全球网络安全舆情报告（2018年8月） 工信部开展2018年电信和互联网行业网络安全检查工作、美国2019年国防授权法案关于网络安全都讲了啥、警方破获涉30亿条用户数据史上最大盗窃数据案… 政策&监管 工信部开展2018年电信和互联网行业网络安全检查工作 监管 工信部 2018-08-13 为深入贯彻习近平总书记在全国网络安全和信息化工作会议上的重要讲话精神，落实关键信息基础设施防护责任，提高电信和互联网行业网络安全防护水平，根据《中华人民共和国网... 大数据安全立法开先河：《贵阳市大数据安全管理条例》10月1日起施行 大数据 贵阳日报 2018-08-17 贵阳市人大常委会召开新闻发布会，宣布全国首部大数据安全管理地方性法规《贵阳市大数据安全管理条例》将于2018年10月1日起正式施行，这是贵阳市继2017年出台全国首部政府... 金标委《聚合支付安全技术规范》公开征求意见：数据留存、管理及风控等要求更严格 金融保险 移动支付网 2018-08-10 该规范提出了聚合技术平台的基本框架，规定了聚合支付系统实现、安全技术、安全管理、风险控制等要求。适用于从事聚合支付系统建设、服务运营的聚合技术服务商。规范在各个... 美国2019年国防授权法案关于网络安全都讲了什么？ 国家安全 中国信息安全 2018-08-24 NDAA2019大幅度增加网络安全预算支持，体现出更明确的网络威慑路径，更聚焦的战略对手，更全面的防护举措，是观察和分析特朗普政府网络安全政策动向的一个重要窗口。 印度《2018个人数据保护法（草案）》中英对照版 法规 网安寻路人 2018-08-09 为什么要翻译印度的草案？不仅是因为我国企业已经在印度取得了显著的市场份额，例如小米，还因为印度无论在人口数量，还是不同区域发展和线上线下差异程度等方面，相对于欧... 埃及出台首部“网络安全法”，旨在打击非法使用信息网络的行为 法规 环球时报 2018-08-20 埃及总统塞西18日签署批准《反网络及信息技术犯罪法》，旨在打击极端分子利用互联网开展恐怖行动。埃及《金字塔报》称，这是该国第一次在网络安全领域发布系统性法律，该法... 美国司法部、联邦贸易委员会：所有机构都必须采用漏洞披露计划 漏洞 安全牛 2018-08-16 漏洞披露计划可以为研究人员上报企业安全问题提供一个安全通道，并且包含一些用于分类和缓解这些安全漏洞的有效措施。漏洞披露计划目前已经成为行业最佳实践，监管机构和执... 澳拟立法索取加密通信解码权限：要求脸书苹果等配合执法部门 监管 澎湃新闻 2018-08-14 澳大利亚政府提出的新法案可能会要求跨国科技头如脸书（Facebook），谷歌和苹果在涉及犯罪问题时向执法部门提供获取加密通信记录的权限。 关于黑龙江省某光伏电站网络异常情况的通报 电力能源 电力安全生产 2018-08-03 2018年1月8日，黑龙江省电力调控中心一侧网络安全管理平台发出重要告警。告警来源为安达某光伏电站。告警数量从8时起持续累积，至16时达到32条，共计告警28933条次。 产业趋势 CNNIC发布第42次《中国互联网络发展状况统计报告》 互联网 CNNIC 2018-08-20 截至2018年6月30日，我国网民规模达8.02亿，互联网普及率为57.7%。 Gartner：全球信息安全支出2019年将超1240亿美元 趋势 安全牛 2018-08-24 2018年，全球公司企业花在信息安全产品及服务上的开支将达1140亿美元，比去年增加12.4%。2019年，信息安全市场规模预期再增8.7%，达1240亿美元。其中，检测、响应和隐私驱... 大数据时代下的我国个人信息保护制度研究 专家观察 CAICT互联网法律研究中心 2018-08-17 为应对大数据时代背景下的个人信息保护困境与挑战，全球个人信息保护立法进程快速推进。随着信息技术快速发展，经济利益的驱动，以及制度内因和客观外因相互结合，导致侵犯... 西方新闻“事实核查”演变对我国虚假新闻治理的启示 专家观察 信息安全与通信保密杂志社 2018-08-30 本文试通过对西方“事实核查”平台运行机制的考察，探讨虚假新闻治理对策，并从以下三个方面进行分析：①新闻“事实核查”制度的起源与当今媒介环境下的新发展；②梳理并总结西方... 为确保美国选举安全，主动请缨的私营企业做了什么？ 