技術標準規范

　　1.中央網信辦會同有關部門深入推進攝像頭偷窺等黑產集中治理工作

　　今年5月以來，中央網信辦會同工業和信息化部、公安部、市場監管總局深入推進攝像頭偷窺等黑產集中治理工作，對人民群眾反應強烈的非法利用攝像頭偷窺個人隱私畫面、交易隱私視頻、傳授偷窺偷拍技術等侵害公民個人隱私行為進行集中治理。

　　https://mp.weixin.qq.com/s/_1cJ9ExBjNwb-qdoghspiQ

　　2.工信部、應急部、國資委召開油氣管道行業“工業互聯網+安全生產”試點啟動會

　　8月6日，工業和信息化部、應急管理部、國務院國資委在國家管網集團公司聯合召開油氣管道行業“工業互聯網+安全生產”試點啟動會，應急管理部黨委委員、副部長（正部長級）尚勇，工業和信息化部副部長徐曉蘭，國家管網集團公司董事長、黨組書記張偉出席會議并講話。

　　https://mp.weixin.qq.com/s/1-uuHB5R_wZdVpEIpj6ZbA

　　3.中共中央 國務院印發《法治政府建設實施綱要（2021－2025年）》

　　近日，中共中央、國務院印發了《法治政府建設實施綱要（2021－2025年）》，并發出通知，要求各地區各部門結合實際認真貫徹落實。《法治政府建設實施綱要（2021－2025年）》全文如下

　　https://mp.weixin.qq.com/s/pbjKnY50KVf0XFGZZXme9A

　　4.發布 | 工信部印發《關于加強智能網聯汽車生產企業及產品準入管理的意見》

　　為加強智能網聯汽車生產企業及產品準入管理，維護公民生命、財產安全和公共安全，促進智能網聯汽車產業健康可持續發展，根據《中華人民共和國道路交通安全法》《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《道路機動車輛生產企業及產品準入管理辦法》等規定，提出以下意見。

　　https://mp.weixin.qq.com/s/qerXJOZvckeeNf8OeAjyrQ

　　5.大數據時代下的《數據安全法》

　　2019年全國政協十三屆二次會議上，全國政協委員、360集團董事長兼首席執行官周鴻祎在提案里提到了IMABCDE字母歌。IMABCDE每個字母都有所指代，分別是IoT、移動通信、人工智能、區塊鏈、云計算、大數據、邊緣計算。周鴻祎通過這樣的方式來解讀數字經濟，加深了人們對這些互聯網技術的印象。

　　https://mp.weixin.qq.com/s/j2l3oWkchH27sMl7Q-wKJg

　　行業發展動態

　　6.企業安全建設 | 建設規劃與需求實踐思考

　　在企業的信息安全建設方面，真正進行安全規劃的企業并不多，大多數仍屬于“事件驅動”和“項目驅動”型建設。發生信息安全事件后才進行信息安全的資源投入建設，在建設時又由于項目目標需求明確和事件急迫，倉促上馬，而忽略對體系化的針對性考慮和設計。

　　https://mp.weixin.qq.com/s/rQj9FaBLPOA0lMOCo_N7Bg

　　7.隨著新一波新冠疫情的到來，洶涌的點擊欺詐活動又開始了

　　隨著新一波新冠疫情的到來，許多國家重新實施了封鎖和限制，人們又再次被困在家里。隨著奧運會比賽如火如荼地進行，很多人都被吸引到網站上來觀看比賽了，這無意間使攻擊者發現了大量的點擊欺詐攻擊機會。

　　https://mp.weixin.qq.com/s/KV7r8WnR7bHt1kuQegi_Gg

　　8.英美澳多國聯合發布最“熱門”漏洞排行榜

　　近日，來自美國、英國和澳大利亞的多家網絡安全機構發布的聯合安全公告揭示了過去兩年間被利用最多的30個安全漏洞。與此同時，CISA、澳大利亞網絡安全中心（ACSC）、英國國家網絡安全中心（NCSC）和聯邦調查局（FBI）也分享了緩解措施，以幫助私營和公共部門組織應對這些漏洞。

