嘶吼

博物馆、艺术馆、纪念馆等属于文化遗产与公共文化服务行业。这个领域涵盖了负责保护、研究、展示历史文物、艺术品和其他文化遗存的机构，它们通常由政府资助或支持，旨在教育公众、促进学术研究及增强文化认同感，对提升国家文化软实力、促进文化多样性保护具有不可替代的作用。在公众心中，文化馆往往是了解一个国家历史与文化深度的最佳窗口，好的场馆更是一票难求。

馆内预约现状：

某馆在节假日高峰期间，其线上预约系统主要会面临的问题困扰：

1） 访问量激增导致系统崩溃及信息更新不及时：节假日期间，由于参观需求急剧上升，大量用户同时登录预约系统，可能导致服务器过载，系统响应缓慢甚至崩溃，影响用户体验。且在高流量压力下，系统可能无法及时更新剩余票量信息，导致用户在实际上已无票的情况下仍尝试预约，浪费时间。

2） 黄牛囤票倒卖，票源迅速耗尽：由于预约名额有限，特别是在热门节假日，黄牛党活动频繁，利用各种手段大量抢占预约票，然后高价转卖给急于参观的游客，这不仅加剧了普通公众预约难的问题，也扰乱了正常的预约秩序。

3） 预约界面卡顿：高并发访问下，用户在操作预约界面时可能会遇到频繁的卡顿、页面加载慢等问题，影响预约效率。

4） 客户服务响应滞后：面对大量用户的咨询和投诉，客服热线和在线客服可能不堪重负，导致用户问题解决效率低下。

云盾智慧·慧御解决方案

慧御云防护根据以上的场景提供SaaS化的云安全解决方案，用户无需自行搭建和维护硬件或软件环境，只需通过订阅服务的形式即可享受云服务商提供的WAF保护，具有高度的灵活性、可扩展性和易用性，主要优势和特点如下：

快速部署：用户无需安装硬件或软件，仅需简单的DNS设置即可快速启用服务，大大缩短部署时间。

弹性扩展：云WAF服务可根据实际流量自动扩展防护能力，有效应对突发流量高峰，保持防护性能稳定。

成本效益：SaaS模式采用按需付费，降低了初期投入成本，对于中小型企业尤为友好。

专业维护：安全规则库和系统升级由云服务提供商负责，用户无需担心技术细节，专注于核心业务。

三大运营商覆盖：云服务商通常在全国三大运营商拥有广泛的数据中心，能提供低延迟的全球访问保护，适合跨国企业或有国际访问需求的网站。

易于管理：通过统一的管理界面，用户可以随时随地访问控制台，轻松管理多个网站的安全策略。

通过SaaS化部署的云WAF解决方案，客户能够高效、经济地提升其Web应用的安全防护水平，特别是在节假日等高峰期，确保线上服务的稳定与安全。

案例详情

慧御云防护重点落实以下几点，旨在帮助用户快速、高效地启用SaaS化防护服务，确保网站或应用的安全性：

1. 需求分析与服务选择

评估需求：根据业务性质、网站规模、预期流量、历史安全事件等因素，确定所需的防护等级和服务范围。

服务选择：选择合适业务的云WAF服务功能套餐，对比其功能、性能、价格、支持服务等，选择购买实施的功能模块：

·CDN加速：有效缓解用户服务端压力，保障服务流畅；

·DDoS与CC防护：保障业务连续性，防止出现因攻击导致的服务中断；

·WEB安全防护：检测SQL，XSS，Webshell，CSRF等Web攻击行为，防止漏洞利用；

·风险大数据防控：基于用户画像和威胁情报进行快速响应处置；

·爬虫智能防护：拦截机刷脚本行为，进行真人校验，防止相关信息泄露；

·防黄牛定制功能开发：针对黄牛提前验证或恶意绕过等行为进行分析，定制专用防护策略；

·专家服务：提供定制化安全策略、实时监控与日志分析，出具安全分析报告；

2. 网站接入配置

DNS变更：在云WAF控制面板中创建保护站点，按照指引修改网站DNS记录。

验证接入：完成DNS变更后，通过服务商提供的验证工具确认流量已经正确导向云WAF。

3. 安全策略配置

默认策略：启动时，云WAF通常会应用一套默认的安全策略，涵盖基础的防护规则。

自定义策略：根据实际需要，细化配置安全策略，如设置白名单/黑名单、自定义规则、访问控制、速率限制等，以适应特定业务场景。

4. 测试与调优

测试观察：

·功能测试：进行功能测试，确保正常访问未受影响，同时验证WAF能否有效拦截恶意请求。

·性能监控：启用监控功能，观察流量情况和WAF性能表现，确保无误报和漏报。

策略调优：

·针对重点 api，基于访问量进行日常监控，对高频访问ip，分析其未被拦截的原因，增加或调控频率限制条件；

·针对重点 api，可配置 js/delay+API 驱动验证，更好的进行人机校验，过滤脚本机刷行为；

·特殊时期通过地域封禁功能只允许或者限制某些地区访问；

·定制客户端校验规则，如协商用户指纹，区分正常业务流量和抢票终端；

·通过专家分析业务流量，学习黄牛周期性访问参观预约接口（查看获取余票信息）的行为模型，针对性的设置行为限制策略；

5. 正式上线

全面切换：在测试无误后，正式将所有流量切换到云WAF保护之下。

持续监控与优化：上线后持续监控安全日志和告警，根据实际情况调整安全策略，定期进行安全评估和优化。

6. 技术支持与应急响应

开通支持服务：确保与云WAF服务商建立了有效的沟通渠道，以便在遇到问题或攻击事件时，能够快速获得技术支持和应急响应。

加强业务巡检：

1) 确保所有API进行认证校验，部分API未进行安全校验，建议针对API资产进行梳理，确保不存在API未授权等问题。

2) 在节假日之前进行业务检测，经过分析，业务访问跟节假日强关联，在已知的节假日前，提前进行业务检查，确保业务能应对突增的流量。

3) 日常巡检中发现的可疑IP可以及时通过云WAF的ACL封禁进行防护。

效果展示

本安全服务产品已于2023年度到2024年度期间已进行了业务部署以及配置调整及策略调优等工作取得的成果如下:

1）2024年度春节期间成果

通过接入联通慧御云并配置缓存加速、爬虫防护等功能后，降低订票业务服务器40%的访问量，节省80%的带宽流量。

以2024.2.1-2024.2.17时间范围数据分析：该时间段联通慧御云防护处理请求共计14.11亿次, 其中云防护的缓存加速及防护能力共减少源站40%+请求量，识别到的异常IP占比25%。

图1 业务数据概览

联通慧御云防护缓存加速请求3.62亿次，加速请求减少源站服务器25%+请求数，降低源站带宽82%流量(加速请求一般为图片等较大资源文件,占带宽较大，加速请求由联通慧御云防护直接响应，速度更快，且一般不需要源站处理)。

图2 缓存加速数据概览

联通慧御云防护共拦截2.4亿次+请求（17%+）。

2）2024年度五一期间成果

该时间段云WAF处理请求共计12.73亿次, 其中云WAF的缓存加速及防护能力共减少源站53%请求量。

图1 业务数据概览

云WAF缓存加速请求2.39亿次，加速请求减少源站服务器28%+请求数，降低源站带宽85%流量(加速请求一般为图片等较大资源文件,占带宽较大，加速请求由云WAF直接响应，速度更快，且一般不需要源站处理)。

图2 缓存加速数据概览

云WAF共拦截4.4亿次+请求（35%+）。

服务期间网站云防护服务保障工作顺利，保障了预约系统政策访问和预约，期间未发生重大预约卡顿等事件。

TrickMo Android 银行木马的 40 个新变种已在野外被发现，与 16 个植入程序和 22 个不同的命令和控制 (C2) 基础设施相关，具有旨在窃取 Android PIN 的新功能。 

Zimperium 是在 Cleafy 之前发布的一份报告调查了当前流通的一些（但不是所有）变种之后报告了这一情况。

TrickMo 于 2020 年首次由 IBM X-Force 记录，但据悉其至少从 2019 年 9 月起就被用于针对 Android 用户的攻击。

假锁屏窃取 Android PIN

TrickMo 新版本的主要功能包括一次性密码 (OTP) 拦截、屏幕录制、数据泄露、远程控制等。该恶意软件试图滥用强大的辅助服务权限来授予自己额外的权限，并根据需要自动点击提示。

