资讯全文

(二) 产业动态

1. 华为率先完成中国5G推进组5G网络安全测试

2020年7月9日，IMT-2020（5G）推进组发布消息称，近期IMT-2020（5G）推进组组织了5G设备安全测试，对华为、中兴、爱立信、大唐、上海诺基亚贝尔的5G基站和核心网设备进行安全保障测试。华为率先以100%通过率完成了该测试。推进组5G设备安全测试结果将作为运营商及监管部门进行5G设备安全评估的技术参考，本次测试的完成标志着我国5G网络安全发展取得了重要的阶段性成果，对运营商在部署5G网络的同时做好5G安全能力规划极具参考价值。

本次测试依据IMT-2020（5G）推进组安全工作组发布的5G安全试验系列规范，该系列规范基于3GPP 5G安全保障国际标准（SCAS），并根据国内5G实践增加了一些新的测试案例。

本次测试对象包括5G基站和核心网网元设备（包括AMF、SMF、NRF、UPF、AUSF/UDM等），测试内容涵盖通用安全、业务功能安全、传输安全、运维安全和物理安全等方面。其中，通用安全包括数据和信息保护、可用性和完整性保护、操作系统及web服务的安全、脆弱性、鲁棒性/模糊性、软件包安全性等。

2. 第八届全球云计算大会·中国站线下开幕倒计时

第八届全球云计算大会·中国站（Cloud Connect China）将于7月21日至23日，于宁波泛太平洋大酒店举行。本届大会主题将聚焦企业数字化转型、逐步迁移上云，并深度探讨上云对企业的实际意义及具体应用，以及对各行业的转型推动作用。论坛主题包含中小企业“上云”及应用落地、基于云计算的数字化转型趋势、工业互联网与数字化转型，拟定议题包含上云政策解读、企业系统迁移上云、工业互联网助力传统制造业、数字化转型实际案例分享等，帮助企业快速了解企业数字化转型重要内容。

3. 2020世界人工智能大会：数据成为除海陆空外的第4大资源

2020年7月9日-11日，2020世界人工智能大会在上海召开。本次人工智能大会以“智联世界·共同家园”为主题，是一场以线上活动为主的“云端峰会”。在大会开幕式上，马斯克、马云、马化腾、李彦宏等嘉宾亮相，其中华为CIO演讲表示：数据已经成为未来越来越重要的、除了海陆空的第4大资源。呼吁行业机构应该加强 AI 立法，以及伦理的建设和行业标准的建设，建立有共识的数据交换空间，促进数据的合理使用。

(一) 政策法规标准

1. 《网络安全审查办法》2020年6月1日起正式实施

为了确保关键信息基础设施供应链安全，维护国家安全，国家互联网信息办公室十二家单位联合制定的《网络安全审查办法》正式实施。核心内容即中国主要网络基础设施运营商在购买零部件和服务时，必须接受是否危害国家安全的审查。主要审查的内容包括：

产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险；产品和服务供应中断对关键信息基础设施业务连续性的危害；

产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险；产品和服务提供者遵守中国法律、行政法规、部门规章情况；

其他可能危害关键信息基础设施安全和国家安全的因素。

2. 两会:今年将制定个人信息保护法和数据安全法

2020年5月25日下午，十三届全国人大三次会议举行第二次全体会议。全国人大委员会工作报告(以下简称工作报告)提交会议审议。其中围绕国家安全和社会治理，工作报告中提到，制定生物安全法、个人信息保护法、数据安全法，通过刑法修正案 (十一)，修改行政处罚法、人民武装警察法等。

个人信息保护法正在研究起草中，5月中旬草案稿已经形成。关于个人信息保护法的研究起草工作，按照全国人大常委会立法规划和立法工作计划安排，从2018年开始，全国人大常委会工会就会同中央网信办，开始相关工作。

2017年我国曾公布了《中华人民共和国个人信息保护法(草案)》，主要目的是规范个人信息的收集、处理和利用，保护自然人个人信息权以及其他合法权益，促进个人信息的合理利用，规范个人信息跨境传输。事实上，作为大数据的重要资源，个人信息随着大数据时代的来临，频繁遭遇数据泄露和网络安全事件。不法分子通过数据盗取、信息盗用、网络钓鱼、电信诈骗等一系列非法手段，侵犯公民个人信息及隐私，谋取商业利益。

