSMA），希望漏洞问题能尽快被解决。

漏洞补丁 微软 0day微软本周发布了11月的安全更新，修复了9个产品共74个漏洞，其中13个漏洞为高危漏洞。本月的更新还包含了一个0day漏洞，存在于IE的脚本引擎中，从而使得攻击者可以通过恶意的Office文档实施攻击，在受害系统上远程执行任意代码，并获得当前用户同样的权限。另一方面，该漏洞已经被攻击者广泛使用。因此，Windows的用户需要尽快进行本月的更新。

漏洞补丁 硬件安全 边信道攻击 TPM近日，研究者公布了CPU中TPM的两个漏洞，可能影响数十亿设备。研究者发现，通过边信道攻击，利用时序信息能够恢复加密密钥。在PoC中，研究人员测试并在即使没有管理员权限的情况下恢复了ECDSA与ECSchnorr的256位私钥。攻击者一旦成功获取私钥，就可以仿造数字签名、窃取或者修改信息、绕过OS防御能力或者破解硬件上的应用程序。由于TPM被广泛应用于笔记本、台式机、服务器、智能手机与物联网设备等应用，该漏洞影响巨大。然而，尽管研究者二月就已经提交了漏洞报告，英特尔与STMicroelectronics本周二才刚刚公布漏洞。

安全研究 macOS Apple Mail 加密邮件近日，研究人员发现，macOS上的Apple Mail以纯文本格式，将用户的加密邮件以未加密形式存储在macOS上。系统中存在一个含有大量数据库的文件夹，这些数据库存储着来自AppleMail和其他应用程序的信息，可被用于推荐联系人。该漏洞源于Siri自动抓取加密电子邮件，若用户已配置Apple Mail来发送和接收加密邮件，则Siri会收集邮件的纯文本版本并存储在数据库中。事后，苹果官方承诺在软件更新中修复这一漏洞，但截至目前仍未修复。

漏洞补丁 亚马逊 门铃 WiFi拦截近日，亚马逊的Ring Video Doorbell Pro（环形视频门铃）被曝一个高危漏洞，允许黑客连接互联网门铃拦截用户Wi-Fi，并通过MitM对连接到同一网络的其他设备发起各种网络攻击。该漏洞源于Ring设备配置模式，进入该模式后设备会创建内置且无密码的网络访问点，黑客利用该网络访问点和网络凭据进入HTTP通信，从而获取通信内容，访问无密码网络设备上的私人文档、照片、电子邮件和其他个人数据。

数据泄露 Facebook 内部机密文件Facebook正在面临前所未有的危机：近7000页内部机密文件被泄露。据悉，本次曝光的数据涉及Facebook如何将用户数据作为谈判筹码来巩固这家社交巨头的统治地位，如何计划监视Android用户的位置，如何控制竞争对手，甚至在孵化前杀死竞争对手。泄露文件共约7000页，其中约4000页是Facebook内部通信，包括内部电子邮件、网络聊天、笔记、演示文稿和电子表格，时间范围主要从2011年到2015年，且大约1200页被标记为“高度机密”。

谷歌 南丁格尔计划 个人健康信息 非法访问/收集近日，谷歌被曝秘密开展了名为“南丁格尔计划（Project Nightingale）“，即在患者及医生并不知情的情况下秘密收集了数百万美国人的个人健康数据。据悉，此计划收集的数据包括实验室结果、医生诊断和住院记录等，此外还有患者完整的健康史及姓名、出生日期等其他信息。有关人士介绍，谷歌于去年与美国医疗集团Ascension合作启动了该项目，该数据收集涉及全美21个州，至少有150名Google员工可以对“数千万”患者的数据进行了非法访问。