行業動態 政策法規 國標 個人信息安全規範
根據2020年3月6日國家市場監督管理總局、國家標準化管理委員會發佈的中華人民共和國國家標準公告（2020年第1號），全國信息安全標準化技術委員會歸口的GB/T 35273-2020《信息安全技術 個人信息安全規範》正式發佈，並將於2020年10月1日實施。
行業動態 政策法規 “互聯網+行業”個人信息保護
3月2日，中國信通院發佈了《“互聯網+行業”個人信息保護研究報告》。報告重點針對“互聯網+電子商務”、“互聯網+醫療健康”、“互聯網+智能家居”、“互聯網+出行”四類人民群眾廣泛使用的“互聯網+”服務，梳理分析不同類型服務收集、使用個人信息的範圍和特點、面臨的形勢和挑戰，結合國內個人信息保護法規和監管現狀，提出了加強綜合監管、提升企業能力、推進行業自律等個人信息保護建議。
行業動態 政策法規 歐盟 5G
2020年1月29日，歐盟發佈5G網絡安全指引，這份名為《在歐盟確保5G的安全部署——實施歐盟工具箱》的指南旨在降低歐盟及其成員國在地區層面的網絡安全風險，強調成員國應當評估5G網絡基礎設施供應商的風險，對高風險供應商實施相關限制，將它們排除在“關鍵、敏感”的核心網絡功能之外。成員國還應制定戰略，確保供應商的多樣化，避免過度依賴單一設備供應商。
行業動態 網路安全 中美局勢
國防部新聞局局長、國防部新聞發言人吳謙2月28日在國防部例行記者會上說，在網絡安全問題上，美方是國際公認的竊密慣犯。美國司法部近期對4名解放軍人員提起訴訟，稱他們涉嫌於2017年對美國信用報告機構發起黑客攻擊。吳謙強調，美方捏造事實，編造謊言，對中方人員提起所謂訴訟，完全是別有用心的，是徹頭徹尾的司法霸凌行為。中國軍隊已向美方提出嚴正交涉。
報告調研 IDC 《全球安全設備季度跟蹤報告》
據IDC近日發佈的《全球安全設備季度跟蹤報告》顯示，2019年第四季度整個安全設備市場的單位出貨量和收入同同實現了正增長。2019年第四季度全球收入同比增長9.4%，達到48億美元。單位出貨量也出現了類似的增長，同比猛增21.1%，達到了近130萬臺。傳統防火牆這個細分市場為全球收入增長做出了最大的貢獻。Web安全和消息傳遞安全這兩個細分市場繼續顯示出強勁增長的跡象，分別同比增長6.8%和24.6%。
報告調研 2019年 移動威脅態勢
根據RiskIQ的2019年移動威脅態勢報告，在開放網絡上擴散的惡意移動應用程序的數量已減少了20％。在對120多家移動應用商店進行的分析中，RiskIQ表示，全球移動APP數量增長18％的同時，對惡意應用的防禦能力也已大大提高。該結論基於2019年被列入黑名單或經過過濾的應用程序的數量，以及業界針對這些應用程序所採取的多方面努力。
安全研究 CPU漏洞（CVE-2019-0090）
據ZDnet報道，Positive Technology的安全研究人員發現，英特爾去年修補的一個CPU漏洞（CVE-2019-0090）比以前認為的要嚴重得多。這個芯片組只讀存儲器（ROM）中的錯誤使攻擊者能夠破壞平臺加密密鑰並竊取敏感信息。此外，該漏洞可能會破壞依賴於硬件密鑰進行加密的常見數據保護技術，例如DRM、固件TPM和Intel Identity Protection。例如，攻擊者可以利用自己計算機上的漏洞繞過內容DRM並進行非法複製。在ROM中，此漏洞還允許在Intel CSME的零特權級別執行任意代碼。為了保護處理敏感業務的設備，研究人員建議禁用基於Intel CSME的數據存儲設備加密，或者考慮更換到第十代或更高版本的Intel CPU。
安全研究 SurfingAttack交互式隱蔽攻擊
近日，安全研究人員成功展示了一個“黑科技”：利用超聲波秘密激活並控制手機，撥打電話、拍照甚至收發短信，整個過程無需實際接觸設備。美中大學聯合團隊將這種攻擊稱為SurfingAttack交互式隱蔽攻擊，並表示黑客可以利用人類聽不見的超聲波遠程控制語音助手，以及任何支持語音命令的設備和服務，例如智能手機和智能音箱。研究人員在蘋果、谷歌、三星、摩托羅拉、小米和華為的17種不同型號的智能手機上測試了該方法，在其中15款產品上成功部署了SurfingAttack。值得注意的是，接受測試的產品中有兩款對SurfingAttack攻擊“免疫”，分別是華為的Mate 9和三星的Galaxy Note 10，安全研究團隊認為，這是是因為這兩款手機的製造商使用了特定的材料能夠抑制超聲波。
