2024年第17周安全周报 | 本周安全要闻速览

2024年4月24日，北京市经济和信息化局、北京市通信管理局印发《北京市算力基础设施建设实施方案（2024—2027年）》。该《实施方案》多次提到了“算力自主可控”、“自主可控GPU芯片”、“算力基础设施安全可靠”，甚至明确要求达到“全栈、100%自主可控”，目标时间节点为2027年。意味着，智算中心国产化进程加速、程度加深，以算力芯片为代表的智算中心基础软硬件国产化，有望为整个算力产业打开更大的市场空间。

欧盟委员会在其官方网站发布了《数据法》（The Data Act）指南，该指南进一步明确了《数据法》实施过程中的各种细节。指南涉及了物联网背景下企业对企业（B to B）和企业对消费者（B to C）的数据共享，使互联产品和相关服务的用户能够访问他们通过使用互联产品或相关服务共同创造的数据。允许公共部门机构在有特殊需要的情况下，根据某些条款和条件获取此类数据。在非紧急情况下，公共部门机构只能索取非个人数据。《数据法》规定了外国公共部门机构对欧盟持有的非个人数据提出访问请求的规则和保障措施。欧盟成员国将指定一个或多个（新的或现有的）主管高效执行《数据法》。

美国电信提供商边疆通信公司遭受网络攻击，部分IT系统被不明网络犯罪团伙入侵，目前正在努力恢复系统。在发现攻击事件后，边疆通信被迫部分关闭一些系统，以防威胁行为者通过网络横向移动。该公司表示，系统关闭导致“相当严重的”运营中断。尽管采取了上述措施，边疆通信表示攻击者可能访问了一些个人可识别信息（PII），但并未透露这些数据是属于客户、员工还是两者都有。目前，边疆通信认为数据泄露事件已得到控制。他们已经恢复了在事件期间受影响的核心IT系统，并正努力恢复业务正常运营。

国际医疗诊断和试验巨头Synlab的意大利分公司因遭受勒索软件攻击，被迫关闭其IT系统，目前所有医学诊断和试验服务均已暂停。公司在声明中表示：“在发现入侵事件后，IT部门立即执行了公司的安全程序，从网络中隔离了公司的所有基础设施，并关闭了所有机器。”尽管公司尚未确认，但一些敏感的医疗数据可能已经被攻击者获取。由于这一事件，所有的实验室分析和样本收集服务都已经暂停，直至另行通知。由于电子邮件服务已停止，客户被建议通过电话与Synlab联系。与此同时，公司正在努力确保IT基础设施上不再存在恶意软件，并从备份中恢复系统。

网络安全和基础设施安全局的目标是在9月30日的最后期限内向联邦机构提供一份被认为对联邦政府网络态势至关重要的示例软件产品清单。该目标日期来自该机构对4月18日政府问责办公室监督报告的回应，该报告审查了2021年一项主要网络安全行政命令的实施情况，该命令的重点是加强美国网络防御。这些软件类型因其与命令指令的联系而被正式称为“EO关键软件”，符合美国国家标准与技术研究所定义的11项标准，并且能够管理系统权限、执行与网络相关的操作保护和控制操作技术等。根据GAO分析中附加的一封信函，该列表将包含示例产品，并将由CISA的网络安全部门发送。该软件目录可能会帮助各机构更好地了解他们最依赖的产品中的潜在网络漏洞。CISA经常在软件采购流程中推行“设计安全”方法，制造商和供应商将确保其销售的产品具有内置功能，旨在确保产品下架后具有网络安全性。

联邦贸易委员会(FTC)的目标在未来几个月内推出期待已久的商业监控拟议规则，重点是确保公司正确处理从消费者使用的应用程序、网站和设备中收集的数据。据两位熟悉该机构计划的消息人士透露，这些规则将强调数据安全和数据最小化，或者公司应该只收集与消费者开展业务所需的数据，并在业务结束时删除这些数据。其他关注的领域将包括算法问责制——或者公司应该面对基于算法决策所采取的行动的后果的概念——以及如何保护消费者的公民权利免受算法错误影响的相关问题。受该规则影响的公司可能包括所有在其业务中使用数据的公司，包括银行、零售商、保险公司和汽车制造商，以及Meta和Google等贩卖数据的科技巨头。该机构官员最近几天一直表示这项工作可能即将达到紧要关头。联邦贸易委员会制定新商业监控规则的工作受到隐私界的密切关注，倡导者表示，隐私界迫切需要做出改变。联邦贸易委员会发言人拒绝对此事发表评论。

网络攻击导致运营出现问题后，英国莱斯特城市议会仍面临城市路灯无法关闭的问题。博蒙特莱斯的居民是注意到莱斯特街灯白天和晚上都亮着的，在与市议会联系后，被告知市议会遭受的网络攻击正在影响“中央管理系统”，导致路灯“行为异常”。网络攻击后果的最新发展引起了当地人的关注，因为灯光使用的能源量很大，这可能会推高电力成本。市议会发言人报告说，他们已经意识到这个问题，并将其归因于最近的网络攻击。灯光问题应在五月第一周结束前得到解决。由于该市还不得不关闭 IT 系统，因此仍然无法“远程识别街道照明系统中的故障”。该发言人表示：“故障的默认模式是灯保持亮起，以确保道路不会完全熄灭并成为安全隐患。” “解决这个问题需要采取许多步骤，我们正在尽快解决这些问题。”

众议院两党议员正在敦促提供有关德克萨斯州一处供水设施遭到破坏的更多细节，该事件是由一个疑似与俄罗斯政府有联系的组织实施的。在4月23日的一封信中，众议员帕特·法伦和鲁本·加莱戈要求国土安全部部长通报1月份发生的事件，该事件导致德克萨斯州穆勒舒市的一个供水设施发生水箱故障。安全公司Mandiant随后发布了一份报告，称据称发起此次攻击的组织“俄罗斯网络军”与俄罗斯国家行为者“沙虫”有联系， “沙虫”因其过去和现在的数字攻击而在全球声名狼藉。此后，该组织声称对印第安纳州一家水厂的网络攻击负责。如果亚利桑那州或其他可能缺乏足够供水的州发生类似于德克萨斯州事件的黑客攻击，可能会扰乱该地区的运营，造成毁灭性影响。两人要求马约卡斯回答一系列问题，包括国土安全部正在采取哪些措施来应对这一事件；该机构如何与国际、州和地方合作伙伴进行协调；如果需要额外的权力来保护国家的供水。