宏观新闻

【国家网信办公布《数据出境安全评估办法》】7月7日，国家互联网信息办公室公布《数据出境安全评估办法》，自2022年9月1日起施行。国家互联网信息办公室有关负责人表示，出台《办法》旨在落实《网络安全法》、《数据安全法》、《个人信息保护法》的规定，规范数据出境活动，保护个人信息权益，维护国家安全和社会公共利益，促进数据跨境安全、自由流动，切实以安全保发展、以发展促安全。近年来，随着数字经济的蓬勃发展，数据跨境活动日益频繁，数据处理者的数据出境需求快速增长。明确数据出境安全评估的具体规定，是促进数字经济健康发展、防范化解数据跨境安全风险的需要，是维护国家安全和社会公共利益的需要，是保护个人信息权益的需要。《办法》规定了数据出境安全评估的范围、条件和程序，为数据出境安全评估工作提供了具体指引。《办法》明确，数据处理者向境外提供在中华人民共和国境内运营中收集和产生的重要数据和个人信息的安全评估适用本办法。提出数据出境安全评估坚持事前评估和持续监督相结合、风险自评估与安全评估相结合等原则。

【API安全形势严峻：38万台K8s API服务器暴露在公网】Shadowserver Foundation的研究人员发现，超过38万台开放Kubernetes API服务器暴露在互联网上，占全球可观测在线Kubernetes API实例的84%。研究是通过HTTP GET请求在IPv4基础设施上进行的。研究人员没有进行任何侵入性检查来精确衡量这些服务器所呈现的暴露程度，但研究结果表明，Kubernetes API服务器领域可能存在普遍性问题。“虽然并不意味着这些实例完全开放或容易受到攻击，但这种访问级别很可能并非有意设置，这些实例是不必要暴露的攻击面。”Shadowserver在报告中称，“甚至还暴露了版本和构建信息。”最密集的暴露API服务器集群位于美国，大约存在20.1万个开放API实例，占全部所发现开放服务器的53%。围绕API安全问题的研究越来越多，这份报告提供了又一证据，表明很多组织都没有准备好防范、响应潜在API攻击，甚至都不了解此类攻击。根据Salt Security最近发布的《2022年API安全状态》报告，大约34%的组织完全没有API安全策略，另有27%的组织表示只制定了基本策略，仅包括最低限度的API 安全状态扫描和人工审查，毫无控制或管理措施。Noname Security委托451 Research开展的另一项研究发现，41%的组织在过去12个月内经历过API安全事件。其中，63%涉及数据泄露或遗失。

【2022年十大高薪紧缺技能：网络安全排名第一】根据Compia公司最新发布的科技趋势报告，网络安全在2022年十大高薪紧缺技能中排名第一，TOP10榜单包括了网络安全、云计算、人工智能和机器学习、数据分析和数据科学、区块链、开发运维、增强现实/虚拟现实、安卓/iOS开发、用户体验/用户界面以及软件工程。该报告还预计，到2022年，科技行业的规模将超过5.3万亿美元，并将恢复到之前同比增长5-6%的增长模式。科技行业的就业形势也比整体就业更强劲，它享有更低的失业率和更强劲的就业前景，尤其是网络安全和元宇宙等领域，人才需求强劲。CompTIA的报告将基础设施、软件开发、网络安全和数据定义为企业IT运营的四大支柱。报告指出，网络安全可能是四大支柱中最复杂的一个，包括公司必须建立的扩展防御、主动测试这些防御的创新方法以及创建安全运营的内部流程。随着数字经济中数据的使用不断受到审查，隐私成为首要考虑因素。此外，随着越来越多的公司采用零信任的框架方法，风险分析、网络安全分析和渗透测试都是需要改进的领域。作为弥合网络安全最佳实践与业务健康之间差距的一种方式，网络安全指标开始受到更多关注。安全意识培训是最常被低估的优先事项，事实上远程办公带来的新问题一直是安全意识教育和安全投资的主要触发因素。

安全动态

【中国红客联盟宣布解散，更名为弘客联盟】7月7日消息，中国红客联盟官方微博昨日发布公告，即日起宣传解散，并更名为弘客联盟。该微博称，因原红客联盟创始人林勇将红客商业化，招集原红客成员洽谈合作，因志不同道不合，本联盟拒绝合作，遭林勇以红客联盟创始人身份以打假为由，恶意造谣、煽动是非，引起红客粉丝网暴。至此我们更名为 弘客联盟，继续发扬爱国主义精神，普及网络安全知识。根据官博晒出的截图，中国红客联盟似乎发生了一些纷争，原红客联盟创始人林勇与目前红客联盟备案法人代表汪林互相进行指责。据公开资料，中国红客联盟又叫H.U.C。成立于2000年底，是由黑客界LION牵头组建的，吸纳了全国众多黑客高手，该组织主要反击国外一些黑客的攻击。红客联盟于2004年12月31日成立四周年之际，在其网站上发表公开信，宣布解散，同时关闭网站。2011年9月22日宣布重新组建，新网站于2011年11月1日开放。