政务 代码卫士 2018-08-21 很多技术公司已关注选举安全问题并向选举相关实体提供免费或优惠的协助服务。某些公司如国土安全局主要为运行美国选举活动的政府和当地办公室提供协助，其它公司为政治组织... 从奥巴马到特朗普，美国政府全面拥抱机器学习之路 人工智能 新智元 2018-08-20 从奥巴马到特朗普，美国一直重视在政府层面上对AI和机器学习技术的利用和开发。比如预测高中学生辍学率、分析工伤和职业病等个人化的敏感数据，对其自动编码归类等。不过机... 被美国土安全部看中的创新项目 国家安全 中国保密协会科学技术分会 2018-08-16 本文作者将带领大家一起了解一下这三十多个被DHS看中的创新项目，看看它们是如何吸引DHS目光、抢占网络安全“C位”的。 网络威慑发展现状综述 国家安全 网络安全新视野 2018-08-17 网络威慑是一种新兴的威慑概念，其理论和实践尚在发展之中，各界都未达成共识。美国至今也没有明确提出网络威慑的概念，尽管许多问题仍处于理论探讨阶段，但是网络威慑已逐... TLS 1.3 正式成为官方标准 互联网 安全牛 2018-08-17 上周末，TLS 1.3 成为官方标准，宣告该重要互联网安全协议的全面审核已经完成。 兰德公司发布“网络安全能力建设实施指南” 国家安全 中国信息安全 2018-08-12 报告主要基于牛津大学全球网路安全能力中心构建的国家网络安全成熟度模型，从5个维度、24项因素、130个方面生成网络安全能力工具箱，以帮助决策者加深对国家网络生态系统的... 应用归因溯源方法分析网络政治干预行动：Facebook的实践尝试 国家安全 APT观察 2018-08-01 归因溯源（Attributing），是指将已观察到的活动关联到特定的威胁行为者的过程。美国学界、情报界在过去多年对归因溯源应当遵循何种标准进行了十分激烈但最终卓有成效的争... 威胁态势 侵犯公民个人信息形成黑灰产业链，警方两年查获超1400亿条 公检法 央广网 2018-08-23 警方的统计数据显示，两年多来，各地查获的公民个人信息超过1400亿条，平均全国每个人有100多条信息泄露。 国家互联网应急中心总工程师云晓春：去年以来4391家境内单位疑有基因数据出境行为 国家安全 南方都市报 2018-08-16 国家互联网应急中心副主任、总工程师云晓春指出，基因、医疗等重要数据非法出境，可能威胁国家安全。 其中，4391家境内单位疑似发生了基因数据出境行为，生物技术企业、高... 盘点：2018上半年约26亿条数据泄露 数据泄露 黑客视界 2018-08-21 在2018年上半年，2308起数据泄露事件被公开披露，约26亿条用户记录被曝光。与2017年上半年报告的2439起数据泄露事件和60亿条数据泄露记录相比，18年已有所下降。 70亿美元：这就是小企业每年被骗走的钱 网络犯罪 安全牛 2018-08-31 北美市场信任推进组织商业改进局日前发布报告，称小企业每年遭诈骗损失超70亿美元。 2018年上半年短视频行业黑灰产研究报告 互联网 威胁猎人 2018-08-23 对于黑灰产从业人员而言，一套产业链模式就可以复刻在任何一个短视频平台。当对旧平台的攻防成本日渐增高，新生代的短视频平台更像是“雪中送炭”。 CNCERT：联网视频监控系统网络安全态势报告 监管 工业互联网安全应急响应中心 2018-08-01 本报告主要从地域分布、品牌分布、威胁分布等多个角度阐述国内网络视频监控系统的安全态势情况，并针对近年来发生的网络视频监控系统安全事件起因提出了相应的风险防范和安... CNCERT：联网电力系统网络安全态势分析报告 电力能源 工业互联网安全应急响应中心 2018-08-07 本报告通过引入联网电力系统网络安全威胁指数，从设备资产和WEB资产两个角度，结合漏洞威胁等级、探测次数和攻击次数，对我国不同地区的联网电力系统安全威胁指数进行了综... 国家漏洞库CNNVD：2018年8月漏洞月报 漏洞 CNNVD安全动态 2018-09-03 根据国家信息安全漏洞库（CNNVD）统计，2018年8月份采集安全漏洞共962个，接报漏洞共1455个，其中信息技术产品漏洞（通用型漏洞）141个，网络信息系统漏洞（事件型漏洞）13... 