　　https://mp.weixin.qq.com/s/fWHND8qLj3hvSA4_nU_imQ

　　9.美歐《隱私盾協議》之無效及中國應對路徑

　　數據跨境自由流動已經成為數字經濟發展的關鍵議題，美歐為解決美歐之間數據跨境提供問題，做了多種嘗試，已從《安全港協議》過渡到《隱私盾協議》，但是 2020 年 7 月《隱私盾協議》也被歐盟法院裁定無效。

　　https://mp.weixin.qq.com/s/Mue25e3Jh0-kqATYdo6BRQ

　　10.美國國土安全部部長在美國黑帽大會上發表講話

　　大家下午好。很抱歉我沒有親臨現場。我非常期待與大家在拉斯維加斯再次相聚，包括參加 QueerCon 和其它活動。前所未有的疫情和不斷上升的 Delta 變體風險，致使我無法與大家在一起。但可以保證，如果我親自在場，我就不會穿得像現在這樣（正式）。

　　https://mp.weixin.qq.com/s/3vQgMhvD4eu9jvBRMRv7hg

　　11.原創 | 黑帽大會議題解讀  BadAlloc內存分配漏洞致數百萬設備易受攻擊

　　2021年8月5日，來自微軟Azure Defender for IoT 團隊的研究員Omri Ben-Bassat 和 Tamir Ariel，在 BlackHat USA 2021 上分享了以內存分配程序漏洞BadAlloc為主題的演講。本文將和大家一起來看看議題中涉及的內容。

　　https://mp.weixin.qq.com/s/Hqty39bLFoRmFuBSF7iGbw

　　安全威脅分析

　　12.國際級控制系統安全大咖“防勒索”建言--傳感器監控技術可以降低關鍵基礎設施對勒索軟件的吸引力

　　接連不斷的勒索軟件攻擊事件，使工業界和網絡安全研究者對于關鍵基礎設施的網絡安全問題空前關注。擺脫勒索軟件攻擊的夢魘，不僅僅是一個技術、管理、治理問題，更是經濟、法律和國際合作的系統性問題。國際知名自動化控制專家Joe Weiss近日撰文《Sensor monitoring technology can make critical infrastructures less attractive targets for ransomware》，從自動化控制安全的角度給出了他的解決思路。

　　https://mp.weixin.qq.com/s/wyaZndVU322MqLv60b66jQ

　　13.中國臺灣電腦巨頭技嘉遭勒索軟件攻擊，上百GB數據失竊

　　電腦大廠技嘉遭RansomExx勒索軟件攻擊，位于臺灣的系統被迫關閉，超112GB簽署保密協議的商業數據遭泄露，涉及英特爾、AMD等合作伙伴；

　　過去幾年來，臺灣科技行業一直籠罩在勒索軟件攻擊的陰影之下，宏碁、研華、仁寶、廣達以及佳明等知名廠商均遭受過重大打擊。

　　https://mp.weixin.qq.com/s/9wtU5nbWrbql_LqG-ECG0A

　　14.DNS漏洞使國家級間諜活動像注冊域一樣簡單

　　Wiz首席技術官Ami Luttwak和Shir Tamari于上周在拉斯維加斯舉行的Black Hat網絡安全會議上公布展示了他們發現的一類新漏洞，這些漏洞暴露了來自全球數百萬個端點的寶貴動態DNS數據。DNS（域名服務）是互聯網的基礎之一，是一個極其復雜和分散的系統，其核心是將可讀域名轉換為數字IP地址。

　　https://mp.weixin.qq.com/s/9em0bg3kRi6z7sgqG-y14g

　　15.阻止商業電子郵件犯罪 （BEC） 攻擊的最佳策略

　　商業電子郵件犯罪 （BEC） 是指沒有有效載荷的所有類型的電子郵件攻擊。盡管有多種類型，但攻擊者利用 BEC 技術滲透組織的主要機制主要有兩種：欺騙和帳戶接管攻擊。

　　https://mp.weixin.qq.com/s/mrNm5lKWELiV__xK8BXlIg

　　16.關鍵信息基礎設施網絡安全（物聯網安全專題）監測月報202107期

　　根據《網絡安全法》和《關鍵信息基礎設施安全保護條例（征求意見稿）》對關鍵信息基礎設施定義和范圍的闡述，關鍵信息基礎設施（Critical Information Infrastructure，CII）是指一旦遭到破壞、喪失功能或者數據泄露，可能嚴重危害國家安全、國計民生、公共利益的信息基礎設施，包括能源、交通、水利、金融、電子政務、公共通信和信息服務等關鍵行業和領域。

