我的位置 新闻动态  >  CISRC资讯

关键基础设施安全资讯周报20220704期

来源:关键基础设施安全应急响应中心 时间:2022-07-04 阅读次数:

目录

 技术标准规范

  • 公布 | 《中华人民共和国反电信网络诈骗法(草案二次审议稿)》全文

  • 国家网信办发布《互联网用户账号信息管理规定》(附全文)

  • 2022政府工作报告中的“数据安全”

  • 国家互联网信息办公室关于《个人信息出境标准合同规定(征求意见稿)》公开征求意见的通知

  • 反电信网络诈骗法(草案)二审稿解读:四方面变化需关注

 行业发展动态

  • 实锤了?德克萨斯液化天然气厂爆炸的幕后黑手可能是俄罗斯黑客!

  • 个人数据泄露的全球性危机

  • 号外!伊朗三家钢铁生产企业遭受重大网络攻击而导致部分停产

  • 去年至少7个零日漏洞被商业化!间谍软件行业正蓬勃发展

  • 留意!Mitel VoIP零日漏洞或已被黑客用于勒索软件攻击中

  • 云与安全深度融合推动原生云安全发展

  • 重磅!网络攻击迫使伊朗重要钢铁公司停产

  • MITRE分享2022年最危险的软件漏洞清单

  • 2022大数据十大关键词

  • RansomHouse宣布盗取芯片制造巨头AMD 450GB数据

  • 美国数据治理的现状、挑战和新应对

  • 卫星网络安全防御--诺斯罗普·格鲁曼公司率先研发用于卫星的硬件安全模块

 安全威胁分析

  • CISA警告:黑客仍在利用 Log4Shell 漏洞

  • 从业者对DevSecOps的七个误解

  • 美国应为下一阶段的网络战略做好准备

  • MEGA云存储服务加密可被攻破

  • 如何正确保护 API 变得越来越紧迫

  • 构建主动安全态势!美国务院部门提出新网络战略

  • 企业保护API安全迫在眉睫

  • Visa如何打击网络欺诈?

  • 微软云服务爆容器逃逸漏洞,攻击者可接管Linux集群

  • 安全办公零信任实践:人类攻击面管理

 安全技术方案

  • 【攻防演练专题】构建欺骗式防御

  • 智慧电力网络安全态势感知能力建设与提升

  • 【攻防演练专题】上线预告

  • 网络安全应急响应实施过程

  • 区块链在网络信任体系中的应用研究

  • 【攻防演练专题】防守要点与解决方案

技术标准规范

1.公布 | 《中华人民共和国反电信网络诈骗法(草案二次审议稿)》全文

据悉,十三届全国人大常委会第三十五次会议对《中华人民共和国反电信网络诈骗法(草案二次审议稿)》进行了审议。社会公众可以直接登录中国人大网(www.npc.gov.cn)或国家法律法规数据库(flk.npc.gov.cn)查看并提出意见,征求意见截止日期:2022年7月23日。

https://mp.weixin.qq.com/s/OaVgIbi5h31oDm2kbGDbJA

2.国家网信办发布《互联网用户账号信息管理规定》(附全文)

6月27日,国家互联网信息办公室发布《互联网用户账号信息管理规定》(以下简称《规定》),自2022年8月1日起施行。国家互联网信息办公室有关负责人表示,出台《规定》,旨在加强对互联网用户账号信息的管理,弘扬社会主义核心价值观,维护国家安全和社会公共利益,保护公民、法人和其他组织的合法权益,促进互联网信息服务健康发展。

https://mp.weixin.qq.com/s/GVPbmWIAIxPoLC_8C8n9vg

3.2022政府工作报告中的“数据安全”

