免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Black Hat 2021：微软赢得 Pwnie 最差奖 https://www.securityweek.com/black-hat-2021-microsoft-wins-worst-pwnie-awards 2、Pulse Connect Secure 修补关键代码执行漏洞 https://www.securityweek.com/critical-code-execution-vulnerability-patched-pulse-connect-secure 3、RansomEXX 勒索软件攻击了计算机制造商和分销商技嘉 https://securityaffairs.co/wordpress/120887/cyber-crime/gigabyte-ransomexx-ransomware.html 4、BlackMatter 勒索软件现支持对 VMware ESXi 服务器攻击 https://securityaffairs.co/wordpress/120862/cyber-crime/blackmatter-ransomware-linux-version.html 5、Cisco ADSM 中的零日 RCE 尚未修复 https://securityaffairs.co/wordpress/120923/breaking-news/zero-day-rce-cisco-adsm.html 6、新的 Kindle 漏洞可能让攻击者劫持你的设备 https://thehackernews.com/2021/08/new-amazon-kindle-bug-couldve-let.html 7、Apple 将扫描所有设备以查找虐待儿童的内容 https://thehackernews.com/2021/08/apple-to-scan-every-device-for-child.html 8、意大利能源公司ERG遭受LockBit 2.0勒索软件团伙攻击 https://securityaffairs.co/wordpress/120841/cyber-crime/erg-lockbit-2-0-ransomware.html 9、一种针对数据库的新型攻击-DBREACH攻击 https://www.infosecurity-magazine.com/news/bhusa-researchers-reveal-dbreach/ 10、研究人员披露了一种新的域名系统攻击方法 https://www.securityweek.com/new-dns-attack-enables-nation-state-level-spying-domain-registration

正文： 每周五固定节目又来了！倍受期待的《Weekly CTF》系列之<第二十五周|在错误中寻找答案>它在同一时间又见面了，这是一个免费的课程且每周有更新，大家可以多多关注。  关于这个实验的来历还是值得一说的。最开始，同事发来了这样一张图：    本运营当时的内心：   好家伙，就出个CTF题而已，怎么还整上成语（的变异版）了呢？就这种词语，在我们官网发发而已是可用的，外面的平台这么宣传程序自动就给屏蔽成**了，有的不仅发不出去还会被禁言，那么就损失了数十万人（夸张）看到我们的机会。本身实验还是免费的，这么好的资源不要浪费了。本着净化网络环境的责任心，正义的我自然是拒绝的。  然后就有了上升无数个层次的这一版：   出处没有截完整因为也敏感，不过我可以大声告诉你们是一位伟人，出自伟人在延安干部会上所作的报告——<改造我们的学习>。这就很符合我们作为业界领先（挺胸骄傲）的实践型学习平台的定位了，要有方法地学习，要理论和实际统一。报告中的一些内容可以说跟我们相当符合了，“粗枝大叶，夸夸其谈，满足于一知半解”伟人称这是一种极坏的作风，据我潜伏在网安群里的多年经验来看，我们中的很多人就是犯了这样一种错误，只想学习网络安全中最“炫酷”的那部分，上来就想渗透想直接到达终点线，而不是从最基础的部分开始。导致很多人只是掌握了一个工具的使用而完全不懂原理，不去了解底层是如何运行的，这种情况就是满足于一知半解，是走不长远  最后让我们回到主题，既然实验是CTF练习题，那么我在这里就不多给出提示了，解题的本身就是一种乐趣，善于从实验名和描述中寻找线索。期待你们的精彩表现，率先做出来的也可以自己发布writeup或者解题视频，万一被官方看上说不定有小惊喜奖励呢！ 下周我们同一时间见！   链接直达：https://www.yijinglab.com/expc.do?ec=ECIDaf8e-a5e6-4228-baf3-31302a5b2296  扫码直达：

