國內(nèi)
網(wǎng)絡安全萬億市場機會待掘 高端制造領域軟件安全成“香餑餑”
在近期舉辦的首屆騰訊數(shù)字安全創(chuàng)新大賽上，紅途科技、霧幟智能、四維創(chuàng)智等多家企業(yè)同臺競技，這些聚焦在零信任、云安全、供應鏈安全、隱私計算等業(yè)務的企業(yè)，既是中國網(wǎng)絡安全的新銳力量，也是產(chǎn)業(yè)創(chuàng)新的一個縮影。
財聯(lián)社記者采訪中了解到，網(wǎng)絡安全賽道的快速發(fā)展，離不開數(shù)字經(jīng)濟和“東數(shù)西算”等工程的發(fā)展，數(shù)字安全在未來將成為一道重要課題。另一方面，隨著萬物互聯(lián)、企業(yè)上云與威脅技術升級，數(shù)字化企業(yè)也需要升級網(wǎng)安體系以保證業(yè)務安全運行。未來在一些比較重要的信息基礎設施，尤其高端制造領域相關的軟件安全，是非常有價值的投資方向。而出海將會是網(wǎng)絡安全公司未來的星辰大海。
我國自主創(chuàng)新“長安鏈”可對抗量子攻擊 為信息安全添保險
6月6日， 記者從北京微芯區(qū)塊鏈與邊緣計算研究院獲悉，日前，我國科學家團隊自主創(chuàng)新的區(qū)塊鏈技術體系“長安鏈”成功嵌入高性能抗量子密碼模塊，足以對抗目前已知的傳統(tǒng)密碼攻擊和量子攻擊。長安鏈”由北京微芯區(qū)塊鏈與邊緣計算研究院牽頭研發(fā)，是我國首個自主可控的區(qū)塊鏈軟硬件技術體系。研發(fā)團隊負責人表示，“長安鏈”在研發(fā)時就已經(jīng)明確了必須在加密技術方面走在全球前列，以實現(xiàn)全面的自主可控。“長安鏈”系統(tǒng)完全適配我國國密標準，并且還具備靈活可裝配的性能。
國家安全部公布部門規(guī)章《公民舉報危害國家安全行為獎勵辦法》
6月6日，國家安全部公布部門規(guī)章《公民舉報危害國家安全行為獎勵辦法》（以下簡稱《辦法》），自公布之日起施行?！掇k法》共5章24條，根據(jù)《中華人民共和國國家安全法》《中華人民共和國反間諜法》及其實施細則等法律法規(guī)，對國家安全機關實施的公民舉報獎勵工作進行了全面規(guī)范，明確舉報獎勵工作應當貫徹總體國家安全觀，堅持國家安全一切為了人民、一切依靠人民，堅持專門工作與群眾路線相結合，堅持客觀公正、依法依規(guī)。
市監(jiān)局網(wǎng)信辦開展數(shù)據(jù)安全管理認證 企業(yè)可獲得認證標志
6月9日，國家市場監(jiān)督管理總局與國家互聯(lián)網(wǎng)信息辦公室發(fā)布了《關于開展數(shù)據(jù)安全管理認證工作的公告》（以下簡稱《公告》）?！豆妗饭膭罹W(wǎng)絡運營者通過認證方式規(guī)范網(wǎng)絡數(shù)據(jù)處理活動，加強網(wǎng)絡數(shù)據(jù)安全保護。從事數(shù)據(jù)安全管理認證活動的認證機構應當依法設立，并按照《數(shù)據(jù)安全管理認證實施規(guī)則》實施認證。
記者了解到，在大數(shù)據(jù)時代，有相當多的公司由于業(yè)務因素掌握著大量用戶數(shù)據(jù)，但由于對數(shù)據(jù)安全的投入所產(chǎn)出的成果往往無法直接反映在業(yè)績上，不少公司對投入高成本用于數(shù)據(jù)安全管理缺乏動力，此前就有專家呼吁應設立相關認證制度，讓投入成本到數(shù)據(jù)安全上的公司能夠有正向反饋，從而加強網(wǎng)絡數(shù)據(jù)安全保護。
根據(jù)《公告》，數(shù)據(jù)安全管理認證的認證模式為：技術驗證+現(xiàn)場審核+獲證后監(jiān)督。認證依據(jù)為GB/T 41479《信息安全技術 網(wǎng)絡數(shù)據(jù)處理安全要求》及相關標準規(guī)范。
專家表示，通過這次認證活動，會督促廣大企業(yè)在相關標準規(guī)范之下，開展網(wǎng)絡數(shù)據(jù)處理活動的合規(guī)建設，加強數(shù)據(jù)安全的防護力度。對于對暫不符合認證要求的，機構可要求認證委托人限期整改，具有一定的監(jiān)督和震懾作用。在認證有效期內(nèi)，要求企業(yè)須持續(xù)接受機構監(jiān)督，確保數(shù)據(jù)安全工作持續(xù)落到實處，而非單純認證時的走過場。“在行業(yè)影響層面，認證工作將數(shù)據(jù)安全從法律法規(guī)、標準層面，推向了監(jiān)管落地方向。認證工作的推出，勢必會增強企業(yè)或組織對數(shù)據(jù)安全落地的積極性，為數(shù)據(jù)安全行業(yè)提供新的助推引擎?！?