作为一种银行木马，它为用户提供各种银行和金融机构的网络钓鱼登录屏幕覆盖，以窃取他们的帐户凭据并使攻击者能够执行未经授权的交易。

攻击中使用的银行覆盖层

Zimperium 分析师在剖析这些新变体时还报告了一个新的欺骗性解锁屏幕，模仿真正的 Android 解锁提示，旨在窃取用户的解锁图案或 PIN。

欺骗性用户界面是托管在外部网站上的 HTML 页面，并在设备上以全屏模式显示，使其看起来像合法屏幕。 

当用户输入解锁图案或 PIN 码时，页面会将捕获的 PIN 码或图案详细信息以及唯一的设备标识符（Android ID）传输到 PHP 脚本。

TrickMo 显示的假 Android 锁屏

窃取 PIN 允许攻击者通常在深夜在设备未受到主动监控时解锁设备，以实施设备欺诈。

受害者分布图

由于 C2 基础设施安全不当，Zimperium 确定至少有 13,000 名受害者受到该恶意软件的影响，其中大多数位于加拿大，在阿拉伯联合酋长国、土耳其和德国也发现了大量受害者。

TrickMo 受害者分布图

根据 Zimperium 的说法，这个数字相当于“几台 C2 服务器”，因此 TrickMo 受害者的总数可能更高。 

据安全研究员分析表明，每当恶意软件成功窃取凭据时，IP 列表文件就会定期更新，在这些文件中已经发现了数百万条记录，表明威胁者访问了大量受感染的设备和大量敏感数据。

Cleafy 此前曾向公众隐瞒了妥协的迹象，因为配置错误的 C2 基础设施可能会将受害者数据暴露给更广泛的网络犯罪社区，但 Zimperium 现在选择将所有内容发布到这个 GitHub 存储库上。

然而，TrickMo 的目标范围十分广泛，涵盖银行以外的应用程序类型（和帐户），包括 VPN、流媒体平台、电子商务平台、交易、社交媒体、招聘和企业平台。

TrickMo 目前通过网络钓鱼进行传播，因此为了最大限度地降低感染的可能性，人们应避免不认识的人通过短信或直接消息发送的 URL 下载 APK。 

Google Play Protect 可识别并阻止 TrickMo 的已知变体，因此确保其在设备上处于活动状态对于防御恶意软件至关重要。

据安全研究人员发现，勒索软件团伙现在正利用一个严重的安全漏洞，让攻击者能够在易受攻击的 Veeam Backup & Replication (VBR) 服务器上获得远程代码执行 (RCE)。 

Code White 安全研究员 Florian Hauser 发现，该安全缺陷（现已追踪为 CVE-2024-40711）是由不可信数据漏洞的反序列化引起的，未经身份验证的威胁者可以在低复杂性攻击中利用该漏洞。

Veeam 于 9 月披露了该漏洞并发布了安全更新，而 watchTowr Labs 也发布了技术分析。不过，watchTowr Labs 将概念验证漏洞利用代码推迟发布，以便管理员有足够的时间来保护其服务器。

此次延迟是由于企业使用 Veeam 的 VBR 软件作为数据保护和灾难恢复解决方案来备份、恢复和复制虚拟、物理和云机器。

这使得它成为寻求快速访问公司备份数据的恶意分子非常受欢迎的目标。

正如 Sophos X-Ops 事件响应人员发现的那样，CVE-2024-40711 RCE 缺陷很快就被发现，并在 Akira 和 Fog 勒索软件攻击中与之前泄露的凭据一起被利用，以向本地管理员添加“点”本地帐户和远程桌面用户组。

Sophos X-Ops 表示：“在一个案例中，攻击者投放了 Fog 勒索软件。同一时间范围内的另一次攻击试图部署 Akira 勒索软件。所有 4 个案例中的指标都与之前的 Akira 和 Fog 勒索软件攻击重叠。” 

在每种情况下，攻击者最初都使用受损的 VPN 网关访问目标，而没有启用多因素身份验证。其中一些 VPN 运行不受支持的软件版本。

在 Fog 勒索软件事件中，攻击者将其部署到未受保护的 Hyper-V 服务器上，然后使用实用程序 rclone 来窃取数据。

这不是勒索软件攻击中的第一个 Veeam 漏洞

去年，即 2023 年 3 月 7 日，Veeam 还修补了备份和复制软件 (CVE-2023-27532) 中的一个高严重性漏洞，该漏洞可被利用来破坏备份基础设施主机。

几周后，芬兰网络安全和隐私公司 WithSecure 发现 CVE-2023-27532 漏洞部署在与出于经济动机的 FIN7 威胁组织相关的攻击中，该组织因与 Conti、REvil、Maze、Egregor 和 BlackBasta 勒索软件操作的联系而闻名。

几个月后，同样的 Veeam VBR 漏洞被用于针对美国关键基础设施和拉丁美洲 IT 公司的古巴勒索软件攻击。 

Veeam 表示，其产品被全球超过 550,000 家客户使用，其中包括全球 2,000 强公司中至少 74% 的客户。

数字化时代，上云是企业不可忽视的路径，因此对于云上安全治理以及云平台自身安全性的考量，也成为长期以来业界持续探索的课题。从参考传统网络安全而设计的云安全，到补丁式的云原生安全，再到如今的云安全治理体系，阶段演进的背后，是云安全治理能力提升的迫切性要求，以及思维和理念的革新。

进入3.0时代，云安全治理已然上升战略与价值层面。如何确保战略与企业组织业务发展一致，还能通过量化价值，实现安全投入产出的最大化，进而提升安全治理能力与效率？

本次活动邀请到腾讯云安全总经理李滨，安在新媒体创始人张耀疆，云安全联盟上海分会联席主席沈勇共话"云时代下，如何落地有效的云安全防御体系"，围绕腾讯云自身云安全治理实践展开研讨，让安全价值最大化！

2024年10月15日，2024金融科技大会暨第六届中新（苏州）数字金融应用博览会在苏州召开，苏州市委副书记、市长吴庆文，新加坡金融管理局中国首席代表黄嘉均，中国金融电子化集团有限公司党委书记、董事长谢汉立，以及各城市商业银行领导出席活动。梆梆安全作为国内金融移动应用安全领域的代表企业受邀出席并发表主题演讲，共同探讨金融机构“全渠道”移动应用安全建设实践。

梆梆安全金融行业解决方案专家张斌表示，近些年金融行业监管机构针对各类安全风险事件的通知、发文呈上升趋势，如：《关于系统未授权查询漏洞导致客户信息泄露风险提示》通知、《关于排查“假银行流水”》通知、《关于利用AI换脸技术突破金融支付平台人脸认证机制实施资金盗刷的风险通报》。

用户通过智能移动终端进行投融资、借贷、交易支付等活动愈加频繁，大部分金融机构平台通过移动APP开展业务，移动金融应用的重要性和价值逐渐凸显。金融行业安全风险的识别难度不断增大、风险的管控复杂度不断增加、风险的危害程度不断提升。

不仅各种利用Web应用漏洞进行攻击的事件正在与日俱增，各类拟人化自动化攻击、API业务攻击、0day攻击对金融数字化业务的影响也在快速攀升，攻击手段愈发多元化，移动应用安全已经成为金融行业数字化进程的重中之重。

全生命周期“全渠道”移动应用安全建设矩阵

基于上述风险，梆梆安全推出“全渠道安全监测平台”，通过风险环境和异常行为的深度分析，精准发现复杂攻击并快速响应，帮助金融机构提高安全防护能力；同时通过“安全能力平台”使行内人员可以快速搭建风险的验证环境，完成对复杂攻击的技术验证，准确评估应用安全性。

移动应用安全建设矩阵涵盖了Android、iOS、鸿蒙App及H5、小程序、轻应用等，以及开放银行场景下的外发Android SDK和iOS SDK，由第三方引入的Android/iOS SDK。同时，梆梆安全可以针对移动安全开发上线的整个生命周期（编码、测试、发布、运维、人工服务）提供全方位安全建议，确保上线应用的安全与合规，防止应用被反编译或调试，确保App符合相关的个人隐私监管要求。

同时，梆梆安全在完善层的基础上，强调客户方自身安全能力的提升。通过合规检测平台与人员赋能，使客户的自有团队具备合规评估能力；通过增加H5、小程序的检测探针，实现全渠道风险监测；通过API安全平台的行为检测，提升后端向前端API的资产管理、异常行为检测及防护能力；通过安全能力平台，提升客户安全团队的渗透测试效率，提高在强对抗环境下的移动安全测试能力，增强客户方红队在移动端的作战能力。

金融行业移动安全热点分享

梆梆安全金融行业解决方案专家张斌还进行了路演分享，通过生动实际的案例讲解了金融行业移动应用面临的安全威胁和对应解决方案，包含基于屏幕共享的电信诈骗、基于“换脸”的人脸识别绕过攻击、业务欺诈攻击技术分析以及常态化安全运营。

1 基于屏幕共享的电信诈骗

攻击方式：犯罪分子诱骗受害者安装恶意软件并打开手机无障碍模式，实现对受害者手机的远程控制，通过屏幕共享获取短信验证码等必要信息，进而完成恶意转账和信息窃取等诈骗行为。