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、Conti 勒索软件附属公司泄露了团伙的培训材料和工具 https://securityaffairs.co/wordpress/120852/cyber-crime/conti-ransomware-affiliate-leaks-training-materia.html 2、意大利能源公司 ERG 遭 LockBit 2.0 勒索软件团伙攻击 https://securityaffairs.co/wordpress/120841/cyber-crime/erg-lockbit-2-0-ransomware.html 3、微软进行无 JIT 的“Super Duper 安全模式”Edge浏览器实验 https://www.securityweek.com/microsoft-launches-jit-free-super-duper-secure-mode-edge-browser-experiment 4、思科修补小型企业 VPN 路由器中的关键漏洞 https://www.securityweek.com/cisco-patches-critical-vulnerability-small-business-vpn-routers 5、三菱安全 PLC 披露多个未修补漏洞可导致远程攻击 https://thehackernews.com/2021/08/unpatched-security-flaws-expose.html 6、亚马逊、谷歌、微软与CISA合作打击对抗勒索软件 https://www.securityweek.com/tech-titans-join-us-cyber-team-fight-ransomware 7、研究人员发现多个恶意软件通过 Prometheus TDS 恶意软件服务分发 https://thehackernews.com/2021/08/a-wide-range-of-cyber-attacks.html 8、研究人员称微软发布的 Windows Hello 绕过漏洞补丁存在缺陷 https://threatpost.com/microsofts-patch-windows-hello-faulty/168392/ 9、多款Buffalo路由器中发现存在12年的身份验证绕过漏洞影响数百万用户 https://portswigger.net/daily-swig/decade-long-vulnerability-in-multiple-routers-could-allow-network-compromise 10、约会网站OkCupid中的漏洞可被用于提高受欢迎程度 https://portswigger.net/daily-swig/vulnerability-in-dating-site-okcupid-could-be-used-to-trick-users-into-liking-or-messaging-other-profiles

7月27日，在中央网信办机关党委、网络安全协调局、中央网信办干部局指导下，中国网络空间安全协会和湖北省委网信办共同主办的“庆祝建党100年·网安中国行走进武汉”网络安全人才培养高峰论坛在武汉举行。 200余位来自产、学、研、政等领域的代表和网络安全领域的专家学者代表围绕全国网络安全人才培养以及网络安全领域的重点议题和重大趋势展开研讨。蚁景科技作为专注网安人才培养的行业领军单位应邀出席此次活动，并就蚁景科技在网络安全人才培养模式创新上的经验进行专题分享。 中央网信办、湖北省委网信办、武汉市委网信办、武汉临空港开发区管委会等相关部门参加本次活动。来自各地科研院所、咨询机构、网安人才培养单位、网安行业的专业人士就网络安全人才培养、专业化网安队伍建设以及数据安全法等议题在论坛上发言。 论坛上，参会者普遍认为，要深刻理解和认识中国网络安全人才培养的客观规律，找到有效路径，汇聚行业力量，建立和完善规范、标准、健康、有序的网络安全人才培养生态，对接供需、精准培养，维护网络安全人才培养的良好环境，最大限度激发创新活力、赋能发展动力，为保障国家网络空间安全作出积极贡献；要抓住机遇，加快发展，努力实现网络安全人才培养事业新突破。 会上，湖南蚁景科技做了题为《学练赛一体，培养网安实战人才》的专题报告，分享了蚁景科技在“网安人才实训2.0”框架下，融合学、练、赛一体的网安人才培养创新模式。通过介绍“学、练、赛”三大维度下所涵盖的在线学习、线下培训、实训演练、实验教学和竞赛等多个环节，阐述了蚁景科技打造的支撑技能学习、综合演练、实操教学，以及网安竞赛等网安人才实战技能培养的全生态场景：学员通过线上线下实训课程的“学”，在网安实验室提供的攻防实训、实操教学中去“练”，通过参加网安竞“赛”锻炼并考核综合实战技能，最后被推荐输送到用人单位，这样一套“学练赛一体”的网安实战人才培养闭环。 湖南蚁景科技有限公司作为专业的“网络安全人才培养服务提供商”，为配合国家网络安全人才培养战略，以市场需求为导向，以能力提升为目标，从高校科研、教学实训及企事业单位实际需求出发，基于对“互联网+教育”的深刻理解，通过自主研发的“网络安全人才实训靶场”，为高校、政企单位、科研院所等行业客户提供满足在线实验教学的虚拟实验环境与各种课件资源，同时为广大网安爱好者提供技能培训、人才推荐等服务。

