标签: 网络安全

2017年网络安全领域的四大发展趋势

当提及网络安全,无疑透露了安全技术人员在过去一年所面临的繁忙事务。网络攻击在 2016 年创下了新的记录,这也导致 2017 年的互联网环境变得更加危险。让我们来看一看有关 2017 年网络安全领域的四大发展趋势。 勒索软件的变脸时代 随着越来越多的数据被存储在移动设备上,勒索软件将继续成为网络罪犯的主流工具。这是一个利润丰厚的商业模式,攻击者将内容强制进行加密,受害者在不缴纳赎金的情况下根本无法恢复数据。勒索软件变得越来越复杂,以致于现在可以瞄准任何网络设备。 另一种观点也显示:网络犯罪分子广泛地利用垃圾邮件进行钓鱼勒索的攻击。他们通常瞄准的目标是具有重要信息的管理人员。 物联网开放的季节 目前,数十亿的物联网产品正在连接企业网络。考虑到许多不定因素的存在,网络设备的广泛使用也使黑客目标数量相应增长。去年 10 月的 Dyn 攻击事件表明,网络犯罪分子正在对物联网进行着大规模地操控。其中,颇具威胁的是黑客部署的 Mirai 恶意软件攻击计划,他们操控 IoT 设备发起 DDoS (分布式拒绝服务) 攻击,由于 Mirai 源代码和其他攻击工具的泄露,如今互联网上任何人都能在此基础上组建自己的僵尸网络。 移动安全威胁无处不在 近期,大约 4% 的移动设备感染了恶意软件,约有将近一半的用户敏感数据面临安全风险。 员工忽视公司协议将未授权的软件下载至企业网络设备中,即使他们遵循公司相关法则但仍具有风险。开发者可通过创建隐藏恶意程序的虚假软件混入知名应用商店,诱使企业员工使用或链接内网从而导致更多设备沦陷。 如今越来越多的企业员工选择通过移动设备连接企业网络,也注定使他们成为更多网络攻击的目标。 政治黑客成为主流 目前欧美国家正在进行定期的网络间谍排查活动。研究表明国家支持的网络攻击不能再局限于工业间谍活动。美国民主党代表也透露过黑客是如何利用所窃取的信息进行挑拨、传播,推进其政治目标的典型例子。研究表明,即使那些不直接参与政治的企业也需要更新其威胁评估。事实上,任何组织都有可能站在对抗国家的十字路口上。 网络安全的威胁不仅仅来源于国家与民族,就连安全从业者也需防御各类欲利用网络攻击达到政治目的的黑客所带来的威胁。 原作者:Charles Cooper, 译者:青楚 本文由 HackerNews.cc 翻译整理、略有改动;封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

新加坡政府设立网络安全实验室

日前,新加坡国立大学和新加坡国家研究基金会发布联合声明称,新加坡政府投资 840 万新元(约合 593 万美元)的网络安全实验室在新加坡国立大学成立,将为学术及产业相关人士的网络安全研究和测试提供支持。 该实验室目前正在支撑 20 个来自科研机构和业界人士的项目,聚焦于软件安全性、云数据存储和城市交通系统问题。该实验室能够模拟 1000 余台计算机同时执行多项制造网络安全事件的任务,例如大规模的恶意网络攻击。它还拥有大型的恶意软件数据库,可以用于研究和教育等用途。这些能力到年底预计将进一步扩大三倍。 这一新的实验室将为网络安全测试和数据提供即用型工具,便于研究人员利用这些工具来支持其研究。同时,该实验室还将为学生和行业专业人士提供系统漏洞的实践培训。 新加坡网络安全研发计划,是由新加坡政府于 2013 年 10 月提出的。根据该计划,新加坡政府将推动政府机构、学术界、研究机构和私人企业的合作,共同对抗网络攻击。该实验室是新加坡网络安全研发计划的一项倡议,得到新加坡国家研究基金会、网络安全局、内政部和国防部等政府部门和机构,以及学术界、研究机构和企业的支持。这一国家性计划的重点在于推动网络安全研究工作及能力建设,同时,加强数字基础设施建设,特别是在安全性、可靠性和弹性三个方面。 转载自:中国信息产业网 ;作者:付钰 王辉

