?云安全調查：過(guò)去一年半80%的企業(yè)遭受云數據泄露

IDC的一項調查顯示，云安全問(wèn)題正在急劇惡化，在過(guò)去的18個(gè)月中，近80％的公司至少經(jīng)歷了一次云數據泄露，而43％的公司報告了10次或更多泄露。根據參與調查的300位CISO的反饋，安全相關(guān)的配置錯誤（67％），對訪(fǎng)問(wèn)設置和活動(dòng)缺乏足夠的可見(jiàn)性（64％）以及身份和訪(fǎng)問(wèn)管理（IAM）許可錯誤（61％）是他們最關(guān)注的云生產(chǎn)環(huán)境安全問(wèn)題。同時(shí)，有80％的人報告他們無(wú)法識別IaaS/PaaS環(huán)境中對敏感數據的過(guò)度訪(fǎng)問(wèn)。根據2020年Verizon數據泄露報告，在數據泄露的根源方面，只有黑客攻擊排名高于錯誤配置錯誤。

盡管接受調查的大多數公司已經(jīng)在使用IAM、數據防泄漏、數據分類(lèi)和特權賬戶(hù)管理產(chǎn)品，但仍有超過(guò)一半的公司聲稱(chēng)這些產(chǎn)品不足以保護云環(huán)境。

?ImmuniWeb發(fā)布暗網(wǎng)數據泄露監測工具

近日，人工智能應用安全公司ImmuniWeb發(fā)布了一個(gè)新的免費暗網(wǎng)監測工具，? 用于監視和衡量組織在暗網(wǎng)（Dark Web）上的暴露程度。該工具還可以通過(guò)免費的API使用，這使其成為SOC安全分析人員及時(shí)發(fā)現新Web安全和隱私威脅的有用工具。為了改善網(wǎng)絡(luò )安全專(zhuān)業(yè)人員的決策過(guò)程，該免費工具可搜索暗網(wǎng)市場(chǎng)，黑客論壇和Surface Web資源（例如Pastebin或GitHub），以了解在售或泄漏的數據的分類(lèi)架構。

?五角大樓的漏洞神器：Mayhem

ForAllSecure主打“下一代”模糊測試技術(shù)，并基于此技術(shù)實(shí)現模糊測試系統Mayhem。五角大樓上個(gè)月與ForAllSecure簽訂了一份價(jià)值4500萬(wàn)美元的合同，以擴大Mayhem在美軍中的使用范圍，因為軍方有太多軟件bug急需一個(gè)“漏洞大殺器”。一份2018年度的美國政府工作報告發(fā)現，美國國防部2012年至2017年之間測試的所有武器系統都存在嚴重的軟件漏洞。

?“虛假”勒索軟件解密器的陷阱導致雙重加密

一個(gè)偽造的STOP Djvu勒索軟件解密器正在傳播，但實(shí)際上，但這只是誘使已經(jīng)絕望的人們再度感染的陷阱。

雖然諸如Maze、REvil、Netwalker和DoppelPaymer這樣的勒索軟件因勒索金額高昂而受到了媒體的廣泛關(guān)注，但名為STOP Djvu的勒索軟件正在感染更多的人。據了解，STOP勒索軟件是過(guò)去一年中最活躍的勒索軟件，每天要向ID-勒索軟件勒索軟件識別服務(wù)提交600多個(gè)文件。而Emsisoft和Michael Gillespie先前已發(fā)布了較舊的STOP Djvu變種的解密器，但較新的變種目前還不能免費解密。而最近出現的偽裝的解密器，承諾可以免費解密，但卻讓受害者再感染了另一種勒索軟件，把情況變得更糟糕。為STOP Djvu勒索軟件受害者帶來(lái)二度打擊的就是名為Zorab的新勒索軟件。Zorab勒索軟件的創(chuàng )建者發(fā)布了一個(gè)偽造的STOP Djvu解密器，該解密器不會(huì )免費恢復任何文件，而是使用另一勒索軟件對受害者已經(jīng)加密的所有數據進(jìn)行再次加密。