3. 《中华人民共和国民法典》中的网络安全规定

2020年5月28日第十三届全国人民代表大会第三次会议通过《中华人民共和国民法典》，自2021年1月1日开始实施，我国在网络安全与数据安全保护等方面通过立法，进一步进入网络安全法制层面。《中华人民共和国民法典》在网络安全与个人信息保护方面作出规定：一是明确隐私权和个人信息的定义；二是规定了处理个人信息应遵循的原则和条件，及免责情形；三是规定个人信息主体权利；四是信息处理者的信息安全保障义务；五是强化未成年人个人信息的保护；六是虚拟身份受法律保护；七是规定了网络侵权责任。

4. 工业和信息化部办公厅发布《关于做好2020年电信和互联网行业网络数据安全管理工作的通知》

根据《网安法》《电信和互联网用户个人信息保护规定》等法律法规为切实做好2020年电信和互联网行业网络数据安全管理工作，工信部于5月28日发布《关于做好2020年电信和互联网行业网络数据安全管理工作的通知》，通知从持续深化网络数据安全专项治理、全面开展网络数据安全合规性评估、加强行业重要数据和新领域网络数据安全管理、加快推进网络数据安全制度标准建设、大力提升网络数据安全技术保障能力和强化社会监督与宣传培训等五个方面对行业网络数据安全管理工作进行了部署。

5. 《信息安全技术 工业控制系统信息安全防护建设实施规范》等2项国家标准公开征求意见

全国信息安全标准化技术委员会归口的《信息安全技术 工业控制系统信息安全防护建设实施规范》（计划号20173583-T-469）和《信息安全技术 智能家居安全通用技术要求和测试评价方法》（计划号20194266-T-469）2项国家标准现已形成标准征求意见稿。根据《全国信息安全标准化技术委员会标准制修订工作程序》要求，现将该2项国家标准（征求意见稿）面向社会公开征求意见。标准相关材料已发布在信安标委网站（网址：https://www.tc260.org.cn）和国家标准化管理委员会网站（网址：http://www.sac.gov.cn）。

(三) 安全漏洞和事件

1. 境外黑客“组团”攻击我国医疗行业

今年2月，360公司对外披露了一起网络攻击事件，来自印度的APT组织利用新冠肺炎疫情相关题材为诱饵，对我国的特定机构，发动APT攻击。近期，360公司又监测黑客团伙海莲花（APT32），正利用新冠状病毒题材制作诱饵文件，对我国医疗卫生行业的相关机构发起APT攻击。360安全专家介绍：本轮攻击使用白利用手法绕过了部分杀毒软件的查杀，利用新冠疫情题材诱使用户执行木马程序，最终达到控制系统、窃取情报的目的。我国外交部新闻发言人耿爽，在例行发布会上就媒体提问的相关网络攻击表示，“疫情中攻击抗疫机构网络，无疑应受到谴责。” 据悉，境外APT黑客组织为窃取大量重要敏感信息，极力攻击和试图控制我国核心设备和关键设施，势头猛烈，威胁巨大，正在对我国网络空间国家安全和利益，产生重大威胁和危害。

2. 法国费加罗报数据库泄露74亿条记录

据外媒报道，Security Detectives的安全研究人员发现法国发行量最大综合性日报费加罗报（Le figaro）出现数据泄露事件。泄露的数据量超过8TB，涉及74亿条记录，包括费加罗报网站注册用户的登陆凭证。泄露的个人身份信息包括邮箱、全名、家庭地址、口令、居住地和邮编、IP地址、外部服务器访问 token。此外，泄露的数据库中也含有大量关于费加罗报服务器的技术日志信息，包括SQL査询错误、不同服务器之间的流量、通信协议、对 admin账户的潜在访问，这些敏感数据对黑客入侵企业的数据基础设施是非常有价值的。安全研究人员发现该报数据库是没有密码保护的，直接暴露在公网上，任何人只要有数据库的IP地址就可以访问。

3. McAfee称疫情期间52%被远程攻击的RDP用户来自中国，原因是密码太简单

在疫情期间，全球众多企业越来越多地将微软远程桌面（RDP）作为一种帮助员工在家工作的方式，受此影响，互联网RDP端口的数量从今年1月份的300万个增加到今年3月底的 450 万个。McAfee研究发现，被盗的RDP证书中有52%来自中国用户，其中包括超过2万个注册账户。McAfee的研究指出，大多数受攻击的RDP端口并不是由高级恶意软件造成的，而仅仅是由“暴力破解”简单口令造成的。更重要的是，有相当数量的被曝光的RDP端口根本不需要口令，许多端口使用“123456”这样的常见口令。