國外
1、網(wǎng)絡空間安全政策與管理動態(tài)
網(wǎng)絡空間日光浴委員會發(fā)布國家網(wǎng)絡總監(jiān)大綱
【https：/industrialcyber.co/2022年6月3日】美國網(wǎng)絡空間日光浴委員會發(fā)布了國家網(wǎng)絡總監(jiān)(NCD)大綱，以加強聯(lián)邦網(wǎng)絡勞動力，并建議國會采取行動支持勞動力增長。該大綱為NCD發(fā)展和加強聯(lián)邦網(wǎng)絡勞動力并協(xié)調聯(lián)邦對國家網(wǎng)絡勞動力發(fā)展的支持提供了一條前進的道路。
2021 財年國防授權法案設立了NCD職位和相關辦公室，以“擔任總統(tǒng)在網(wǎng)絡安全、政策和戰(zhàn)略方面的主要顧問”，包括聯(lián)邦部門和機構的人事和管理計劃。國會打算讓NCD在應對網(wǎng)絡勞動力挑戰(zhàn)方面發(fā)揮領導作用。
報告指出，“缺乏集中的領導、整個聯(lián)邦政府的協(xié)調不足、不存在指導優(yōu)先事項和資源的聯(lián)邦戰(zhàn)略以及無效的組織結構，所有這些都限制了旨在加強和多樣化聯(lián)邦和國家網(wǎng)絡勞動力的計劃的潛力”。報告建議國會可以采取行動支持聯(lián)邦政府發(fā)展網(wǎng)絡勞動力的努力，行動包括擴展《聯(lián)邦網(wǎng)絡安全勞動力數(shù)據(jù)收集法》、建立聯(lián)邦網(wǎng)絡勞動力發(fā)展研究所以及授權聯(lián)邦例外網(wǎng)絡服務；報告概述了私營部門領導人可以采取的行動，以支持NCD的優(yōu)先事項和國家網(wǎng)絡勞動力的發(fā)展。
美國立法機構公布新的數(shù)據(jù)隱私法律草案
【據(jù)https：//www.nextgov.com/2022年6月6日報道】美國立法機構中的一個跨黨派團隊公布了一項名為《美國數(shù)據(jù)隱私與保護法案》的法律草案，以保護美國人的網(wǎng)上信息
該法案將使網(wǎng)絡用戶有權決定主機平臺和第三方數(shù)據(jù)代理商如何訪問和共享其數(shù)據(jù)。具體來說，該法案將對各類平臺的用戶數(shù)據(jù)收集行為進行限制，并要求這些平臺必須以易于理解的語言向用戶專門提出請求，獲得許可后方可獲取用戶數(shù)據(jù)。此外該法案也規(guī)定必須允許網(wǎng)絡用戶和消費者選擇是否接受精準投送的廣告，并擴大了對兒童和未成年人的保護范圍。該法案還借鑒了歐盟的做法，要求聯(lián)邦貿(mào)易委員會（FTC）深入研究技術初創(chuàng)企業(yè)該如何在當前的數(shù)字生態(tài)系統(tǒng)中蓬勃發(fā)展。
立法團隊表示，該法案將推動美國形成全面的數(shù)據(jù)隱私法律體系，包括制定統(tǒng)一的國家數(shù)據(jù)隱私框架，賦予消費者強有力的數(shù)據(jù)隱私權，以及建立適當?shù)膱?zhí)行機制等。立法團隊希望能在數(shù)周內(nèi)推動國會通過該法案。
美國防部建議 NIST 調整網(wǎng)絡安全風險管理框架
【據(jù)https：//www.nextgov.com/2022年6月6日報道】美國國防部稱，美國國家標準與技術研究所目前應該調整其網(wǎng)絡安全風險管理框架，以便組織能夠決定實施哪些安全控制。
網(wǎng)絡安全框架 (CSF) 最初于 2014 年發(fā)布，指出各種安全控制組織應考慮實施。但該文件讓用戶決定優(yōu)先考慮哪些風險，具體取決于他們希望解決的風險或愿意接受的風險。而如何衡量框架的使用是否成功的問題從未真正得到解答。
NIST 認為，進一步指導衡量實體在建立和改進網(wǎng)絡安全計劃方面的表現(xiàn)是 RFI 響應中表達的關鍵需求。網(wǎng)絡安全計劃的實施和改進不是通過/失敗的練習，有效的計劃必須能夠評估、協(xié)調和報告可衡量的活動。
CSF 中的詳細程度和特異性反映了滿足廣泛利益相關者需求所必需的可擴展性和靈活性，需要更多指導來支持 CSF 實施，許多用戶表示希望在 CSF 中提供更多細節(jié)，同時保持非規(guī)范性方法。在 CSF 更新中確定簡單性和細節(jié)之間的適當平衡是需要進一步討論的關鍵要點?！?