为深入贯彻网络强国战略思想，落实“十四五”规划和2035年远景目标纲要对网安工作的重要部署，加强网络安全关键技术研发、技术创新，加强网络安全宣传教育和人才培养，加强网络安全保障体系和能力建设，全面提升网络安全产业综合竞争力，2021年7月，由中国网络空间安全人才教育论坛指导，湖南蚁景科技有限公司主办的2021网络安全高级研修班（第二期）在湖南长沙顺利举行。 本次全国网络安全高级研修班邀请了来自全国各相关院校的近80余位骨干教师来到美丽的星城长沙学习交流。 为保障本次研修班的顺利进行，开班前，主办方从教学安排、师资配备、后勤保障以及组织管理等诸多方面做了精心策划与安排。 研修班授课现场 研修班教学内容以CTF竞赛、CTF实战训练为主，授课讲师在开班前对授课课件及对应的实训实验进行反复的推敲与完善，尽可能满足老师对各项内容的需求。同时，主办方结合授课内容，组织了CTF体验赛，让老师们体验真实的CTF攻防。 同期，主办方邀请业内专家学者就CTF竞赛新发展及战队训练方法等做了专题报告。参训老师均表示通过本次培训，对于丰富个人知识面、完善自己今后的实际工作有很大帮助。 最后，主办方为参训老师颁发结业证书，本次2021网络安全高级研修班（第二期）圆满结束。

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、美国风投公司ATV披露勒索软件攻击和数据泄露 https://securityaffairs.co/wordpress/120816/data-breach/advanced-technology-ventures-ransomware-attack.html 2、美国CISA 和 NSA 发布了加固 Kubernetes 部署的指南 https://securityaffairs.co/wordpress/120807/security/kubernetes-guidance.html 3、INFRA:HALT 中TCP/IP库漏洞影响上百家供应商的OT设备 https://securityaffairs.co/wordpress/120781/hacking/infrahalt-ot-devices.html 4、谷歌发布92版本修补 Chrome 多个高危漏洞 https://www.securityweek.com/google-patches-several-chrome-flaws-can-be-exploited-malicious-extensions 5、研究人员通过 Nasnos 漏洞远程控制酒店房间的灯光、通风等设施 https://threatpost.com/security-bugs-takeover-capsule-hotel/168376/ 6、 Apache Hadoop YARN错误配置导致被用于恶意挖矿 https://cyware.com/news/misconfigured-apache-hadoop-yarn-exploited-for-cryptomining-abdbd6b5 7、新的 Cobalt Strike 漏洞允许关闭攻击者的服务器 https://www.bleepingcomputer.com/news/security/new-cobalt-strike-bugs-allow-takedown-of-attackers-servers/ 8、研究人员称某开放的数据库泄露了美国3500万公民信息 https://www.hackread.com/household-data-database-us-residents-exposed/ 9、社会工程自动化：TG上的机器人可以诱骗你提供OTP动态口令 https://cybernews.com/security/new-robocall-bot-on-telegram-can-trick-you-into-giving-up-your-password/ 10、Python 恶意包窃取 Discord 令牌 https://cyware.com/news/python-packages-stealing-discord-tokens-and-much-more-429ec854

为促进网络安全人才队伍建设，提升网安人才专业实操技能，加快学生就业岗位方向的认知及熟悉企业日常运作流程，让学生了解网络安全相关岗位技能，并实际体验安全问题的分析思路和分析过程，在工作实践中能直接应用操作与演示的内容，全面提升学生就业竞争力，由蚁景科技与中南大学共同组织的该校计算机学院信息安全专业大三学生的实习实训工作于2021年7月5日-23日在湖南蚁景科技有限公司（下文称蚁景科技）顺利开展。本次实习实训由蚁景科技提供场地与师资，中南大学计算机学院18级信安专业44名学生参加了此次实习实训。 实践场景 本次实习实训企业导师由蚁景科技安全工程师担任，对学生进行任务安排与教学辅导；导师们还设置了每周学习心得分享，让学生们在输入+输出+反馈的过程中，充分吸收所学知识并学以致用。 