今日頭條
官方微信
官方抖音
資訊頻道2018年1月3日，美國谷歌（Google）公司安全團隊Project Zero披露了2組、共3個高危漏洞，分別是“熔斷” （Meltdown，漏洞編號為CVE-2017-5754）和“幽靈”（Spectre，漏洞編號為 CVE-2017-5753、CVE-2017-5715），該漏洞影響英特爾（Intel）、美國超微半導體公司（AMD）等廠商生產(chǎn)的主流中央處理器（CPU）并導致用戶敏感信息泄露。現(xiàn)就具體情況通報如下：
一、漏洞分析
“熔斷”和“幽靈”漏洞利用了CPU芯片硬件層面亂序執(zhí)行機制的缺陷，使得低權(quán)限的惡意訪問者可以突破內(nèi)存隔離，發(fā)動側(cè)信道攻擊。在未被許可的情況下讀取同一系統(tǒng)中的其他進程或同一主機上其他虛擬機內(nèi)存中的敏感信息，包括密碼、帳戶信息、加密密鑰或理論上存儲在內(nèi)核內(nèi)存中的任何內(nèi)容。該漏洞打破了云平臺基于虛擬化隔離技術的安全假設，任何虛擬機的租戶或者不法分子可以通過利用該漏洞跨賬戶、跨虛擬機竊取其他用戶的資料，這將給全球云計算基礎設施的安全性帶來嚴重威脅。
二、對策建議
（一）建議工業(yè)企業(yè)、工業(yè)控制系統(tǒng)廠商及工業(yè)控制系統(tǒng)安全企業(yè)密切跟蹤漏洞進展，同時建議有關工業(yè)企業(yè)在修補漏洞或采取其他措施之前，要充分評估補丁可能帶來的風險。
（二）按照《工業(yè)控制系統(tǒng)信息安全防護指南》要求，開展工業(yè)控制系統(tǒng)及工控主機的安全防護工作。一是做好安全配置，定期進行配置審計；二是通過邊界防護設備對工控網(wǎng)絡與企業(yè)網(wǎng)或互聯(lián)網(wǎng)的邊界進行安全防護；三是強化登錄賬戶及密碼，避免弱口令；四是關閉不必要的HTTP、FTP、TELNET等高風險服務，確需遠程訪問的，使用虛擬專用網(wǎng)絡（VPN）進行接入；五是高度關注Web安全，對網(wǎng)站的弱口令、SQL注入、XSS、文件上傳等漏洞進行及時修復。
北京市公安局海淀分局備案號：11010802023656號