标签: 网络安全

落实网络安全法案,推送个人信息保护条款

9 月 14 日起,网民在登陆微信、淘宝、微博、高德地图等客户端时,陆续收到平台推送的个人信息保护政策,点击 “ 同意 ” 后才能继续使用。在 2017 年国家网络安全宣传周开幕前夕,互联网公司积极落实《网络安全法》规定,更新个人信息保护政策,不断加强对用户个人信息的保护。 2017 年 6 月 1日,《网络安全法》正式实施。互联网公司对个人信息保护政策的修订,正是积极响应《网络安全法》关于网络信息安全的相关规定,落实中央网信办、工信部、公安部、国家标准委等四部门 “ 个人信息保护提升行动 ” 的要求。以微博为例,修订后的个人信息保护政策,在信息收集、信息保护、安全措施等方面均增加了较大篇幅,力求全方位保护用户个人信息,扩大个人信息保护政策的覆盖范围。为保证新政及时为用户所了解,用户安装或升级微博客户端后,首次登陆都会收到推送信息,选择“同意”才能继续使用微博。 微博推送修订后的《微博个人信息保护政策》 2017 年国家网络安全宣传周 9 月 16 日在上海开幕。今年的网络安全宣传周以 “ 网络安全为人民,网络安全靠人民” 为主题,将持续到 9 月 24 日。中央网信办网络安全协调局主要负责人表示,提升个人信息保护的隐私条款专项工作,是贯彻网络安全法的重要举措之一。在提升个人信息保护工作中,要处理好保护和利用的关系,找好平衡点,既要保护个人信息的安全,又要利用好信息为8亿网民乃至14亿人民提供更好的服务,维护人民利益。 稿源:cnBeta、新浪科技,封面源自网络;

特朗普政府未重视网络威胁预警,现已有八名安全顾问辞职表态

美国总统唐纳德·特朗普(Donald Trump)在解散了两个咨询委员会后的一个星期,另一个白宫小组 – 国家基础设施咨询委员会(NIAC)28 名成员当中也已经有 8 名成员于上周辞职,他们在辞职信中表示,其辞职原因在于政府对网络安全威胁估计和准备不足,同时他们也不满唐纳德·特朗普对夏洛特斯维尔集会所采取的态度和回应。 2001 年,美国前总统乔治·布什(George W. Bush)成立 NIAC,就关键基础设施部门及其信息系统的安全提出建议,其成员总数最多可达 30 人,由私营部门,学术界和州和地方政府选出。现在,这些辞职成员表示,美国人所依赖的关键制度所面临的网络安全威胁日益增长,对民主选举进程制度的威胁日益增长,政府和 NIAC 都没有给予足够的重视。 同时这些辞职的成员也表示,特朗普对夏洛茨维尔事件没有给予有力谴责,他们不能容忍仇恨和暴力。此外,他们还抨击特朗普总统采取的虚假对等性。据悉,一些离开 NIAC 的安全顾问包括第一位白宫首席数据科学家 DJ Patil,以及前科技部政策主管克里斯汀·多尔洛斯和白宫理事会环境质量总监克里斯蒂·戈德富斯( Christy Goldfuss )与特斯拉老板、高调技术人士 Elon Musk。 稿源:cnBeta,封面源自网络;

澳大利亚维多利亚州启动新一轮网络安全战略,增强国家政府网络防御体系

澳大利亚维多利亚州政府于 8 月 25 日正式启动新一项五年网络安全战略,旨在增强国家政府网络防御体系并确保国家信息、服务与关键基础设施安全。不过,该战略目前首要保护公民敏感信息免遭丢失、恶意更改或未经授权使用。 与此同时,由于政府希望国家服务、系统与基础设施在遭受严重网络攻击时能够迅速得以恢复,因此该战略发布后政府不仅对国家基础设施的威胁采取了全方位应对措施,还强调了公共管理部门的网络安全战略需要根据行业实践进行改进,使之保持一致并适合每个组织风险状况。另外,维多利亚州政府还希望国家能够将安全与维护功能纳入公民新数字服务项目,旨在提高政府核心基础设施的安全性与可行性。因此,该战略的发布首先要求私营企业与其共享安全信息。 知情人士透露,维多利亚州政府将于 9 月在总理府内阁任命一名首席信息安全官员并设立新网络安全办事处,负责监督战略推出与跨政府协调行动。目前,由于该战略的启动,政府机构将被要求向维多利亚州秘书委员会以及国家危机与应变委员会提交一份网络安全季度报告,用于进行正常的国家安全检查。 原作者:Asha McLean,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络; 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

