2024年第28周安全周报 | 本周安全要闻速览

本周早些时候，至少有五个澳门政府网站遭受疑似外国黑客的分布式拒绝服务 (DDoS) 攻击，瘫痪时间长达一小时。受影响的网站包括保安部门、警察局、消防救援部门及公共安全部队学院。澳门警方已展开刑事调查，并追查攻击源头。保安司司长表示，事件发生后，当局立即采取紧急措施，与电信运营商合作迅速恢复服务。澳门特区政府还要求电信公司提供改进计划，以防止未来类似攻击。此次事件背后的黑客组织及其动机尚不明确。近年来，澳门关键基础设施的网络攻击频率显著增加。

英国政府的网络安全部门发布了一份新指南，旨在帮助全球各地的公司更好地保护操作技术（OT）和工业控制系统（ICS）硬件。这份指南由可信互联网络-物理系统研究所（RITICS）发布，概述了公司为避免嵌入式技术受到攻击应采取的建议和最佳实践。RITICS由伦敦帝国理工学院主办，受到英国国家网络安全中心（NCSC）等机构联合发起和赞助。该指南名为《OT/ICS网络事件响应计划应考虑的因素》，主要从准备、检测、分类、采取响应行动、跟踪和报告、利益相关者参与、吸取教训七个方面展开介绍。该安全机构指出，OT/ICS网络的运行方式与传统的IT网络存在诸多关键差异。尽管保护数据的机密性是IT网络的主要目标，但OT安全更侧重于维护设备的可用性和完整性，而非数据访问。

近日，澳大利亚内政部秘书发起了一项新的倡议，旨在加强联邦机构面对外部威胁时的安全防护能力。倡议建议所有政府机构和相关公司，必须对其面向互联网的技术应用进行全面审计。这项联邦网络安全倡议在一系列正式指示中进行了详细阐述，要求每个联邦机构识别漏洞并实施风险缓解策略。它要求与澳大利亚信号局（ASD）共享网络威胁情报，增强合作努力以保障联邦安全。这些指令纳入了《保护服务政策框架》（PSPF）的范畴，体现了澳大利亚对外国所有权、控制或影响（FOCI）可能带来的潜在风险采取积极态度。它们迫使政府机构对技术采购和维护实践进行审查，确保与国家安全利益保持一致。这项指令与澳大利亚内政部长公布的更广泛措施相吻合，旨在应对澳大利亚面临的外国干涉威胁，凸显了澳大利亚在日益增长的数字连接和全球威胁背景下加强网络安全韧性的承诺。

俄罗斯总理米哈伊尔·米舒斯京宣布了一系列旨在加速向本土软件过渡和加强国家技术独立性的措施，目标是在2030年前使80%的企业使用俄罗斯的IT解决方案。政府计划通过多项支持措施实现这一目标，包括引入联邦投资税减免、启动国产软件项目的试点资助、提供优惠贷款、以及建立行业测试平台。此外，将禁止国有企业开发已有国产替代品的基础软件，并对本土软件的价格进行监控和调控。政府还将加强IT人才培养，与领先的IT公司合作，创建统一的数字教育平台，并推动学生在企业中的实习。

共和党全国委员会发布2024年政策路线图，承诺将利用国家力量保护美国关键基础设施和国家工业基础免受恶意网络攻击。该政纲预计将在密尔沃基举行的共和党全国代表大会上正式批准。尽管共和党最近反对联邦政府对水系统和医疗保健网络等行业实施数字监管，但政纲强调保护关键系统和网络的安全是国家优先事项。此外，最高法院最近的裁决可能削弱政府的监管工作，包括网络事件报告制度。新党纲《2024年共和党纲领：让美国再次伟大！》还承诺废除总统拜登的人工智能行政命令，称其阻碍了人工智能创新，并将激进左翼思想强加于该技术的发展。

美国网络安全和基础设施安全局（CISA）通过战略举措和社区协作，致力于增强开源软件（OSS）的安全性。近日举办的首届开源软件安全峰会是该进程的重要一步，聚焦于协调应对假设的OSS漏洞，强调了统一行动的重要性。CISA还推出了Hipcheck工具，旨在自动化和简化OSS组件的安全评估，以标准化评估过程并满足不同的安全标准和运营需求。此举旨在提高OSS的可信度和安全性，以保护联邦机构和关键基础设施免受网络威胁。CISA强调透明度和主动安全措施的重要性，以促进开源生态系统的安全发展，并确保其在数字领域的抵御能力。

澳大利亚信号局（ASD）警告称，外国政府支持的黑客多次将澳大利亚网络作为目标。新指令要求政府实体识别其使用技术中的外国所有权、控制权或影响（FOCI）风险，涵盖所有硬件、软件及信息系统。公共部门组织必须在2025年6月前识别这些风险并报告给内政部的网络和保护安全部门。此外，所有面向互联网的系统和服务需进行全面盘点，并制定安全风险管理计划。第三项指令要求政府实体在本月底前与ASD合作，并连接到其威胁情报共享平台。这些措施旨在提高对澳大利亚政府技术产业的了解和保护能力。

美国两党参议员近日共同提出一项新法案，计划成立一个跨机构委员会。如果该法案被签署成为法律，该委员会将负责简化呈一盘散沙状态的美国网络安全法规体系。委员会成员将包括国家网络总监、管理与预算办公室下设信息与监管事务办公室负责人、各联邦监管机构负责人以及由委员会主席确定的其他政府领导人。该法案还要求跨机构委员会在咨询各种部门风险管理机构后对新框架进行试点，并向参议院国土安全委员会和众议院监督与问责委员会等相关管辖机构提交年度工作报告。