Lianwei 安全周报|2024.03.25

新的一周又开始了，以下是本周「Lianwei周报」，我们总结推荐了本周的政策/标准/指南最新动态、热点资讯和安全事件，保证大家不错过本周的每一个重点！

---

政策/标准/指南最新动态

---

01

英国政府发布云托管的监控和数据采集（ SCADA）安全指南

英国国家网络安全中心发布云托管SCADA系统安全指南，旨在帮助组织识别云端迁移的优势和挑战，做出基于风险的决策。指南强调了考虑独特风险状况和技术要求的重要性，特别是关键基础设施面临的网络攻击风险。同时，讨论了云的灵活性、网络攻击弹性、远程访问改进及身份和秘密管理集中等好处，以及可能的安全风险，如未经授权更改监控、云中断风险和远程访问管理不当。

详情：

https://www.ncsc.gov.uk/collection/operational-technology/cloud-hosted-scada

02

IDC：2027年中国网络安全市场规模将超200亿美元

根据IDC的预测，随着中国网络安全“三法一条例”的稳步推进和实施，中国网络安全市场规模将从2022年的123.5亿美元快速增长至2027年的233.2亿美元，年复合增长率为13.5%，高于全球平均水平。在此期间，安全防御硬件设备将逐步云化，网络安全软件和服务市场将持续增长，五年复合增长率分别为16.7%和16.3%。

详情：

https://www.idc.com/getdoc.jsp?containerId=prCHC51971324

03

《2024年开源安全和风险(OSSRA)报告》:84%的代码库存在漏洞风险

Synopsys的《2024年开源安全和风险分析（OSSRA）报告》指出，开源代码库的漏洞风险较高。2023年对1067个代码库的评估显示，84%存在漏洞风险，其中74%包含高风险漏洞。14%的代码库有超过10年的漏洞，漏洞平均年龄为2.8年。报告强调，为了保障软件供应链安全，组织需要了解代码中的开源组件、许可证、代码质量和潜在漏洞。

详情：

https://www.synopsys.com/software-integrity/engage/ossra/ossra-report

04

美国众议院全票通过《保护美国人数据免受外国对手侵害法案》

美国众议院通过《保护美国人数据免受外国对手侵害法案》，旨在阻止外国对手通过数据经纪人获取美国人的敏感数据。法案禁止数据经纪人向外国对手或其控制的实体传输个人敏感数据，并赋予FTC新权力以处罚违规行为。外国对手包括中国、俄罗斯、伊朗和朝鲜。数据经纪人被定义为不直接收集个人数据的实体，而是通过出售或授权方式传输他人数据。法案列出了15类禁止传输的敏感数据，包括政府标识符、个人健康和金融信息、生物特征等。

详情：

https://www.guancha.cn/internation/2024_03_21_729186.shtml

05

GB/T 43697-2024《数据安全技术数据分类分级规则》发布

国家标准GB/T 43697-2024《数据安全技术 数据分类分级规则》已发布，将于2024年10月1日实施。该标准提供了数据分类分级的指导原则，明确了如何划分数据级别，由国家标准化管理委员会主管，并由全国网络安全标准化技术委员会归口。主要起草单位包括中国电子技术标准化研究院等，涉及数据安全领域的多家机构和专家。此标准的发布是中国数据安全领域的重要进展，为企业和组织提供了数据管理和保护的明确指导。

详情：

https://www.tc260.org.cn/front/postDetail.html?id=20240321201412

06

国家互联网信息办公室公布数据跨境流动规定

• 国家互联网信息办公室公布《促进和规范数据跨境流动规定》

2024年3月22日，在《规范和促进数据跨境流动规定（征求意见稿）》（以下简称“跨境流动规定征求意见稿”）发布近半年之后，国家互联网信息办公室（“国家网信办”）正式发布《促进和规范数据跨境流动规定》（以下或称“数据跨境新规”），且发布之日即正式生效。

详情：

https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm

• 国家互联网信息办公室发布《数据出境安全评估申报指南（第二版）》和《个人信息出境标准合同备案指南（第二版）》

为了指导和帮助数据处理者规范有序申报数据出境安全评估、备案个人信息出境标准合同，国家互联网信息办公室编制了《数据出境安全评估申报指南（第二版）》、《个人信息出境标准合同备案指南（第二版）》，对申报数据出境安全评估、备案个人信息出境标准合同的方式、流程和材料等具体要求作出了说明，对数据处理者需要提交的相关材料进行了优化简化。

详情：

https://www.cac.gov.cn/2024-03/22/c_1712783131692707.htm

---

热点资讯

---

01

IBM：AI攻击即将到来，被盗凭据成为头号风险

IBM《2024年威胁情报指数报告》显示，有效凭据攻击增长71%，占网络犯罪30%。数据盗窃和泄露占32%，信息窃取恶意软件激增266%。Web应用漏洞30%由安全配置错误引起。合法工具恶意使用达32%。预测AI市场份额达50%时，AI平台攻击增加。制造业2023年受攻击最多。建议包括部署EDR工具，强化凭据管理，减小网络安全爆炸半径，了解暗网曝光度，实施DevSecOps测试，制定事件响应计划，建立安全的AI+业务模式。