特朗普:美俄共建网络安全工作小组不会变成现实

日前特朗普在推文中表示,和普京总统讨论建立“难以渗透”的网络安全工作小组,进而避免选举干涉等负面事件再次发生。然而此举遭到了美国共和党、民主党中多位政客的强烈反对,面对愈演愈烈的压力特朗普不得不在推文中做出解释,他表示这只是“讨论”,并不意味着“会变成现实”。 美国当地时间周日晚上特朗普在推文中表示:“事实是普京总统和我仅仅讨论了网络安全工作小组的可能,并不意味着就会变成现实。这不会变成现实,但是美俄之间能够停战,是时候共同向前迈进了。” 稿源:cnBeta,封面源自网络

中央网信办:特别重大网络事件发生后需 24 小时值班

中央网信办 27 日印发了《 国家网络安全事件应急预案 》,其中将网络安全事件分成四级,并提出对应的预警和应急响应。当特别重大网络安全事件发生后,需成立指挥部,履行应急处置工作的统一领导、指挥、协调职责,同时应急办 24 小时值班。 预案所指网络安全事件是指由于人为原因、软硬件缺陷或故障、自然灾害等,对网络和信息系统或者其中的数据造成危害,对社会造成负面影响的事件,可分为有害程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他事件。其中,有关信息内容安全事件的应对,另行制定专项预案。 网络安全事件分为特别重大网络安全事件、重大网络安全事件、较大网络安全事件、一般网络安全事件。特别重大网络安全事件包括以下几种情况:重要网络和信息系统遭受特别严重的系统损失,造成系统大面积瘫痪,丧失业务处理能力;国家秘密信息、重要敏感信息和关键数据丢失或被窃取、篡改、假冒,对国家安全和社会稳定构成特别严重威胁;其他对国家安全、社会秩序、经济建设和公众利益构成特别严重威胁、造成特别严重影响的网络安全事件。 与之相对应,网络安全事件预警等级从高到低依次用红色、橙色、黄色和蓝色表示,分别对应发生或可能发生特别重大、重大、较大和一般网络安全事件。对于特别重大网络安全事件,应及时启动 I 级响应,成立指挥部,履行应急处置工作的统一领导、指挥、协调职责。应急办 24 小时值班。 据介绍,中央网信办统筹协调组织国家网络安全事件应对工作,建立健全跨部门联动处置机制,工业和信息化部、公安部、国家保密局等相关部门按照职责分工负责相关网络安全事件应对工作。必要时成立国家网络安全事件应急指挥部,负责特别重大网络安全事件处置的组织指挥和协调。在事件结束后,相关部门要进行调查预评估,对事件的起因、性质、影响、责任等进行分析评估,提出处理意见和改进措施。同时,中央网信办将协调有关部门定期组织演练,检验和完善预案,提高实战能力。各省区市、各部门每年至少组织一次预案演练。 稿源:中国记协网、北京青年报,封面源自网络

投资逾 5 亿澳元,澳大利亚 CEO 们比全球同行更担心网络安全

毕马威(KPMG)会计事务所最新《全球首席执行官展望》报告显示,澳大利亚的顶级首席执行官们比全球同行更担忧网络安全问题。报告显示,71% 的澳大利亚首席执行官会将超过 5 亿澳元的营业额用于网络安全投资上。相较之下,全球首席执行官的比例仅为 53%。 毕马威澳大利亚网络安全服务合作人阿奇博尔德对比表示,该结果符合《 ASX 100 网络健康检查 》报告的分析。这份报告发现,澳大利亚最顶级的企业高管普遍对网络威胁具有高度风险意识。 “网络威胁成为澳洲首席执行官最关注的问题,部分是由于这些网络漏洞对企业造成的巨大影响。” 阿奇博尔德称,“ 以前网络安全问题曾被看做是技术风险,而现在已被定义为商业风险。同时还有声誉风险以及它对股东价值和运营可用性的影响。” 源:中国新闻网,封面源自网络