從國防部的角度來看，衡量是“NIST 的核心能力”，該機構應該做更多的工作來促進政府整體風險評估，同時考慮商業(yè)信息和通信技術的供應鏈組成部分。
美國能源部為能源部門尋求早期網(wǎng)絡安全解決方案
【https：//potomacofficersclub.com//2022年6月8日報道】 能源部已開始接受其清潔能源網(wǎng)絡安全加速器計劃的申請。CECA旨在推進早期解決方案，以保護可再生能源系統(tǒng)免受高優(yōu)先級網(wǎng)絡風險的影響，國家可再生能源實驗室在其網(wǎng)站上表示。美國能源部解釋說，雖然網(wǎng)絡安全在早期階段集成時效果最好，但對于開發(fā)人員來說，成本往往太高。CECA將資助早期安全集成，并幫助開發(fā)人員將其技術商業(yè)化，美國能源部表示。該加速器由NREL管理，并由美國能源部網(wǎng)絡安全，能源安全和應急響應辦公室等贊助。公用事業(yè)公司將參與CESA，以允許創(chuàng)新者與需要它們的組織一起測試他們的技術。行業(yè)合作伙伴還將通過訪問創(chuàng)新的網(wǎng)絡安全技術管道而從該安排中受益。對于第一輪應用，美國能源部表示，它正在尋求分布式能源資源的認證解決方案。
CESER總監(jiān)Puesh Kumar表示，NREL的能力將使開發(fā)人員在達到技術驗證和演示階段方面有更好的機會。根據(jù)美國能源部的說法，其中一項能力是集成能源系統(tǒng)的高級研究，這是一種網(wǎng)絡范圍和模擬環(huán)境，旨在評估能源部門防御。負責能源效率和可再生能源的首席副助理國務卿Kelly Speakes-Backman表示，CECA將為創(chuàng)新者提供一個機會，以測試他們的技術免受高優(yōu)先級威脅。她補充說，如果要大規(guī)模部署清潔技術，就必須保證網(wǎng)絡安全。
2、信息通信與網(wǎng)絡安全技術發(fā)展
DARPA推進可信賴人工智能研究
【https：//www.darpa.mil/2022年6月3日】美國防高級研究計劃局（DARPA）宣布推出最新的人工智能項目――“有保證的神經(jīng)符號學習和推理（ANSR）”，試圖以新的、混合的（神經(jīng)符號）AI算法的形式來解決諸多挑戰(zhàn)，該算法將符號推理與數(shù)據(jù)驅動的學習深度融合，以創(chuàng)建強大的、有保證的、因而值得信賴的系統(tǒng)。
ANSR項目的首要目標是推進混合AI算法并開發(fā)基于證據(jù)的技術，以支持對這些算法進行自信的保證判斷。該項目旨在探索各種混合架構，這些架構可以以先驗知識為種子，通過學習獲得統(tǒng)計和符號知識，并適應學習的表示。該項目旨在通過與國防部任務相關的用例來演示和評估混合人工智能技術，其中保障和自主性是關鍵任務。
ANSR項目的發(fā)展將在四個技術領域（TA）中進行協(xié)調：算法和架構，項目將開發(fā)和建模新的人工智能算法和架構，將符號推理與數(shù)據(jù)驅動的機器學習深度集成，探索和評估一系列適用于不同任務的可能算法和架構模式；規(guī)范和保證，項目將開發(fā)保證框架和方法，以獲取和整合正確性證據(jù)并量化特定任務的風險，還將探索估計和量化特定任務風險的技術；平臺和能力演示，項目將開發(fā)用例和架構，用于混合AI算法的工程任務相關應用，適用于演示和評估穩(wěn)健和有保證的性能；保證分析和評估項目將開發(fā)具有對抗性AI的保證測試工具，評估各個技術領域的技術及其在系統(tǒng)中的構成，通過對抗性評估來調查保證聲明的有效性，還將細化提議的計劃指標，并定義衡量系統(tǒng)可信度的特征。
美國陸軍加快發(fā)展遠距離信息共享能力
【據(jù)https：//www.c4isrnet.com/2022年6月7日報道】美國陸軍于6月初成功完成了一項名為“COMMEX 1B”的通信演習，而鑒于美軍及他國部隊將在今秋的“融合項目2022”（PC 22）演習中遠距離連通和交換信息，COMMEX 1B演習基本照搬了PC 22演習中相關科目的規(guī)模和場景。
美國陸軍在COMMEX 1B演習中測試了50多項技術，試驗范圍涵蓋了位于馬里蘭州阿伯丁試驗場（Aberdeen Proving Ground）的“共同聯(lián)合系統(tǒng)集成實驗室”（CJSIL）、德克薩斯州的布利斯堡（Fort Bliss）軍事基地以及英國和澳大利亞的相關設施，是迄今為止分散程度最廣的一次COMMEX演習。
升級網(wǎng)絡和擴大通信的范圍和彈性是陸軍領導層確定的六項現(xiàn)代化優(yōu)先事項之一，因此“融合項目”系列演習一直都把測試先進通信能力作為重要演練科目。PC 22將首次邀請盟國軍隊參演，其中英國和澳大利亞直接參加演習，加拿大和其它國家則以觀察員國的身份參加。
美DARPA啟動“可靠神經(jīng)符號學習和推理”項目
【據(jù)http：//www.dsti.net/2022年6月7日報道】美國防高級研究計劃局（DARPA）啟動了“可靠神經(jīng)符號學習和推理”（ANSR）項目，旨在通過混合人工智能技術在軍事場景中的評估，提高自主作戰(zhàn)平臺的透明度、互操作性和靈活性。本項目通過開發(fā)新的混合（神經(jīng)符號）人工智能算法，結合符號推理與數(shù)據(jù)驅動學習，最終將構建“魯棒、可靠、可信”的技術解決方案。本項目的實施途徑包括：一是通過研究不同的混合體系結構，與傳統(tǒng)知識相結合，并利用機器學習技術獲得新的統(tǒng)計和符號知識；二是通過相關軍事用例評估混合人工智能技術的演示，其中可靠性和自主性是關鍵任務。本項目的最終目標是利用配備ANSR技術的完全自主系統(tǒng)，構建一個基于動態(tài)、密集的城市環(huán)境，包括敵我識別屬性、作戰(zhàn)環(huán)境和威脅指示等的通用作戰(zhàn)態(tài)勢圖。
