2024年第32周安全周报 | 本周安全要闻速览

英国国家网络安全中心（NCSC）宣布，将启动最新版主动网络防御（ACD）计划，并开发下一代网络安全工具和服务套件，以帮助企业应对新兴的网络威胁。NCSC同时表示，将会审查ACD目前的工具和服务，并在适当的时间和地点将服务管理权移交给私营部门，目标是三年内将大部分新的成熟服务剥离给私营部门，以保证持久运营。具体事项将在9月份公布。据了解，NCSC开发ACD 2.0的目标是为了更好应对不断变化的网络威胁形势和网络安全市场提供的服务类型，旨在符合ACD的总体目标，即在大多数时间内，保护英国大多数人免受大多数网络攻击造成的大多数伤害。ACD计划于2017年启动，为英国政府部门提供四方面的免费服务以提高网络安全基本水准，其中包括自助式检查、组织部署的检测机制、攻防机制，以及提供辅助服务。

美国政府问责局（GAO）在最新报告中指出，美国环境保护署（EPA）需强化水务部门的网络安全战略，以应对日益严峻的网络安全威胁。水务行业包含约17万个供水和污水处理系统，这些系统面临网络攻击的风险，可能严重破坏公共健康和环境。报告提到，2023年伊朗相关黑客攻击了匹兹堡附近的供水系统，中国支持的黑客也试图入侵饮用水系统。尽管存在这些风险，水务部门的网络安全措施仍然分散且被动，许多公司还在使用过时技术，网络安全投资常被监管要求所掩盖。GAO报告强调，EPA依赖自愿合作的方法不足以应对当前威胁，需要进行全面风险评估和制定风险知情战略。GAO建议EPA采取果断措施，包括制定国家网络安全战略，评估并可能寻求额外的执行权力，确保水务系统遵守最佳网络防护做法。

马来西亚政府为加强网络安全，推出了一个新的数据泄露警报系统，要求所有数据使用者在发生个人信息泄露事件时立即报告。这一新规定的目的是快速响应网络安全事件，分析事件信息，采取措施防止数据进一步泄露，并监控事件的持续影响。交通部副部长张汝静强调，为了维持公众对国家数据管理的信任，需要加强数据处理规则，提高控制力度，并发起了一场大规模的宣传活动。张汝静还提到，随着数字化的发展，技术滥用和欺诈风险也在增加，这要求国家不断适应攻击者策略的变化。为此，马来西亚成立了国家欺诈应对中心（NSRC），以确保各利益相关方之间的有效互动，包括信息交流、协调努力，分析并改进现行立法，以及解决欺诈活动的全球性问题。通过这些措施，马来西亚政府希望能够提高国家网络安全水平，保护公民个人信息安全。

近期，巴黎检察官办公室表示，法国国家博物馆网络系统遭遇了一次“勒索软件攻击”，其中也包括了本届奥运会的举办场地“巴黎大皇宫”博物馆。该馆主要用于举办巴黎2024年夏季奥运会的击剑和跆拳道比赛。据介绍，攻击一度导致巴黎大皇宫的服务器系统访问被中断，但目前尚未发现2024年奥运会赛事安排受到影响。目前，法国网络犯罪警察部门正积极调查情况，旨在减小影响，并恢复加密数据。法国政府网站公布的数据显示，自7月22日以来，该国共发现并挫败68起针对2024年巴黎奥运会组织工作的网络攻击。

澳大利亚国防部8月6日发布《国防数据战略2.0-数据时代的决策优势》，该战略响应《2024年国防战略》和《综合投资计划》，旨在以数据为中心改善国防部的工作模式，利用数据加强战备工作，提升决策效率，实现决策优势。战略以“治理、信任、共享、发现、利用”为原则，提出以下举措：提升国防数据治理能力，实现灵活、可扩展和网络化的数据治理和管理；通过“一体化国防能力系统”，解决联合部队的数据需求；优化能力投资和资源分配决策；以更快的速度为作战人员提供高质量数据；提高国防数据的安全性和完整性，提升数据保护和共享能力；加强国防部的数据文化和数据素养；加速数据搜索和使用技术的创新和开发。

美国网络安全和基础设施安全局（CISA）与联邦调查局（FBI）发布了《安全需求指南》，旨在帮助组织通过采购安全的技术产品来推动安全技术生态系统的发展。该指南为购买软件的组织提供了评估制造商网络安全方法的问题和资源，确保“安全设计”成为软件制造商的核心考虑。指南建议在采购生命周期的各个阶段融入安全性考虑，从采购前评估制造商的安全性策略，到合同中纳入安全性要求，再到采购后的持续安全性评估。CISA强调，客户应通过采购决策推动软件制造商承诺和落实“安全设计”，并应在日志管理、第三方依赖性管理和漏洞报告等关键领域保持透明性和及时性。