网络安全威胁加剧 行为生物识别技术或成终极守护

5月12日消息,据BBC报道,随着欺诈者越来越容易窃取或猜中我们的用户名和密码,我们正输掉这场捍卫网络安全的战争。那么通过怪异的方式分析我们如何使用各种设备,甚至我们走路的方式,能够为我们提供额外的防护能力吗? 最近当你走在繁忙的街道上时,经常能够遇到所谓的“智能手机僵尸”,这些人沉迷于手机中而无视周围的世界。但他们不知道的是,无论是他们走路的方式,还是握持这些催眠设备以及与它们交互的方式,都可向服务提供商表明自己的身份。这是个令人惊异的行为生物识别的新世界,它正处于网络安全大战的最前沿。 行为生物识别公司Callsign首席执行官兹亚·哈亚特(Zia Hayat)说:“通过手机中的加速度计和陀螺仪,我们可以衡量你的手腕力量。通过测量你的步伐,我们可以将你从人群中识别出来,准确率高达1/20000,与指纹识别的精确度大致相当。” 所以,即使欺诈者已经窃取了你的网银登录信息或下载恶意软件到你的手机上,这类行为软件应该也能够发现异常,确定并非你本人想要尝试将这些钱转移到国外银行中。科技公司认为,这些生物行为特质就像我们的声音那样独特,就像莫尔斯密码操作员可通过独特方式发送和接受信息那样。 行为生物识别公司BioCatch的首席执行官艾亚尔·戈德维格(Eyal Goldwerger)称:“认证机制很不错,但是当欺诈者已经侵入你的系统中时,它就没用了!大多数银行欺诈都是在用户进行认证之后发生的。人类与设备的交互方式显然与恶意软件的运作方式截然不同。为此,即使你的手机被感染,躺在那里静等你登陆然后进行劫持,行为生物识别方案依然能够发现其中的差异。” 图:行为生物识别公司Callsign首席执行官哈亚特表示,行为生物识别属于“情报驱动的认证” 哈亚特说:“如果你没有操作手机,而它却自己在运行,你可能认为是恶意软件在操控它。我们可以利用最新智能手机上的气压计测量气压,同时它也可以显示手机的位置,以及是否与用户所说的位置相吻合。” 甚至于你手指的大小(机手指覆盖住屏幕的面积)也可以帮助设置相当精确的签名信号。这很容易理解,许多银行都对这种新的安全方式产生兴趣,Callsign的客户包括来爱的银行集团和德意志银行等。此外,Behaviosec、NuData Security以及Zighra等行为生物识别公司,也都在与从事身份管理的网络安全公司合作。举例来说,Callsign的技术正与ForgeRock的身份管理平台进行整合。 ForgeRock首席执行官迈克·艾利斯(Mike Ellis)表示:“我们正迈向密码更少的世界,为此我们需要更多层次的身份验证,而行为生物验证机制就是其中之一,识别设备、其地理位置以及典型行为则是另一层。” 越来越多的银行正推出语音认证机制,将其作为更安全、更少侵入性的方式,以为客户建立自己的身份。语音生物识别机制公司Nuance的产品战略总监布雷特·博兰尼克(Brett Beranek)说:“在神经网络和机器学习的帮助下,身份验证的准确性已经从98%提高至99%。” 但即便如此,博兰尼克也承认,还需要更多层次的验证后行为安全机制,以帮助用户应对手机遭到恶意软件感染。戈德维格称,除了物理行为,比如我们打字的速度以及操作手机的方式,心理行为也可能泄露身份。比如在浏览网页时,我们会无意识地做出选择。他说:“你决定向下滚动页面的方式(包括使用鼠标滚轮或点击页面侧边栏拖动),可以表明是你在浏览网站,而不是其他人。” BioCatch表示,当用户与他们的数字设备进行交互时,他们可以对500多个参数进行测量。利用机器学习技术,该公司称可在短短10分钟的交互中,帮助建立用户独特的行为生物特征。 但是戈德维格说,行为生物识别机制并非为了取代现有的身份认证方法,比如语音、指纹以及自拍等,而是对它们进行补充。这种安全机制的优势在于,我们所做的一切都是无缝的,不存在任何摩擦。这一切都发生在后台,而且用户毫不知情。这种软件能在98%的时间里发现可疑活动。 但是隐私呢?如果这些公司通过检测我们的在线行为就可识别出我们的身份,匿名就成了空话?寻找恐怖分子加密通信方式的方法最后会变成识别我们所有人身份的方法吗?我们真的喜欢这样的技术吗?戈德维格坚持称,BioCatch等技术不会看到任何用户的个人身份信息,客户(通常是银行)也不会看到BioCatch产生的任何匿名行为模式。他说:“所有银行看到的是该用户会话的风险评分,而我们看到的是与这个人有关的ID号码。” Callsign的哈亚特表示,他的公司也在做同样的事情,原则上需要遵守现有资料保护 法例。但是如果欺诈者窃取某人的身份,并重新建立了新的账号会如何?如果没有用户以前的行为进行对比,行为生物识别技术能确保其肯定有效吗? BioCatch认为,即使在这些情况下,行为分析也能提供帮助。戈德维格说:“欺诈者可能不熟悉这些数据,因为这些根本不是他们产生的。我们可以发现这其中的差异。我们可以注意到他们填写不同的申请表格,因为他们通常不会那样做。” (小小) 稿源: cnBeta、网易科技,封面源自网络