　　https://mp.weixin.qq.com/s/jWmSNkeL9UIbm4rZhF6HAQ

　　17.前沿 | 解讀重大勒索攻擊事件下的網絡安全態勢及應對

　　當地時間 5 月 7 日，美國最大成品油管道運營商科洛尼爾管道運輸公司遭到勒索軟件攻擊，5500 英里輸油管被迫停運，致使美國交通部下屬的聯邦汽車運輸安全管理局發布“區域緊急狀態聲明”。美國情報部門及網絡安全公司調查顯示，攻擊科洛尼爾公司的勒索軟件團伙是“黑暗面”。

　　https://mp.weixin.qq.com/s/dZ7T5Z8bdaXCCjxqxONVFg

　　18.深度視點｜網絡安全行業正加速“織就”新圖景

　　7月份以來，《網絡安全產業高質量發展三年行動計劃（2021-2023年）（征求意見稿）》（以下簡稱《行動計劃》）發布，《網絡安全審查辦法（修訂草案征求意見稿）》（以下簡稱《審查辦法》）也在公開征求意見，《網絡產品安全漏洞管理規定》和《數據安全法》將于9月1日正式施行。

　　https://mp.weixin.qq.com/s/pDpf6R-1_usRxfn1Y1_PBQ

　　19.原創 | 針對路由器的最新在野漏洞利用，或影響數百萬設備

　　CNCERT物聯網威脅數據平臺近期捕獲到一種新的在野漏洞利用，開源情報顯示該漏洞屬于路由器設備漏洞，于2021年8月3號由Tenable 公司的安全研究員首次披露【1】。該漏洞已存在12年之久，Tenable 公司警告稱可能影響全球數百萬臺的路由器設備。我們的物聯網威脅數據平臺于2021年8月3日第一時間捕獲到該漏洞攻擊行為，到目前為止已監測發現了20余萬次該攻擊行為。

　　https://mp.weixin.qq.com/s/R-7xvEM--JvSwuDmC2Ax3Q

　　20.Android木馬通過社交媒體劫持攻擊140個國家/地區的10,000名受害者

　　網絡安全公司Zimperium 發現了一種新的 Android 木馬，該公司周一發布會了一份報告，解釋了該惡意軟件如何能夠攻擊144個國家/地區的10000多名受害者。

　　https://mp.weixin.qq.com/s/_wSxfuoyyWmodQm9Azjfjg

　　21.2021年上半年美國拜登政府網絡安全政策分析

　　從“太陽風”（SolarWinds）供應鏈攻擊事件到克羅尼爾（Colonial Pipeline）網絡勒索攻擊事件，都使美國拜登政府以網絡安全事件調查與處置為牽引，逐步健全相關安全機構，出臺一系列安全政策。2021 年 5 月 12 日，美國總統拜登簽署《改善國家網絡安全的行政命令》（以下簡稱“行政令”），以美國政府前所未有的極具安全舉措操作細節關注的方式確保網絡安全政策落實，標志美國拜登政府網絡安全政策的初步成熟與體系化。

　　https://mp.weixin.qq.com/s/xBH-UG9fqO1LB8zQBwjdfg

　　22.蘋果為美國政府獲取公民數據？新功能要掃描用戶iCloud相冊

　　北京時間8月5日，蘋果宣布上線一系列新的兒童安全功能，其中包括掃描用戶iCloud相冊中暗含的兒童色情圖片。但該功能遭到愛德華·斯諾登等眾多安全專家反對，他們稱該功能的本質是一個加密后門，是蘋果為政府獲取公民數據掃清道路。

　　https://mp.weixin.qq.com/s/6gCqNoNABAvUPCWVfnM7jg

　　23.利用污點分析批量挖掘路由器固件安全漏洞

　　在過去的幾個月里，我們開發了一個污點分析工具，專門用于尋找路由器中的安全漏洞。我們還參考編號為CVE-2019-8312到CVE-2019-8319之間安全漏洞開發了一個檢測工具；這些漏洞都是固件版本為1.12A1的D-Link DIR-878路由器中的命令注入漏洞。我們的目標是自動檢測此類漏洞。在理想情況下，使用該工具應該比手動查找漏洞更快。