解决方案：使用安全键盘，在共享屏幕时无法看到具体按键，避免交易密码等泄露。同时，加强移动安全监测能力，建立APP运行时监测机制（威胁感知），及时发现前端传输、应用、系统、ROM等各层面的安全风险，对用户进行提示或直接阻断交易，增强前端风险的监测、预警、处置、溯源能力。

2 基于“换脸”的人脸识别绕过攻击

攻击方式：犯罪分子利用深度伪造技术，通过交换原始人脸和目标人脸的身份信息或编辑目标人脸的属性信息来合成虚假的人脸视频，从而达到破解APP中人脸识别的验证功能。

解决方案：通过代码加密和通信协议的保护，提升人脸协议和数据破解篡改的攻击门槛，利用安全监测与业务系统的联动，解决应用运行过程中出现的前端技术类攻击行为。

3 业务欺诈攻击技术分析

攻击方式：犯罪分子通过修改相关银行APP的关键函数，在银行反馈数据的过程中，拦截返回数据，修改余额、明细等信息，伪造银行流水；不法分子通过各种手段绕过规则限制，帮助不符合贷款资质的个体户或小微企业完成建档、贷款申请。

解决方案：针对报文篡改攻击主要通过安全监测的手段，监测根证书库是否存在异常证书、以及设备是否开启了Http代理进行风险排查；针对贷款诈骗，除了采用传统的风控手段进行风险控制外，还需要采用一些安全技术手段进行共计识别、发现和阻断，减少业务风险以及降低业务损失。

4 常态化安全运营攻击发现

面对日益严峻的金融环境，单纯依靠传统的防御手段已经无法满足需求，金融机构需要将移动应用安全纳入到常态化运营体系，通过持续的监控、分析和响应，及时发现和解决潜在风险，确保金融移动应用的安全性、稳定性和可靠性。

梆梆安全展位现场吸引众多金融行业领导、专家、用户前来参观交流，活动现场十分火热！

数字金融不仅是现代金融发展的重要趋势，也是推动经济高质量增长和培育新质生产力的关键因素。基于快速变化的业务场景和金融行业的客户积累，梆梆安全已形成基于人脸识别过及屏幕共享的电信诈骗、API安全风险、个人信息保护监管通报、移动自生安全能力建设（含鸿蒙NEXT）等热点场景的移动安全解决方案。

未来，梆梆安全将继续秉承“稳如泰山，值得托付”的服务观持续为客户输出安全能力及产品，为金融行业完成数字化转型提供坚实保障，切实保护金融行业移动安全，助力金融机构完成高质量发展。

2024 年 10 月 – 领先的云端 AI 网络安全提供商 Check Point® 软件技术有限公司（纳斯达克股票代码：CHKP）发布了其 2024 年 9 月《全球威胁指数》报告。该报告着重介绍了网络安全领域中一个值得注意的趋势，即 AI 驱动型恶意软件的兴起，以及勒索软件威胁的持续肆虐。

本月，研究人员发现，攻击者很可能是利用 AI 技术开发脚本来散播 AsyncRAT 恶意软件（目前位列最猖獗的恶意软件排行榜第十位）。这种方法用到了 HTML 走私技术，即发送包含恶意 VBScript 代码的密码保护压缩文件，在受害者的设备上启动感染链。从结构良好、注释清晰的代码中也可发现 AI 痕迹。代码执行完后，受害者的设备就会安装 AsyncRAT，便于攻击者记录击键次数、远程控制受感染设备，并部署其他恶意软件。这一发现揭示了越来越多技术能力有限的网络犯罪分子正利用 AI 技术更轻松地创建恶意软件。

Check Point 软件技术公司研究副总裁 Maya Horowitz 对于这一趋势评论道：“攻击者已经开始在其攻击基础设施中使用生成式 AI，这充分说明网络攻击策略正在不断演变。网络犯罪分子越来越多地利用现有技术来增强攻击，因此企业必须实施主动安全防护策略，包括采取高级防御方法和对团队进行全面培训。”

本月，Joker 蝉联最猖獗的移动恶意软件，RansomHub 仍然是主要勒索软件团伙，两者自上个月继续霸榜。上述发现表明，随着网络安全形势的不断演进，这些恶意实体仍构成持续威胁，不容小觑。

头号恶意软件家族

* 箭头表示与上月相比的排名变化。 

FakeUpdates 是本月最猖獗的恶意软件，全球 7% 的机构受到波及，其次是 Androxgh0st 和 Formbook，分别影响了全球 6% 和 4% 的机构。 

1. ↔ FakeUpdates – FakeUpdates（又名 SocGholish）是一种使用 JavaScript 编写的下载程序。它会在启动有效载荷之前先将其写入磁盘。FakeUpdates 通过许多其他恶意软件（包括 GootLoader、Dridex、NetSupport、DoppelPaymer 和 AZORult）引致进一步破坏。

2. ↔ Androxgh0st - Androxgh0st 是一个针对 Windows、Mac 及 Linux 平台的僵尸网络。在感染初始阶段，Androxgh0st 利用多个漏洞，特别是针对 PHPUnit、Laravel 框架和 Apache Web 服务器的漏洞。该恶意软件会窃取 Twilio 账户信息、SMTP 凭证、AWS 密钥等敏感信息，并利用 Laravel 文件收集所需信息。它有不同的变体，可扫描不同的信息。

3. ↑ Formbook – Formbook 是针对 Windows 操作系统的信息窃取程序，于 2016 年首次被发现。由于其强大的规避技术和相对较低的价格，它在地下黑客论坛中作为恶意软件即服务 (MaaS) 进行出售。FormBook 可从各种 Web 浏览器中获取凭证、收集截图、监控和记录击键次数并按照其 C&C 命令下载和执行文件。

4. ↔ Qbot - Qbot（又名 Qakbot）是一种多用途恶意软件，于 2008 年首次出现，旨在窃取用户凭证、记录击键次数、从浏览器中窃取 cookie、监视用户的银行业务操作，并部署更多恶意软件。Qbot 通常通过垃圾邮件传播，采用多种反 VM、反调试和反沙盒手段来阻碍分析和逃避检测。从 2022 年开始，它成为最猖獗的木马之一。

5. ↔ AgentTesla – AgentTesla 是一种用作键盘记录器和信息窃取程序的高级 RAT，能够监控和收集受害者的键盘输入与系统剪贴板、截图并盗取受害者电脑上安装的各种软件（包括 Google Chrome、Mozilla Firefox 和 Microsoft Outlook 电子邮件客户端）的证书。

6. ↓ Phorpiex - Phorpiex 是一种僵尸网络，因通过垃圾邮件攻击活动分发其他恶意软件家族并助长大规模性勒索攻击活动而广为人知。

7. ↑ Vidar - Vidar 是一种以恶意软件即服务模式运行的信息窃取恶意软件，于 2018 年底首次现身。该恶意软件在 Windows 上运行，不仅可从浏览器和数字钱包中收集各种敏感数据，而且还被用作勒索软件的下载程序。

8. ↑ NJRat - NJRat 是一种远程访问木马，主要针对中东地区的政府机构和企业。该木马于 2012 年首次出现，具有多项功能：捕获击键记录、访问受害者的摄像头、窃取浏览器中存储的凭证、上传和下载文件、操纵进程和文件以及查看受害者的桌面。NJRat 通过网络钓鱼攻击和偷渡式下载感染受害者设备，并在命令与控制服务器软件的支持下，通过受感染的 USB 密钥或网盘进行传播。

9. ↑ Glupteba - Glupteba 自 2011 年被发现，是一种后门病毒，已逐渐发展为僵尸网络。到 2019 年，它包括 C&C 地址更新机制（通过公共比特币列表）、完整的浏览器窃取程序功能及路由器漏洞利用程序。

10. ↑ AsyncRat - Asyncrat 是一种针对 Windows 平台的木马程序。该恶意软件会向远程服务器发送目标系统的系统信息。它从服务器接收命令，以下载和执行插件、终止进程、进行自我卸载/更新，并截取受感染系统的屏幕截图。

主要移动恶意软件

本月，Joker 位列最猖獗的移动恶意软件榜首，其次是 Anubis 和 Hiddad。

1. ↔ Joker – 一种存在于 Google Play 中的 Android 间谍软件，可窃取短消息、联系人列表及设备信息。此外，该恶意软件还能够在广告网站上偷偷地为受害者注册付费服务。

2. ↔ Anubis – Anubis 是一种专为 Android 手机设计的银行木马恶意软件。自最初检测到以来，它已经具有一些额外的功能，包括远程访问木马 (RAT) 功能、键盘记录器、录音功能及各种勒索软件特性。在谷歌商店提供的数百款不同应用中均已检测到该银行木马。