全球高级持续性威胁（APT）2018年中报告 APT 奇安信威胁情报中心 2018-08-01 本报告是360威胁情报中心结合公开的威胁情报和内部情报数据，针对2018年上半年高级威胁事件相关的分析和总结，并对近半年的APT攻击活动所呈现的态势进行分析。 犯罪成本有多低？现成黑客工具在暗网仅以2美元价格出售 网络犯罪 黑客视界 2018-08-07 从Top10VPN[.]com发布的暗网价格指数来看，现在似乎任何人都可以成为黑客，因为你可以很容易地在暗网找到你所需要的黑客工具，其中一些仅以2美元的价格出售，甚至更少。 “截获短信验证码”盗刷案多地出现：利用2G网络缺陷难防范 公检法 澎湃新闻 2018-08-04 不同于传统的伪基站只发诈骗短信的方法，此类新型伪基站诈骗使用的方法是利用GSM（2G网络）设计缺陷，能实现不接触目标手机而获得目标手机所接收到的验证短信的目的。 无人机袭击了委内瑞拉总统，我们该如何防范从天而降的杀人武器？ 军队军工 新智元 2018-08-10 委内瑞拉总统遭无人机袭击，我们该如何防范从天而降的武器？介绍了当前无人机武器在战场上的一系列应用，以及相应的防范手段，比如自动追踪软件、电子干扰设备，散弹枪、捕... 安全事件 警方破获史上最大盗窃数据案：30亿条用户数据成“摇钱树” 公检法 北京青年报 2018-08-20 近日，堪称“史上最大规模数据窃取案”被浙江绍兴越城区警方侦破。警方查明，一伙犯罪分子利用非法窃取的30亿条用户数据，操控用户账号进行微博、微信、QQ、抖音等社交平台的... 华住集团5亿条信息泄露，涉及身份证号、家庭住址、开房记录 数据泄露 观察者网 2018-08-28 28日上午，有网民发帖称售卖华住旗下所有酒店数据，包含姓名、身份证号、家庭住址、开房记录、消费金额、卡号等信息，共66.2G，约5亿条公民信息。 突发！台积电昨晚遭“病毒入侵”，全产线停摆 制造业 DeepTech深科技 2018-08-04 苹果、海思、比特大陆7纳米芯片或受影响。 浙江省1000万学籍数据正在暗网售卖，包含姓名、身份证号、父母手机号… 教育科研 雷锋网 2018-08-02 推测浙江省中小学生学籍信息管理类系统可能被“拖库”。 北京打击侵犯个人信息犯罪：查获公民信息350余万条 公检法 北京青年报 2018-08-28 近段时间北京警方持续关注侵犯公民个人信息的犯罪团伙，并出动300余名警力集中收网，对62名犯罪嫌疑人采取刑事强制措施，查获各类公民个人信息350余万条。 黑产最前线：卧底记者亲试，一个小盒子就能获取任意手机号码 网络犯罪 政法频道 2018-08-29 公司售窃取个人数据设备，可轻易获取50米内手机号。 饭否遭受攻击，创始人王兴主页被“偷”走7年 网络攻击 36氪 2018-08-15 记者今日发现，美团网及饭否创始人王兴的个人饭否账号，最新信息流停留在了2011年，2011年之后更新的动态全部消失不见。 西安破获网络黑客盗窃虚拟货币案：涉案金额达6亿元 公检法 新华网 2018-08-18 记者日前从西安市公安局经开分局了解到，历时近半年的“3·30”特大网络黑客盗窃虚拟货币案告破，3名犯罪嫌疑人全部落网，初步查明该团伙所涉案件案值达6亿元。 “字节跳动”前员工倒卖公司废弃账号，牟利两百余万被抓 公检法 新京报 2018-08-30 日前，警方破获一起前员工跳槽后留后门，利用技术手段“复活”并倒卖废弃账号，非法牟利两百余万元的黑客类案件，抓获犯罪嫌疑人一名。 苹果网站安全漏洞曝光7200多万iPhone用户的PIN码 数据泄露 腾讯科技 2018-08-26 苹果网站和手机保险公司Asurion网站的安全漏洞曝光了7200多万个iPhone用户的PIN码。 久邦数码（GOMO）APP 5050万用户的个人信息遭意外暴露 数据泄露 黑客视界 2018-08-17 久邦数码的应用程序非常受儿童欢迎，这导致当久邦数码因备份配置错误而暴露了超过5050万用户的个人信息时，在这5050万用户中有很多是儿童。 美国电信巨头Comcast爆漏洞，暴露2650万用户个人信息 信息通信 黑客视界 2018-08-14 研究员发现Comcast Xfinity无意中暴露了超过2650万名用户的家庭住址和社会安全号码。隶属于这家全美第二大互联网服务提供商的在线客户门户网站上被发现存在两个此前未被报... 