2024年第33周安全周报 | 本周安全要闻速览

全球重要的黄金矿业企业、澳大利亚矿业巨头Evolution Mining近日正式对外宣布其遭受了勒索软件攻击。其在一份官方声明中透露，勒索软件攻击影响了其IT系统。在发现攻击后，Evolution Mining立即采取了行动，聘请外部网络取证专家进行调查和遏制，并表示事件已经得到控制。该公司强调，该事件得到了积极管理，重点关注保护个人的健康、安全和隐私，以及其系统和数据的完整性。Evolution Mining还向利益相关者保证，此次网络攻击不会对其运营造成实质性影响。尽管如此，澳大利亚网络安全中心（ACSC）表示尚未收到详细的事件信息，这使得攻击的具体范围和性质仍存在疑问。

美国参议院推出了一项两党支持的新法案，旨在通过确保联邦承包商遵守国家标准与技术研究院（NIST）的准则来加强联邦网络安全。该法案名为《2024年联邦承包商网络安全漏洞减少法案》，要求管理和预算办公室（OMB）监督更新联邦采购条例（FAR），以确保联邦承包商实施与联邦机构一致的漏洞披露政策。法案还规定国防部负责更新国防联邦采购条例补充（DFARS），以确保国防承包商同样执行这些政策。漏洞披露政策（VDP）是一个重要工具，可以让组织在漏洞被恶意利用前修补漏洞。此法案将推动联邦承包商与联邦机构遵循相同的国家准则，从而更好地保护关键基础设施和敏感数据免受潜在攻击。该提案得到了多方支持，进一步填补了联邦承包商网络安全保护中的关键空白。

沙迦网络安全中心的成立标志着该地区在网络安全领域迈出了重要一步。该中心不仅承担着国防事务的重任，还兼具教育和培训中心的功能。谢赫·拉希德强调了中心在培养国家网络安全人才方面的关键作用，专注于提升个人和机构对网络安全重要性的认识，并提供保护数据免受网络威胁的专业指导。SFD信息安全办公室主任Saqar Al Ali指出，面对全球组织日益增多的网络攻击事件，更新网络安全策略迫在眉睫，这需要快速适应数字化转型和对数字系统的依赖性增加所引发的新威胁。沙迦网络安全中心通过提供网络监控、威胁检测、技术咨询和专业培训等服务，利用尖端威胁情报技术和先进的大数据分析及人工智能平台，致力于及早发现并有效减轻网络攻击的影响，从而在保护数字基础设施和提升网络弹性方面发挥关键作用。

美国国家标准与技术研究院（NIST）正式敲定三项用于应对未来量子计算威胁的加密算法，并在此基础上发布了三项后量子加密标准。这标志着全球首批后量子（post-quantum）安全加密标准的诞生。据NIST介绍，这些标准不仅考虑了底层数学的安全性，还评估了它们的实际应用效果。标准涵盖了一般加密和数字签名两大关键领域，为保障从机密电子邮件到电子商务交易等广泛应用提供了坚实的安全基础。一：FIPS 203（ML-KEM）：基于CRYSTALS-Kyber算法，主要用于一般加密。其特点是加密密钥较小，交换便捷，运算速度快。二：FIPS 204（ML-DSA）：源自CRYSTALS-Dilithium算法，作为保护数字签名的主要标准。三：FIPS 205（SLH-DSA）：基于Sphincs+算法，同样用于数字签名，采用不同的数学方法作为ML-DSA的备选方案。NIST同时表示：计划于2024年底发布第四个标准FIPS 206（FN-DSA），基于FALCON算法，将为数字签名提供另一种选择。NIST强烈建议计算机系统管理员尽快开始向这些新标准过渡，以确保信息系统在量子计算时代来临时仍能保持安全。

据BleepingComputer报道，韩国执政党人民力量党近日披露，黑客通过网络间谍行动成功窃取了韩国K2战斗坦克，以及白头和金刚间谍飞机的关键技术信息。这一事件暴露了韩国国防领域的网络安全漏洞，引发了对韩国国家安全的严重担忧。据悉，黑客利用一名从事K2坦克项目的工程师离职时机，获取了其外部存储设备中的敏感数据。这些数据包括K2坦克的开发报告、设计蓝图和过压系统设计信息等核心技术资料。此外，另一家韩国防务承包商也遭到攻击，导致间谍飞机的能力、技术升级和维护细节等机密信息泄露。此次事件凸显了军事领域网络安全的重要性。

得克萨斯州总检察长对通用汽车（GM）提起诉讼，指控该公司违反州隐私法，非法收集和销售驾驶员信息。其指出，GM故意误导消费者，通过推广要求注册的产品，如OnStar Smart Driver等安全功能，秘密收集并将其数据出售给第三方，包括驾驶评分公司，这些公司再将数据出售给保险公司。诉讼要求对每项违规行为处以高达1万美元的罚款，并要求GM销毁所有收集的数据。GM表示正在与帕克斯顿办公室沟通，并致力于保护消费者隐私。此外，美国联邦贸易委员会（FTC）已警告汽车制造商，将密切关注客户数据的收集和销售行为，特别是地理数据和敏感信息的泄露。