【华安星安全资讯】半月精选集（2023.8.28-9.17）

1.【政策法规】4项网络安全国家标准获批发布

      根据国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2023年第9号），全国信息安全标准化技术委员会归口的4项国家标准正式发布。具体清单如下：

3.【政策法规】2023年第20届中国网络安全年会暨国家网络安全宣传周网络安全协同治理分论坛在福州成功召开

       近日，以“深化协同治理 共筑安全屏障”为主题的第20届中国网络安全年会暨国家网络安全宣传周网络安全协同治理分论坛在福州成功召开。本届中国网络安全年会由国家计算机网络应急技术处理协调中心（CNCERT/CC）和福州市人民政府主办。国家计算机网络应急技术处理协调中心党委书记卢卫出席会议，副主任张鸿主持并致欢迎辞。中央网信办网络数据管理局局长胡啸、公安部网络安全保卫局副局长李彤、福州市人大常委会副主任陈忠霖致辞。中国工程院院士沈昌祥，以及多位知名网络安全机构和企业代表分别作报告。会议同期，还启动了2023年中国网络安全技术对抗赛和网络安全众测竞赛。

4.【安全事件】香港数码港遭勒索攻击：400GB数据泄露，科技中心受打击

       近日，香港数码港遭勒索攻击，已就网络安全漏洞向警方和香港隐私监管机构上报。勒索软件组织Trigona声称，已从数码港窃取超过400GB数据，要求支付30万美元（约合港币235万元）才能归还。一位IT专家查阅了暗网相关材料，发现包括银行账户信息和身份证复印件在内的被窃数据正在竞价售卖，起价定为30万美元。数码港商业园区有140名员工，是1900家初创企业和科技公司的运营基地。警方表示，已将此案移交网络安全及科技罪案调查科进行调查，目前尚未有人被捕。

5.【安全事件】德国金融监管局网站因DDoS攻击中断多天

       近日，德国联邦金融监管局（BaFin）宣布，其网站持续受到分布式拒绝服务（DDoS）攻击影响。BaFin是德国金融监管机构，隶属于财政部，负责监管2700家银行、800家金融机构和700家保险服务提供商。这家监管机构因在德国境内外扮演的执法角色而闻名。近年来，BaFin因各种违法行为对德意志银行和美国银行分别处以1000万美元和500万美元罚款。根据发布的通告，BaFin已采取了一切适当的安全预防举措和防御措施，保证运营活动免受黑客攻击。

6.【安全事件】斯里兰卡国家政务云被黑，近4个月数据丢失

       近日，斯里兰卡政府云系统“兰卡政府云”（LGC）遭受一次大规模勒索软件攻击。该国已经启动调查程序。这次攻击很可能从8月底开始，当时，一个gov.lk域名用户表示他们在过去几周里收到了可疑的链接，有人可能点击了其中一条链接。“兰卡政府云”的服务和备份系统迅速被加密。斯里兰卡信息与通信技术局首席执行官估计，所有使用“gov.lk”电子邮件域名的电子邮件地址（5000个），包括内阁办公室使用的地址，都受到了影响。系统和备份在遭受攻击后12小时内得以恢复。然而，由于数据没有可用备份，所有受影响的账户在这段时间内的数据都已永久丢失。使用“停服”软件、遭遇勒索软件攻击、缺失数据备份计划，多种因素叠加，导致斯里兰卡政府云系统丢失了近4个月的数据。

7.【安全事件】美国最大博彩娱乐集团遭遇黑客勒索攻击，已支付1500万美元赎金

       近日，美国最大的博彩娱乐集团——凯撒娱乐遭遇了一次网络攻击，黑客入侵了其数据库，据悉该数据库存储了众多客户的驾照号码和社会安全号码。为避免这些客户数据在网上泄露，该公司表示已经支付了赎金。9月14日，凯撒公司向美国证券交易委员会提交了一份8-K表，其中写道：我们仍在调查未经授权的行为者获取的文件中，究竟包含了多少敏感信息。凯撒方面表示，迄今为止并没有证据表明任何会员密码/PIN、银行账户信息或支付卡信息（PCI）被未经授权的行为者获取。但据外媒报道称，该公司为了防止被盗数据在网上泄露，已经支付了大约 1500 万美元的赎金，这是最初黑客索要的3000万美元赎金的一半。