漏洞補丁 Chrome
3月4日谷歌發佈了Chrome 80.0.3987.132版本更新，主要修復了4個安全漏洞。谷歌會分階段進行推送，因此可能需要等待數天或者幾周時間才能讓所有人使用升級，如果你等不及可以通過參考來源中的鏈接直接下載安裝補丁。
漏洞補丁 Linux系統 pppd遠程代碼執行
3月6日，360CERT監測發現，國外安全研究員Ilja Van Sprundel(IOActive)發現 PPPD 程序中存在一枚緩衝區溢出漏洞。該漏洞CVSS評分9.8，影響軟件版本跨度長達17年。攻擊者可以通過特製的流量包，遠程攻擊開放PPPD服務的服務器。因為PPPD通常以root(unix最高權限)運行，攻擊成功可完全取得服務器控制權限。目前pppd官方與部分Linux系統已針對受支持的產品發佈了修復該漏洞的安全補丁，請受影響的用戶儘快安裝進行防護。
黑客攻擊 美國中央情報局APT攻擊
360安全大腦捕獲了美國中央情報局CIA攻擊組織（APT-C-39）對我國進行的長達十一年的網絡攻擊滲透。在此期間，我國航空航天、科研機構、石油行業、大型互聯網公司以及政府機構等多個單位均遭到不同程度的攻擊。360安全大腦通過關聯相關情報，還定位到負責從事研發和製作相關網絡武器的CIA前僱員，更進一步地將360安全大腦發現的這一APT組織的攻擊來源，鎖定為美國中央情報局。
勒索攻擊 EMCOR Group
《財富》500強公司——從事工程和工業建築服務的EMCOR Group近日披露了發生在2月份的勒索軟件攻擊事件，該事件導致其部分IT系統癱瘓，已確定所感染的勒索軟件屬於Ryuk家族。目前攻擊的詳細信息和後果尚未公開，但EMCOR表示，並非所有系統都受到影響，只有“某些IT系統”受到影響，因此該公司迅速關閉以控制感染。該公司表示正在恢復服務，但未具體說明是否支付了贖金要求或是否正在從備份中恢復。
勒索攻擊 美國 國防承包商CPI
位於加州的CPI為雷達、導彈導引頭和電子戰技術提供配件，其客戶包括了美國國防部及其研發機構DARPA。事故發生在一月中旬，一位具有域管理權限的用戶點擊了惡意鏈接，觸發了勒索軟件對文件進行加密，包括現場備份。該公司之後向攻擊者支付了約50萬美元贖金，恢復了部分包含敏感軍事數據。但到二月底只有四分之一的計算機恢復運行，許多計算機都重新安裝了操作系統。
數據洩露 T-Mobile
T-Mobile宣佈了一項數據洩露事件，事件起因在於其電子郵件供應商遭到黑客入侵，導致從電子郵件中洩露了一些用戶的個人和財務信息。T-Mobile在其網站上發佈的“數據洩露通知”中指出，黑客入侵其電子郵件供應商，未經授權地訪問了T-Mobile員工的電子郵件賬戶。電子郵件賬戶包含T-Mobile用戶信息，例如社會保險號、財務信息、政府ID號、賬單信息和費率計劃。
數據洩露 英國 免費Wi-Fi
Security Discovery的一名研究人員發現，與英國多個火車站的免費Wi-Fi熱點連接的用戶數據已存儲在非密碼保護的數據庫中。該數據庫包含1.46億條記錄，其中包括電子郵件地址，年齡範圍，旅行原因，設備數據和其他日誌。運營數據庫的C3UK在報告的同一天限制了對數據庫的公共訪問。
數據洩露 美國軌道運營商Railworks公司
北美領先的鐵路軌道和運輸系統供應商之一RailWorks Corporation披露了一起勒索軟件攻擊事件，導致現任和前任僱員、受益人和家屬以及獨立承包商的個人身份信息暴露。根據RailWorks向加州總檢察長辦公室提交的三份數據洩露通知，攻擊者可能已經獲得了PII的訪問權限，包括姓名、地址、駕駛執照號碼、政府頒發的ID、社會保險號碼、出生日期以及僱傭/終止和/或退休日期。
閱讀更多 安全牛 的文章