【https：//www.fedscoop.com/2022年6月8日報道】 五角大樓和海軍官員在圣地亞哥科羅納多海軍基地最近的一次展示活動中觀察到AT&T提供的5G網(wǎng)絡為人工智能，增強現(xiàn)實和機器學習以及其他應用提供大規(guī)模動力。
第五代無線技術是指蜂窩通信工具最新、最快速的迭代。這些演示是在國防部宣布向一些商業(yè)合作伙伴提供6億美元的獎勵之后的一年半時間進行的，這些獎勵旨在通過五個美國軍事試驗場為世界上最大的兩用應用建立全面的5G實驗。
在科羅納多海軍基地，五角大樓的目的是開發(fā)一個支持5G的智能倉庫，以岸上設施和海軍單位之間的轉運為中心?！皣啦空谂cAT&T和其他供應商進行各種與5G相關的實驗，以探索如何幫助他們提高未來的技術優(yōu)勢，”AT&T公共部門和FirstNet負責國防的客戶執(zhí)行副總裁Lance Spencer周一告訴FedScoop?！皣啦恳呀?jīng)承認需要探索和使用商業(yè)網(wǎng)絡能力，以避免試圖建立自己的網(wǎng)絡的巨大成本。
AT&T是這個基于加利福尼亞的實驗中唯一的5G網(wǎng)絡提供商，但云解決方案和應用程序也由其他供應商提供。“我們在科羅納多海軍基地創(chuàng)建的AT&T 5G驅動的解決方案是同類解決方案中的第一個，”斯賓塞指出。這種高性能專用網(wǎng)絡解決方案結合了頻譜、運營商級無線接入網(wǎng)絡、漫游功能、增強的網(wǎng)絡安全等。
根據(jù)Spencer的說法，支持5G的智能倉庫解決方案演示證明海軍和國防部“可以直接利用[AT&T]龐大的塔，
光纖，設備和頻譜網(wǎng)絡。此次活動展示的各種原型用例側重于5G RAN及其通過增加數(shù)據(jù)吞吐量，物聯(lián)網(wǎng)（IoT）支持和低延遲來優(yōu)化倉庫運營。例如，太平洋海軍信息戰(zhàn)中心的官員展示了其混合現(xiàn)實的戰(zhàn)場利用（BEMR）實驗室，以展示如何將支持5G的虛擬和增強現(xiàn)實應用于軍事訓練，維護和其他應用以及操作。另一個與視頻監(jiān)控相關的演示需要將
高清
攝像機放置在關鍵技術基礎設施所在的高度安全的房間內(nèi)?！耙粋€5G收音機被固定在攝像頭上，以
無線傳輸房間24/7的視頻，”斯賓塞說。
在另一個單獨的AI和機器學習演示中，國防部使用AT&T的5G將供應商特定的云環(huán)境與支持攝像頭的模塊系統(tǒng)（SoM）連接起來，以實現(xiàn)快速，基于場景的定制。SoM 針對工業(yè)和供應鏈環(huán)境進行了優(yōu)化，為貨架庫存分析、人員和物體檢測以及損失預防等用途提供支持?！霸谘菔局?，創(chuàng)建了一個預訓練模型，以展示放置在移動傳送帶上的不同程度的聚氯乙烯'彎頭'的實時識別和分類。相機經(jīng)過訓練，可以識別不同的物體，并使用它識別的零件的類型和數(shù)量更新數(shù)據(jù)庫。該解決方案還收集指標和[關鍵績效指標]，并將它們顯示在儀表板上，用于監(jiān)控和管理操作，“Spencer解釋說。他補充說，“該活動的另一個關鍵成果是演示了支持5G的零信任架構的運營用例，這是一種網(wǎng)絡安全的戰(zhàn)略方法，可以消除隱式信任并持續(xù)驗證數(shù)字交互的每個階段。展望未來，將展開更多符合不同國防部優(yōu)先事項的實驗和測試。
斯賓塞還指出，這一最新解決方案將展示不僅限于科羅納多海軍基地倉庫的墻壁。“我們希望該項目能夠提供無縫連接，允許跨供應鏈路線端到端跟蹤Naval材料。我們也有專業(yè)知識在國際上擴展這種能力，“他說。
英國第一臺量子計算機加入量子軍備競賽
【https：//www.infosecurity-magazine.com///2022年6月9日報道】 據(jù)報道，英國政府在具有里程碑意義的時刻購買了第一臺量子計算機，這將有助于提高其在網(wǎng)絡防御和其他國家安全關鍵領域的研究能力。
據(jù)英國廣播公司報道，國防部 (MoD) 將與英國公司 OrcaComputing 合作，探索量子增強國家防御能力的潛力 。據(jù)報道，國防部國防科學與技術實驗室 (DSTL) 的斯蒂芬?蒂爾稱其為“里程碑時刻”。
Orca Computing 的任務是從牛津大學開展的研究中剝離出來的，其使命是開發(fā)與現(xiàn)實世界技術集成的可擴展量子計算機。這對當前的原型來說是一個挑戰(zhàn)，主要是因為它們必須將運行它們的量子比特保持在極冷的溫度下，否則它們會變得不穩(wěn)定。
Orca Computing 聲稱已經(jīng)找到了一種不需要這樣做的操作量子計算的方法。此外，光纖可用于網(wǎng)絡而不是硅，進一步提高了規(guī)模和可靠性。
在網(wǎng)絡安全界，這導致警告說，Shor 的算法可能會在十年內(nèi)被破解，從而使非對稱 (PKI) 加密實際上毫無用處。
Sectigo 的密碼學專家兼首席戰(zhàn)略官 David Mahdi 認為，政府和組織必須因此開始為量子計算的新時代做準備。
“五十多年來，幾乎所有組織都依賴公鑰基礎設施或 PKI 來提供保護設備和使用它們的人的加密主干，”他補充說。
“像大多數(shù)事情一樣，沒有什么是永恒的，我們賴以維持數(shù)字信任的 PKI 受到量子計算的嚴重威脅?！?