消费者报告计划将网络安全和隐私保护纳入产品打分体系中

消费者报告(Consumer Reports)是一家在美国拥有极高公信力的非营利机构,主要对汽车、厨房电器等产品进行全方位的审查。本周一,该机构已经同数家外部机构进行合作,开发相应的标准来衡量产品是否容易被黑客入侵,以及衡量产品如何保护用户数据,将网络安全和隐私保护纳入到现有的产品打分体系中。 消费者报告将会逐步实施新的方法,从少量产品评估中开始测试。该机构的电子测试负责人 Maria Rerecich 在电话采访中表示:“这是一个非常复杂的领域,要达到这个目标需要对类目进行很多的细分。” Craigslist 的创始人 Craig Newmark 表示:“用户的网络安全和隐私对于每个人来说都是至关重要的,因此我们迫切需要这样具备公信力的衡量标准。” 稿源:cnBeta;封面源自网络

Metasploit 发布新开源工具,可用于渗透测试的弱点模拟服务

Metasploit 团队研发出一个新的工具可用于渗透测试的弱点模拟服务(GitHub),这个开源工具被称为 Metasploit 弱点服务模拟器。它为用户提供了一个(开源的)易受攻击的操作系统平台可以让安全专家使用数以千计的 Metasploit 模块模拟各种环境以测试服务可能存在的各种安全问题。 此前,Metasploit 发布过两个操作系统映像 Metasploitable2 和 Metasploitable3 ,这些系统运行非常耗时且模拟环境难以配置,使用起来十分不友好。然而新开发的 Metasploit 服务模拟器填补了这一空白。这是一个开源的框架,能够快速模拟出 100 多易受攻击的服务环境以达到渗透测试的目的。该套工具就像一个高性能的“蜜罐”,可以帮助用户更好的了解安全漏洞的细节。目前该工具适用于 Windows、Mac 或 Linux 系统,不过用户还需提前安装 Perl 。 原作者:Pierluigi Paganini,译者:M帅帅 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

美国副总统也陷“邮件门”?被爆曾用私人邮箱处理国土安全问题

美国政坛近来似乎与邮件脱不开关系。美国副总统迈克·彭斯去年还在抨击希拉里私邮公用,近日就有媒体披露他在担任印第安纳州长时,曾使用私人邮箱账号处理公务,其中不乏敏感和关乎国土安全的问题。 据《今日美国报》 3 月 2 日报道,媒体收到一批邮件,显示彭斯担任州长期间,使用个人  AOL  账户联系多位高级顾问,邮件内容涵盖州长住所的安全门、该州对全球反恐问题的反应等。网络安全专家称,彭斯的私人账号毕竟不如政府账号安全系数高,而彭斯此举使人担心,如此敏感的信息是否能得到充分保护、防止黑客攻击。据悉,去年夏天彭斯的个人账号就曾受到黑客攻击。 印第安纳州的法律没有禁止公职人员使用个人邮箱,但通常要求在个人邮件中讨论的公事必须作为公开记录的目的保存下来。 Pence 的发言人将任何副总统与希拉里克林顿进行对比的行为称为荒谬,表示 Pence 在担任州长时并不处理任何联邦机密信息。此外他指出彭斯使用的广为人知的邮件服务器,而希拉里却是在家中安装了一个私人服务器。 稿源:cnbeta,有删改,封面来源于网络

美国石油和天然气行业缺乏准备应对 OT 环境中的网络安全风险

由西门子公司委托进行的一项新研究显示,美国的石油和天然气行业在很大程度上没有做好降低运营技术(OT)环境中的网络安全风险的准备。 该调查由 Ponemon 协会进行,涉及 377 人,这些受访者的工作都是负责处理运营技术中存在的网络风险。其中 68% 的受访者承认在过去一年中至少遭受过一次网络事件,造成 OT 中断或机密信息丢失;只有 41% 的受访者承认做到了持续监控所有的工业基础设施,注重网络安全、降低威胁风险。更令人担忧的是,在 OT 环境中约 46% 的网络攻击未被发现,这意味着企业应及时采用先进的威胁检测系统来监控网络、提高系统安全水平。 72% 的受访者表示探索性信息最易受到网络攻击,其次是生产信息。67% 的人认为工业控制系统(ICS)存在的风险是最大的网络威胁。 69% 参与调查的人关注供应链中与第三方相关的风险问题。 内部人员的疏忽和恶意行为被认为是美国石油和天然气行业的主要威胁。65% 的受访者表示,严重的网络安全威胁是由于内部人员的疏忽或粗心大意造成的,而 15% 的受访者表示,最严重的网络安全威胁是内部人员恶意或犯罪行为导致的。 此外,约 60% 的受访者指出过时和老化的控制系统或在生产环境中使用的不安全的 IT 产品也是网络安全威胁之一。 报告详情请阅读【 PDF 】。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

