关键基础设施安全资讯周报20211122期

技术标准规范

国家互联网信息办公室关于《网络数据安全管理条例（征求意见稿）》公开征求意见的通知
图解《网络数据安全管理条例（征求意见稿）》及数据安全技术体系
个人信息的确权与民法保护
工信部：“十四五”期间，重点围绕五个方面抓好网络安全工作

行业发展动态

美国联邦调查局(FBI)的电子邮件服务器遭黑客入侵，冒用官方邮箱发送上万份警告邮件
原创 | 能源行业移动网络安全威胁态势
新兴网络安全保险行业的困境
俄罗斯信息安全战略态势变化分析
假勒索吓坏几百个WordPress站长
虚假安装程序已经成为了传播恶意软件的新途径
到2025年基本建成安全可靠的新型数字基础设施
移动通信安全技术发展综述
预测美国《国家安全战略》的四个战略要点
鼓励采用沙箱/蜜网：美国政府发布网络安全事件与漏洞响应手册
以色列国防部长家中清洁工被控为伊朗间谍

安全威胁分析

澳大利亚供水设施被植入后门长达9个月，直到年审才发现
重磅 | 汽车数据出境态势分析报告（第二期）
Zebra2104初始访问代理支持竞争对手的恶意软件团伙和APT
美国教育行业勒索攻击猖獗，多位议员共同致函教育部
警惕！FBI执法邮箱群发恶意邮件事件表明，合法来源的电子邮件也不一定可信
揭秘勒索软件活动发展七大趋势
CISA发布新的网络安全事件和漏洞响应手册
医疗设施网络安全风险加剧
Fortinet和Microsoft Exchange的N-day漏洞仍被伊朗APT大量利用，美英澳
三国网安机构发布联合警报
警惕：“俄勒索团队和中国黑客合作”的圈套
最受欢迎的网站搭建程序WordPress，遭遇了“假勒索攻击”
Checkpoint 对 MosesStaff 组织定向攻击以色列公司的分析

安全技术方案

电子政务外网关键信息基础设施保护实践
构建全流程软件供应链安全评估机制维护我国网络空间安全
原创 | 上下文资产信息（Context Asset Data）助力OT环境的SOAR
原创 | 资产可见性与资产管理共筑OT环境安全防线
网络安全意识研究综述
基于分类分级的个人信息保护
深入分析网络空间国际治理机制

技术标准规范

1.国家互联网信息办公室关于《网络数据安全管理条例（征求意见稿）》公开征求意见的通知

为落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律关于数据安全管理的规定，规范网络数据处理活动，保护个人、组织在网络空间的合法权益，维护国家安全和公共利益，根据国务院2021年立法计划，我办会同相关部门研究起草《网络数据安全管理条例(征求意见稿)》，现向社会公开征求意见。

https://mp.weixin.qq.com/s/p53ffDO46B1b4mF_mKYtHg

2.图解《网络数据安全管理条例（征求意见稿）》及数据安全技术体系

2021年11月14日，国家互联网信息办公室对《网络数据安全管理条例(征求意见稿)》公开征求意见，该稿贯彻落实总体国家安全观、法治思想、网络强国战略思想和以人民为中心思想。

https://mp.weixin.qq.com/s/eGoCw__RC03EKxrY4gk7Vg

3.个人信息的确权与民法保护

大数据时代，技术和商业的发展极大地促进了个人信息的开发和利用，但也对人的主体地位、社会秩序和国家安全构成了严重威胁。目前，我国个人信息保护立法重公法规范、轻私法规范，民事基本法规范支撑缺失。

https://mp.weixin.qq.com/s/YgHBStl_o5F_ZSeoUupV4g

4.工信部：“十四五”期间，重点围绕五个方面抓好网络安全工作

工信部11月16日上午召开“十四五”信息通信行业发展规划新闻发布会，介绍“十四五”信息通信行业发展规划有关情况。

https://mp.weixin.qq.com/s/XmJpKGoemijiHhBtcvsDHQ

行业发展动态

5.美国联邦调查局(FBI)的电子邮件服务器遭黑客入侵，冒用官方邮箱发送上万份警告邮件

FBI 证实以该机构合法电子邮箱向 10,000 个收件箱发送了虚假的网络攻击电子邮件的事件，受影响的软件“迅速下线”。

https://mp.weixin.qq.com/s/9gJI7MyFDXFjoUgf3yz6Lw

6.原创 | 能源行业移动网络安全威胁态势

能源行业与社会安全和福祉息息相关，是全球基础设施的重要组成部分，从食品供应、教育、到医疗保健和经济增长等各个方面，能源行业都处于中心位置。正因如此，该行业也处于网络攻击的中心。