3. ↑ Hiddad — Hiddad 是一种 Android 恶意软件，能够对合法应用进行重新打包，然后将其发布到第三方商店。其主要功能是显示广告，但它也可以访问操作系统内置的关键安全细节。

主要勒索软件团伙 

这些数据基于从双重勒索勒索软件团伙运营的勒索软件“羞辱网站”（攻击者在这些网站上公布受害者信息）获得的洞察分析。本月，RansomHub 是最猖獗的勒索软件团伙，其攻击数量占已发布攻击的 17%，其次是 Play 和 Qilin，分别占 10% 和 5%。

1. RansomHub – RansomHub 以勒索软件即服务 (RaaS) 形式出现，据称是已知 Knight 勒索软件的翻版。2024 年初，RansomHub 在地下网络犯罪论坛上初露锋芒，因其针对各种系统（包括 Windows、macOS、Linux，尤其是 VMware ESXi 环境）发起的破坏性攻击活动，以及采用的复杂加密方法而臭名昭著。

2. Play - Play 勒索软件又称为 PlayCrypt，于 2022 年 6 月首次现身。这一勒索软件瞄准北美洲、南美洲和欧洲的众多企业和关键基础设施，到 2023 年 10 月影响了大约 300 家实体。Play 勒索软件通常通过被盗的有效账户或利用未修补的漏洞（如 Fortinet SSL VPN 中的漏洞）侵入网络。得逞后，它会采用离地攻击二进制文件 (LOLBins) 等各种手段来执行数据泄露和凭证窃取等任务。

3. Qilin - Qilin 又称为 Agenda，整个勒索软件即服务犯罪团伙沆瀣一气，对被入侵企业的数据进行加密和窃取，随后索要赎金。这一勒索软件变体于 2022 年 7 月首次被发现，采用 Golang 语言开发。Agenda 主要针对大型企业和高价值目标发起攻击，重点瞄准医疗和教育领域。Qilin 通常通过随附恶意链接的网络钓鱼电子邮件获取受害者设备的网络访问权限并窃取敏感信息。入侵成功后，Qilin 往往会在受害者的基础设施中横向移动，寻找关键数据进行加密。

9月27日，由《证券日报》社主办，中国上市公司协会指导，华为、国联证券、中关村数字产城联盟、中信银行股份有限公司北京分行支持的2024数字经济领航者交流大会于北京召开，本次大会的主题是“筑创新生态，助数实融合”。

原文链接

来源：证券日报

盛邦安全董事长权小文近日在接受中国证券报记者采访时表示，近年来，我国商业航天产业快速发展，在多领域实现了“从0到1”的突破。作为经济发展的重要新增长引擎，有报告称今年商业航天产业规模将突破2.3万亿元。

在卫星互联网安全领域，盛邦安全已申请12项专利，并提出了卫星互联网安全整体解决方案。权小文表示，卫星互联网产业延伸出大量应用场景，安全问题要高度重视。

通信安全需求增加

2020年4月，国家发改委首次将卫星互联网纳入“新基建”范畴。卫星互联网是将地面基站搬入太空，使天上卫星成为移动基站，为地面设备提供高带宽、灵活的互联网接入方式。

当前，中国卫星互联网产业发展开启加速模式。今年8月，工信部印发《关于创新信息通信行业管理 优化营商环境的意见》，明确提出有序推进卫星互联网业务准入制度改革。同时，北京、上海、重庆等地出台政策，支持卫星互联网产业发展。自然资源调查、农业数据监测、应急管理等领域对卫星的需求兴起。

权小文表示，卫星互联网并不是简单地对传统卫星网络进行升级改造，而是一种全新的产业变革。卫星通信与互联网技术相结合，可以形成一套天网与地网融合的新型网络系统。“帮助构建一个‘永不失联’的世界。”

国内企业积极布局卫星互联网产业。中国卫通集团联合航空公司推出了航空卫星互联网产品流量套餐，解决旅客在空中的上网问题。时空道宇研发的车载卫星通信技术已实现量产应用，车辆在没有地面网络的情况下仍可以收发信息。华为、荣耀等手机厂商则推出了可以实现卫星通话功能的手机。

近年来，一系列政策和法规陆续出台，鼓励和规范卫星互联网发展，涉及频谱分配、轨道资源管理、数据安全、国际合作等多个方面。中商产业研究院预测，2021年-2025年我国卫星互联网市场规模有望从292.48亿元增至446.92亿元，年均复合增长率为11.18%。天眼查数据显示，过去一年，经营范围包含“卫星互联网”的企业新增18000家，过去3个月成立的公司有4600家。“伴随卫星互联网需求的增加，通信安全的需求会同步增加，预计占比10%。”权小文表示。

构建安全解决方案

盛邦安全2010年进入网络安全行业，是国家级专精特新“小巨人”企业，其核心产品及服务包括应用安全防御、漏洞及脆弱性检测、卫星互联网安全及网络空间地图等多个领域。2021年，公司开始布局卫星相关的安全产品，2023年7月在科创板上市。

今年6月27日，盛邦安全发布公告称，拟收购天御云安部分股权。天御云安主要产品涉及卫星通信加密机、高速链路密码机、高密度大算力密码资源池、加密加速传输系统、商用密码系列产品及密码创新产品等。目前，盛邦安全已全面进入以场景化安全、网络空间地图和卫星互联网安全三大核心能力为驱动的战略2.0时代。

在权小文看来，从卫星到通信网关的数据传输，需采用端到端的安全解决方案，最有效且成本最低的方式是加密方案。“密码加密相当于给数据穿上保护服。”权小文说，以星链这样的低轨卫星星座为例，向地面传输信号的卫星几分钟就会更换一个，密码加密可以解决信息传输的安全问题，避免信息泄露。

在应用场景方面，权小文表示：“以我们正在试点的无人机山区送货项目为例，卫星通信结合无人机，可以为物流网络覆盖不充分的山区提供送货服务。如果没有信息安全保障，无人机可能被‘控’走，企业会遭受很大损失。”

权小文认为，行业发展需要顶层设计，推动相关标准制定。标准先行有助于实现地面网络与卫星网络的融合，并做好通信安全与测控安全。

卫星互联网安全整体解决方案包括卫星通信漏洞扫描设备、卫星互联网空间测绘以及卫星通信安全保密系统三个部分。通过卫星通信漏洞扫描设备对卫星通信系统进行脆弱性分析，解决“查得仔细”的问题；卫星互联网空间测控对卫星侧和互联网侧进行探测，解决“看得清楚”的问题；卫星通信安全保密系统实现卫星通信传输安全和入网安全，解决“防得准确”的问题。“卫星互联网应用领域部分企业，在信息安全方面的投入相对滞后。”权小文表示。

民生证券称，卫星互联网安全检测及防护技术已经处于产业化阶段。

原文链接

来源：中国证券报

全球三大IT展之一——GITEX GLOBAL 2024今日在迪拜世界贸易中心隆重开幕。从10月14日-18日，将有来自180多个国家的400多个政府机构、超过6500家全球知名企业、6万余名企业高管及行业领袖，以及超过20万名全球买家汇聚于此，共同探讨科技最新进展，寻找合作机遇。盛邦安全首次亮相GITEX GLOBAL，为现场观众带来网络安全创新产品与解决方案。

GITEX GLOBAL 是中东地区规模最大、最受瞩目的计算机通讯及消费电子展览会，同时也是全球三大IT展之一。历经43载辉煌历程，每年吸引着世界领先的科技创新者、行业领袖、学术精英及投资者们齐聚一堂，围绕人工智能（AI）、智慧城市、可持续发展及新一代技术等前沿议题，共同探索科技未来的无限可能。

全球盛会，共赴未来

本届GITEX GLOBAL展会以“全球合作打造未来AI经济（Global Collaboration to Forge a Future AI Economy）”为主题，致力于搭建一个涵盖人工智能、物联网、数据和云技术等领域的思想交流平台。

此次GITEX GLOBAL 2024 与 EXPAND NORTH STAR 联袂呈现，覆盖迪拜世界贸易中心和迪拜港两大场馆，提供40余个展厅，展示来自科技巨头和创新型初创企业在人工智能、网络安全、移动性、可持续技术等多个领域的最新成果。

盛邦安全，邀您共鉴

在本次GITEX GLOBAL 2024展会上，盛邦安全惊艳亮相，其创新技术、重磅产品及解决方案吸引了众多参会者到场，就前沿发展趋势、市场需求以及应用场景进行了深入交流。