黑进上百家美国企业窃取1500万张信用卡记录，三名乌克兰黑客被捕 公检法 cnBeta 2018-08-02 根据起诉书了解到，该团伙在过去针对100多家美国企业进行长期网络攻击行动，总共从6500多个销售点终端盗取了超1500万张信用卡记录。 Facebook警告400万用户：另外一款应用可能泄露了他们的隐私 个人隐私 BI中文站 2018-08-23 Facebook在本周三发布的一篇官方博客中表示，已经向400万用户发出警告，称一款名叫“myPersonality”的应用可能会对这些用户的数据进行不当处理。 MongoDB数据库意外暴露两百多万墨西哥公民的医疗健康数据 医疗卫生 FreeBuf 2018-08-08 这些数据包括个人的全名、性别、出生日期、保险信息、残疾状况和家庭住址等信息。 T-Mobile又泄露超过200万客户数据 数据泄露 鼎信信息安全测评 2018-08-26 T-Mobile公司周四晚间披露，在黑客获得对其系统的访问权后，“一小部分”客户的个人信息被窃取了。其代表表示，今次数据泄露违规行为影响其7700万客户中约3％的客户，约占230... 英国电商软件Fashion Nexus爆漏洞，多个品牌网站140万购物者隐私泄露 互联网 黑客视界 2018-08-01 在线暴露的信息包含了大约140万消费者的个人信息，包括md5哈希密码、密码、Salt值、姓名、电子邮件地址、电话号码和其他一些数据。值得庆幸的是，并不涉及明支付卡信息。 FBI指控墨尔本少年多次入侵苹果安全计算机网络 公检法 安全牛 2018-08-22 法官接受了少年的认罪，但是鉴于本案的复杂性，暂定下月宣判。 黑客组织从28个国家盗取印度Cosmos银行1350万美元 金融保险 安全牛 2018-08-21 据报道，朝鲜著名黑客团伙Lazarus针对印度Cosmos银行展开复杂攻击进而谋财，通过28个国家的ATM从印度一家银行盗得1350万美元。 卡巴斯基：俄罗斯400多家工业公司遭遇鱼叉式网络钓鱼攻击 工业互联网 黑客视界 2018-08-03 卡巴斯基实验室ICS CERT的研究人员在本周三发表的一篇博文中指出，该团队发现了一系列带有恶意附件的网络钓鱼电子邮件，主要针对的是与工业生产相关的俄罗斯公司和机构。 医疗管理软件OpenEMR曝22个漏洞，近1亿份病历存泄露风险 医疗卫生 黑客视界 2018-08-10 近日，一组研究人员公开披露了存在于OpenEMR软件中的22个安全漏洞。OpenEMR是一个被广泛使用的医疗实践管理软件，支持电子病历。在此次被披露的漏洞中，包括了一个门户身份... 智慧城市牢不可破？IBM揭露智慧城市系统的17个安全漏洞 智慧城市 IThome 2018-08-11 IBM与资安业者Threatca联手，检视智慧城市所使用的Libelium、Echelon与Battelle系统，发现这些被应用在智慧交通系统、灾难管理、工业物联网的装置潜藏漏洞，可能使骇客可以... 开发环境安全有多重要？145款Android应用感染Windows病毒 病毒木马 黑客视界 2018-08-02 研究员发现有145款谷歌应用程序被恶意的Microsoft Windows可执行文件感染。目前Google安全小组已了解到这一情况，所有受感染的应用程序都已从Google Play中删除。 攻防最前线：13万Mikrotik设备被植入CoinHive挖矿代码 物联网 NOSEC 2018-08-20 根据FOFA系统统计，有超过13万的Mikrotik HttpProxy服务页面被植入挖矿代码。 漏洞预警 CNCERT：关于Apache Struts2 S2-057远程代码执行漏洞的安全公告 漏洞 CNVD漏洞平台 2018-08-23 攻击者利用该漏洞，可在未授权的情况下远程执行代码。目前，漏洞验证脚本尚未公开，厂商已发布升级版本修复此漏洞。 国家漏洞库CNNVD：关于Windows多个远程执行代码漏洞的通报 漏洞 CNNVD安全动态 2018-08-15 近日，微软官方发布安全公告，涉及多个Windows远程执行代码漏洞，包括Windows PDF远程执行代码漏洞、Microsoft Excel远程执行代码漏洞等11个漏洞。成功利用上述Windows远程... 工业互联网安全应急响应中心：关于HP打印机远程代码执行漏洞的情况通报 漏洞 工业互联网安全应急响应中心 2018-08-13 近日，惠普（HP）披露了其生产的打印机中存在远程代码执行漏洞的情况。