https://mp.weixin.qq.com/s/tHmrTKE-ZIXyAtupl9Pwiw

7.新兴网络安全保险行业的困境

网络攻击泛在化、复杂化、常态化形势下，网络安全保险行业发展迎来风口，可以预见未来会有更多的保险机构进入到这一新兴市场。然而，产品定价难、专业人才稀缺、服务标准化难等“绊脚石”问题犹存，网络安全保险路在何方？也有专家认为网络安全保险作为一项正在兴起的行业，许多现有客户可能就是小白鼠。

https://mp.weixin.qq.com/s/XGC8_I0XpF-tdMOTHoZgKw

8.俄罗斯信息安全战略态势变化分析

俄罗斯联邦于 2021 年 7 月 2 日发布了《俄罗斯联邦国家安全战略》，该战略首次将信息安全的重要性上升至国家安全利益与战略重点层面。俄罗斯判断，机遇与挑战并存于世界秩序结构变化的背景之中，巩固俄罗斯作为全球最有影响力国家之一地位是其战略目标，发展信息安全领域是国家战略优先事项，应对国内外的信息安全威胁是重要治理内容。

https://mp.weixin.qq.com/s/mKXpocl3CupyjaQvNs6TMg

9.假勒索吓坏几百个WordPress站长

几百个WordPress网站在本周末遭到破坏，近300个WordPress网站以显示中了“勒索攻击”，打开网站就显示“网站已被加密”，黑客试图勒索网站所有者支付0.1比特币(约38700人民币)来解锁网站。

https://mp.weixin.qq.com/s/8-iIgpjgnSQFoSNe7JWTpg

10.虚假安装程序已经成为了传播恶意软件的新途径

我们最近发现流行软件的虚假安装程序被用来将恶意软件捆绑包传送到受害者的设备上。这些安装程序被广泛使用，诱使用户打开恶意文档或安装不需要的应用程序。

https://mp.weixin.qq.com/s/yjU4QtyjDvFrgQ3hsvtuuQ

11.到2025年基本建成安全可靠的新型数字基础设施

工业和信息化部11月16日上午召开“十四五”信息通信行业发展规划新闻发布会，介绍“十四五”信息通信行业发展规划有关情况。工业和信息化部信息通信发展司司长谢存、信息通信管理局副局长王鹏、网络安全管理局副局长杜广达出席发布会并答记者问。发布会由工业和信息化部新闻宣传中心总编辑王保平主持。

https://mp.weixin.qq.com/s/mY4SWFpgf1-a-vwWub_UWw

12.移动通信安全技术发展综述

作为国家“新基建”的首选，5G承担着支撑经济社会数字化、网络化、智能化转型和促进经济高质量可持续发展重任的重要基础设施，是万物互联的基础。在国家工信部的指导下，我国通信技术发展取得了辉煌成就。

https://mp.weixin.qq.com/s/pMLh-0xRogXGpF4L46z4lQ

13.预测美国《国家安全战略》的四个战略要点

2021年11月10日，美国卡内基基金会发布文章《拜登即将出台的国家安全战略：让它成为现实》(Biden’s Forthcoming National Security Strategy: Making It Real)。

https://mp.weixin.qq.com/s/_XlCYkEJOJkpLV2tjNb0Qw

14.鼓励采用沙箱/蜜网：美国政府发布网络安全事件与漏洞响应手册

11月16日，美国网络安全与基础设施安全局(CISA)为联邦政府所有民事机构带来一份手册，用于规划和实施网络安全漏洞与事件响应工作。

https://mp.weixin.qq.com/s/OQS1ZaDNEgyO7wtfocPBIA

15.以色列国防部长家中清洁工被控为伊朗间谍

以色列时间11月18日，一名受雇于以色列国防部长本尼·甘茨 (Benny Gantz) 家中担任清洁工的男子被指控试图为据称与伊朗有关的黑影(Black Shadow)攻击组织实施间谍活动。此事非常蹊跷，要么就是伊朗方面的工作很成功，要么说明以色列方面为高级别官员聘用工作人员方面存在巨大漏洞。