实践分享 朝九晚五的生活令同学们充分体验到了作为企业员工的上班常态；从同学们的周报可以反馈出此次实训安排的任务（包括各类工具使用、解析各类安全问题思路等等）都是需要较强实操能力的，同学们纷纷感慨在今后的学习过程中需要多去动手实践。 学生周报心得 在实习实训的总结会中，中南大学领导和蚁景科技相关负责人在会上分别做了讲话，并认真听取了学生代表们对此次实习实训的心得体会和总结报告。会上还对优秀学员进行了表彰，至此2021中南大学信息安全专业学生实习实训画上了圆满的句号。 获奖表彰 实训大合影 本次实习实训是蚁景科技与中南大学又一次深度合作，蚁景科技希望以此次实习实训为契机，与中南大学能在教学教改、精品课程、打造名师、教材开发、毕业设计等方面展开进一步合作。 最后希望同学们以梦为马，不负韶华，都能实现自己的梦想！ 蚁景科技已联合多个高校开展此类实习实训活动，在实训内容准备及实训实施方面有着丰富的经验，未来期待更多高校加入我们。

#前言 AI在生活中已经无处不在了，不论是高铁、机场的人脸识别还是指纹支付、语音助手等，都内置了AI技术。随着一项技术逐渐发展成熟，其安全风险就需要被考虑了。可能大家谈到AI安全的时候，最熟悉的就是对抗样本攻击，其本质是通过修改输入样本，来欺骗模型做出误分类的结果，这其实是属于模型安全领域。 事实上在谈及AI安全的时候，还有一个细分领域就是隐私安全，比如怎么保护数据不被泄露和模型逆向攻击。模型逆向攻击可以从模型中恢复出训练数据，如果此方案应用于人脸识别模型，恢复出人脸来，其危害是非常大的。 本文将会介绍模型逆向攻击的原理及其实现，并在基于MNIST训练的得到的CNN模型上进行攻击，最后成功复现，恢复出0~9的数字图像。此外，在文中代码复现部分，还会给出作者在复现论文算法时的一些经验，希望可以给大家带来启发。  #区分 除了模型逆向攻击以外，还有种攻击手段叫做模型提取攻击，看起来很相近，却是完全不同的两类攻击类型。 模型提取攻击是攻击者希望可以在本地恢复出目标模型，也就是说其攻击目的是窃取模型，我们知道大公司训练模型花了很大的资源的，不论是数据标注的人力成本还是训练模型花费的算力成本，大公司训练模型然后通过开放API查询接口，通过提供MLaaS来赚钱，如果攻击者能够窃取其模型，就是侵犯了其知识产权，影响其正常业务。攻击的示意图如下所示：  而模型逆向攻击是攻击者希望在不知道训练数据的情况下，通过推理得到训练数据，也就是说其攻击目的是为了得到隐私数据，可见两者区别是非常大的。 模型逆向攻击的效果如下所示：  这是Fredrikson等人做的实验结果，针对人脸识别系统，从其中恢复出训练数据集里的人人脸。上图中右边的图是通过攻击得到的人脸，右边的图是训练集中原来的人脸，可以看到，尽管存在一定差异，但是基本一致，说明该方案是可行的。我们就以Fredrikson等人为例，在理解了模型逆向攻击的原理后，根据论文中给出的算法进行复现，并针对MNIST数据集进行攻击。  #原理 我们要恢复的是训练集样本，而样本都是图像，图像是由像素组成的，其本质是由不同的像素强度组合起来得到的，所以我们要通过攻击得到训练集中的图像，本质上是要逆向的特征是构成图像的像素强度的完整向量，每个强度对应于 [0, 1] 范围内的浮点值。 我们假设攻击者知道他试图推断的向量中任何像素的确切值。假设具有n个分量和m个类别的特征向量，我们可以将分类器建模为以下函数：  我们知道模型的输出是一个概率值向量，其中第 i 个分量对应于特征向量属于第 i 类的概率。我们将输出的第i个分量记作：  我们使用梯度下降来最小化涉及f~的损失函数，以进行模型逆向攻击。梯度下降通过迭代地将候选解向候选解的梯度的负值进行变换，来找到可微函数的局部最小值。攻击算法如下所示：  首先根据面部识别模型定义一个损失函数c和一个特定于具体情况的函数AuxTerm，它会把任何可用的辅助信息添加到成本函数中，比如当我们在对面部去模糊时就会将其实例化。 接着使用大小为λ的梯度步长对最多α次迭代应用梯度下降。在梯度下降的每一步之后，得到的特征向量被提供给一个后处理函数 Process，它可以根据攻击的需要执行各种图像处理，例如去噪和锐化。 如果候选者的损失函数在β次迭代中未能提高，或者成本至少与γ一样大，则下降终止并返回最佳候选者，此时就得到通过模型逆向攻击恢复出的训练集样本。 该方案要求可以计算得到梯度，在我们下一部分复现的时候，对于梯度消失的情况我们的攻击就失效了。  #模型逆向攻击实战 ##搭建模型 我们搭建一个标准的CNN模型：  并进行训练：   ##模型逆向代码实现 前面说过，我们的代码是基于《Model Inversion Attacks that Exploit Confidence Information and Basic Countermeasures》实现的，文中提出的算法是针对人脸识别模型进行攻击的，但是对于会给出梯度的其他分类器模型也是可行的，我们就会在实现论文提出的算法后将其应用于MNIST数据集。 