4. 印度政府的抗疫定位程序存漏洞，9000万人隐私受威胁

近期，一位化名为奥尔德森(Elliot Alderson)的法国黑客在Twitter上表示，其发现了印度政府“Aarogya Setu”新型冠状病毒追踪APP的安全问题，这可能会危及9000万印度人的隐私。奥尔德森已经将这个问题发送至印度计算机应急响应小组(CERT)和隶属于印度电子和信息技术部的国家信息中心(NIC)。印度内政部的一项指令要求：“所有员工都必须使用Aarogya Setu应用程序，包括私人部门和公共部门的员工。各机构负责人有责任确保该应用程序在员工中的覆盖率达到100%。”可以说，Aarogya Setu已经是印度中央政府雇员以及居住在隔离区居民的抗疫必装软件。

5. 特斯拉二手车被曝隐私问题 黑客获得大量个人信息

据外媒报道，特斯拉的车载计算机系统，即便在完全恢复出厂设置后，黑客依旧可以从旧的特斯拉面板系统中恢复大量个人信息。安全研究人员发现，尽管每一块控制单元都已经重置删除之前所有者的全部个人信息，但还是能从系统中恢复大量数据，如密码，GPS定位信息等。黑客可以访问控制单元原主人的完整联系人列表，通话记录，日历信息以及在控制单元上运行过的第三方应用（Spotify、Netflix、Gmail、YouTube等）的账户ID和密码。此外，每次车辆的启动的时候，车载媒体控制单元也会保存车辆位置的屏幕快照，并且系统会保留最近的50个位置屏幕快照，所有这些信息也可以访问。

1. 新华网：中国评测表示“新基建”将成为推动发展和加强网安建设的双刃剑

新华网北京4月28日电，近年来，5G网络、大数据中心、工业互联网等新型基础设施建设的推进不断加快，中国软件评测中心主任助理唐刚表示，“新基建”将成为保障国家经济发展的主要手段，与此同时也给网络安全保障体系带来了更高的要求和新的挑战。

问：在网安保障体系中，网络安全评测起到什么作用？

唐刚：网络安全保障是一项复杂的系统性工程，需要政府、科研单位、厂商、第三方测评机构和用户通力合作，共同建立、完善的国家网络安全综合保障体系。中国软件评测中心通过提升网络安全技术检测能力，为国家网络安全战略提供有力支撑。

重点要做的是三方面的工作，一是强化新技术、新业态下的安全评测和监测能力建设；二是面向关键信息基础设施领域提供全方位服务；三是强化能力整合和输出，构造网络安全生态圈。

问：新冠肺炎疫情期间，中评测起到了什么作用？

唐刚：主要的作用体现在支持疫情防控和帮助复工、复产上。自疫情防控以来，中国软件评测中心已经面向企业开展4次关于网络安全等级保护的免费培训。网络安全威胁监测与管理平台组织精干技术力量，对相关网站开展漏洞扫描、渗透测试等相关检测。目前，此项工作还在持续开展，为中小企业提供包括远程检测、安全咨询和远程培训等服务，助力中小企业在疫情期间的安全保障工作顺利开展。

问：今年，网安工作有哪些重点内容？

唐刚：随着新技术、新应用的不断发展，网络安全威胁也不断涌现。尤其自今年以来，国家强调加快新型基础设施建设进度，未来“新基建”将成为我国用于保障经济发展和促进消费的主要手段，同时使我国加速迈进万物互联网时代。

“新基建”的发展促使接入网络设备和数据的更大增长，这给网络安全保障体系建设提出了更高的要求。在对关键信息基础设施进行安全保障的同时，今年会在“新基建”各领域，积极开展面向物联网、人工智能、大数据等方向的安全研究与检测工作，推动网络安全保障体系在“新基建”发展阶段的同步建设。

1.CNNIC实行IPv6申请新规支持新型基础设施建设

随着“新基建”的加速推进，5G、云计算、工业互联网的繁荣发展，对我国IP地址资源提出了新的要求。为支持新型基础设施建设，加快推进我国IPv6规模部署，鼓励广大互联网服务提供商和相关企事业单位申请并使用IPv6地址，中国互联网络信息中心（CNNIC）将于5月1日起，实行新规加大IPv6地址申请支持力度。（一）大幅降低新用户办理IPv6地址年费。支持IPv6地址独立开户，将每一级别地址量年费降为当前年费的50%。（二）加快IPv6地址申请办理进度。对于默认/32地址空间的IPv6地址申请，随时申请随时办理。（三）加大对IPv6规划指导和培训力度。对于有较大块IPv6地址申请需求的单位进行免费规划指导。优先向新申请IPv6地址的单位提供IPv6培训。