　　https://mp.weixin.qq.com/s/vVN12ZSjJtjYGwfHvVkEkA

　　24.疫情之下企業互聯網訪問行為的變化與調查

　　2020初，一場突如其來的新型冠狀病毒肺炎疫情席卷全球。疫情之下，社交隔離、旅行限制給人們的生活帶來不少變化，社會生產也受到極大影響，而互聯網及IT技術的應用則在全民抗“疫”中發揮了關鍵作用。隨著疫情防控常態化，將對正處于信息化轉型關鍵時期的企業及其信息化應用產生深遠影響，企業信息安全也將同步迎來“大考”。

　　https://mp.weixin.qq.com/s/LN7tIZOL0P_52Kcde3ZWQQ

　　25.史上最大規模DeFi被黑事件：Poly Network被竊超6億美元

　　Poly Network是一家位于中國的區塊鏈跨鏈去中心化金融（DeFi）平臺，可以在不同區塊鏈之間交換token。8月10日，黑客從從Polygon網絡竊取了價值6.11億美元的數字貨幣，其中包括價值2.73億美元的以太坊token、幣安鏈BSC（Binance Chain）上價值2.53億的token、以及價值8500萬美元的USDC。

　　https://mp.weixin.qq.com/s/Dmapj_TO8gZFxZF9Ux4dsg

　　26.全球財富500強咨詢公司埃森哲遭遇勒索攻擊

　　據稱，全球IT咨詢巨頭財富500強公司埃森哲已成為勒索軟件攻擊的受害者，埃森哲遭到LockBit勒索軟件團伙的勒索軟件網絡攻擊。

　　https://mp.weixin.qq.com/s/jXiWOKyEu6UBEht7ZJA2pQ

　　27.嚴重的隨機數生成器漏洞披露，數十億IoT設備受影響

　　研究人員披露了數十億物聯網（IoT）設備中使用的隨機數生成器嚴重漏洞，這意味著大量用戶面臨潛在攻擊風險。

　　https://mp.weixin.qq.com/s/z_Svlignd8iDGSk7hjfhVw

　　安全技術方案

　　28.美聯合網絡防御協作機構將創造包容、協作、積極的網絡防御聯合環境

　　當地時間8月5日，美國網絡安全和基礎設施安全局（Cybersecurity and Infrastructure Security Agency）宣布了一項名為“聯合網絡防御協作”機構（Joint Cyber Defense Collaborative，JCDC）的新行動倡議，旨在幫助美國抵御針對關鍵基礎設施的網絡威脅。

　　https://mp.weixin.qq.com/s/dzWBXk0gd6WMilRjlKidIQ

　　29.StrongPity APT 組織首次部署了 Android 惡意軟件

　　研究人員最近對出現在敘利亞電子政務網站上的惡意 Android 惡意軟件示例進行了調查，他們認為該示例可能是 StrongPity APT 組織研發的。據研究人員所知，這是該組織首次被公開觀察到使用惡意 Android 應用程序作為其攻擊的一部分。

　　https://mp.weixin.qq.com/s/7ao4Rh7OeNx7T5fQOpS0HA

　　30.微軟披露BazaCall網絡釣魚攻擊細節，分析躲避檢測的多種方法

　　針對今年年初開始出現的BazaCall釣魚郵件攻擊行動，微軟披露了詳細的攻擊流程，并指出攻擊者可能會在受害電腦網絡傳播勒索軟件Conti或Ryuk。

　　https://mp.weixin.qq.com/s/DYKSW4g2igd8HLRsA7gOhA

　　31.新視野 | 大數據時代的信息安全

　　《中華人民共和國數據安全法》即將于9月1日起生效施行。近日，工信部委托中國互聯網協會召開頭部平臺座談會，召集國內12家知名企業參加，要求強化平臺數據管理責任，明確數據安全責任人，并加強重要數據安全評估和出境管理。

　　https://mp.weixin.qq.com/s/fRpgwIStF7JB5di1r4Eyrw

　　32.基于智慧安全的零信任落地實踐

　　隨著新基建和數字經濟的加速建設，5G、云計算、大數據、人工智能等新技術、新應用不斷深入發展， 網絡安全正面臨惡意程序樣本泛濫、APT攻擊持續演進、0-day漏洞等前所未有的挑戰。同時，國家高度重視網絡安全風險，《網絡安全法》《數據安全法》陸續出臺，網絡安全在IT架構中的分量日益加重。