MIFace类中关键的方法是infer，其需要接受初始化样本，如果不指定则默认用全零的数组作为初始输入，代码如下：  上面代码中很多都是用于处理数据格式、转换等问题的，关键的部分在红圈里面：  其对应的就是我们在上一部分介绍的论文给出的算法实现：  如果没有论文复现经验的话，看到这里大概已经清楚论文给出的算法和实际实现的算法还是有一定出入的。最明显的区别是论文会抽象出最本质的算法思想，而具体编程语言细节、数据处理细节并不关心，自己在复现的时候就需要注意这些细节；其次，可能论文要处理的问题和我们复现者要处理的问题不同，所以在理解清楚核心算法后自己在实现时需要结合实际情况，不应该全部照搬。 以损失函数的定义为例（第2行），论文给出的损失函数还有一项是AUXTERM(x)，根据论文介绍，这是一个case-specific的函数，也就是说在不同case下，具体实现是不同的，它会把可用的信息加入成本函数中，辅助攻击，但是作者在做人脸去模糊的时候才给出了该函数的一个实例。此外，文中也说明了，如果没有辅助信息可用，则应该对所有x，直接定义AUXTERM(x)=0。因此，我们在实现的时候，可以直接略去这一项。  接下来应用MIFace执行攻击  我们的攻击目标是希望恢复出训练集中的样本，我们知道MNIST数据集中共有10类，从0到9，我们希望每种类别都可以恢复出来   ##攻击 不同的初始设置也会对攻击结果有影响，我们可以分别实验一下。 以全白的图像为初始样本开始发动攻击：  从上图的结果可以看到，可以看到在全白的图像上出现了gradient vanish的问题（即梯度消失问题），所以攻击是失败的。 再尝试以全黑的图像作为初始化样本：  有了前面的教训，我们这次先来打印梯度，确保没有梯度消失的情况：  然后发动攻击：  把结果可视化：  上面就是模型逆向攻击得到的图片，其实对于人类来说并没有明显的数字的特征。  那么我们不要取全黑，也不要全白，用居中的灰图作为初始样本：  同样先检查其梯度，确保没有梯度消失问题：  接下来发动攻击：  查看模型推理结果：  从上图的结果可以看到，从左到右，从上到下，隐约有0~4,5~9的轮廓了，说明攻击还是可行的。  我们再来看看以随机的图像作为初始样本会怎样：  首先检查其梯度，确保存在：  发动攻击：  可视化结果：  这次推理得到的结果也比较差，几乎看不出来0~9的样子。  全黑、全白、居中的灰图以及随机生成的样本都用作初始化了，其中灰图比较好。那么有没有更好的办法呢？ 回顾下模型逆向攻击的假设，攻击者希望推理出训练集中的样本，但是他是知道测试集的样本的，我们前面的几次攻击都没有利用这一先验知识。那么我们可以考虑将测试集样本求个平均，然后作为模型逆向攻击的初始样本：  确保梯度存在：  发动攻击：  可视化模型逆向攻击的结果：  每张图片基本都可以看到对应类别数字的轮廓了，说明模型逆向攻击成功了。 通过这五组对比实验，给我们的启发是在进行攻击时，要时刻注意攻击的前提、场景以及对攻击者能力的假设，并利用好先验知识，这样能更好地实施攻击。  #参考 1.Model Inversion Attacks that Exploit Confidence Information and Basic Countermeasures 2.Algorithms that remember: model inversion attacks and data protection law 3.Improved Techniques for Model Inversion Attacks 4.Stealing Machine Learning Models via Prediction APIs 5.Model Extraction Attacks and Defenses on Cloud-Based Machine Learning Models 6.https://github.com/google-research/cryptanalytic-model-extraction 7.https://github.com/cake-lab/datafree-model-extraction 8.https://github.com/ftramer/Steal-ML

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、思科修复 Firepower 设备管理 (FDM) On-Box 软件的RCE漏洞 https://securityaffairs.co/wordpress/120761/security/cisco-firepower-device-manager.html 2、研究人员发现 PyPI GitHub Actions中潜在的远程代码执行 https://securityaffairs.co/wordpress/120755/hacking/pypi-potential-rce.html 3、谷歌修补高危安卓安全漏洞 https://www.securityweek.com/google-patches-high-risk-android-security-flaws 4、NIST 正在研究和制定 AI 风险管理框架 