展会将持续到10月18日，欢迎莅临迪拜世界贸易中心H26-A90盛邦安全展位，与我们共同探讨产业与技术的现状与未来。

展示亮点速览

新一代Web应用防护系统

六大安全引擎，构建“主动”+ “被动”的纵深防御体系

一体化漏洞评估系统

精准识别、高效发现，让各类脆弱性风险无处可逃

API安全防护系统

智慧模型深度赋能，打造可知、可管、可控、可预测的API安全治理体系

全球网络空间资产测绘平台

DayDayMap集产学研一体，60亿+IPv6数据，让网络空间资产可感知、易定位、更有价值

原文链接

为表彰在网安领域表现突出的企业及团队，进一步激发全行业创新活力，嘶吼于10月8日启动了2024年网络安全“金帽子”年度评选活动。截止到现在，“金帽子”年度评选报名时间已过半，望各企业单位尽快填写相关材料进行报名。

2024年网络安全“金帽子”年度评选

评选奖项

1、年度优秀安全产品

2、年度优秀行业解决方案

3、年度大模型创新技术

4、年度行业影响力

5、年度优秀团队品牌

6、年度创新成果典型案例

7、年度杰出安全服务商

评选规则

评选规则设置为大众投票占比40%，专家投票占比60%，同时系统对恶意刷票行为制定了预防机制，评选过程公开、客观、公正。

活动征集

征集时间：10月8日-10月22日

征集方式：根据年度奖项类目，参选企业可通过自荐、推荐、邀请等方式参与评选，在报名系统上按要求填写企业信息，进行参评。

征集入口：https://www.4hou.com/award-registration

PS：注册登录嘶吼账户后，可填写报名资料，各奖项申报名额有限，欲报从速。

如有其他问题咨询，请直接联系组委会，联系方式：

Microsoft 已在未来版本的 Windows Server 中正式弃用点对点隧道协议 (PPTP) 和第 2 层隧道协议 (L2TP)，并建议管理员切换到提供更高安全性的不同协议。 

20 多年来，该企业一直使用 PPTP 和 L2TP VPN 协议来提供对企业网络和 Windows 服务器的远程访问。

然而，随着网络安全攻击和资源变得更加复杂和强大，协议变得越来越不安全。例如，PPTP 很容易受到捕获的身份验证哈希值的离线强力攻击，而 L2TP 不提供加密，除非与其他协议（如 IPsec）结合使用。

但是，如果 L2TP/IPsec 配置不正确，可能会引入使其容易受到攻击的弱点。

因此，Microsoft 建议用户转向更新的安全套接字隧道协议 (SSTP) 和 Internet 密钥交换版本 2 (IKEv2) 协议，这些协议可提供更好的性能和安全性。

微软表示：“此举是微软战略的一部分，旨在通过将用户过渡到安全套接字隧道协议（SSTP）和互联网密钥交换版本 2（IKEv2）等更强大的协议来增强安全性和性能。”

这些更新协议能提供相对来说的更加安全的加密、更快的连接速度和更好的可靠性，使它们更适合当今日益复杂的网络环境。

Microsoft 还分享了每个协议的以下优点： 

SSTP 的优点

·强加密：SSTP使用SSL/TLS加密，提供安全的通信通道。

·防火墙穿越：SSTP可以轻松穿过大多数防火墙和代理服务器，确保无缝连接。

·易于使用：凭借 Windows 的本机支持，SSTP 的配置和部署非常简单。

IKEv2的优点

·安全性高：IKEv2支持强大的加密算法和稳健的认证方法。

·移动性和多宿主：IKEv2 对于移动用户特别有效，可在网络变化期间保持 VPN 连接。

·性能卓越：与传统协议相比，IKEv2 能够更快地建立隧道并降低延迟，提供卓越的性能。

微软强调，当一项功能被弃用时，并不意味着它被删除。相反，它只是不再处于积极开发状态，并且可能会从未来版本的 Windows 中删除。此弃用期可能会持续数月至数年，让管理员有时间迁移到建议的 VPN 协议。

作为此弃用的一部分，Windows RRAS Server（VPN 服务器）的未来版本将不再接受使用 PPTP 和 L2TP 协议的传入连接。但是，用户仍然可以进行传出 PPTP 和 L2TP 连接。

为了帮助管理员迁移到 SSTP 和 IKEv2，Microsoft 在 6 月份发布了支持公告，其中包含了有关如何配置这些协议的步骤。

作为国内网络安全的官方研究报告，中国网络安全发展蓝皮书连续两年收录北京经纬信安科技有限公司，权威认证经纬信安在网络安全主动防御领域的丰硕耕耘成果，把国家战略需求转化成产品和服务。

《中国网络安全发展蓝皮书》详细地介绍企业了网络安全领域的最新趋势和发展态势，包括云安全、数据安全、网络攻防漏洞等方面，同时重点分析了当前面临的各种网络安全威胁。除此之外，蓝皮书还提出了全面加强网络安全体系建设、加强关键信息基础设施安全保障、加强国际合作以及完善网络安全法律法规等措施，为保障国家网络安全提供了有力的支持和指导。《中国网络安全发展蓝皮书》具有很高的权威性和参考价值，是网络安全领域专业人士、政策制定者以及对网络安全感兴趣的读者的重要资源。

2021—2022年中国网络安全发展蓝皮书首位收录，打响开门红

经纬信安在网络安全主动防御领域取得显著成就，其创新合作模式和研发模式推动了技术突破和产业生态共建。公司不仅服务国家安全，快速响应需求，还积极开发主动防御安全产品，提升客户网络安全防御能力。经纬信安以“精准、主动、高效、闭环”为原则，构建安全共同体，规避网络安全风险，展现了在行业内的领先地位和专业实力。

深耕网络安全主动防御领域，经纬信安拥有国内一流的安全技术团队，依托雄厚的科技创新能力，始终深耕主动防御领域，面向人工智能及5G时代，以技术为驱动引擎，探索新业态、新技术、新场景与安全技术的融合。公司通过内外部分布式科技协同，加强科技研发，保持技术领先性；营造“协作创新”氛围，加快科技成果转化，提高技术资源利用效率，让科技成为业务发展、产品及服务创新的动力与支撑。同时，经纬信安也在以更开放的协同方式，打造行业生态价值链，充分发挥自身技术特色与优势，为客户创造更大的价值。公司在政务、金融、运营商、媒体、医疗、电力、运输、交通及教育等行业领域，完成了几十项提升网络安全主动防御能力的成功案例。

随着网络安全等级保护标准体系的升级，在“一个中心、三重防护”网络安全架构下，客户对网络安全的关注从传统系统安全拓展到云计算、移动互联网、大数据平台等新的技术领域，且更加注重全方位主动防御、动态防御、整体防控和精准防护。经纬信安始终致力于服务国家安全，快速响应国家安全需求，将“服务于保卫国家网络安全”作为发展方向。“持续创新，实现自主研发的主动防御关键核心技术”为公司发展首要目标。

经纬信安瞄准被动防御向主动防御转变的未来趋势，率先完成整体防御、分区隔离、积极防护、内外兼防、自身防御、主动免疫纵深防御、技管(技术和管理)并重等方面的技术研发，为网络安全等级保护2.0标准体系(简称等保2.0)提供WAF、下一代防火墙、蜜罐系统、漏洞扫描、入侵检测、堡垒机、上网行为管理和日志审计等产品。

2022—2023年中国网络安全发展蓝皮书再次收录，厚积薄发

经纬信安在网络安全领域持续探索，创新提升网络安全威胁发现、监测预警、应急指挥、攻击溯源能力的网络安全解决方案，并致力于给客户提供优质高效的服务。

2022年7-9月，经纬信安为江苏省委网信办对水、电、热、气、高校、卫健系统等民生行业提供远程风险评估、基线检查、内网横向移动攻击主动防御监测的二十大网络安全专项服务；

2022年7月，经纬信安为江苏省卫健委提供党的二十大网络安全专项服务；

2023年4月，经纬信安为中央网信办举办“2023中国网络媒体论坛”提供专项保障，在论坛开展期间，开展了风险评估、安全检测、应急响应等工作，落实开展24小时值守及全天候技术支撑工作，实现会议保障期间“零事故”，并获得官方通报表扬。

截至目前，经纬信安已完成了二十大、建党100周年、两会等网络安全保障任务，践行企业社会责任，为国家重大活动提供专业的网络安全保障服务。

经纬信安积极围绕用户需求开发主动防御安全产品。“让安全更高效”是公司的愿景，时刻铭记满足客户网络安全需求生存的基石，把客户要求与期望准确传递到产品与服务。形成以纬将主动防御平台（XDR）为核心，以见未形风险评估系统（ASM）、经纬信安威胁情报中心（XTI）、戍将攻击诱捕平台（IDH）、戍将拟态防御平台（X-IDH）、经兵端点检测响应平台（EDR）、纬将安全编排与自动化响应平台（SOAR）为驱动，以安全运营服务为支撑，具备主机检测、流量检测和蜜罐诱捕功能，以及智能分析和自动化响应的一体化主动防御解决方案，完成独立的自适应安全运营。

