【华安星安全资讯】半月精选集（2024.8.12-9.1）

      国务院总理李强8月30日主持召开国务院常务会议，审议通过《网络数据安全管理条例（草案）》，会议指出，要对网络数据实行分类分级保护，明确各类主体责任，落实网络数据安全保障措施。要厘清安全边界，保障数据依法有序自由流动，为促进数字经济高质量发展、推动科技创新和产业创新营造良好环境。

       全国网络安全标准化技术委员会归口的国家标准《网络安全技术 网络安全 第7部分：网络虚拟化安全》现已形成标准征求意见稿。根据《全国网络安全标准化技术委员会标准制修订工作程序》要求，现将该标准征求意见稿面向社会公开征求意见。标准相关材料已发布在网安标委网站，如有意见或建议请于2024年10月28日24:00前反馈秘书处。

      麻省理工学院（MIT）研究人员近日发布了一个号称迄今为止最全面的AI风险动态数据库，涵盖了43大AI风险类别共计777种AI风险。这是业界首次尝试全面整理、分析和提取人工智能风险，并整合成一个公开可访问、全面、可扩展的分类风险数据库。为业界统一定义、审计和管理人工智能风险奠定了基础。对于从事AI安全和治理的专业人士来说，这是一个不可或缺的知识库，可用于创建自己（所在企业）的个性化风险数据库。

       近日，马来西亚公共交通运营商国家基建公司（Prasarana Malaysia Bhd）确认，社交媒体上关于其内部系统部分被未经授权访问的网络安全事件的报道属实。国家基建公司在一份声明中表示，此次事件并未影响其日常运营，公司正与网络安全专家合作，调查并缓解这一情况。该公司还表示，正在与国家网络安全局（Nacsa）和马来西亚网络安全机构（CyberSecurity Malaysia）协调，以提供全面的应对措施并保护其系统免受任何威胁。

       近日研究人员发现，智利最大的社会保障基金机构Caja Los Andes因一次数据泄露，导致1000万用户的数据遭到暴露，其数量超过了该国人口的一半。发生大规模泄露的原因是该组织的 Apache Cassandra 数据库缺乏身份验证，以至于因配置错误导致任何互联网用户都可以访问其中存储的用户数据。这些遭到暴露的数据包括用户的姓名、出生日期、家庭住址、电话号码、电子邮箱、信用额度、付款地点等详细信息。

      荷兰数据保护局（DPA）近日对全球出行巨头优步（Uber）开出了一张创纪录的罚单，金额高达2.9亿欧元（约合3.24亿美元）。罚款原因是优步在将欧洲出租车司机的个人数据传输至美国时，涉嫌未能遵守欧盟严格的数据保护标准。荷兰DPA表示，优步在数据传输过程中未能适当保护司机的敏感信息，严重违反了《通用数据保护条例》（GDPR）的规定，同时也暴露了优步在数据保护方面的重大疏漏。优步收到的2.9亿欧元罚单，不但刷新了2024年GDPR罚款记录，在GDPR历史十大罚单中的排名也高举第六位。

      美国西雅图-塔科马国际机场确认，日前出现的IT系统中断可能是由网络攻击引起。这一中断扰乱了预订和登机手续系统，并导致航班延误。塔科马机场是西雅图的主要国际机场，也是美国西北太平洋沿岸地区最繁忙的机场。该机场是阿拉斯加航空和达美航空的主要枢纽，服务91个国内和28个国际目的地。机场方面建议旅客在航空公司网站上获取旅行信息，并敦促旅客在到达机场之前办理登机手续，为前往登机口预留更多时间。据悉，航站楼的显示屏也遇到了技术问题，进一步加剧了混乱。目前，没有任何勒索软件组织或其他威胁行为者宣布对这次攻击负责。

       当CrowdStrike正忙于应付“全球最大规模蓝屏事件”的客户集体诉讼时，微软公司近日发布的一个BitLocker安全补丁再次触发“蓝屏”事件。不过这次“蓝屏”不是“蓝屏死机”，而是重启到Bitlocker的蓝色恢复界面。对于很多刚刚经历CrowdStrike事件惊魂未定的CIO和CISO们来说，微软官方“蓝屏补丁”事件不仅仅是伤口上撒盐，更可能是彻底摧毁对IT服务商信心的“最后一根稻草”。

       从移动设备、PC、服务器再到云上的容器，各种类型的端点设备应用日益复杂，同时也成了黑客们重点关注的攻击目标。对于企业的安全团队来说，有效管理并保护端点应用安全是一项充满挑战的工作。为了应对不断变化的端点安全威胁，企业应该重新评估各种端点安全防护技术的先进性和有效性，并积极扩展提升端点安全保护的能力范围。该文总结了目前新一代端点安全防护方案发展演进的12个关键特性，主要包括实时的威胁检测与调查 、积极融入零信任架构理念、进一步增强机器学习、强调对异常行为的监控识别、全面共享第三方威胁信息和情报、有效管控影子设备及应用、基于业务的数据丢失防护、未知风险预防能力、利用新技术指标消除“噪音”、加强对电子邮件威胁的保护、自动化补丁管理、灵活的部署选项。如果将这些特性有机融合，企业组织将能够快速构建起应对新型网络攻击威胁的“高级”端点安全防护能力。

       身份验证是现代企业网络安全体系构建的基础环节，确保只有经过授权的个人或实体才能访问敏感信息或系统。近年来，身份验证技术发展迅猛，无密码身份验证、多因素身份验证和社交验证登录等创新技术正在改变传统身份验证的方法和模式，不断提升企业数字化发展的安全性和稳健性。了解并紧跟身份验证技术的发展和进步对于保护企业数字化转型至关重要。通过了解和实施最新的身份验证技术，企业可以在日益数字化的世界中更好地保护数据和系统，并提升员工的工作感受。该文梳理总结了可能在今后几年主导身份验证技术应用变革的10个关键性趋势，包括无密码身份验证、基于行为的身份识别技术、社交媒体授权登录、去中心化身份验证、自适应身份验证、身份威胁检测和响应（ITDR）技术、零信任身份验证理念、保护隐私的身份验证、新一代多因素身份验证技术、统一认证和单点登录（SSO）。