澳大利亚与中国达成网络安全协议

据英国《金融时报》报道,澳大利亚已与中国达成一项网络安全协议。根据这项协议,两国均承诺不会从事或支持窃取对方知识产权或商业秘密的行为。这项协议是在澳总理马尔科姆•特恩布尔(Malcolm Turnbull)于中国总理李克强上月正式访澳期间向李提出一项特别请求后出炉的,它反映出西方日益担心由国家支持的网络攻击和网络犯罪。 周一,澳大利亚政府在一份声明中表示:“澳大利亚与中国一致同意,两国都不会从事或支持借助网络展开的、意在获取竞争优势的、窃取知识产权、商业秘密或机密商业信息的行为。” 去年,堪培拉方面承认,2015 年澳政府网络曾遭遇由国家支持的网络攻击,攻击最初以澳大利亚气象局(Australian Bureau of Meteorology) 为 目标。在那之后,堪培拉方面加大了对网络犯罪和间谍活动的关注。今年1月,特恩布尔警告称,俄罗斯通过网络攻击干预美国大选令人“极为关切”。 澳大利亚战略政策研究所( Australian Strategic Policy Institute )所长彼得•詹宁斯( Peter Jennings )表示,他“毫不怀疑中国人应对气象局遭受攻击负责”。他说,这项双边协议是有意义的,因为中国是澳要考虑的最大间谍活动来源。不过,他警告称,北京方面会继续把澳大利亚的利益当作目标,堪培拉方面在这一点上不应抱有幻想。 全球网络安全集团 FireEye 的网络威胁情报部门主任蒂姆•韦尔斯莫尔( Tim Wellsmore )表示,这项澳中协议看上去与 2015 年美国与中国签署的一项协议类似。 “它关注的是窃取知识产权和商业相关问题,而不是间谍活动或有政治动机的网络攻击,”韦尔斯莫尔说。 FireEye去年发布的一份报告得出结论称,自 2014 年年中以来,以中国为基地的组织对在美实体发起的入侵活动总体上显著减少。该报告称,这一行动上的转变反映出中国军事改革、中国网络行动遭广泛曝光以及美国政府所采取的行动带来的影响。 稿源:FT中文网,译者/简易  