2022年3月5日,第十三届全国人民代表大会第五次会议在北京人民大会堂开幕,李克强总理作2022年政府工作报告。

https://mp.weixin.qq.com/s/Zjqh9SNOmcmPPKdBAx4vTw

4.国家互联网信息办公室关于《个人信息出境标准合同规定(征求意见稿)》公开征求意见的通知

为了规范个人信息出境活动,保护个人信息权益,促进个人信息跨境安全、自由流动,依据《中华人民共和国个人信息保护法》,我办起草了《个人信息出境标准合同规定(征求意见稿)》,现向社会公开征求意见。

https://mp.weixin.qq.com/s/RDGrDfpvtwtppBjdtdBFuQ

5.反电信网络诈骗法(草案)二审稿解读:四方面变化需关注

近日,《中华人民共和国反电信网络诈骗法(草案)》(本文以下,简称“《草案》”)提请十三届全国人大常委会第三十五次会议二次审议。相较于初审稿(2021年10月19日,提请十三届全国人大常委会初次审议)中的39项条例,本次增加至46项。

https://mp.weixin.qq.com/s/hHBpoChBQPslXgBUDesNjA

行业发展动态

6.实锤了?德克萨斯液化天然气厂爆炸的幕后黑手可能是俄罗斯黑客!

据美国军事新闻网站6月24日的报道,刚刚公布的一份新报告显示,一个俄罗斯黑客组织可能针对德克萨斯州一家液化天然气厂的工业控制系统发动网络攻击,导致其于6月8日发生爆炸。

https://mp.weixin.qq.com/s/7boOZLKRkmawMU3ZK9pBWQ

7.个人数据泄露的全球性危机

6月20日,包括“M78安全团队”(首发)在内的多家自媒体发文称“大学生学习软件超星学习通的数据库信息正在被黑客在非法渠道售卖,兜售的数据包含姓名、手机号、性别、学校、学号、邮箱等信息1亿7273万条,售价仅为1.2万元”,文中描述的“大规模个人隐私数据泄露”,激起了全社会对个人隐私保护和数据安全的强烈关注。

https://mp.weixin.qq.com/s/DLsPRKsN5GtquJ6T6pPr-Q

8.号外!伊朗三家钢铁生产企业遭受重大网络攻击而导致部分停产

伊朗国有的胡齐斯坦钢铁公司6月27日表示,在遭受网络攻击后被迫停止生产,这显然是近期对该国战略工业部门的最大此类攻击之一。另有两家钢铁企业也称受到攻击。

https://mp.weixin.qq.com/s/W_J6I2feNo142zbbfbeJmg

9.去年至少7个零日漏洞被商业化!间谍软件行业正蓬勃发展

消息,谷歌威胁分析小组(TAG)在上周四(6月23日)发布报告,披露一家意大利间谍软件供应商曾出售技术产品,被用于攻击意大利及哈萨克斯坦的受害者。

https://mp.weixin.qq.com/s/Ejj2ViGACMuDo6_HOvQ8uw

10.留意!Mitel VoIP零日漏洞或已被黑客用于勒索软件攻击中

近日,网络安全公司CrowdStrike有一项新发现,一个针对未指定目标的勒索软件正利用通信巨头Mitel的设备作为入口点来实现远程代码执行并获得对环境的初始访问权限。

https://mp.weixin.qq.com/s/ZJovaKXRCuaCOUkMHSCZLg

11.云与安全深度融合推动原生云安全发展

全球数字经济背景下,云计算成为企业数字化转型的必然选择。在企业上云过程中,传统安全防护机制暴露不足,探索云安全建设新方法成为重点。原生云安全理念强调安全建设与云在时间和空间上的深度融合,成为实现云安全的关键选择。

https://mp.weixin.qq.com/s/EAQ6XIn3nCF-68kPrE4SGA

12.重磅!网络攻击迫使伊朗重要钢铁公司停产

6月27日消息,伊朗一家主要钢铁公司周一表示,因遭遇网络攻击被迫停产。此次攻击还波及到另外两家工厂,成为近期针对伊朗战略工业部门的最大攻击活动之一。

https://mp.weixin.qq.com/s/G2YTGPgQyZ08U-zOnDQRnA

13.MITRE分享2022年最危险的软件漏洞清单

MITRE分享了今年影响软件安全的25个最常见和最危险的漏洞。软件漏洞是在软件解决方案的代码、架构、实现或设计中发现的缺陷、错误、弱点或各种其他错误。他们可能会将正在运行的系统暴露在攻击之下,从而使威胁参与者能够控制受影响的设备、访问敏感信息或触发拒绝服务条件。