2.国家网信办因百度App部分频道严重违规约谈百度相关负责人

4月7日，国家互联网信息办公室指导北京市互联网信息办公室，针对百度App多个频道存在严重违规问题，严肃约谈百度公司负责人，要求立即停止违规行为。百度App推荐频道、图片频道、视频频道、财经频道、科技频道自4月8日上午9时起暂停更新，清理违规内容，开展深入整改。北京市互联网信息办公室有关负责人指出，百度APP违反国家有关互联网法律法规和管理要求，落实主体责任不力，大量传播低俗庸俗信息、密集发布“标题党”文章、公众账号注册管理及内容审核不严，传播秩序和生态问题突出，社会影响恶劣。百度公司负责人表示，将严格落实管理要求，切实履行主体责任，对违规问题进行全面整改，暂停有关频道更新，关闭违规账号，严肃处理责任人。同时，加强内部管理，健全完善信息安全管理机制，确保类似问题不再发生。

3.Google 公布 130 多个国家的手机位置数据

Google 发布了《COVID-19 Community Mobility Reports》。该报告包括了用户手机位置数据，数据来源为Google从运行 Android系统的智能手机及其地图服务中匿名聚合的数据。Google表示这些数据并不能识别个人身份，但能显示特定地点的忙碌程度，可以帮助公共卫生官员制定减缓病毒传播的重要决策。位置数据目前共包含131个国家和地区，不包括中国大陆，但有香港和台湾。Google表示未来会增加更多国家、地区和语言。

(四) 研究报告

1.联通百度发布《2019年DDoS攻击态势分析报告》

3月23日,联通智慧安全科技有限公司携手百度安全正式发布主题为“联建网安 共度时艰”的《2019年DDoS攻击态势分析报告》。基于双方监测到的全网数据,从DDoS攻击事件的数量、强度、持续时长、受害者地域分布等多个维度总结了2019全年DDoS攻击态势,并就当前DDoS攻击、Web安全事件频发的安全形势给出相应的解决方案。《2019年DDoS攻击态势分析报告》也是国内首次由电信运营商与互联网公司在网络空间安全治理方面的跨行业报告。

2. 阿里云发布《2019云上企业安全指南》

近日，阿里云安全联合FreeBuf发布了《2019云上企业安全指南》，阿里云安全运营中心对2019年网络安全态势做了分析，并给出2020年云上安全运营建议。报告总结2019年云上网络安全四大威胁分别为：挖矿病毒、DDoS 攻击、暴力破解、恶意爬虫，最受企业关注的四大类安全问题分别为：合规、数据安全、IOT安全、云上安全运营，提出2020云上安全运营四大建议:合规建设、数据安全建设、IoT 安全能力建设、常态化安全运营。

3. FreeBuf发布《2020国内WAF产品研究报告》

FreeBuf发布企业安全系列之《2020国内WAF产品研究报告》，报告分析了国内WAF产品的现状、主流WAF产品名录，从开发时期遗留问题、Web中间件漏洞问题、运维管理中的问题和破坏手段多样问题四个方面分析了企业面临的Web安全问题。

4. 美安全公司发布《2020年恶意软件威胁态势报告》

美国安全公司Malwarebytes Labs从产品遥测数据、蜜罐、威胁情报以及对2019年网络犯罪活动的调查结果中收集信息，发布了关于恶意软件威胁态势的年度研究成果《2020年恶意软件威胁态势报告》，报告提出了以下重点内容：

1) 针对macOS的威胁呈指数级增长。

2) 全球针对商业终端的恶意软件安全威胁数量同比增长了13%，其中攻击性广告软件、特洛伊木马和黑客工具居首位。

3) Emotet和TrickBot木马病毒的危害巨大。这两个木马病毒几乎出现在了全球每个地区排名前五的网络威胁之中。

4) 针对商业领域的新型勒索软件活动创下了有史以来的新高。

三、中国评测资讯

1. 中国评测发布《医疗行业网络安全白皮书2020》

随着大数据、云计算、物联网在医疗行业的应用不断深入，越来越多的医疗卫生机构提供在线问诊、智能问药、药品快递到家等服务。然而，医疗行业面临的网络安全风险也逐渐增多，网络安全工作显得尤为重要。近几年评测人员在对医疗机构进行安全检查、等级保护测评时发现，各医疗机构对网络安全的重视程度参差不齐，网络安全防护水平仍有待快速提高。