七国集团(G7)联合发布网络空间安全的国家责任声明

近几年来网络空间安全态势变得越来越复杂,或将影响国际和平与安全的发展,而国家之间的冲突与威胁也导致网络事故频繁发生,为此,七国集团( G7 )部长会议联合发布了一份关于网络空间安全的国家责任声明,鼓励所有国家在使用信息通信技术( ICT )时遵纪守法、互尊互助和建立相互信任的行为。 外媒 11 日报道,七国集团负责人表示这一声明是处于和平时期提出的一个自愿、非约束的规范标准。声明共计 12 个要点,旨在维护网络空间的稳定性与安全性,降低针对国际和平、安全与稳定的风险。 以下是声明中提出的 12 个要点(意译): 1、维护国际和平与安全。成员国之间应协同制定开发与应用措施,提高信息通信技术的稳定与安全,防止有害措施对国际和平与安全构成威胁; 2、在 ICT 事故发生的情况下,各国应考虑所有相关信息,包括事件深层背景、技术挑战以及事件所来带的后果与影响; 3、成员国之间不得在其领土上利用 ICT 技术组织国际非法行动; 4、成员国之间应考虑如何更好合作、信息交流、相互协助,共同惩治使用 ICT 技术的恐怖分子或网络罪犯,各国之间应考虑是否制定新的措施解决相关网络威胁; 5、成员国之间在确保 ICT 的安全使用方面,应尊重人权理事会关于互联网促进、保护和享有人权的第 20/8 号和第 26/13 号决议以及大会第 68/167 号、第 69/166 号决议数字时代的隐私权,其包括尊重人权、保障言论自由; 6、成员国之间不应使用 ICT 技术故意损害或以其他方式损害国家关键基础设施,或以“为公民提供服务”为由进行违反国际法规的 ITC 活动; 7、关于建立全球网络安全文化和保护重要信息基础设施,以及其他相关决议的第 58/199 号决议,各国应采取适当措施保护其关键基础设施免受 ICT 威胁。 8、遭受 ICT 恶意攻击的国家发出援助请求时,成员国之间应作出适当回应,以减轻国家关键基础设施遭受的损害,同时也需顾虑他国主权问题; 9、成员国之间应采取合理步骤确保供应链的完整性,使用户对 ICT 产品的安全保有信心。各国应设法阻止 ICT 恶意工具和技术的扩散以及有害隐藏功能的使用; 10、成员国之间应鼓励安全专家对 ICT 漏洞进行认真分析报道,并分享修复漏洞的补丁以消除 ICT 基础设施潜在威胁; 11、成员国之间不得损害他国应急团队(或称计算机应急团队或网络安全事故响应团队)的信息系统,不应授权安全团队进行恶意的国际行动。 12、成员国之间不应开展或支持窃取 ICT 技术知识产权,包括商业秘密或其他机密信息,以便为其他公司或商业部门提供竞争优势。 七国集团负责人表示,此声明将会是维护国际和平、安全与稳定的长期道路上迈出的第一步。 附:网络空间安全的国家责任声明原文阅读 原报道:Pierluigi Paganini, 译者:青楚,审核:狐狸酱 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

2017年网络安全领域的四大发展趋势

当提及网络安全,无疑透露了安全技术人员在过去一年所面临的繁忙事务。网络攻击在 2016 年创下了新的记录,这也导致 2017 年的互联网环境变得更加危险。让我们来看一看有关 2017 年网络安全领域的四大发展趋势。 勒索软件的变脸时代 随着越来越多的数据被存储在移动设备上,勒索软件将继续成为网络罪犯的主流工具。这是一个利润丰厚的商业模式,攻击者将内容强制进行加密,受害者在不缴纳赎金的情况下根本无法恢复数据。勒索软件变得越来越复杂,以致于现在可以瞄准任何网络设备。 另一种观点也显示:网络犯罪分子广泛地利用垃圾邮件进行钓鱼勒索的攻击。他们通常瞄准的目标是具有重要信息的管理人员。 物联网开放的季节 目前,数十亿的物联网产品正在连接企业网络。考虑到许多不定因素的存在,网络设备的广泛使用也使黑客目标数量相应增长。去年 10 月的 Dyn 攻击事件表明,网络犯罪分子正在对物联网进行着大规模地操控。其中,颇具威胁的是黑客部署的 Mirai 恶意软件攻击计划,他们操控 IoT 设备发起 DDoS (分布式拒绝服务) 攻击,由于 Mirai 源代码和其他攻击工具的泄露,如今互联网上任何人都能在此基础上组建自己的僵尸网络。 移动安全威胁无处不在 近期,大约 4% 的移动设备感染了恶意软件,约有将近一半的用户敏感数据面临安全风险。 员工忽视公司协议将未授权的软件下载至企业网络设备中,即使他们遵循公司相关法则但仍具有风险。开发者可通过创建隐藏恶意程序的虚假软件混入知名应用商店,诱使企业员工使用或链接内网从而导致更多设备沦陷。 如今越来越多的企业员工选择通过移动设备连接企业网络,也注定使他们成为更多网络攻击的目标。 政治黑客成为主流 目前欧美国家正在进行定期的网络间谍排查活动。研究表明国家支持的网络攻击不能再局限于工业间谍活动。美国民主党代表也透露过黑客是如何利用所窃取的信息进行挑拨、传播,推进其政治目标的典型例子。研究表明,即使那些不直接参与政治的企业也需要更新其威胁评估。事实上,任何组织都有可能站在对抗国家的十字路口上。 网络安全的威胁不仅仅来源于国家与民族,就连安全从业者也需防御各类欲利用网络攻击达到政治目的的黑客所带来的威胁。 原作者:Charles Cooper, 译者:青楚 本文由 HackerNews.cc 翻译整理、略有改动;封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接