国内外网络安全一周动态（2月22日-3月1日）

美国土安全部将成立新的网络安全工作协调部门

安全内参 2月25日消息    美国土安全部（DHS）近日在其2021财年的预算申请文件中，就成立一个专门协调其体系内网络安全工作及确定联合优先工作方向的新网络安全协调部门“联合网络协调组（Joint Cyber Coordination Group，JCCG）”，向美国国会申请260万美元预算。美国国会之前曾认为不断发展的技术和网络威胁使得国土安全部任何一个现有部门都“难以管控相关风险的所有方面”，同时国土安全部缺乏“组织各下属机构制订、规划和执行战略性行动优先工作方向，开展应对网络风险的长期保护性和威慑性工作的主要机制”，因此要求该部成立一个专职部门来协调其内部各机构的网络安全工作。

NIST标准《零信任架构》草案第2版发布

安全内参 2月24日消息    零信任是一组不断演进的网络安全范式，它将网络防御范围从静态的基于网络的边界，转移到关注用户、资产和资源。其要点是在网络分段基础上着重保护资源，这是为了有效应对当今企业网络的发展趋势，即不在企业所辖网络边界内的远程用户和基于云的资产。2020年2月NIST（美国国家标准与技术研究院）发布《零信任架构》标准草案第2版，表明零信任架构的标准化进程正在加速推进中。

FBI透露近六年里支付给勒索攻击者的赎金超过1.4亿美金

FreeBuf 2月28日消息    FBI通过私人分享或者VirusTotal等渠道收集比特币钱包和赎金记录，来统计近六年来受害者支付了多少赎金。在2013年1月10日至2019年7月11日期间，大约有价值144350000万美元的比特币支付给了勒索软件攻击者，这损失并不包括与攻击相关的运营成本，而是纯粹的赎金支付。需要注意的是，全球范围内在过去六年里，因勒索攻击造成的实际支付赎金必定远超FBI所统计的数字，因为有大量赎金记录和加密货币钱包是无法获取到的。其次，很多公司对勒索攻击事件实行严格保密，以防影响股价。

美参议院委员会将举行一场5G服务供应商安全听证会

cnBeta 2月27日消息    据外媒报道，美国参议院一个小组委员会将于下周举行一场审查5G网络安全状况的听证会。这场名为“5G供应链安全：威胁和解决方案”的听证会将于美国东部时间3月4日上午10点举行。参议院商业、科学和交通委员会的网页上写道：“听证会将审查电信供应链的安全和完整性以及在向5G过渡期间防止网络被利用需要作出的努力。”另外，它还将审视联邦政府在降低美国及海外电信设备和服务风险方面所扮演的角色。

在韩国政府之后，波兰政府也增加了对 Linux 的使用

OSChina 2月25日消息    前段时间，韩国政府起草了一项战略，准备采用基于 Linux 的开源操作系统全面取代 Windows 7，以摆脱对其的依赖。目前，波兰的社会保险公司 ZUS（ Zakad Ubezpieczeń Spoecznych）也已宣布，与 Linux Polska 达成一项协议，以提供具有三年支持服务的集成服务器虚拟化解决方案，新的解决方案将允许 ZUS 开发和优化 IT 系统。

欧盟要求员工放弃使用WhatsApp和Messenger

新浪科技2月25日消息    据国外媒体报道，欧盟委员会（EC）已告知其所有员工，出于网络安全因素考虑，应放弃使用WhatsApp、Facebook Messenger和苹果Messages等即时通讯应用，转而使用另一款即时消息应用Signal。Signal序因其“端到端”加密和开源技术而受到隐私维权人士的青睐。Signal的开源性质，为那些想要确保安全的人们提供了安心丸。另外还有一个原因是，近年来针对WhatsApp这样的流行即时通信应的黑客攻击也越来越频繁。例如，亚马逊CEO杰夫·贝索斯（Jeff Bezos）的手机被入侵，就是因为其WhatsApp账户收到了含有病毒的视频文档，导致手机被感染。

网络安全事件

印度BGR的SQL转储在黑客论坛上共享

BleepingComputer 2月27日消息    黑客目前正在从不安全的Amazon Simple Storage Service（S3）存储桶中共享SQL数据库，该存储桶属于印度BGR科技新闻网站。该数据库是未经压缩的21.5GB大型存储库的一部分，其中包括至少两个其他站点的详细信息。所有信息都可以在黑客论坛上免费传播。

迪卡侬数据库泄露1.23亿员工数据

搜狐新闻 2月28日消息    体育连锁巨头迪卡侬（Decathlon）发生大范围数据泄露，起因是1.23亿条记录被保存在一个并不安全的数据库中。这是由vpnMentor安全研究人员发现的，并在本周一公布。该数据库属于迪卡侬西班牙和迪卡侬英国公司。泄露的数据涉及员工系统用户名、未加密的密码、API日志、API用户名、个人身份信息等。对于迪卡侬员工来说，涉及的信息包括姓名、地址、电话号码、生日、学历和合同明细，而对于客户来说，涉及的信息包括未加密的电子邮件、登录信息和IP地址。该数据库漏洞于2月12日被发现，迪卡侬于2月16日得到通知，随后数据库于2月17日下线。