中国评测网安中心在有关部门的指导下，结合丰富的一线实战经验，参照近三年的测试（脱敏后）数据，联合HC3i数字医疗网于4月2日推出《医疗行业网络安全白皮书2020》。白皮书客观呈现医疗行业网络安全发展的现状、存在的主要问题，并给出了医疗行业网络安全的实施建议。旨在保障医疗行业信息系统安全稳定可靠运行，帮助医疗行业网络运营者做好网络安全保障工作的同时供相关行业主管部门、疾控部门和企事业单位等参考。

2. 中国评测安全无小事免费云课堂完美收官

为贯彻工业与信息化部“摸清企业情况、突出工作重点、突出精准帮扶政策”的指导方针，响应赛迪研究院“驰援武汉、复工复产”的工作部署，进一步落实中国评测关于面向湖北地区提供29项免费服务的决议，中国评测网安中心面向武汉地区企业事业单位持续推出以“安全无小事”为主题的“免费云课堂”。目前，“免费云课堂”的五次在线授课已全部结束，内容涵盖网络安全政策、云计算安全、大数据安全、电信和互联网行业安全、关键信息基础设施安全保护、工控安全等方面，取得了良好的社会效益。

(三) 安全漏洞和事件

1. “新冠肺炎”勒索病毒出现

近期奇安信病毒响应中心在日常监测中，发现继Cerberus银行木马利用“新冠肺炎”传播以后，“新冠肺炎”勒索病毒也已经出现。Anubis银行木马也通过仿冒名为“covid-19”的软件进行传播，同时发现Cerberus将病毒仿冒名称由“Coronavirus”改为“corona”继续传播。

2. 使用SCPI协议的设备易受到黑客攻击

网络安全公司趋势科技近日警告称，支持可编程仪器标准命令（SCPI）协议的测量仪器容易受到黑客攻击。SCPI协议已经有30年历史，它受到广泛支持，但是设计之初并未加入身份验证机制，在万物逐渐互联的今天，暴露于互联网/内联网的使用SCPI的设备已经不再安全了。通过一次快速的扫描，研究人员能够找到多个互联网上的暴露设备。在Keysight科技的万用表的安全测试中，研究人员能够使其显示任意文本，乃至造成物理损坏。

3. 加密漏洞允许黑客克隆汽车遥控钥匙

比利时鲁汶大学和英国伯明翰大学的研究人员在汽车防盗控制器使用的加密系统中发现了漏洞，漏洞存在于丰田、现代和起亚等厂家采用的德州仪器加密系统DST80中。黑客利用廉价的 Proxmark RFID发射机在使用DST80的遥控钥匙附近可以收集到足够的信息去推断其密钥，克隆遥控钥匙，关闭防盗系统启动汽车引擎。受影响的汽车型号包括丰田凯美瑞、花冠和RAV4，起亚远舰、秀尔和锐欧以及现代I10、I20和I40，特斯拉Model S汽车也受到影响。

4. 英特尔处理器爆新漏洞 Load Value Injection

国外安全研究人员披露了名叫 Load Value Injection（LVI） 的英特尔处理器新漏洞，能窃取英特尔SGX（Software Guard eXtensions，软件保护扩展）中储存的秘密信息。LVI 与 Meltdown 和 Spectre 等类似，都属于瞬态执行利用，源自于 CPU的一项优化技术“预测执行”。与其它瞬态执行漏洞类似，LVI 只能缓解无法修复。SGX 能在内存中创建一个隔离的环境，使用强加密和硬件层的隔离确保数据和代码的安全，防止被纂改。研究人员演示了他们可以利用 LVI 漏洞窃取 SGX 保护的密钥。受影响的处理器包括了Sandy Bridge家族、Ivy Bridge家族和 Haswell家族等。

5. SMBv3协议漏洞影响Windows 10系统

微软公司发布安全公告，证实在Windows 10操作系统的最新版本中，存在着一个SMBv3网络文件共享协议漏洞。该协议允许计算机上的应用程序读取文件，以及向服务器请求服务。新曝光的严重漏洞可能被攻击者利用，在SMB服务器或客户机上执行远程代码。该漏洞影响1903/1909版本的Windows 10和Windows Server操作系统，攻击者可通过将特制数据包发送到目标SMBv3服务器发动攻击。此次的SMBv3安全漏洞与“永恒之蓝”系统漏洞极为相似，因此，该漏洞也被称为“永恒之黑”。3月12日，微软已发布该漏洞的安全补丁 KB4551762，鉴于该漏洞的潜在危害较大，政企用户应高度重视、谨慎防护，及时安装安全补丁或采取关闭SMBv3协议等防护措施。