因此，未來系統(tǒng)的設計必須考慮到“量子安全”。國防部將希望其最新舉措將使其在這場新技術軍備競賽中占據(jù)優(yōu)勢。
這一消息是在量子技術高度發(fā)展的時候發(fā)布的。在四月份。英國電信、東芝和安永宣布啟動世界首個量子安全城域網(wǎng) (QSMN) 商業(yè)試驗。該基礎設施旨在連接倫敦各地的各種客戶，使用量子密鑰分發(fā) (QKD) 通過標準光纖鏈路在多個物理位置之間保護有價值的數(shù)據(jù)和信息的傳輸。
物聯(lián)網(wǎng)設備的新隱私框架使用戶能夠控制數(shù)據(jù)共享
【https：//thehackernews.com///2022年6月9日報道】 新設計的隱私敏感架構旨在使開發(fā)人員能夠以解決數(shù)據(jù)共享問題并讓用戶控制其個人信息的方式創(chuàng)建
智能家居應用程序。
該系統(tǒng)被卡內(nèi)基梅隆大學的研究人員稱為Peekaboo ， “利用家庭集線器以結構化和可執(zhí)行的方式預處理和最小化傳出數(shù)據(jù)，然后將其發(fā)送到外部云
服務器?！?
Peekaboo 的運作原則是數(shù)據(jù)最小化，這是指將數(shù)據(jù)收集限制在滿足特定目的所需的范圍內(nèi)。
為了實現(xiàn)這一點，系統(tǒng)要求開發(fā)人員以清單文件的形式明確聲明相關的數(shù)據(jù)收集行為，然后將其輸入家庭可信集線器，以便根據(jù)需要傳輸來自智能家居應用程序（如智能門鈴）的敏感數(shù)據(jù) -知道基礎。
該中心不僅充當來自物聯(lián)網(wǎng)設備的原始數(shù)據(jù)和相應的云服務之間的中介，它還使第三方審計員能夠審查應用程序開發(fā)人員的數(shù)據(jù)收集聲明。
清單文件就其本身而言，類似于 Android 的“ AndroidManifest.xml ”文件，該文件詳細說明了應用程序訪問系統(tǒng)或其他應用程序的受保護部分所需的權限。
但是，雖然它在 Android 中更像是一種二元方法，即單方面允許或拒絕應用程序訪問特定功能（例如，相機），但 Peekaboo 使定義數(shù)據(jù)收集實踐成為可能 - 要收集的數(shù)據(jù)類型，何時它應該執(zhí)行，以及多久執(zhí)行一次。
研究人員解釋說：“使用 Peekaboo，用戶只需將清單下載到集線器而不是二進制文件即可安裝新的智能家居應用程序?！?
“這種方法提供了比權限更大的靈活性，以及一種強制執(zhí)行機制。它還為用戶（和審計員）提供了關于設備行為的更多透明度，包括哪些數(shù)據(jù)將流出、以何種粒度、將流向何處，以及在什么條件下?！备匾氖牵琍eekaboo 還旨在自動生成實時隱私營養(yǎng)標簽，這些標簽總結了應用程序聲明的行為，就像 Apple在 iOS 和 Android 的數(shù)據(jù)安全部分中的隱私標簽一樣。
研究人員說：“Peekaboo 提供了一種混合架構，本地用戶控制的集線器以結構化方式預處理智能家居數(shù)據(jù)，然后將其中繼到外部云服務器?！?
3、安全業(yè)界動態(tài)
美國防部和行業(yè)聯(lián)盟尋求 5G Open RAN 技術白皮書
【https：//potomacofficersclub.com//2022年6月6日報道】美國防部和國家頻譜聯(lián)盟正在尋求有關5G 開放無線電接入網(wǎng)絡技術的白皮書。國家頻譜聯(lián)盟是一個擁有 408 名成員的組織，致力于促進利益相關者參與頻譜相關能力和政策。
據(jù)國防部稱，向 RAN 供應商開放生態(tài)系統(tǒng)的轉變將加速美國在 5G 和未來無線通信技術方面的創(chuàng)新。國防部表示，白皮書的重點是確定當前和新興公司商業(yè)化開放 RAN 的障礙。
RAN 技術通常是供應商鎖定的。RAN 架構由一個供應商獨家制造的組件組成。國防部補充說，推廣開放式 RAN 架構將使更多公司能夠在 5G 和相關安全方面進行創(chuàng)新。根據(jù)國防部的說法，白皮書只是其采取以市場為中心的方法來推動創(chuàng)新的努力之一。五角大樓還與美國國家電信和信息管理局的電信科學研究所合作舉辦旨在加速開放 5G 技術發(fā)展的競賽。
加拿大量子網(wǎng)絡安全創(chuàng)新者創(chuàng)造量子密鑰分發(fā)的新世界紀錄
【https：//thequantuminsider.com//2022年6月8日報道】 Quantropi，Inc.在加利福尼亞州舊金山舉行的RSA大會上展示了其最新的量子安全加密產(chǎn)品SEQUR？ SynQK，該產(chǎn)品可生成和數(shù)字分發(fā)同步量子密鑰，該會議于2022年6月6日至9日在加利福尼亞州舊金山舉行的RSA會議上進行現(xiàn)場發(fā)布。