公司持续改进产品安全质量，创新安全服务模式，提升客户网络安全防御能力，以“精准、主动、高效、闭环”为原则，与客户构建安全共同体，规避网络安全风险。经纬信安更加注重全方位主动防御、动态防御、整体防控和精准防护。结合用户实际使用场景与业务和数据的安全需求，确定刚性需求，依据国家政策与标准，基于“持续保护，不止合规”，构建“预测、预防、监控、分析、响应”闭环，基于大数据、人工智能等前沿安全技术，完成从“被动防御+应急响应”向“主动防御＋持续响应”的切换，形成安全闭环。

连续两年收录于中国网络安全发展蓝皮书，在肯定了经纬信安于网安领域的地位同时，更从权威的角度认可市场竞争优势。

今后经纬信安将继续秉承“让安全更高效”的使命，助力构建国家安全屏障，通过持续的技术创新和卓越的服务，为客户打造了一个牢固可靠的安全屏障。

勒索软件攻击事件在近期有所下降后又开始回升。根据 NCC Group 发布的数据显示，勒索软件攻击的复苏是由老牌勒索软件即服务 (RaaS) 组织主导的。

通过“积极监控每个勒索软件组织使用的泄漏站点并在受害者详细信息发布时抓取”收集的数据，研究人员确定 Lockbit 是 7 月份最活跃的勒索软件团伙，发动了 62 次攻击。比上个月增加了 10 次，是第二和第三活跃团体总和的两倍多。

Lockbit 3.0 仍然是最具威胁性的勒索软件组织，所有组织都应该警惕它。

攻击次数第二多和第三多的组织分别是 Hiveleaks 和 BlackBasta ，共发起过 27 次和 24 次攻击。这些数字表明每个组织的攻击次数都在快速增长——自 6 月以来，Hiveleaks 增长了 440%，BlackBasta 增长了 50%。

勒索软件攻击的复苏和这两个特定团体的崛起很可能密切相关。

勒索软件攻击事件为何会反弹

NCC Group 的研究人员统计，7 月份共发生 198 起成功的勒索软件攻击活动，较 6 月份增长 47%。尽管这一增长势头迅猛，但仍远低于今年春季创下的最高纪录，3 月和 4 月均发生了近 300 起此类攻击活动。

今年 5 月，美国政府加大了打击俄罗斯网络犯罪的力度，悬赏 1500 万美元，以获取有关 Conti（当时全球最大的勒索软件团伙）的宝贵信息。

根据报告作者推测：“威胁者很可能正在经历结构性变化，并开始适应新的运作模式，导致他们的总体危害程度同时增加。”

Hiveleaks 和 BlackBasta 就是这次重组的产物。

这两个组织都“与 Conti 有关联”，Hiveleaks 是其附属组织，而 BlackBasta 则是其替代分支。因此，Conti 似乎没过多久就重新出现在威胁领域，尽管是以新身份出现的。现在，Conti 已经一分为二，因此进入8月份，这些数字进一步增加也就不足为奇。

今年4月15日、7月8日，中国国家计算机病毒应急处理中心等机构连续发布了两次专题报告，揭露了美方利用所谓“伏特台风”虚假叙事行动计划对我国抹黑的真实意图。

10月14日，我国网络安全机构第三次发布专题报告，进一步公开美国政府机构和“五眼联盟”国家针对中国和德国等其他国家，以及全球互联网用户实施网络间谍窃听、窃密活动，并掌握了美国政府机构通过各种手段嫁祸他国的相关证据，另外还有他们采取“供应链”攻击，在互联网设备产品中植入后门等事实，彻底揭穿所谓“伏特台风”这场由美国联邦政府自导自演的政治闹剧。

美研发嫁祸他国隐身“工具包”代号“大理石”

报告显示，长期以来，美国在网络空间积极推行“防御前置”战略，并实施“前出狩猎”战术行动，也就是在对手国家周边地区部署网络战部队，对这些国家的网上目标进行抵近侦察和网络渗透。为适应这种战术需要，美国情报机构专门研发了掩盖自身恶意网络攻击行为、嫁祸他国的隐身“工具包”，代号“大理石”。

国家计算机病毒应急处理中心高级工程师杜振华介绍，“大理石”的主要功能是对这种网络武器，也就是像间谍软件或者恶意程序代码中的可识别特征进行混淆，甚至是擦除。就像是把开发者的指纹给擦除了，也相当于像把枪械武器的膛线改变了，所以导致从技术上对这种武器的溯源变得非常困难。

技术团队调查发现，根据“大理石”工具框架源代码及其注释显示，它被确定为一个机密级（且不可向国外透露）的武器研发计划，起始时间不晚于2015年。“大理石”工具框架可以使用超过100种混淆算法，它能将源代码文件中可读的变量名、字符串等替换为不可读（不可识别）内容，并且可以插入特定的干扰字符串。

杜振华说：“我们可以看到，这里边有阿拉伯语、中文、俄语、朝鲜语、波斯语，那么他在缓冲区做好混淆的数据之后，会把缓冲区的数据写入到指定的位置，或者是相应程序的文件当中，实现对这种网络武器痕迹的故意植入。”

安天科技集团技术委员会副主任李柏松介绍：“这是一种在网络攻击中比较常见的手段，比如说a组织把自己伪装成了b组织，而这种伪装可以在好多个不同的环节出现。比如他在架设命令控制服务器的过程中，或是在他窃密的木马开发过程中，好多个阶段都可以用这样的一些手法。而这就使得他的攻击变得很难去溯源。”

通过这些栽赃、虚构的手段，美国网络战部队和情报机构的黑客就能任意变换身份、变更形象，通过冒充其他国家的身份在全球实施网络攻击窃密活动，然后将这些行为栽赃给被冒充的非美国 “盟友”的国家。

技术团队通过掌握的证据发现，“伏特台风”行动就是一个典型的、精心设计的、符合美国资本集团利益的虚假信息行动，也就是所谓的“假旗”行动，其技战术与美国和“五眼联盟”国家情报机构所采用技战术完全吻合。

美对全球互联网用户实施无差别监听

我国网络安全机构发布的报告显示，美国政府机构之所以虚构出所谓中国背景的“伏特台风”网络攻击组织，目的就是为了继续把持《涉外情报监视法案》第“702条款”所赋予的“无证”监视权，以维持其庞大的“无差别”“无底线”监听计划。而正是有了“702条款”的相关权限，美国政府机构才能持续对全球互联网用户实施无差别监听，甚至直接从美国各大互联网企业的服务器上获取用户数据，是名副其实的网络空间“窥探者”。

技术团队调查发现，据美国国家安全局的内部绝密级资料显示，美国依托其在互联网布局建设中先天掌握的技术优势和地理位置优势，牢牢把持全球最重要的大西洋海底光缆和太平洋海底光缆等互联网“关键节点”，先后建立了7个国家级的全流量监听站。美国政府机构与英国国家网络安全中心紧密合作，对光缆中传输的数据进行解析和数据窃取，实现对全球互联网用户的无差别监听。

杜振华说：“通过对这些光缆中的数字信号进行提取、汇聚、还原、解码、解密，就可以得到光缆通信数据当中的语音信息、文字信息、视频信息，甚至是‘用户名密码’。这些情报的受益方很多，主要是两个方面，一方面是美国自己，当然包括美国的军方情报机构，另一方面是美国的情报合作伙伴，特别是像‘五眼联盟’国家。”报告显示，为了将窃取的数据实时转化成可阅读、可检索的情报信息，美国国家安全局实施了两个重点工程项目，分别是“上游”（UpStream）项目和“棱镜”（Prism）项目，这两个项目分别承担数据存储和数据还原分析的功能。

杜振华介绍：“‘上游’项目顾名思义，就是从海底光缆中把原始数据提取出来，汇聚形成一个巨大的数据水库，供后续进行深度分析。‘棱镜’计划就是在‘上游’项目的基础上，对数据水库当中的流量进行深度的分析分类，这两者实际上互为补充，都是美国网络监听项目的重要组成部分。”

据网络安全专家介绍，为了解决“上游”项目中加密数据破解和网络通信流量路径覆盖不全等突出问题，美国政府还会通过“棱镜”项目直接从微软、雅虎、谷歌、脸书、苹果等美国各大互联网企业的服务器上获取用户数据。

而“上游”和“棱镜”两个项目正是在《涉外情报监视法案》第“702条款”的授权下建设实施的，因此第“702条款”成为美国情报机构代表美国联邦政府合法、公开、持续窃取全球互联网链路数据的官方依据，也成为美国“窃密帝国”的扎实证据。