https://mp.weixin.qq.com/s/DajOMfFxVjFxgJKP0g946Q

安全威胁分析

16.澳大利亚供水设施被植入后门长达9个月，直到年审才发现

黑客在存放昆士兰州供水运营商客户数据的服务器上潜伏达9个月，再次凸显出关键基础设施存在严重的网络安全隐患。

https://mp.weixin.qq.com/s/Rrgo-d8fQhJH3vD7tYb2WA

17.重磅 | 汽车数据出境态势分析报告（第二期）

随着新一代能源技术、物联网技术、通讯技术和人工智能技术的发展，全球汽车行业开启了向“电动化、智能化、网联化、共享化”方向的转型。数据成为驱动智能网联汽车发展的重要因素，汽车数据安全的重要性日益凸显。

https://mp.weixin.qq.com/s/ygJMG_BqbAsqJ1OHOoI2aQ

18.Zebra2104初始访问代理支持竞争对手的恶意软件团伙和APT

据研究人员称，三个不同的威胁组织都在使用一个共同的初始访问代理(IAB)来发起网络攻击——这一发现揭露了一个由相关攻击基础设施组成的错综复杂的网络，支持不同的(在某些情况下是互相竞争的)恶意软件活动。

https://mp.weixin.qq.com/s/MhkdfRow72o-oDRUFKaRmw

19.美国教育行业勒索攻击猖獗，多位议员共同致函教育部

美国教育部与国土安全部被敦促，应更积极地加强全国K-12(中小学)学校的网络安全保护能力，从而跟上当前猖獗的勒索攻击浪潮。

https://mp.weixin.qq.com/s/S8FQvLr2os325fj5vnfqjQ

20.警惕！FBI执法邮箱群发恶意邮件事件表明，合法来源的电子邮件也不一定可信

“联邦调查局了解到软件配置错误，该错误配置暂时允许攻击者利用执法企业门户 (LEEP) 发送虚假电子邮件。LEEP 是 FBI IT基础设施，用于与我们的州和地方执法合作伙伴进行通信。虽然非法电子邮件源自FBI运营的服务器，但该服务器专用于推送LEEP 通知，而不是FBI的官方电子邮件服务的一部分。

https://mp.weixin.qq.com/s/MJ8g6K8xeVC0fyUuiflMRg

21.揭秘勒索软件活动发展七大趋势

当前，勒索软件攻击正在以多种方式持续演进。例如：越来越多的新玩家“入场”，许多传统玩家偶尔会“退场”；一些团伙正在运行复杂的“勒索软件即服务”（RaaS）操作，并挖角网络渗透、谈判、恶意软件开发等方面的专家；有些团伙由于缺乏足够的预算和人手，只能继续在外围运作等。

https://mp.weixin.qq.com/s/OWMc0XMhE3JelPyRez8ZAQ

22.CISA发布新的网络安全事件和漏洞响应手册

美国国土安全部 (DHS) 网络安全和基础设施安全局 (CISA) 当地时间11月16日发布了新的网络安全事件和漏洞响应手册，完成了拜登总统网络安全行政命令(EO) 的一项重要任务。这个手册为联邦文职行政部门 (FCEB) 机构提供了一套标准程序，以识别、协调、补救、恢复和跟踪影响FCEB系统、数据和网络的事件和漏洞的成功缓解措施。

https://mp.weixin.qq.com/s/dF8f2fcaf9LqCj9XpD7vqA

23.医疗设施网络安全风险加剧

一项对400名IT专业人员的调查研究发现，大多数受访者担心利用医疗设备发起攻击和实施数据泄露的可能性。网络安全公司Armis的调研数据表明，IT专业人员在过去12个月里见证了网络风险的不断攀升。

https://mp.weixin.qq.com/s/8dtlAp5zuD1ZPAY08D8JVg

24.Fortinet和Microsoft Exchange的N-day漏洞仍被伊朗APT大量利用，美英澳三国网安机构发布联合警报

美国东部时间11月17日上午，美国、英国和澳大利亚政府机构联合发布的一份报告警告说，伊朗政府支持的威胁行动者正在利用Fortinet和Microsoft Exchange漏洞对美国以及澳大利亚的一些组织的关键基础设施进行攻击。该联合网络安全咨询公告是联邦调查局 (FBI)、网络安全和基础设施安全局 (CISA)、澳大利亚网络安全中心 (ACSC) 和英国国家网络安全中心 (NCSC) 多国协作分析的结果。

https://mp.weixin.qq.com/s/l54-EOQ1lxRtQ5Bn-ftWNA

25.警惕：“俄勒索团队和中国黑客合作”的圈套

昨天西方科技媒体曝光俄语网络犯罪论坛上正在酝酿一些不寻常的活动，传俄黑客似乎正在与中国黑客联系以寻求合作。报道称这些招募中国黑客的尝试主要出现在RAMP黑客论坛上，该论坛鼓励说普通话的黑客参与对话、分享技巧和合作攻击。

https://mp.weixin.qq.com/s/C-6aUrAjgtMJEwOso2-uGw

26.最受欢迎的网站搭建程序WordPress，遭遇了“假勒索攻击”