详情：

https://branden.biz/wp-content/uploads/2024/02/IBM-XForce-Threat-Intelligence-Index-2024.pdf

02

思科宣布完成对Splunk的收购

思科收购Splunk，提升网络安全和数字化可见性。计划整合网络、安全和可视化数据，创造全面的企业数字景观，保护基础设施，预防网络中断，优化用户体验。罗卓克和Steele表示，Splunk加入将改变数据管理方式，全方位保护企业，推动AI变革和网络安全。此次收购被认为具有划时代意义，尤其在网络、安全和运营方面，提高思科在AI领域的商业价值。预计此次收购将使思科在提供安全、可视、互联、AI驱动的网络解决方案方面取得显著进步，增强客户业务成果并降低成本。

详情：

https://www.splunk.com/zh_cn/newsroom/press-releases/2024/cisco-completes-acquisition-of-splunk.html

03

涉及15项具体任务 上海通管局开展车联网网络和数据安全专项行动

上海市通信管理局发布了《关于开展“铸盾车联”2024年车联网网络和数据安全专项行动的通知》，针对在上海市生产、销售智能网联汽车产品的生产企业、运营车联网相关平台的服务企业、车联网网络设施和车路协同设施运营企业以及自动驾驶功能产品和解决方案服务企业。专项行动包括网络和数据安全主体责任、车联网网络设施和系统安全、智能网联汽车产品安全、车联网平台和应用服务安全、车联网数据安全、自动驾驶功能安全六大方向。

详情：

https://www.eet-china.com/mp/a298801.html

04

网传 AT&T 泄露 7100 万用户数据，该公司多次否认

最近有报道称，美国电话电报公司（AT&T）再次强调，影响7100万人的数据泄露事件并非来自其网络系统。此前，一名威胁攻击者在网络犯罪论坛上泄露了大量数据，并声称这些数据是在2021年从AT&T系统中窃取的。然而，AT&T公司否认了这一说法，并表示他们的系统未受到网络威胁者的入侵。尽管如此，一些网络安全研究人员和媒体已经证实了部分数据的准确性，这些数据包括姓名、地址、手机号码、出生日期和社保号码等。

详情：

https://www.bleepingcomputer.com/news/security/att-says-leaked-data-of-70-million-people-is-not-from-its-systems/

---

安全事件

---

01

富士通：公司多台工作计算机上发现了可能泄露客户数据的恶意软件

日本科技公司富士通警告其客户，黑客可能在公司办公室的多台计算机上部署了恶意软件，可能导致个人信息泄露。该公司在确认存在恶意软件后，立即采取措施切断受影响计算机的连接，并加强其他计算机的监控。目前，富士通正在调查此次事件，以确定是否确实发生了信息泄露，并已通过日本个人信息保护委员会联系受影响人员。

详情：

https://www.crn.com/news/security/2024/fujitsu-confirms-it-was-hacked-via-malware-says-probe-ongoing

02

全球知名游戏竞赛选手电脑遭漏洞攻击，总决赛被迫中断

在《Apex英雄全球系列赛》北美赛区总决赛中，黑客攻击导致比赛中断。比赛中，玩家Genburten的游戏客户端出现作弊工具，获得不公平优势。EA宣布Luminosity队获胜，但比赛再次因黑客攻击而中断。黑客被指利用RCE漏洞入侵玩家客户端。尽管存在多种攻击理论，但游戏开发者尚未确认详情。这次攻击是ALGS历史上首次发生，标志着前所未有的比赛中断情况。

详情：

https://www.bleepingcomputer.com/news/security/apex-legends-players-worried-about-rce-flaw-after-algs-hacks/

03

涉及1亿被盗账户，乌克兰警方逮捕3名黑客

乌克兰警方与国家警察合作，逮捕了3名黑客，他们涉嫌劫持超过1亿封电子邮件和Instagram账户。这些黑客利用暴力破解软件窃取账户，并通过暗网出售账户访问权限获利。警方在搜查中查获了大量电脑、手机等设备，并初步确认了包含超过1亿个被盗账户的数据库。这些黑客可能面临最高15年的监禁。

详情：

https://www.bleepingcomputer.com/news/security/ukraine-arrests-hackers-trying-to-sell-100-million-stolen-accounts/

04

印度知名品牌遭遇大规模营销公司数据泄露

印度多家知名品牌遭遇Gamooga公司数据泄露，影响超1亿客户数据，包括敏感个人信息。泄露因Gamooga一个未受保护的Kafka Broker，涉及品牌如Nykaa、Swiggy等。数据暴露可能用于恶意活动，且受影响公司未在隐私政策中声明与Gamooga的数据共享，可能违反印度数据保护法。

详情：

https://cybernews.com/security/gamooga-data-leak/

05

谷歌Firebase泄露1900万明文密码，2.2亿条数据记录

谷歌Firebase因错误配置泄露了近1900万明文密码和2.2亿条数据记录，包括敏感个人信息。研究人员发现大部分受影响网站未正确设置安全规则，导致数据暴露。他们尝试警告受影响公司，但反应率低。此事件凸显了云服务配置安全的重要性。

详情：

https://www.bleepingcomputer.com/news/security/misconfigured-firebase-instances-leaked-19-million-plaintext-passwords/