Am 11. März gab die Informationsaustauschplattform für Cybersicherheitsbedrohungen und -schwachstellen des Ministeriums für Industrie und Informationstechnologie „sechs Dos und sechs Don’ts“-Empfehlungen zur Vermeidung der Sicherheitsrisiken von OpenClaw („Lobster“) Open-Source-Informationen heraus. Als Reaktion auf die Sicherheitsrisiken in typischen Anwendungsszenarien von „Hummer“ organisierte die Network Security Threat and Vulnerability Information Sharing Platform (NVDB) des Ministeriums für Industrie und Informationstechnologie Geheimdienstanbieter, Betriebseinheiten der Schwachstellenerfassungsplattform, Netzwerksicherheitsunternehmen usw., um die „sechs Gebote und sechs Verbote“-Empfehlungen zu untersuchen und vorzulegen.
(1) Verwenden Sie die neueste offizielle Version. Laden Sie die neueste stabile Version von offiziellen Kanälen herunter und aktivieren Sie automatische Update-Erinnerungen; Sichern Sie die Daten vor dem Upgrade, starten Sie den Dienst nach dem Upgrade neu und prüfen Sie, ob der Patch wirksam wird. Verwenden Sie keine Bildversionen von Drittanbietern oder historische Versionen.
(2) Kontrollieren Sie die Internetpräsenz streng. Es ist notwendig, regelmäßig selbst zu prüfen, ob eine Internet-Belastung vorliegt, und wenn sie gefunden wird, sofort offline zu gehen und Korrekturen vorzunehmen. Setzen Sie die Agent-Instanz „Lobster“ nicht dem Internet aus. Wenn Sie wirklich einen Internetzugang benötigen, können Sie verschlüsselte Kanäle wie SSH verwenden, den Zugriff auf Quelladressen beschränken und sichere Passwörter oder Authentifizierungsmethoden wie Zertifikate und Hardwareschlüssel verwenden.
(3) Halten Sie sich an den Grundsatz der geringsten Autorität. Es ist erforderlich, die erforderlichen Mindestberechtigungen zu erteilen, um die Aufgabe gemäß den Geschäftsanforderungen abzuschließen, und eine sekundäre Bestätigung oder manuelle Genehmigung für wichtige Vorgänge wie das Löschen von Dateien, das Senden von Daten, das Ändern von Systemkonfigurationen usw. durchzuführen. Priorisieren Sie die isolierte Ausführung in einem Container oder einer virtuellen Maschine, um einen unabhängigen Berechtigungsbereich zu bilden. Verwenden Sie bei der Bereitstellung kein Konto mit Administratorrechten.
(4) Nutzen Sie den Fachkräftemarkt mit Vorsicht. Seien Sie beim Herunterladen von ClawHub-„Skill-Packs“ vorsichtig und überprüfen Sie vor der Installation den Skill-Pack-Code. Verwenden Sie keine Skill-Packs, die „ZIP herunterladen“, „Shell-Skript ausführen“ oder „Passwort eingeben“ erfordern.
(5) Verhindern Sie Social-Engineering-Angriffe und Browser-Hijacking. Verwenden Sie Erweiterungen wie Browser-Sandboxen und Webfilter, um verdächtige Skripte zu blockieren, die Protokollüberwachung zu aktivieren und bei verdächtigem Verhalten sofort die Verbindung zum Gateway zu trennen und Passwörter zurückzusetzen. Durchsuchen Sie keine Websites unbekannter Quellen, klicken Sie nicht auf unbekannte Weblinks und lesen Sie keine nicht vertrauenswürdigen Dokumente.
(6) Einrichtung eines langfristigen Schutzmechanismus. Schwachstellen müssen regelmäßig überprüft und behoben werden, und Risikowarnungen aus Schwachstellendatenbanken wie den offiziellen Sicherheitsbulletins von OpenClaw und der Cyber Security Threat and Vulnerability Information Sharing Platform des Ministeriums für Industrie und Informationstechnologie sollten rechtzeitig beachtet werden. Partei- und Regierungsbehörden, Unternehmen, Institutionen und einzelne Benutzer können Netzwerksicherheitsschutztools und gängige Antivirensoftware für Echtzeitschutz nutzen und mögliche Sicherheitsrisiken rechtzeitig bewältigen. Deaktivieren Sie nicht die ausführliche Protokollüberwachung.