2024年第5周安全周报 | 本周安全要闻速览

近日，国家标准化管理委员会下达了新一期推荐性国家标准计划，包括7项由全国网络安全标准化技术委员会归口的标准项目。通知要求项目所属工作组制定项目推进计划，并督促项目牵头承担单位按计划抓紧落实，在计划执行中要加强协调，广泛征求意见，确保标准质量和水平，按要求完成国家标准制修订任务。

微软网络近期遭黑客入侵，高管电子邮件被监视长达两个月。研究员表示，黑客通过获取一个拥有管理员权限的老旧测试帐号的访问权限来实施入侵，这是微软犯下的重大失误。微软在1月25日发布第二篇公告，措辞含糊地提到了一些新细节，扩展了19日首次披露的信息。微软表示，俄罗斯政府支持的“午夜暴雪”（Midnight Blizzard）黑客组织使用密码喷射技术，利用弱密码凭据登录了一个“传统非生产测试租户帐号”，该帐号并未启用多因素身份验证。然后，他们以某种方式获得了高管以及安全和法务团队成员的电子邮件帐号的访问权限。

堪萨斯城地区交通管理局(KCATA)近期宣布成为勒索软件攻击的目标。该公司报告称，一年有 1050万人使用他们的服务。24日，该组织宣布遭受勒索软件攻击，影响了其所有通信系统。公告中写道：“对客户的主要影响是 RideKC区域呼叫中心无法接听电话，任何KCATA固定电话也无法接听电话。”该公告为需要安排行程的Freedom和Freedom-On-Demand Paratransit客户提供了替代电话号码。尽管呼叫中心受到干扰，KCATA路线仍照常运行，因此客运运营并未受到影响。公告总结道：“KCATA正在与我们的外部网络专业人员全天候合作，并将尽快让系统备份并运行。”该机构没有详细说明注册会员和通行证持有者的敏感信息暴露给网络犯罪分子的可能性。27日更新-Medusa勒索软件声称对KCATA的攻击负责，并在暗网上的勒索门户上发布了据称属于该组织的数据样本。威胁行为者给KCATA当局10天的时间来谈判解决方案，他们的财务要求设定为支付200万美元。

美国卫生与公众服务部(HHS)发布了针对医疗保健的自愿网络安全绩效目标(CPG)，帮助支持医疗保健和公共卫生(HPH)部门加强其网络安全措施。CPG旨在帮助优先实施有影响力的网络安全实践，旨在帮助医疗机构适应不断变化的威胁形势、响应网络威胁并建立更具弹性的行业。这些CPG专为医疗保健组织和交付组织设计，旨在加强网络准备、增强网络弹性并保护患者健康信息和安全。这些指南以CISA的CPG为基础，并以常见的行业网络安全框架、指南、最佳实践和策略为基础。此外，这些HPH CPG直接解决2023年医院网络弹性态势分析中确定的针对美国国内医院的常见攻击媒介。HPH CPG旨在确保在攻击链的不同阶段或数字系统中可被利用的点提供分层保护，这对于减轻网络安全事件发生时的影响至关重要。它们被分为“基本目标”，通过设置一定的保障措施来帮助医疗保健组织解决常见的漏洞，从而更好地保护他们免受网络攻击，提高事件发生时的响应能力，并最大限度地减少残余风险；以及“增强目标”，帮助医疗保健组织成熟其网络安全能力，并达到抵御额外攻击媒介所需的更高防御水平。

佐治亚州人口最多的县正在处理近期发现的网络攻击造成的IT中断问题。富尔顿县委员会主席罗布·皮茨29日举行新闻发布会，解释说这次袭击影响了县办公室电话系统和在线交易，包括涉及枪支和结婚证的交易。“富尔顿县政府出现了大范围系统中断。目前，可以确认该事件是网络安全事件的结果，”皮茨补充说，执法部门正在“积极调查”。“这项调查仍处于早期阶段。因此，我们目前将提供有限的信息。然而，我们确实希望我们的公民意识到我们的许多主要技术平台都受到了这一事件的影响。三个值得注意的例子包括我们的电话系统、法院系统和税务系统。我们还没有恢复这些系统的具体时间表。”联邦调查局告诉当地新闻媒体，它正在参与对这起袭击事件的调查。该县网站上有一份通知，敦促居民在电话系统故障时如有任何疑问，请向富尔顿县客户服务中心发送电子邮件。当地新闻台称，居民在对财产税提出异议或前往DMV时遇到了广泛的问题。

1月31日消息，知情人士透露，能源管理和自动化巨头施耐德电气遭受了仙人掌（Cactus）勒索软件攻击，大量企业数据被盗。此次勒索软件攻击发生在17日，针对施耐德电气的可持续业务部门。这次攻击导致施耐德电气的能效及可持续顾问云平台部分功能受到影响，至今仍未恢复。据悉，勒索软件团伙在网络攻击期间窃取了数TB公司数据，并要求公司支付赎金，否则将泄露这些数据。虽然尚不清楚失窃的数据类型，但可持续业务部门负责向外部组织提供咨询服务，比如可再生能源解决方案建议，并帮助它们遵守全球各地复杂的气候法规要求。

欧洲委员会近期通过了欧洲网络安全认证计划，这是欧盟首个用于认证信息与通信技术（ICT）产品的网络安全计划，符合欧盟网络安全法的目标。该计划全称“基于欧洲通用标准的网络安全认证计划”（EUCC）。它提供了一整套规则，以确保ICT产品在其生命周期内的可信度。ICT产品指以数字形式电子访问、处理、存储、传输或获取信息的商品。这些产品涵盖无线和智能设备，同时也包括技术组件，如芯片、智能卡、硬件和软件。通用标准（CC）实验室是ICT安全认证实验室，负责采用经授权的标准化方法评估ICT产品的安全性。根据欧盟网络安全局（ENISA）数据，全球一半以上的通用标准实验室位于欧洲，而每年颁发的350个通用标准证书中有60%系欧盟发放。目前，欧盟网络安全局正在制定另外两个网络安全认证计划，分别针对云服务和5G安全。同时，他们也在评估其他项目的可行性，包括人工智能网络安全认证和电子识别、认证和信任服务（eIDAS）认证战略。