8.【安全事件】IBM泄露强生公司患者数据

       近日，强生医疗健康系统公司通知其CarePath客户，他们的敏感信息在涉及IBM的第三方数据泄露事件中遭到泄露。CarePath是一款应用程序，帮助患者获得杨森药物、提供针对符合条件的处方提供折扣和节省成本的建议、保险范围指导以及提供药物补充和管理警报服务。IBM是强生公司的技术服务提供商，负责CarePath应用程序和数据库的技术服务和管理。根据通知，强生公司发现了一种可未授权访问CarePath数据库的新方法。事件发生后IBM立即修复了安全漏洞并启动了内部调查。不幸的是，调查显示，未经授权的用户访问了以下CarePath用户的全名、联系信息、出生日期、健康保险信息、用药信息、医疗状况信息。强生表示，社会安全号码和金融账户数据没有保存在被泄露的数据库中。安全专家指出，泄露的患者数据可用于高效的网络钓鱼、诈骗和社会工程攻击，考虑到医疗数据的价值，它们很有可能在暗网市场上以溢价出售。

9.【安全技术】Gartner：2023年数据安全五大新兴技术

       Gartner最新发布的2023数据安全技术成熟度曲线（炒作周期图）增加了五项新技术：加密敏捷性、后量子密码学、量子密钥分发、主权数据策略和数字通信治理。此外，今年有八项技术被删除或重新分配。企业级数据安全集成是一个艰巨的挑战，Gartner预测这些挑战将改变或整合数据安全技术，包括数据安全态势管理(DSPM)、数据安全平台(DSP)和多云数据库活动监控(DAM)。Gartner数据安全技术成熟度曲线新增的五项技术将帮助CISO做好应对下一代量子威胁的准备，同时应对治理和数据主权方面的重大挑战。

10.【安全技术】新型勒索软件攻击的7个发展趋势

       近年来勒索攻击席卷全球，几乎所有国家的政府、金融、教育、医疗、制造、交通、能源等行业均受到影响，可以说有互联网的地方就可能存在勒索攻击。日前，安全研究人员分析了近一年来的勒索攻击典型案例后发现，各大勒索攻击团伙一直在不断改进攻击手法和模式，使得新一代勒索软件攻击变得更加复杂和更有针对性。在面对新型勒索软件攻击时，大多数企业组织会处于极度弱势，根本难以招架。该文总结了新型勒索软件攻击的7大发展趋势，包括攻击模式APT化、攻击流程自动化、勒索软件智能化、多重勒索常态化、攻击云上的数据和应用、将数据变现牟利、攻击并不常见的应用系统。

11.【安全技术】敏捷开发的十大安全原则

        在人工智能、5G、物联网、云计算的助推下，全球经济科技竞争日趋白热化，企业的核心竞争力是不仅是持续创新，更强调快速行动和快速交付（迭代）。因此，全球超过80%的科技企业（以及很多传统企业）已经开始践行敏捷开发方法。不幸的是，产品和应用的快速开发和交付也为网络犯罪分子提供了大量利用机会，特别是当软件生命周期流程没有得到足够的安全防护时。那么，企业如何使敏捷开发变得更加安全呢？该文总结了10大原则，包括定义角色和职责、投资技能和培训、实施信息风险管理流程、用开发者能理解的方式制定安全要求、进行威胁建模、采用安全编程技术、进行独立的安全审查、自动化安全测试、在验收标准中增加安全内容、评估安全性能。