“我們很高興也很自豪地展示我們的數(shù)字量子密鑰分發(fā)（D-QKD）技術，作為我們SEQUR？量子熵套件的一部分，”Quantropi首席執(zhí)行官James Nguyen說?！癝EQUR？ SynQK由QiSpace？提供支持 - 這是唯一完整且可擴展的端到端平臺，使組織能夠抵御Steal Now Crack Later的直接威脅以及對數(shù)字經(jīng)濟的長期量子威脅，”Nguyen說。Quantropi的SEQUR？ SynQK有效地打破了多項世界紀錄，在4，000至15，000 KM的距離范圍內(nèi)，以每秒130至190兆比特的速度提供至少5個同時的量子密鑰流（對于上下文，五個流中的每一個都相當于 Google.com 每秒使用的8-12倍）。
Quantropi與德國電信和Calian Group合作，對SEQUR？ SynQK的性能進行了基準測試。德國電信創(chuàng)新架構師Marc Geitz表示：“我們已經(jīng)部署了Quantropi的'數(shù)字QKD'協(xié)議，并將其視為其他密鑰交換方法的強大替代方案或補充。在我們的 T-Labs 測試中，我們發(fā)現(xiàn)這項技術的表現(xiàn)優(yōu)于所有其他解決方案的關鍵匯率。我們將在適當?shù)臅r候繼續(xù)在現(xiàn)實環(huán)境中進行測試。
Quantropi的首席技術官Michael Redding說：“通過確保將相同的真實隨機數(shù)流量子安全地傳送到所有啟用的節(jié)點，SEQUR？ SynQK比QKD節(jié)省了大量成本，并且可以在任何IP網(wǎng)絡上工作，包括無線網(wǎng)絡 - 這確實是一個游戲規(guī)則改變者。該解決方案的設計符合ETSI-014標準，可以簡單無縫地集成到支持OpenQKD標準的環(huán)境中?！八鼮镼KD無法提供的端點帶來了量子安全性，”Redding說。Quantropi將在RSAC期間在Moscone South Expo的3307號展位展示QiSpace？和SEQUR？ SynQK。
網(wǎng)絡安全認證：開辟新天地
【https：//www.enisa.europa.eu/2022年6月6日報道】 網(wǎng)絡安全威脅正在上升。在不斷增長的在線業(yè)務的推動下，基礎設施向基于云的解決方案的過渡，先進的互連性以及新興技術新功能的利用，在日益復雜的攻擊壓力下，網(wǎng)絡安全領域得以增長。為了保護網(wǎng)絡和信息系統(tǒng)的安全，網(wǎng)絡安全解決方案已在市場上廣泛使用，盡管其性能和信任水平各不相同。
歐盟網(wǎng)絡安全認證框架旨在建立和維護信息和通信技術（ICT）產(chǎn)品，ICT服務和ICT流程的信任和安全。因此，歐盟網(wǎng)絡安全認證的驅動因素超出了網(wǎng)絡安全要求。它們解決了市場失衡問題，并觸及了社會經(jīng)濟方面，例如用戶的信任，制造商或提供商的注意義務以及防止網(wǎng)絡安全未能保護市場聲譽。
在此背景下，歐盟網(wǎng)絡安全局（ENISA）于6月2日至3日發(fā)布了2022年版網(wǎng)絡安全認證會議。該會議吸引了約1000名注冊，并帶來了網(wǎng)絡安全專家，服務提供商，合格評定，監(jiān)管機構和國家當局。他們共同展望了認證的未來，并就新技術進行了未來的交流，并研究了將認證納入ICT解決方案開發(fā)周期的能力。這導致了關于網(wǎng)絡安全認證的一些熱門話題的富有成效的討論，辯論，小組討論和演講。會議由ENISA執(zhí)行主任Juhan Lepassaar主持開幕，他強調了公共當局在數(shù)字主權和信任方面在網(wǎng)絡安全認證方面的作用。網(wǎng)絡機構ANSSI（法國）、NUKIB（捷克共和國）、BSI（德國）、歐盟委員會和CEN-CENELEC的代表發(fā)表了主旨演講。
當前勒索軟件威脅發(fā)展趨勢
【https：//www.infosecurity-magazine.com///2022年6月9日報道】 Forescout 的威脅防御副總裁 Shawn Taylor 在 2022 年 RSA 會議期間提供了對近期網(wǎng)絡威脅活動的見解。
在場景中，泰勒表示，在國際威脅情報中，“了解你的對手是關鍵?！比缓螅麖娬{了俄羅斯國家支持的襲擊者在入侵之前對烏克蘭進行的襲擊。在 2021 年底和 2022 年 1 月，這主要包括在烏克蘭政府網(wǎng)站上的網(wǎng)站污損，并發(fā)布了諸如“害怕并等待最壞的情況”之類的險惡信息。
到 2 月中旬，事件主要包括對烏克蘭銀行和政府網(wǎng)站的 DDoS 攻擊。最后，在 2 月 23 日，入侵前夕，針對烏克蘭政府和關鍵基礎設施組織發(fā)起了多個 Wiper 惡意軟件活動。其中包括WhisperGate和 Hermetic Wiper。
泰勒還強調了黑客活動和網(wǎng)絡犯罪集團活動與俄羅斯-烏克蘭沖突的關系。這包括 Conti 勒索軟件團伙，他們迅速與俄羅斯結盟并威脅任何支持烏克蘭的國家。同樣，支持俄羅斯的黑客活動團伙 Killnet 一直針對支持烏克蘭的歐洲國家。
此外，Taylor 觀察到許多獨立的網(wǎng)絡犯罪團伙正在利用戰(zhàn)爭幫助發(fā)動攻擊。這些是：
El Machete �C 一個針對拉丁美洲金融/政府服務的組織
Lyceum――一個針對以色列和沙特阿拉伯能源組織的組織
SideWinder �C 一個針對巴基斯坦和其他中亞國家的組織
有趣的是，這些團體中的每一個都在使用帶有“與烏克蘭有關”的主題行的電子郵件網(wǎng)絡釣魚誘餌。