https://mp.weixin.qq.com/s/zzLaXrwTGKR77nVoCKzwew

14.2022大数据十大关键词

为进一步加速推动我国数据智能转型进程,推动“十四五”期间数据智能产业交流与合作,由中国信息通信研究院、中国通信标准化协会指导,中国通信标准化协会大数据技术标准推进委员会(CCSA TC601)主办的2022大数据产业峰会于6月28日在京召开。

https://mp.weixin.qq.com/s/2Uq4av_B2Evt09Z3n_2Ypg

15.RansomHouse宣布盗取芯片制造巨头AMD 450GB数据

RansomHouse 团伙声称在2021年入侵了芯片制造商巨头AMD 并从该公司窃取了 450 GB 的数据,并威胁说如果该公司不支付赎金,就会泄露或出售这些数据。

https://mp.weixin.qq.com/s/a8BrUTZw3Zbjhn1dQyDnJQ

16.美国数据治理的现状、挑战和新应对

新冠肺炎疫情的肆虐导致全球数字化转型加剧,进一步引发数据治理相关议题的研究热潮。伴随数字技术的普及应用,数据治理问题愈发凸显。美国作为全球数据治理领域的主导国,其数据治理的现状与面临的挑战如何,值得深入探究。

https://mp.weixin.qq.com/s/CLMxkBMSoSRbsbZ7DnJ13Q

17.卫星网络安全防御--诺斯罗普·格鲁曼公司率先研发用于卫星的硬件安全模块

Breakingdefense报道,诺斯罗普·格鲁曼公司将于明年春天开始为太空部队测试一种新的硬件/软件原型,该原型旨在保护大型互连卫星网络免受网络攻击。该原型名为Space End Crypto Unit(ECU),由串联电子公司Aeronix开发,计划于2024年交付。

https://mp.weixin.qq.com/s/aQ6oJWdJ-YOmR4hVEr9l-Q

安全威胁分析

18.CISA警告:黑客仍在利用 Log4Shell 漏洞

CISA 和美国海岸警卫队网络司令部 (CGCYBER) 警告说,民族国家的黑客仍在利用Log4Shell(CVE-2021-44228),专门针对未打补丁的、面向Internet的VMware Horizon和Unified Access Gateway服务器。

https://mp.weixin.qq.com/s/9_Zodo9Rt-Abmai5PnGvXA

19.从业者对DevSecOps的七个误解

DevOps和安全团队长期以来一直在软件交付管道上存在摩擦。DevOps团队历来将安全团队视为采取过度保守方式降低风险的“防御输出部门”。同时,安全团队也认为加速软件发布对治理、安全和监管控制构成了太大的风险。

https://mp.weixin.qq.com/s/ZME5hi1G9B2fQjD_jZuvQA

20.美国应为下一阶段的网络战略做好准备

美国的军政两界对现行的网络战略存在一些争议,其中有两个较为突出的观点:一是现行战略可能无法促使他国减少网络空间内发生的意外事件和鲁莽行为;二是“防御前置”与“网络威慑”之间的模糊关系可能会带来一定的负面影响。

https://mp.weixin.qq.com/s/vG3qRjScHQvNB17JjWydEQ

21.MEGA云存储服务加密可被攻破

ETH Zurich安全研究人员发现MEGA云存储服务中的关键安全问题,可被攻击者利用来打破用户数据的机密性和完整性。

https://mp.weixin.qq.com/s/NdjSRBYp8UFA7YwnosCfcA

22.如何正确保护 API 变得越来越紧迫

Imperva发布了一项新研究,揭示了易受攻击或不安全 API 的全球成本不断上升。对近 117,000 起独特的网络安全事件的分析估计,API 安全隐患每年会导致 41-750 亿美元的损失。