?“數字抗疫”之下應該如何保護個(gè)人隱私？

新冠肺炎疫情暴發(fā)以來(lái)，不少?lài)彝ㄟ^(guò)數字技術(shù)排查病患、追蹤密切接觸者，在阻斷疫情傳播過(guò)程中取得了積極成果。在近期全球“經(jīng)濟重啟”中，數字技術(shù)用于接觸者追蹤，也被認為是走出“封鎖”的必要條件之一。隨著(zhù)主要國家疫情趨于緩和，復工需要更加精準的防疫措施。越來(lái)越多的政府開(kāi)始積極探索數字技術(shù)在抗疫領(lǐng)域的應用，希望借助信息科技做好復工與抗疫之間的平衡。在發(fā)達國家，尤其是歐洲，對于個(gè)人位置等隱私數據的應用也引發(fā)了公眾對于數據泄露和濫用的擔憂(yōu)，這將影響人們對相關(guān)應用程序使用的積極性，從而使數字抗疫技術(shù)的效果大打折扣，因此這個(gè)過(guò)程中的個(gè)人數據保護就變得至關(guān)重要。中國在全球范圍內較早運用了數字技術(shù)——“健康碼”的方式來(lái)抗擊疫情，中國的數據運用模式是“中心化”的，這里需要特別關(guān)注個(gè)人數據的隱私保護，政府須對參與數據收集和運營(yíng)的公司的個(gè)人數據保護情況進(jìn)行監督和干預;同時(shí)，應采取技術(shù)手段防止數據泄露;并在一定期限之后(確保今年年底和明年沒(méi)有第二波疫情的情況下)，中止這些數據的繼續使用，或者刪除在商業(yè)公司的相關(guān)數據。此外，隨著(zhù)跨地區人員流動(dòng)大規?；謴?，全國各地“健康碼”系統的無(wú)縫對接也至關(guān)重要。

?“新基建”因你更安全！-網(wǎng)絡(luò )數據安全標準體系

伴隨著(zhù)5G、物聯(lián)網(wǎng)等新型基礎設施建設(簡(jiǎn)稱(chēng)：新基建)大規模推進(jìn)，未來(lái)個(gè)人信息在網(wǎng)上應用將更加普遍，數據安全挑戰也將越來(lái)越嚴峻。未來(lái)一旦遇到網(wǎng)絡(luò )攻擊，它帶來(lái)不僅僅是傳統的網(wǎng)絡(luò )攻擊，它的破壞力將會(huì )驟增，“新基建”下的網(wǎng)絡(luò )攻擊將從數字空間延伸到物理空間，會(huì )造成非常嚴重的后果。這種攻擊不僅僅是針對一輛車(chē)，而是會(huì )因為一輛車(chē)被攻擊導致大面積的交通事故。

日前，工信部起草了《網(wǎng)絡(luò )數據安全標準體系建設指南(征求意見(jiàn)稿)》，通過(guò)頂層設計，制定政府引導和市場(chǎng)驅動(dòng)相結合的網(wǎng)絡(luò )數據安全標準體系建設方案，有利于“新基建”健康運行。明年標準體系將初步建成，

《建設指南》(征求意見(jiàn)稿)指出，到2021年，初步建立網(wǎng)絡(luò )數據安全標準體系，有效落實(shí)網(wǎng)絡(luò )數據安全管理要求，基本滿(mǎn)足行業(yè)網(wǎng)絡(luò )數據安全保護需要，推進(jìn)標準在重點(diǎn)企業(yè)、重點(diǎn)領(lǐng)域中的應用，研制網(wǎng)絡(luò )數據安全行業(yè)標準20項以上。

到2023年，健全完善網(wǎng)絡(luò )數據安全標準體系，標準技術(shù)水平、應用水平和國際化水平顯著(zhù)提高，有力促進(jìn)行業(yè)網(wǎng)絡(luò )數據安全保護能力提升，研制網(wǎng)絡(luò )數據安全行業(yè)標準50項以上。網(wǎng)絡(luò )數據安全標準體系包括基礎共性、關(guān)鍵技術(shù)、安全管理、重點(diǎn)領(lǐng)域四大類(lèi)標準。

?威脅情報：突破企業(yè)安全能力上限的“魔戒”

如果把企業(yè)比作球隊，那么安全能力的下限——軟硬件安全體系，決定你能否保級，而安全能力的上限——教練和情報工作，決定你能否晉級或奪冠，一球成名還是“突然死亡”。今天，沒(méi)有人再懷疑威脅情報的重要性，但是在威脅情報的概念、實(shí)踐和運營(yíng)方面，企業(yè)界依然存在一些誤區和難點(diǎn)，例如過(guò)于依賴(lài)供應商而不是“與業(yè)務(wù)共生迭代”、缺乏建設評估標準、威脅情報與安全運營(yíng)體系難以形成閉環(huán)等等。在威脅情報的獲取渠道上，大家也各顯神通。除了少數有專(zhuān)業(yè)安全攻防和病毒分析師的團隊具備自研潛質(zhì)外，多數企業(yè)還是通過(guò)開(kāi)源社區獲取、業(yè)內交換和商業(yè)購買(mǎi)來(lái)獲得。那么如何衡量威脅情報建設的好壞呢？威脅情報的終極目標是指導響應，因此，建議從四個(gè)維度來(lái)設置評價(jià)標準—— 延遲、精度、運營(yíng)、閉環(huán)。