Taylor 討論的另一個趨勢是勒索軟件的增長和演變。他觀察到三年前，勒索軟件攻擊“都是關于加密數(shù)據(jù)的”?，F(xiàn)在，它已經(jīng)發(fā)展到竊取數(shù)據(jù)然后對其進行加密――所謂的雙重勒索勒索軟件?！白罱K你會得到這些更高級的勒索軟件系列，”Taylor 補充道。
此外，隨著勒索軟件即服務的興起，勒索軟件攻擊者的進入門檻要低得多。“最終，我們預計勒索軟件將繼續(xù)發(fā)展，”他說。這可能是由兩個因素驅動的：物聯(lián)網(wǎng)設備的激增，IT和OT設備的融合。
泰勒表示，勒索軟件物聯(lián)網(wǎng)是“行業(yè)中每個人都需要關注的游戲規(guī)則改變者”。這是因為這種下一代勒索軟件很可能會利用物聯(lián)網(wǎng)設備、加密 IT 并破壞 OT。
然而，目前，泰勒強調，減輕大多數(shù)勒索軟件攻擊是非常有可能的。他說，在這方面應考慮三個關鍵因素：攻擊不是即時的或完全自動化的，網(wǎng)絡犯罪即服務意味著發(fā)生了數(shù)百次非常相似的攻擊。
4、網(wǎng)絡攻防動態(tài)
美陸軍指出俄烏戰(zhàn)爭暴露加密通信危險
【https：www.c4isrnet.com/2022年6月1日】美國陸軍部長克里斯蒂娜?沃穆特（Christine Wormuth）于大西洋理事會直播活動中表示，俄烏沖突可以吸取經(jīng)驗教訓，包括安全通信的重要性及在戰(zhàn)場上濫用手機的危險。大多數(shù)士兵都習慣于隨身攜帶手機，當士兵使用未加密通訊時，他們會成為攻擊目標。
美國國防官員曾表示，烏軍使用更簡單且安全性較低的
通信設備來共享信息，暴露其位置并易受攻擊；俄軍缺乏機密通信能力，尤其依賴未加密的頻道?；诖?，美國將向烏克蘭發(fā)送安全戰(zhàn)術通信設備，為無線電提供了內(nèi)置的干擾保護，作為3億美元安全援助計劃的一部分。
當前，美陸軍正在進行每年一次的重大改進，用于更新移動性較差的指揮所和資產(chǎn)，升級其網(wǎng)絡，使其加固并擴大其覆蓋范圍。
俄羅斯政府網(wǎng)站遭到黑客入侵
【據(jù)https：//www.bankinfosecurity.com/2022年6月6日報道】俄羅斯聯(lián)邦建設、住房和公用事業(yè)部的網(wǎng)站于6月5日遭到黑客入侵，其網(wǎng)站標題被改為烏克蘭語的“榮耀屬于烏克蘭”。俄羅斯新聞機構RIA Novosti援引該部代表的話稱，黑客以用戶數(shù)據(jù)為籌碼，要挾該部在6月7日前支付100萬盧布（約合16000美元）的贖金，否則將公開其竊取的數(shù)據(jù)。不過建設、住房和公用事業(yè)部否認發(fā)生數(shù)據(jù)泄露事件，稱其數(shù)據(jù)始終受到保護和定期監(jiān)控。該部網(wǎng)站在遭到攻擊后一度下線，現(xiàn)已恢復運行。
自俄烏沖突爆發(fā)以來，俄羅斯的公私機構遭受了規(guī)模前所未有的網(wǎng)絡攻擊。但按照俄羅斯副外長奧列格?西羅莫洛托夫（Oleg Syromolotov）的說法，為了應對近年來持續(xù)不斷的制裁和網(wǎng)絡攻擊，俄方已在逐步建立自己的信息安全系統(tǒng)，而幾乎所有的網(wǎng)絡防御系統(tǒng)都采用的是俄羅斯自己開發(fā)的軟件。
意大利巴勒莫市關閉整個市政網(wǎng)絡以抵御網(wǎng)絡攻擊
【據(jù)https：//www.bleepingcomputer.com/2022年6月6日報道】意大利南部的巴勒莫市于6月5日遭到網(wǎng)絡攻擊，迫使該市關停了所有網(wǎng)絡服務和公共網(wǎng)站。
巴勒莫市議員表示，并非所有市政系統(tǒng)都遭到入侵，而是為了阻止惡意軟件傳播才關閉所有系統(tǒng)并切斷其網(wǎng)絡連接。據(jù)當?shù)囟嗉颐襟w報道，受影響的范圍包括公共視頻監(jiān)控管理系統(tǒng)、市警察行動中心以及市政府的所有服務，博物館、劇場和體育場的公共設施均無法在線預約。盡管IT專家數(shù)天來一直在嘗試恢復系統(tǒng)，但仍未取得成功。
鑒于意大利近來受到俄羅斯黑客組織Killnet的威脅，有人認為此事件為該組織所為，但Killnet通常只采用分布式拒絕服務（DDoS）這種攻擊方式，而巴勒莫市更像是遭受勒索軟件攻擊，因此還無法確定真正的幕后黑手。
QBot推動 Black Basta 勒索軟件進行機器人攻擊
【據(jù)https：//www.bleepingcomputer.com//2022年6月6日報道】 QBot (QuakBot) 是一種 Windows 惡意軟件，可竊取銀行憑據(jù)、Windows 域憑據(jù)，并在受感染設備上提供更多惡意軟件負載。受害者通常通過帶有惡意附件的網(wǎng)絡釣魚攻擊感染 Qbot。盡管它最初是一個銀行木馬，但它已經(jīng)與其他勒索軟件團伙進行了多次合作，包括 MegaCortex、 ProLock、DoppelPaymer 和 Egregor。、Black Basta 是一個相對較新的勒索軟件，它在相對較短的時間內(nèi)破壞了許多公司，同時要求支付大量贖金。
NCC 集團的分析師在最近的一次事件響應中發(fā)現(xiàn)了 Qakbot 和 Black Basta 之間的新合作伙伴關系，能夠識別威脅參與者使用的技術。