Google 希望在澳大利亚雇佣“黑客”填补岗位空白

谷歌正在澳大利亚寻找能力强、技术高明的“黑客”,并邀请其加入公司。谷歌认为澳大利亚是一片滋生网络安全人才的沃土,澳大利亚学校为学生提供了广泛的 IT 知识课程,营造出很好的 IT 氛围,有助于培训出网络安全专业人士。Google 安全专家 Parisa Tabriz 表示正在寻找的理想目标是:拥有很强的渗透入侵能力但不做恶,而是为了让系统更安全而努力的技术人才。 然而,科技巨头的举措可能加剧澳大利亚各政府机构 IT 技术人才短缺的普遍现象。澳大利亚情报机构的官员 Michael Scott 表示私营公司正在和政府竞争网络安全人才,由于薪资和福利等问题,政府往往处于劣势。 新南威尔士大学教授 Richard Buckland 表示:现阶段是培养了一些人才,但相比于市场需求来说这远远不够。此外,最重要的一个问题是,尽管学校提供了各种课程,但似乎并没有那么多学生有兴趣参加课程,学校需要改变课程的教学方式。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

危险!德国网络监管局警告家长慎用连网智能玩具

德国政府监管机构联邦网络局发出警告,家长应尽快销毁一些为他们孩子设计的可连接互联网的智能玩具。该机构发现玩具中包含的技术并不安全,并且很容易被黑客攻击并且控制泄露儿童隐私。 其中一件有问题的玩具产品是 My Friend Cayla,它可以聆听儿童的问题并且连接到互联网上寻找答案。 它的工作原理非常像我们手机上的数字助理,但该设备被发现是严重缺乏安全功能。研究人员证明,攻击者可以窃听甚至通过这个玩具和儿童对话,它的蓝牙连接功能,也可以让附近的恶意人士控制 My Friend Cayla,无需和儿童在同一间房间内。 在去年年底,消费者已经因为类似原因向美国联邦贸易委员会投诉 My Friend Cayl 玩具制造商。德国监管机构发现这款玩具相当于一个隐藏的发射装置,根据德国严格的隐私法,这是非法的。销售或购买被禁止的监控系统可以最高判刑两年,因此德国政府监管机构联邦网络局鼓励父母简单地销毁这款玩具。 稿源:cnbeta,有删改,封面来源于 cnBeta

微软倡导数字日内瓦条约,保护平民免受黑客攻击

微软敦促各国达成类似于“日内瓦公约”的国际协议以及建立一个独立小组来调查和共享攻击信息,从而保护平民免受政府力量支持的网络黑客攻击。 本周二,史密斯在于旧金山举行的RSA互联网安全会议上发言:“现在是政府使用‘数字日内瓦公约’来在互联网上保护平民的时候了。”此外他还表示科技企业也需要为保护客户安全有所作为。 史密斯希望各国回顾 2015 年由 20 个国家提出的建议,其中包括禁止政府破坏他国的基础设施或使用信息和通信技术进行恶意活动。他把这种建议比做 1949 年的日内瓦公约,后者确立了战时平民待遇的国际标准。 稿源:cnbeta,有删改,封面来源于网络

英国安全中心:新一轮大规模网络攻击已威胁到国家安全

英国国家网络安全中心( NCSC )负责人 Ciaran Martin 称,英国在过去三个月里遭到 188 起高级别网络攻击,部分攻击严重威胁到了国家安全。这些攻击并很有可能来自俄罗斯和中国。黑客入侵系统试图获取英国政府对能源、外交和特定行业的政策信息和国防信息。 Ciaran Martin 表示已经注意到疑似俄罗斯黑客的攻击企图,且攻击数量开始激增。此前挪威和意大利就先后指控俄罗斯黑客组织对其政府机构发动网络钓鱼攻击,但俄罗斯都以“没有事实证明这种说法,指责是毫无根据的。”作为回应。 为了加强未来应对网络威胁的能力,英国政府近期为部分 14 岁及以上的学生提供了一个为期五年的网络技能培训。这 5700 名学生将被教导如何面对“网络威胁”并参与实战,以改变英国网络安全技能人才缺失的现状。 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。