ObliqueRAT恶意软件针对东南亚国家发动网络攻击

Securityaffairs 2月23日消息    近日，美国网络安全企业思科公司Talos安全研究团队发布报告称，监测发现不明身份的攻击者正在利用一款名为“ObliqueRAT”的新型恶意软件对东南亚地区部分国家实施网络攻击活动。攻击者通过发送带有敏感主题和内容的钓鱼邮件投递ObliqueRAT恶意软件，感染目标主机后，该恶意软件能够实现主机信息收集、敏感数据窃取，恶意软件安装和持久性驻留等恶意功能。研究人员表示，ObliqueRAT是一款新型远程控制木马，具有典型木马程序的核心功能，主要通过恶意Microsoft Office文档进行传播。此次攻击活动开始于2020年1月，攻击者通过鱼叉式网络钓鱼攻击的方式，利用带有“Company-Terms.doc（公司条款）”、“DOT_JD_GM.doc（职位描述-总经理）”等带有敏感主题内容的钓鱼邮件诱使受害人执行附件中的恶意宏程序。宏程序运行后，会下载第二阶段攻击所使用的远程访问木马ObliqueRAT，实现对受害人主机的控制。

30亿人脸数据AI公司遭遇重大数据泄露，完整客户名单被盗

澎湃新闻2月27日消息    600多家执法机构使用的人脸识别应用程序Clearview AI遭遇重大数据泄露，完整客户名单在这次泄露中被盗。名单中的客户包括美国警方、执法机构和银行。2月27日，Clearview AI公司向美国福克斯新闻网证实，有人获得了其所有客户的列表、客户使用的账户数量以及客户进行的搜索数量。Clearwater AI向至少600家美国执法机构提供了最新面部识别系统，其中涵盖从各大主流网站上抓取的30亿张图片数据。使用该系统，只需上传某个人的面部照片，就可以查看他在网上的公开照片，包括照片的地址链接。

行业新动态

谷歌借助深度学习来扫描和屏蔽邮件中的恶意附件

cnBeta2月26日消息    互联网上随处可见的谷歌服务，显然成为了许多别有用心者的首选攻击对象。为了打击针对Gmail用户的非法活动（包括垃圾邮件、网络钓鱼诈骗、恶意软件攻击等），该公司一直在努力应用最新的技术。最新消息是，谷歌正在借助深度学习功能，来扫描和屏蔽邮件中的恶意附件。

OCA联盟推出面向安全工具行业的首个开源消息传递框架

cnBeta2月25日消息    为了打破网络安全工具之间一盘散沙的局面和交流上的鸿沟，开放网络安全联盟（OCA）推出了专为在网络安全软件之间分享数据和命令的开源消息传递框架。周一的时候，由 IBM、Crowdstrike 和 McAfee 等在内的网络安全厂商所组成的 OCA 联盟，正式宣布了首个用于连通网络安全工具的 OpenDXL Ontology 开源消息传递框架。

央行正式发布《金融分布式账本技术安全规范》

搜狐新闻2月24日消息    近日，《金融分布式账本技术安全规范》（JR/T 0184—2020）金融行业标准由中国人民银行正式发布。标准规定了金融分布式账本技术的安全体系，包括基础硬件、基础软件、密码算法、节点通信、账本数据、共识协议、智能合约、身份管理、隐私保护、监管支撑、运维要求和治理机制等方面。标准适用于在金融领域从事分布式账本系统建设或服务运营的机构。

分布式账本技术是密码算法、共识机制、点对点通讯协议、分布式存储等多种核心技术高度融合形成的一种分布式基础架构与计算范式。发布并实施本标准有助于金融机构按照合适的安全要求进行系统部署和维护，避免出现安全短板，为分布式账本技术大规模应用提供业务保障能力和信息安全风险约束能力，对产业应用形成良性的促进作用。

本标准由全国金融标准化技术委员会归口管理，由中国人民银行数字货币研究所提出并负责起草，中国人民银行科技司、中国工商银行、中国农业银行、中国银行、中国建设银行、国家开发银行等单位共同参与起草。标准经过广泛征求意见和论证，并通过了全国金融标准化技术委员会审查。

详细标准请登录金融标准全文公开系统查询。

《商业银行应用程序接口安全管理规范》金融行业标准正式发布

中国电子银行网2月24日消息    2020年2月13日，《商业银行应用程序接口安全管理规范》（JR/T 0185—2020）金融行业标准由中国人民银行正式发布。标准规定了商业银行应用程序接口的类型与安全级别、安全设计、安全部署、安全集成、安全运维、服务终止与系统下线、安全管理等安全技术与安全保障要求。

本标准的发布实施能够满足在平衡服务快速响应与金融信息保护能力基础上，对商业银行应用程序接口的接口设计、应用部署、集成运行、运维监测及系统下线等全生命周期过程提出安全技术与安全管理要求，并为其提供信息安全技术保障。

本标准由全国金融标准化技术委员会归口管理，由中国人民银行科技司提出并负责起草，中国金融电子化公司、中国银联股份有限公司、中国工商银行股份有限公司、中国农业银行股份有限公司、中国银行股份有限公司、中国建设银行股份有限公司、中国邮政储蓄银行股份有限公司等单位共同参与起草。标准经过广泛征求意见和论证，并通过了全国金融标准化技术委员会审查。