中国主要城市几乎都在美国网络秘密入侵范围内

报告显示，为了满足情报需要，针对监听系统“盲区”的特定目标，美国国家安全局下属的“特定入侵行动办公室”会发动网络秘密入侵行动，受害目标主要集中在亚洲、东欧、非洲、中东和南美等地区，据技术团队掌握的证据显示，特定目标已经被植入的间谍程序超过5万个。

技术团队调查发现，在美国国家安全局的内部文件中显示，中国境内的主要城市几乎都在其网络秘密入侵行动范围内，大量的互联网资产已经遭到入侵，其中包括西北工业大学和武汉市地震监测中心所在地区。

李柏松表示：“美方对间谍软件的控制有很多种不同的方式，比较易于理解的是网络远程控制。另外他们有一个代号为‘水蝮蛇’的装备，看起来就像是个USB的接头一样，然后可以伪装成类似于键盘、鼠标的接口，他把这个装备接入到物理隔离网络的设备上去，然后把窃取的数据通过信号的方式发送出来，甚至实现对它的一个控制。”

专家介绍，除了直接实施网络入侵行动窃取数据之外，针对一些防范等级高且入侵难度大的高价值目标，特别入侵行动办公室还会采取“供应链”攻击的方式，也就是在美国大型互联网企业或设备供应商的配合下，从物流环节拦截攻击目标，另外还会对攻击目标所采购的美国网络设备进行拆解并植入后门，然后重新打包发货给攻击目标。

李柏松介绍：“这种被做了手脚的设备得到使用之后，就会成为攻击者的一个突破口。攻击者可以利用它的漏洞、后门，在我们不知道的情况下进入到我们的内网。”

杜振华介绍：“它主要是针对这种防御能力比较强、攻击难度比较大的目标，特别是一些保密等级很高的目标，包括单位、个人和群体。它的隐蔽性非常强，所以能够实现长期潜伏的窃密活动。因为它有可能造成网络瘫痪，所以它的危害无论是从泄密度，还是安全隐患的角度，都是非常严重的。”

美方不断将网络攻击溯源政治化

通过“702条款”的授权，美国情报机构建立了规模庞大的全球化互联网监听网络，向美国政府机构提供了大量高价值情报，使美国政府屡屡在外交、军事、经济、科技等领域占得先机，“702条款”以及与之相配套的互联网监听系统成为现阶段美国维持其霸权地位的“秘密武器”。

报告显示，在拥有强大的先发技术优势条件下，任何目标都有可能被美国联邦政府及其情报机构列入“重点监控名单”，其中包括一些美国的“盟友”国家法国、德国、日本，甚至普通美国公民。

杜振华介绍：“这样无差别、无底线的监听，其实来源于美国的对外情报监视法案第‘702条款’，又被称为‘无证监视法案’。它的权力是非常大的，而且很少受到制约，所以实际上是美国对外肆无忌惮开展这种网络监听活动的一个根源。”

专家介绍，为了维持庞大的监听计划，美国政府机构每年所需的经费预算也是相当惊人，而这正是美国联邦政府及其情报机构合谋策划、推动“伏特台风”计划的主要动力。

杜振华介绍：“‘伏特台风’这种虚假叙事，实际上就是为了骗取国会为这些竞争项目投入更多的资金。同时，美国还必须通过这种虚假事实去保住‘702条款’这样一个无证监视的权利，还可以达到抹黑和诋毁中国的目的。”

报告指出，多年来，美国政府机构出于自身一己私利，不断将网络攻击溯源问题政治化，而微软等公司则为了迎合美国政客、政府机构和情报机构，出于提高自身商业利益考虑，打着“中国网络威胁论”的旗号，为“702条款”源源不断地输送情报。

中国一向反对政治操弄网络安全事件的技术调查，反对将网络攻击溯源归因问题政治化。报告再次呼吁，网络安全需要广泛的国际协作，广大网络安全企业和研究机构也应该专注于对网络安全威胁对抗技术的研究以及如何为用户提供更高质量的产品和服务。

文章来源：央视新闻客户端

自2022年底ChatGPT上线迄今不过两年，从日常工作到多媒体内容输出，各类人工智能（AI）应用已经成为很多行业不可或缺的工作“助手”。正当人们对身边的智能助手感到习以为常时，AI却以更加震撼的方式刷新人类对它的认知。在刚刚过去的10月8日与10月9日，2024诺贝尔奖物理学与化学两个重要奖项都被人工智能（AI）的相关成果及科学家取得。与此同时，特斯拉发布的Robotaxi 以及机器人Optimus都让人们对未来AI的应用场景充满期待。

或许，未来AI能否在诺贝尔其他奖项继续大放异彩我们不得而知，但AI已经渗透到人们生活的各个方面已是不争的事实。因此，随着数字威胁日趋严峻，在AI的主场—IT领域对人工智能技术在全行业、尤其是安全方面的应用需求变得十分迫切。根据 Check Point Research 的报告，在 2024 年 1 月至 8 月期间，全球公用事业部门（包括关键基础设施）每机构平均每周遭受的网络攻击次数高达 1514 次——与去年相比增加 37%，在所有行业中排名第五，进一步凸显了采取 AI 安全防护的必要性。这项先进技术正在革新关键基础设施的网络安全防护实践，为应对日益复杂的攻击提供了前所未有的防御能力。借助 AI 实时处理大量数据流的能力，企业现在能够极其快速、准确地检测异常情况和潜在威胁。

在机器学习算法的加持下，这些系统不断发展，可以始终领先网络犯罪分子一步。对于电网、供水系统和交通网络运营商来说，基于 AI 的解决方案可提供强大的保护，防止可能会造成破坏性影响的中断事件。通过自动执行日常安全任务，AI 能够让人类专家专注于应对复杂的挑战，从而提高整体威胁响应能力。虽然 AI 可能被用于发起攻击，而且需要持续的系统更新，但是将 AI 融入关键基础设施防护的优势远远超过了这些潜在弊端。随着世界变得日益互联，AI 将在保护我们社会的数字骨干网方面发挥关键作用。

关键基础设施领域基于 AI 的威胁检测

AI 正在重塑关键基础设施领域的威胁检测，例如化学、关键制造、能源、交通、医疗保健、供水和污水处理系统。机器学习算法能够处理来自复杂网络的海量数据，以识别异常模式和潜在的安全漏洞。AI 系统能够检测到传统方法不易察觉到的入侵指标，支持快速做出响应，从而防止威胁破坏基本服务或泄露敏感数据。

加强安全防护自动化和编排

在关键基础设施中，集成式 AI 可增强安全防护自动化和编排，从而简化对网络威胁的响应。智能系统能够自主调查警报、关联不同来源的数据并触发响应措施。得益于这一自动化，人工安全防护团队可将更多精力用于战略规划和复杂的威胁分析，从而确保关键基础设施灵活抵御网络攻击。

生成式 AI：网络安全防护的双刃剑

对于生成式 AI 在关键基础设施防护中的应用，机遇和挑战并存。就防御而言，它有助于代码分析、漏洞发现和威胁情报整合。然而，攻击者也可以利用生成式 AI 发起复杂的网络钓鱼攻击、开发新的恶意软件变体或发现新的攻击向量。鉴于这一双重性质，关键部门必须采取积极主动的网络安全防护方法。

融合式网络 AI：整体防御策略

为了有效应对 AI 威胁，关键基础设施组织正在采用一种“融合式网络 AI”方法。该策略需要将 AI 功能集成到整个安全堆栈中，从而提高预测和缓解威胁的能力。借助 AI 原生架构，组织可构建强大的防御系统，保护重要系统和数据免受日益复杂的网络攻击。

通过提高效率、可靠性和可持续发展能力，AI 正在重塑关键基础设施，能源行业便是其中的典型。在智能电网中，AI 通过预测能源需求模式、优化能源分配和集成可再生能源发挥着至关重要的作用。这些功能有助于实现高效的能源分配，减少浪费，并确保稳定可靠的电力供应，即便是在太阳能和风能等间歇性能源的管理中也是如此。

AI 在预测性维护方面也起着关键作用，能够利用算法来预测潜在设备故障。这种积极主动的方法可通过延长关键基础设施组件的使用寿命，最大限度地减少停机时间并降低维护成本。此外，AI 还可通过实时监控和分析能耗，提高建筑物和工业流程的能效。AI 系统可根据使用模式实时调整供暖、制冷和照明，从而优化能源使用、降低成本并减少碳排放。

AI 正在交通运输行业掀起一场效率、安全和可持续发展的技术革命。

· 自动驾驶汽车：作为自动驾驶汽车的核心，AI 可帮助车辆导航、解读传感器数据并做出实时决策。机器学习算法可处理来自摄像头、激光雷达和雷达的输入数据，以检测障碍物、识别交通信号并预测行人和其他车辆的活动。