当存在漏洞的设备接收到经过设计的恶意文件时，可导致堆栈或静态缓冲区溢出，从而允许攻击者在设备上... 工业互联网安全应急响应中心：Crestron MC3和TSW-X60存在系统命令注入等多个漏洞的情况通报 漏洞 工业互联网安全应急响应中心 2018-08-14 近日，ICS-CERT通报了美国快思聪（Crestron）公司生产的MC3和TSW-X60产品中存在系统命令注入漏洞、不当访问控制漏洞，以及证书不当保护漏洞的情况，工业互联网安全应急响应... 国家工信安全中心：关于西门子有关产品存在高危漏洞的风险通报 漏洞 工业信息安全产业发展联盟 2018-08-14 西门子发布官方公告称，其用于SIMATIC STEP7和SIMATIC WinCC产品的TIA Portal软件存在两个高危漏洞，影响范围包括两款产品V10、V11、V12、V13的所有版本，以及V14中小于SP1... 紧急预警：多地发生针对高价值服务器的GlobeImposter勒索病毒攻击事件 网络攻击 360企业安全 2018-08-23 360企业安全监测到2018年8月21日起，多地发生GlobeImposter勒索病毒事件，攻击者在突破机构和企业的边界防御后，利用黑客工具进行内网渗透并选择高价值目标服务器人工投放... Windows 10本地提权零日漏洞预警 漏洞 360CERT 2018-08-29 Windows10中任务调度服务导出的函数没有验证调用者的权限，任意权限的用户调用该函数可以获取系统敏感文件的写权限，进而提权。 Apache Struts2 S2-057漏洞分析预警 漏洞 360CERT 2018-08-22 Apache Strust2发布最新安全公告，Apache Struts2 存在远程代码执行的高危漏洞，Struts2在XML配置中如果namespace值未设置且（Action Configuration）中未设置或用通配符na... UEditor .Net版本任意文件上传漏洞预警 漏洞 360CERT 2018-08-22 该漏洞影响UEditor的.Net版本，其它语言版本暂时未受影响。 Ghostscript命令执行漏洞预警 漏洞 360CERT 2018-08-22 在ghostscript中由于以往的安全事件，针对安全问题gs官方采用增加参数-dSAFER来开启安全沙箱，但该沙箱在程序执行过程中由LockSafetyParams这个值进行控制，此次Taviso发现... 安全预警：Microsoft Exchange Server远程代码执行漏洞 漏洞 360安全监测与响应中心 2018-08-15 近日，微软官方 SRC 发布了CVE-2018-8302 漏洞预警，同日ZDI公布了该漏洞的大致利用细节。该漏洞本质为 .NET反序列化漏洞，漏洞被成功利用后，可导致攻击者获得 Exchange... 安全建设 互联网公司移动安全领域的探索与实践 安全建设 掮客酒馆 2018-08-27 笔者对以上的问题结合自身安全从业经验进行了一些思考与探索，试图将如何保障移动业务安全这个复杂的问题逐步拆解。在过去的一年中进行了一些具体性的方案实践，在此分享一... VIPKID在安全漏洞管理平台化的探索与实践 安全运营 VIPKID安全应急响应中心 2018-08-27 VIPKID安全负责人靳晓飞应邀出席2108网络安全生态峰会并分享了VIPKID在《安全漏洞管理平台化的探索与实践》，以下便是本次演讲纪要。 大数据框架Storm RCE实践 漏洞 新浪安全中心 2018-08-08 本文为对Strom实现远程命令执行的一些思路及本地实践。 什么？连小朋友都会入侵 Wi-Fi？中通快递办公网安全接入实践 安全建设 中通安全应急响应中心 2018-08-31 许多公司都有提供开放的 Wi-Fi 无线局域网，这些无线局域网通常需要经过认证才能接入互联网。但在默认情况下，未经认证的设备都是可以访问到内网资源的。面临着大量问题和... 自动给神经网络找bug，Google发布TensorFuzz 人工智能 量子位 2018-08-02 研究员推出了一种自动为神经网络做软件测试的方法：TensorFuzz。它非常擅长自动发现那些只有少数某些输入会引发的错误。