雖然勒索軟件團伙通常使用 QBot 進行初始訪問，但 NCC 表示 Black Basta 團伙使用它在整個網(wǎng)絡中橫向傳播。一旦 Qakbot 啟動并運行，它就可以感染網(wǎng)絡共享和驅動器、暴力破解 AD 帳戶，或使用 SMB（服務器消息塊）文件共享協(xié)議創(chuàng)建自身副本或使用當前用戶憑據(jù)通過默認管理員共享進行傳播。
黑客利用微軟零時差漏洞 Follina 來攻擊歐洲、美國政府
【https：//www.securityweek.com//2022年6月9日報道】隨著微軟在5月30日揭露修補Windows漏洞CVE-2022-30190后，網(wǎng)安從業(yè)者Proofpoint已發(fā)現(xiàn)多起企圖開采該漏洞的網(wǎng)釣攻擊行動，目標對象為歐洲各國及美國政府組織。
微軟是在5月30日揭露此一位于Microsoft Support Diagnostic Tool（MSDT）的Windows漏洞CVE-2022-30190，該漏洞允許黑客取得用來呼叫MSDT的程式權限，以執(zhí)行任意程式。當時微軟已收到針對該漏洞的攻擊報告，同時網(wǎng)安從業(yè)者也公布了鎖定該漏洞的不同攻擊行動。
目前微軟僅建議使用者關閉MSDT的URL協(xié)定作為暫時性補救措施，尚未給出修補程式。
Proofpoint說明，此一攻擊行動看似由特定政府支持，鎖定歐洲及美國政府組織進行網(wǎng)釣攻擊，在電子郵件中誆稱要幫員工加薪，并附上一個跨平臺的RTF檔案格式，檔案中則藏匿了惡意的Powershell腳本程式。
最終的惡意Powershell腳本程式會檢查系統(tǒng)的虛擬化狀態(tài)，并自瀏覽器、郵件客戶端及文件服務中竊取資訊，還會在機器上進行偵察，再將所有盜來的資訊壓縮并傳送至黑客服器。
5、網(wǎng)絡作戰(zhàn)演訓動向
美軍艦隊網(wǎng)絡司令部創(chuàng)建“網(wǎng)絡巨龍行動”以減輕海軍網(wǎng)絡中的漏洞
【https：/www.fedscoop.com/2022年6月2日】美國海軍艦隊網(wǎng)絡司令部/第10艦隊副首席信息官桑迪?拉德斯基 (Sandy Radesky)表示，海軍于3月啟動的“網(wǎng)絡巨龍（Cyber Dragon）”行動專注于識別和減輕商業(yè)云托管和面向外部資產(chǎn)的攻擊面和漏洞，并側重于非機密系統(tǒng)和影響級別5的云服務。
同時，該行動還使用了一種商業(yè)工具，可允許人員從外部查看網(wǎng)絡，與傳統(tǒng)的已知邊界內(nèi)掃描和漏洞評估的完成方式略有不同。該工具可根據(jù)設備的地理位置和組織進行分類顯示，以便預備役人員、儲備勞動力重復執(zhí)行任務。
Radesky表示，該行動已經(jīng)修復了最初發(fā)現(xiàn)14000個漏洞中的23%，并計劃于下一階段處理約7000個漏洞。第二階段將于7月開始，持續(xù)時間約6周，參與人數(shù)為75人，大約為第一階段參與人數(shù)的3倍。第二階段將繼續(xù)通過與Echelon II合作，專注于通過掃描海軍網(wǎng)絡、識別和調查所有權，開發(fā)、測試和簡化標準操作程序。
美國國民警衛(wèi)隊啟動非機密網(wǎng)絡防御演習
【據(jù)https：//www.nextgov.com/2022年6月7日報道】隨著公共和私人數(shù)字網(wǎng)絡越來越容易受到國內(nèi)外對手的網(wǎng)絡攻擊，國民警衛(wèi)隊將于 6 月 5 日至 17 日啟動年度非機密網(wǎng)絡防護演習，以進一步保護聯(lián)邦網(wǎng)絡。
該演習以私營部門合作為特色，旨在向公民士兵和飛行員傳授更多平民獲得的技能，作為國防部網(wǎng)絡攻勢的一部分。
“Cyber Shield 2022 將焦點放在今年的主要任務上，”理查德?尼利少將對記者說?！皣啦亢退綘I部門需要繼續(xù)共同努力，共同發(fā)展網(wǎng)絡防御，以分享最佳實踐并保護我們的基礎設施?！?
駐扎在國土安全部的美國海軍和海岸警衛(wèi)隊的 800 多名成員將與國民警衛(wèi)隊成員一起在阿肯色州北小石城參加數(shù)字訓練演習。
2022 年的培訓課程在強調打擊虛假信息方面與眾不同。國民警衛(wèi)隊的演習主任兼副首席信息官喬治?巴蒂斯特利 (George Battistelli) 表示，一項活動以模擬社交媒體平臺為特色，以幫助區(qū)分錯誤信息。
“社交媒體改變了我們交流和消費數(shù)據(jù)的方式，”他說?！斑@種方式對于我們繼續(xù)使用現(xiàn)實世界事件訓練我們的士兵很重要，這樣他們就能夠減少噪音并專注于他們的任務?！?
除了關注社交媒體之外，培訓還討論了如何處理 2020 年太陽風黑客事件等大規(guī)模事件。今年，培訓還將重點關注供應鏈整體網(wǎng)絡安全事件響應。
“Cyber Shield 很特別，因為它整合了各級政府、科技行業(yè)、執(zhí)法部門和其他合作伙伴，”尼利說?！斑@些軍事網(wǎng)絡戰(zhàn)士比現(xiàn)役軍人具有顯著優(yōu)勢，因為除了軍事網(wǎng)絡訓練之外，他們還帶來了那些獨特的平民獲得的技能和經(jīng)驗。”