· 交通管理：AI 系统通过分析来自摄像头、传感器和 GPS 设备的数据，优化市区的交通流量。这些系统能够预测交通拥堵情况，调整交通信号灯的变换时间，并推荐替代路线，以减少路程时间和排放。目前有几个正在开发中的项目将应急车辆与信号系统相结合，以确保应急车辆畅通无阻。

· 预测性维护：在铁路和公路等交通基础设施中，基于 AI 的预测性维护利用来自物联网传感器的数据预测设备故障，防患于未然。这既能减少停机时间和维护成本，又能提高安全性。

· 公共交通优化：AI 可根据实时数据优化路线和时间表，从而改善公共交通。它有助于管理车队营运、预测乘客需求和提高整体服务效率。

· 安全监控：基于 AI 的监控系统可监控机场和火车站等交通枢纽的安全威胁，利用面部识别和行为分析来识别可疑活动，保障乘客安全。

· 供应链与物流：在物流业，AI 通过预测需求、管理库存和规划高效的配送路线来优化供应链运营，从而节省成本并提高服务水平。

· 智能基础设施：AI 还推动了智能基础设施的发展，例如智能交通系统和智能电网，通过与交通网络相结合，提高了连通性和效率。

AI 在医疗保健基础设施中的应用现状：聚焦网络安全防护

由于患者数据的敏感性，医疗保健行业日益成为网络威胁的目标。AI 可增强该行业的网络安全防护。

· 威胁检测和预防：AI 系统分析网络流量和用户行为，以实时识别异常情况并拦截恶意软件、勒索软件和网络钓鱼攻击等威胁。

· 数据保护：AI 可加强数据加密和访问控制，识别未经授权的访问并执行安全协议来保护患者数据。

事件响应：AI 可自动执行事件响应流程，快速识别和处理安全漏洞，并根据严重程度划分威胁的优先级。

· 漏洞管理：AI 可识别和修补医疗保健系统中的漏洞，预测易受攻击之处并推荐更新。

· 欺诈检测：AI 通过识别异常模式和差异来检测欺诈活动。

通过增强学习体验、优化管理流程和提供个性化教育，AI 正在重塑教育行业。

· 个性化学习：AI 通过分析学生的学习模式、调整难度和提供实时反馈，根据学生的个人需求量身定制教育内容，例如 Coursera 和可汗学院等平台。

· 智能辅导系统：AI 助教提供个性化课外辅导，为学生解疑答惑和提供指导，例如 MATHia 和 IBM 的 Watson Tutor 等工具。

· 自动评分：基于 Gradescope 等系统提供的详细反馈，AI 可自动为测试和论文评分，这能够帮助教育工作者节省时间，并确保评估的一致性。

· 预测性分析：AI 可预测学生的表现并识别遇到困难的学生，从而及时进行干预和提供支持，并预测注册趋势和资源需求。

· 提升无障碍服务能力：AI 通过语音识别和文本转语音等工具提高了无障碍服务能力，增强了教学场景对残障学生的包容性。

· 虚拟现实和增强现实：基于 AI 的虚拟现实和增强现实技术可打造沉浸式互动学习体验，助力学生探索医学和工程学等领域的复杂课题。

· 研究与数据分析：AI 可分析大型数据集，提供教学方法和学习成果方面的有益洞察，从而帮助制定教育策略和政策。

综上所述，在关键基础设施中采用 AI 技术的重要性与日剧增。Check Point建议企业用户可通过集成 AI 增强安全措施，提高运营韧性。AI 系统不仅能快速识别和响应威胁，降低中断风险，而且还能优化资源管理，预测维护需求，从而提高运营效率。要想在日新月异的技术环境中保持领先地位，关键基础设施部门应重视 AI 技术的采用。这不仅有助于提升关键资产的安全保护，又能确保长期可持续发展能力和可靠性。

往期回顾：

2024.9.23—2024.9.29安全动态周回顾

2024.9.16—2024.9.22安全动态周回顾

2024.9.9—2024.9.15安全动态周回顾

2024.9.2—2024.9.8安全动态周回顾

2024.8.26—2024.9.1安全动态周回顾

2024.8.19—2024.8.25安全动态周回顾

2024.8.12—2024.8.18安全动态周回顾

在当今快节奏的商业环境中，员工越来越多地求助于未经授权的 IT 解决方案来简化工作并提高生产力。这些系统、设备、软件和服务被称为“影子 IT”，它们通常在企业 IT 部门的管辖范围之外运行。

尽管影子 IT 通常是出于提高办公效率而采用的，但它可能会带来重大的安全风险、合规性问题和隐性成本。本文探讨了影子 IT 的普遍性、它带来的风险，并讨论了管理影子 IT 的策略，包括能够持续发现未知 IT 资产的解决方案。

影子 IT 示例和成本

影子 IT 的兴起可以归因于多种因素，其驱动因素包括对效率的需求以及对僵化的 IT 流程的不满。员工经常求助于未经授权的解决方案，例如未经批准的协作工具等来克服这些障碍。这种趋势在远程团队中尤为普遍，因为有效的沟通对于远程团队至关重要。

另一个因素是云服务的广泛普及。有了易于使用的应用程序，员工无需通过官方 IT 渠道即可轻松实施工具。

影子 IT 有多种形式，包括使用个人设备工作、采用未经授权的云服务进行文件共享和协作、使用未经批准的生产力应用程序和通信工具、以及在 IT 部门不知情的情况下部署软件。

然而，影子 IT 的盛行给企业带来了巨大的安全和财务风险。研究结果凸显了问题的严重性：

·卡巴斯基发现，85% 的企业面临网络事件，其中 11% 直接与影子 IT 有关。

·CIO Insight 发现，81% 的业务线员工和 83% 的 IT 员工使用未经批准的 SaaS 应用程序。

·Mobile Mentor 透露，三分之一的员工绕过公司安全政策来完成他们的任务。

·Gartner 估计，大型企业的影子 IT 支出占预算的 30-40%。

减轻影子 IT 风险

为了有效减轻与影子 IT 相关的风险，企业应该采用包含以下策略的综合方法：

·了解根本原因：与不同的业务部门合作，找出导致员工寻求未经授权的解决方案的痛点。简化 IT 流程以减少摩擦，让员工更容易在批准的渠道内完成任务，最大限度地减少绕过安全措施的诱惑。

·开展员工教育：提高整个团队对影子 IT 相关风险的认识，并提供经批准的替代方案。培养 IT 和业务团队之间的协作和开放沟通文化，鼓励员工在选择技术解决方案时寻求指导和支持。

·制定明确的政策：定义并传达有关个人设备、软件和服务的适当使用的准则。对违反政策的行为施加惩罚，以确保合规性和责任感。

·利用技术方案：实施工具，使 IT 团队能够持续发现和监控所有未知和未管理的 IT 资产。通过集中查看团队的在线风险，可以有效地规划补救措施，以弥补安全漏洞并最大限度地减少影子 IT 的影响。

在当今快节奏的工作环境中，员工经常诉诸未经授权的影子 IT 解决方案来提高生产力。然而，对于企业来说，识别和解决与此类做法相关的固有安全性、合规性和生产力风险至关重要。企业也可以采用有效管理影子 IT 和控制企业攻击面的解决方案，利用相关工具有助于持续发现、分析和监控与公司的在线风险相关的所有实体，使企业重新控制其攻击面并最终减轻与影子 IT 相关的实际风险。

近年来，数据泄露事件频发，尤其是通过邮件系统这一关键渠道，给企业和个人敲响了警钟。邮件作为日常工作中最常用的通信方式之一，其安全性尤为关键。然而，邮件系统也面临着垃圾邮件、钓鱼邮件攻击、携带勒索病毒附件的邮件攻击、伪造发件人身份和邮件服务器安全漏洞等多种威胁。这些风险可能导致敏感数据的泄露，甚至可能破坏企业的日常运营，对国家安全造成影响。

为了应对这些挑战，CACTER将于10月16日（周三）举办一场主题为“邮件安全新视界：隐私保护与用户安全画像的实战应用”的直播活动。在这次直播中，CACTER邮件安全团队将探讨企业在邮件数据保护方面的挑战与对策，并分享实用的隐私保护策略和用户安全画像构建方法。

10月16日（周三）15：00-16：00

邮件安全新视界：隐私保护与用户画像的实战应用

在这里您可以看到：

·“企业合规隐私保护策略——邮件全面拆解检测

·“构建精准的用户安全画像——用户威胁行为分析

本次直播不仅提供了实战应用分享，还准备了丰厚的奖品。参与直播将有机会赢取六福珠宝金元宝、华为手环NFC版、天猫精灵IN糖6蓝牙音箱、美的养生壶等精美礼品。

扫码即刻预约，精彩不容错过：