【连锁酒店巨头万豪证实其发生又一起数据泄露事件】酒店集团万豪国际集团已经证实了另一起数据泄露事件，黑客们声称窃取了20GB的敏感数据--包括客人的信用卡信息。该事件首先由Databreaches.net报道，据说发生在6月，一个不知名的黑客组织宣称他们利用社会工程欺骗马里兰州一家万豪酒店的员工以让他们进入他们的电脑。“万豪国际知道有一个威胁者利用社会工程骗取了一家万豪酒店的一名员工，以让他访问了该员工的电脑，”万豪发言人Melissa Froehlich Flood在一份声明中告诉TechCrunch，“（不过）该威胁者没有进入万豪的核心网络。”万豪表示，在威胁者联系公司进行敲诈之前，连锁酒店已经发现并正在调查这一事件，万豪表示它没有支付这笔钱。声称对这次攻击负责的组织称，被盗的数据包括客人的信用卡信息及客人和员工的机密信息。提供给Databreaches.net的数据样本据称显示了从2022年1月开始的航空公司机组成员的预订记录和客人的姓名和其他细节以及用于预订的信用卡信息。然而，万豪酒店告诉TechCrunch，其调查确定，被访问的数据主要包含有关酒店运营的非敏感内部业务文件。该公司表示，它正在准备通知300-400人有关这一事件并已通知相关执法机构。

【勒索团伙爆出芯片巨头AMD 450Gb数据泄露，被窃原因曝光】最近，一个勒索团伙表示，手里握有从AMD那儿黑来的450Gb数据。Cimpanu发推表示RansomHouse声称手头握有芯片制造商AMD的大量数据，RansomHouse自称是一个专业调解人社区，旨在帮助黑客和被勒索的公司之间进行谈判付款。据报道，这起数据泄露其实是今年年初的事，只是一直没有披露出来，AMD也没有进行确认。据Restore vac Privacy报道，RansomHouse发布的AMD数据包括的内容非常多，从网络硬盘数据、系统信息，甚至连AMD的密码都有。RansomHouse目前公布了被窃取的部分数据作为证据，其中包括一些AMD员工的密码和一些系统文件。据RansomHouse称，AMD几乎没有安全系统，许多员工使用简单的密码，如“password”、“123456”或“amd123”。并且，AMD的安全部门也使用了这些密码，正是因为这个原因黑客才窃取了上述大量数据。黑客向AMD提出了什么要求目前还不得而知，RansomHouse威胁说除非AMD与RansomHouse和黑客谈判达成协议，否则将在不久的将来某个时候公布这些数据。AMD方面则尚未确认这一数据泄露事件，但向RestorePrivacy提供了以下声明，“AMD已了解到有一个不良行为者声称拥有从AMD窃取的数据，目前正在进行调查”。

【美声称朝鲜黑客正利用勒索软件攻击医疗保健机构】美联邦调查局（FBI）、网络与基础设施安全局（CISA）和财政部（DoT）近日警告称，有朝方背景的黑客组织，正在利用勒索软件向美国各地的医疗保健机构和公共卫生部门发起攻击。在周三发布的联合公告中，美政府机构指出，其发现相关黑客活动至少可追溯至2021年5月开始部署的Maui勒索软件。据悉，受害医疗保健机构的服务器资料会被加密，并波及电子健康记录、医学成像和整个内网。公告还指出，在FBI观察到并介入相应的诸多事件中，在毛伊岛爆发的勒索软件攻击对当地医疗保健服务造成了长期的中断困扰。2022年4月上旬，威胁搜寻初创企业Stairwell率先曝光了此事，并努力帮助组织机构确定其是否已被入侵。此前很长一段时间，我们已经多次听到过类似的报道。Mandiant Intelligence副总裁John Hultquist亦在一封电子邮件中表示，这种情况对他们来说可谓是轻车熟路。最后，这份CISA联合公告提到了相关攻击指标（IOC）、技术策略和程序（TTP）等信息，以帮助相关组织机构有效落实网络安全防护政策。比如限制对数据的访问、关闭网络设备管理接口，并通过监控工具观察物联网设备是否有被入侵等。

【美国防部推出“Hack US”公网资产漏洞奖励计划，奖金池11万美元】美国国防部推出了一项为期一周的漏洞奖励计划，名为“Hack US”。如研究员能从国防部所拥有的公开可访问资产中找到高危和严重漏洞，则可获得奖励。这项新的漏洞奖励计划是国防部漏洞披露计划的一个简短延伸，在 HackerOne 平台运行。该计划将在7月4日至7月11日期间向全球的漏洞猎人和安全研究人员开放。美国国防部/HackerOne 发布消息称，“从2022年7月4日至2022年7月11日，在国防部所拥有的、运营的或控制的任何公开可访问信息系统、web财产或数据上如发现且只有发现高危和严重漏洞，可获得奖励。该计划的奖金池是11万美元，将遵循谁先提交谁得赏的原则为漏洞报告分配7.5万美元，直到该7.5万美元耗尽。3.5万美元将作为漏洞奖赏。”美国国防部指出，奖金颁发完后收到的漏洞报告将被视作国防部漏洞披露计划内的正常漏洞提交报告。它还指出，“奖励的办法速度比烟花还要快，只有高危和严重级别的漏洞成果才可获得奖赏。主题奖励适用于在国防部不同领域中的最佳研究成果。”美国国防部的最高漏洞奖励是1000美元，但它指出在这项新计划范围内，最佳漏洞研究成果将获得5000美元的奖励。

标签： vac