https://mp.weixin.qq.com/s/C0DPllZ4Le5DK3KlFrCoUQ

23.构建主动安全态势!美国务院部门提出新网络战略

6月27日消息,美国国务院情报研究局(INR)发布一项网络安全战略,旨在解决该局局长提出的“技术债务”,并在漏洞发现与修复方面营造一种更为积极的安全文化。

https://mp.weixin.qq.com/s/btvwcRJ8iM1c4QXWeHvL1Q

24.企业保护API安全迫在眉睫

最近,Imperva 发布了一项新的研究结果,揭示了易受攻击的 API 全球成本正在不断上升,在对近 117000起特定的网络安全事件分析估计,发现 API 安全威胁每年导致 410-750 亿美元的损失。

https://mp.weixin.qq.com/s/djbIaKxJm-8cKOj8EShzaA

25.Visa如何打击网络欺诈?

Visa的欺诈检测必须在几毫秒内快速准确完成,这也是Visa取得成功的关键能力。

https://mp.weixin.qq.com/s/0igG631DoIwkp8o97Mg9mA

26.微软云服务爆容器逃逸漏洞,攻击者可接管Linux集群

6月30日消息,微软修复了旗下应用程序托管平台Service Fabric(SF)的容器逃逸漏洞“FabricScape”。利用此漏洞,恶意黑客可以提升至root权限,夺取主机节点控制权,进而危及整个SF Linux集群。

https://mp.weixin.qq.com/s/lMqIbva3bKyV8fzV1gRiUQ

27.安全办公零信任实践:人类攻击面管理

疫情后的“随时随地办公”的世界中,你的员工是你网络防御的第一道防线……也是你失败的第一道防线。

https://mp.weixin.qq.com/s/NmOzxlFkCmAwiyz3aprwbA

安全技术方案

28.【攻防演练专题】构建欺骗式防御

分享在攻防演练场景中,如何通过逐一拆解攻击者的攻击思路与攻击链条,并基于蜜罐产品进行布防,构建欺骗式防御体系。

https://mp.weixin.qq.com/s/-ZSykeSEyT2wrSQ0gM8Sug

29.智慧电力网络安全态势感知能力建设与提升

在智慧电力快速发展的背景下,电力行业数字化转型进入跨越式的发展,新的应用不断涌现,整体网络规模逐渐扩大。物联网、云平台和数据中台等新型数字基建平台的建设,使网络边界从物理边界向物理和虚拟边界混合的模式演变。

https://mp.weixin.qq.com/s/gDZa6LplG5_0qIT1yGAQgA

30.【攻防演练专题】上线预告

随着网络信息技术发展的日新月异,网空威胁也在快速的变化升级。

https://mp.weixin.qq.com/s/15lteNtsa6RD2Y8hPWQHLg

31.网络安全应急响应实施过程

网络安全应急响应是在特定网络和系统面临或已经遭受突然攻击行为时,进行快速应急反应,提出并实施应急方案。作为一项综合性工作,网络安全应急响应不仅涉及入侵检测、事件诊断、攻击隔离、快速恢复、网络追踪、计算机取证、自动响应等关键技术,对安全管理也提出更高的要求。

https://mp.weixin.qq.com/s/8AwScFsJohCgCTe2Hzjt5A

32.区块链在网络信任体系中的应用研究

信息技术飞速发展,在不断改变人们生产生活方式的同时,也带来了日益严峻的网络安全问题。如何在网络实体间建立信任关系,是信息安全领域需要解决的重点问题。

https://mp.weixin.qq.com/s/r-tZxBBOvBFQr8J8dDjVjg

33.【攻防演练专题】防守要点与解决方案

本期为【攻防演练专题】系列的第一期,将分享针对攻防演练场景中的防守要点,结合自主安全产品,设计的覆盖攻防演练全生命周期四个阶段的解决方案。

https://mp.weixin.qq.com/s/R1BA7rdmgF2TzmiMivHqqw

 

 

[本文资讯内容来源于互联网,版权归作者所有。由“关键基础设施安全应急响应中心”整理发布]

“投稿联系方式:孙中豪 010-82992251   sunzhonghao@cert.org.cn”

8条评论