2024年第24周安全周报 | 本周安全要闻速览
● 国家能源局印发《电力网络安全事件应急预案》
为完善电力网络安全事件应对工作机制，有效预防、及时控制和最大限度消除电力网络安全事件带来的危害和影响，加强电力网络安全事件应急能力建设，保障电力系统安全稳定运行和电力可靠供应。国家能源局制定并印发《电力网络安全事件应急预案》。其中电力网络安全事件是指由计算机病毒或网络攻击、网络侵入等危害网络安全行为导致的，对电力网络和信息系统造成危害，可能影响电力系统安全稳定运行或者影响电力正常供应的事件，适用于电力网络安全事件的应对工作。在网络安全事件对电力供应影响分类分级工作上，《预案》提出，应当根据电力网络安全事件造成停电等后果的影响程度，电力网络安全事件分为特别重大、重大、较大和一般四级。
来源：国家能源局
● 4项网络安全推荐性国家标准计划下达
近日，国家标准化管理委员会下达的推荐性国家标准计划中，包括4项由全国网络安全标准化技术委员会归口的标准项目，《网络安全技术 生成式人工智能服务安全基本要求》《网络安全技术 网络安全产品互联互通 第2部分：资产信息格式》《网络安全技术 网络安全产品互联互通 第3部分：告警信息格式》《网络安全技术 统一威胁管理产品(UTM)技术规范》。请项目所属工作组制定项目推进计划，并督促项目牵头承担单位按计划抓紧落实，在计划执行中要加强协调，广泛征求意见，确保标准质量和水平，按要求完成国家标准制修订任务。
来源：全国网络安全标准化技术委员会
● 《网络安全标准实践指南—敏感个人信息识别指南》公开征求意见
为指导个人信息处理者识别敏感个人信息，规范敏感个人信息处理、出境和保护活动，全国网络安全标准化技术委员会组织编制了《网络安全标准实践指南——敏感个人信息识别指南（征求意见稿）》。提出了敏感个人信息识别方法，给出了常见敏感个人信息的类别和示例，可用于指导各组织识别敏感个人信息范围，也可为敏感个人信息处理、出境和保护工作提供参考。强调了个人数据处理者既要考虑单项敏感个人信息识别，也要考虑多项一般个人信息汇聚或融合后的整体属性，分析其一旦泄露或非法使用可能对个人权益造成的影响，如果符合 上述《指南》中要求的符合敏感个人信息条件的，应将汇聚或融合后的个人信息整体参照敏感个人信息进行保护。
来源：全国网络安全标准化技术委员会
● 云存储巨头Snowflake被黑，165家知名企业遭殃
近日，云存储巨头Snowflake的大量客户实例遭黑客攻击，导致全球超过165家知名企业发生大规模数据泄露，甚至包括Cylance这样的网络安全巨头也不能幸免。谷歌旗下威胁情报公司Mandiant本周一发布报告称，多达165家知名组织成为云存储公司Snowflake黑客攻击事件的受害者，已经波及了包括票务巨头Ticketmaster、桑坦德集团（Santander Group）、汽车零配件巨头Advance Auto Parts等在内的一大批知名企业，数以亿计的个人受到影响。而且发生数据泄露的Snowflake客户的数量还在不断增长。Snowflake在声明中表示，正在“制定一项安全加固计划，要求客户实施多因素认证”。
来源：GoUpSec
● 美国NCSWIC 推出视频系列，深入探讨公共安全通信的互操作性
美国国家全州互操作性协调员委员会（NCSWIC）推出了一系列视频，旨在强调全州互操作性协调员（SWIC）在支持应急响应和互操作性工作中的关键作用。视频系列包括三部分：“什么是SWIC”、“什么是紧急通信？”和“什么是互操作性”，分别介绍了SWIC的职责、紧急通信系统的重要性以及跨系统交互的挑战。NCSWIC致力于推进全国公共安全通信的发展，鼓励SWIC之间的协调，提高互操作性，并支持长期应急通信项目。SWIC负责监督州内互操作性工作的日常运营，协调项目，维护治理结构，并实施全州通信互操作性计划（SCIP）。
来源：THE CYBER EXPRESS
● 美国国防部发布零信任覆盖文件以加强网络安全
美国国防部发布了一份近400页的零信任覆盖文件，作为实现总统乔·拜登2021年行政命令规定的网络安全目标的路线图和指南。该文件基于国防部零信任参考架构和执行路线图，构建了零信任安全控制与能力、活动和结果的关联框架。零信任覆盖包括七大支柱：用户、设备、应用程序和工作负载、数据、网络和环境、自动化和编排、可视性和分析性，强调了跨领域的非技术能力和活动，如文化、治理和组织结构。零信任覆盖文件强调了身份验证和授权的重要性，要求所有用户和设备在访问数据、资产、应用程序和服务前必须通过验证。文件还提出了动态、细粒度的策略和访问控制，以及基于人工智能的自动化安全响应和高度个性化的模型，以提高检测和反应时间。
来源：industrialcyber
● 纽约时报发生重大数据泄露事故
纽约时报近日遭遇重大数据泄露事件。据恶意软件分析平台XV Underground披露，匿名黑客在4chan论坛上泄露了270GB的纽约时报数据，这些数据来自纽约时报的GitHub账户。据报道，泄露的数据包含约360万个文件，其中包括其网站、移动应用程序、内部工具和内容管理系统的源代码。还包含一个教育网站的1500个用户信息数据库，以及纽约时报在2022年收购的游戏Wordle的源代码和各种身份验证方法，如URL、密码、密钥和API令牌。甚至包括一些私有用户密钥。泄露的信息还包括Slack频道中的内部通信，可能会暴露关于纽约时报运营、编辑流程和员工讨论的敏感信息。泄露数据的黑客声称，纽约时报拥有超过5000个源代码库，其中加密的不到30个。这次泄露可能揭示关于纽约时报内部IT架构和软件开发实践的信息，使攻击者能够利用该组织的基础设施。
来源：安全内参
● 美国FCC与NTIA合作扩展商用无线频谱访问
美国联邦通信委员会（FCC）宣布修改现有的频谱共享框架，以扩大商用无线服务的覆盖范围，预计将惠及约7200万人。此举旨在提高商用用户对5G和高速互联网的访问。国家电信和信息管理局（NTIA）与海军合作，建议减少现有公民宽带无线电服务（CBRS）使用的地理区域，特别是在美国海岸线和联邦设施附近。CBRS自2015年起允许联邦和商用用户共享3.5 GHz频段。修改后，商用企业将能够在不干扰国防部操作的情况下提供连续的无线服务。此举是为了平衡国家经济和国防优先事项，同时确保联邦用户的频谱使用不受影响。NTIA与国防部还在研究是否可以共享3.1-3.45 GHz频段的剩余部分，预计2025年完成分析。
来源：DEFENSESCOOP
● Kulicke & Soffa遭遇大规模数据泄露事件
全球半导体封装和电子组装解决方案供应商 Kulicke & Soffa Industries, Inc. (K&S) 近期遭受严重数据泄露，约1200万份文件受到影响，包括源代码、工程数据和个人身份信息等敏感内容。该事件于2024年5月12日被发现后，K&S网络安全团队迅速响应，与外部专家合作控制并隔离了受影响服务器，并向执法部门报告了事件。尽管事件调查仍在进行中，K&S表示此次泄露未对其运营或业务预期产生重大影响，并强调将继续采取措施保护数据和系统。公司同时提醒存在的风险和不确定性，承诺在获取更多信息后向利益相关者提供更新，同时致力于加强网络安全，防止类似事件再次发生。
来源：cybersecuritynews