据BleepingComputer消息，近期发生了一轮针对通过WordPress搭建的网站的勒索攻击，截止到目前已经有300多个网站遭受了攻击。

https://mp.weixin.qq.com/s/9YBY1nOTpWmOAwwABUQ1RA

27.Checkpoint 对 MosesStaff 组织定向攻击以色列公司的分析

11月初一个名为“MosesStaff”的神秘黑客组织成功对以色列国防部发动了网络攻击，获取了一些“军队部署信息”，并对外发布了一些声称是从以色列国防部服务器获取的文件和照片。

https://mp.weixin.qq.com/s/BdoqeM_Wr1C1heWDoHBUTg

安全技术方案

28.电子政务外网关键信息基础设施保护实践

《关键信息基础设施安全保护条例》(以下简称《条例》)作为《网络安全法》的重要配套行政法规，针对关键信息基础设施各类责任主体、保护对象和法定义务作出了明确而具体的规定。

https://mp.weixin.qq.com/s/t30X8YsKQtGNTOzIoJ2puQ

29.构建全流程软件供应链安全评估机制维护我国网络空间安全

软件产品和服务关系生产、生活的各个方面，软件供应链安全直接影响社会的稳定运行。美国智库大西洋理事会梳理的关于近 10 年发生的 115 起软件供应链安全事件的报告显示，开发工具污染、依赖混淆、升级劫持等软件供应链攻击对国家安全造成巨大威胁。

https://mp.weixin.qq.com/s/2K5uoYMZdw1UrRFlr9VjTA

30.原创 | 上下文资产信息（Context Asset Data）助力OT环境的SOAR

近些年，工业控制领域的安全问题逐渐得到大家的关注，讨论通常围绕着如何保护OT环境。虽然在某些情况下，大多数人会关注OT设备，如可编程逻辑控制器(PLC)、远程终端单元(RTU)或安全仪表系统(SIS)，但了解IT和OT基础设施和系统的监控同样重要是至关重要的。由于缺乏对这些环境的可见性，因此几乎不可能知道如何保护整个OT系统。

https://mp.weixin.qq.com/s/ylO4x6e9aXDiLdOqIBLTFg

31.原创 | 资产可见性与资产管理共筑OT环境安全防线

两千多年前，古代军事家孙子有句名言:“知己知彼，百战不殆。”尽管今天的世界看起来截然不同，但这一原则仍适用于网络安全资产意识。事实上，确保工业控制系统安全是从准确的自我认识和自我控制开始，也就是所谓的资产可见性和资产管理的双重原则，而且在加固OT系统安全的过程中，应该被视为不同阶段的不同目标。

https://mp.weixin.qq.com/s/f2zMoqTroN_Mw3NKinhLYQ

32.网络安全意识研究综述

如今的网络环境中，网络安全威胁日益严峻，面对此类问题，除了提升相关硬件的安全性、树立法律法规及行业准则，增强网民的网络安全意识的重要性也逐渐凸显。本文梳理了2000年以来有关网络安全意识的研究，综述范围为中国知网中篇名为“网络安全意识”的期刊、硕博论文、会议论文、报纸。

https://mp.weixin.qq.com/s/YGwCfnuLco3biejUoFgcZg

33.基于分类分级的个人信息保护

个人信息数据作为大数据应用场景的重要组成部分，在个人信息处理和应用过程中面临极大的数据安全风险。如何在个人信息利用与安全保护之间达到平衡，充分挖掘个人信息作为重要生产要素的价值，成为当下个人信息保护的难点。通过对个人信息的微数据进行分类分级，并根据分类分级结果在应用场景中采取不同的安全保护措施(如授权、脱敏、加密等)，实现对个人信息的精细化管理和保护，对推动个人信息数据价值化发展意义重大。

https://mp.weixin.qq.com/s/R8mRuPWa6lleIUyTN3UNaQ

34.深入分析网络空间国际治理机制

自互联网诞生起，致力于维护其发展与安全的治理进程就已开启。伴随互联网商业化与社会化的深入，治理的内涵与外延不断扩展，相应的机制建设亦不断推进。当前网络空间进入历史发展新阶段，需要国际社会进一步推动治理机制完善以适应不断涌现的新需求与新挑战。

https://mp.weixin.qq.com/s/QYTC_nFGdPPrywFsse6NlA