https://www.careersinfosecurity.com/nist-works-to-create-ai-risk-management-framework-a-17193 5、根据研究数据针对小公司的勒索攻击越来越多 https://www.helpnetsecurity.com/2021/08/03/ransom-demands/ 6、意大利拉齐奥地区疫苗登记系统因勒索软件攻击而瘫痪 https://www.nbcnews.com/tech/tech-news/italian-vaccine-registration-system-down-apparent-ransomware-attack-n1275757 7、泰国疫苗预约登记平台泄露超过2万名申请人的信息 https://thethaiger.com/coronavirus/foreigners-able-to-register-on-vaccine-site-despite-data-leaks-glitches 8、法国情报机构证实在记者的手机上发现 Pegasus 间谍程序 https://www.theguardian.com/news/2021/aug/02/pegasus-spyware-found-on-journalists-phones-french-intelligence-confirms 9、韩发现利用PDF附件的电邮攻击 疑似朝鲜所为 https://www.zaobao.com/realtime/world/story20210803-1177252 10、5000万条公民信息在“暗网”被倒卖 15名犯罪嫌疑人被捕 https://finance.sina.com.cn/money/lczx/2021-08-03/doc-ikqcfncc0552006.shtml

免责声明：以下内容原文来自互联网的公共方式，仅用于有限分享，译文内容不代表蚁景网安实验室观点，因此第三方对以下内容进行分享、传播等行为，以及所带来的一切后果与译者和蚁景网安实验室无关。以下内容亦不得用于任何商业目的，若产生法律责任，译者与蚁景网安实验室一律不予承担。 1、PTS 系统中的 PwnedPiper 漏洞影响 80% 的美国医院 https://securityaffairs.co/wordpress/120741/hacking/pwnedpiper-flaws-pts-systems.html 2、研究人员发现 DarkSide 勒索软件团伙已更名为 BlackMatter https://securityaffairs.co/wordpress/120732/cyber-crime/darkside-blackmatter-ransomware-similarities.html 3、亚马逊因数据隐私被卢森堡罚款 7.46 亿欧元 https://www.securityweek.com/amazon-fined-746-mn-euros-luxembourg-over-data-privacy 4、NSA 针对政府雇员发布公共场合使用无线设备的安全指南 https://www.securityweek.com/nsa-shares-guidance-government-employees-securing-wireless-devices-public 5、Cisco、Sonatype 和其他公司加入开源安全基金会 https://www.securityweek.com/cisco-sonatype-and-others-join-open-source-security-foundation 6、Zoom 已同意以 8500 万美元和解美国隐私诉讼 https://www.securityweek.com/zoom-settle-us-privacy-lawsuit-85-mn 7、新的 APT 组织利用 ASP.NET 漏洞攻击 Microsoft IIS 服务器 https://thehackernews.com/2021/08/new-apt-hacking-group-targets-microsoft.html 8、Chipotle 的电子邮件营销帐户被黑以传播恶意软件 https://www.securityweek.com/chipotles-email-marketing-account-hacked-spread-malware 9、研究人员找到了绕过PrintNightmare漏洞补丁的新方法 https://www.bleepingcomputer.com/news/microsoft/remote-print-server-gives-anyone-windows-admin-privileges-on-a-pc/ 10、微软宣布其WAF的机器人保护功能已全面可用 https://www.bleepingcomputer.com/news/security/bot-protection-now-generally-available-in-azure-web-application-firewall/