政府舉措
中國發布關於加強中歐全面戰略伙伴關係的政策文件
關鍵詞：互聯網治理體系建設
上週，中國發表《關於加強中歐全面戰略伙伴關係、促進中歐關係更大發展的可能措施的政策文件》。該文件提出政治、安全和防禦方面的相關合作問題,包括“中歐充分利用網絡工作組,共同倡導在網絡空間中社區共享未來,促進負責任的國家在網絡空間的行為規範。在聯合國框架下, 推進全球互聯網治理體系改革，建設和平、安全、開放、合作、有序的網絡空間。（來源：Digital Watch）
法國數據保護監管機構CNIL向Uber開出46萬美元罰單
關鍵詞：Uber
歐洲各國已經開始進入“圍毆”模式，一個接一個地向Uber開出罰單，以懲戒其處理2016年數據洩露的方式。日前，法國的數據保護監管機構CNIL宣佈將對Uber開出460000美元（400000歐元）的罰款。因早在2016年，Uber的大規模數據洩露影響了5700萬用戶，其中包括法國的140萬用戶。根據CNIL的報告，黑客正使用來自這些洩露數據的登錄名和密碼連接到Uber的GitHub存儲庫，然後再設法連接到Uber的亞馬遜網絡服務帳戶並下載用戶數據，更誇張的是AWS登錄信息以純文本格式存儲在GitHub上，造成嚴重影響。（來源：cnbeta）
澳大利亞推出《兒童安全上網計劃》
關鍵詞：兒童安全上網
近日，澳大利亞政府宣佈將拿出1700萬澳元的預算用於《兒童安全上網計劃》（The Early Years Online Safety Program），以幫助澳大利亞兒童安全使用互聯網，據悉，該計劃將由政府網絡安全委員會（Government's Office of the eSafety Commissioner）負責，委員會將為家長和兒童提供相關培訓，以提高他們對有害網絡信息的辨識能力。此外，委員會還將與企業合作，以更好地解決有害網絡信息對兒童的威脅。（來源：zdnet）
網絡安全事件
華為未來五年將投資20億美元強化網絡安全，增加人員和實驗室設施
關鍵詞：網絡安全
據報道，華為近日表示將在未來五年內投入20億美元加強網絡安全，在這方面增加更多人員和升級實驗室設施。目前該公司面臨對其網絡設備相關風險的擔憂。華為在其東莞園區舉行的記者會上做出上述表示，有20多位國際記者到場。華為輪值董事長鬍厚崑還介紹，華為已獲得逾25份第五代移動通訊(5G)商業合同，略高於11月宣佈的22份。胡厚崑表示，5G基站出貨量已經超過10,000個，並稱華為預計今年營收將超過1,000億美元，比上年增長8.7%。（來源：TechWeb）
商業公司以製作病毒為主業，已有數十萬臺電腦被感染
關鍵詞：流量劫持病毒
日前，火絨安全團隊發現某商業公司製作的流量劫持病毒”FakeExtent”（產品名為”天馨氣象”），正通過”WIN7之家”等下載站中的多款激活工具大範圍傳播。該病毒入侵電腦後，會釋放多個惡意插件，篡改系統配置、劫持流量。 通過”火絨威脅情報系統”監測和評估，已有數十萬臺電腦被該病毒感染。
火絨工程師分析發現，病毒作者將病毒”FakeExtent”植入到 “KMSTools”、”暴風激活工具V17.0″等軟件激活工具中，並上傳到 “WIN7之家”等下載站中，用戶一旦下載並運行上述軟件，該病毒就會感染電腦，向用戶瀏覽器中安裝名為”天馨氣象”和”星馳天氣助手”病毒插件。並向IE瀏覽器中添加BHO插件。上述惡意插件進入用戶電腦後，將會劫持瀏覽器流量、網頁廣告彈窗以及將下載的安裝包替換為病毒作者提供的渠道包，然後掛上和上游公司分成的計費名，以和其分成。（來源：火絨）
大規模偽裝成Apple Store 付款收據的 Apple ID 釣魚攻擊出現
關鍵詞：Apple Store 釣魚攻擊
研究人員發現，有一大批釣魚攻擊假借 Apple Store 支付確認郵件竊取 Apple ID。這些釣魚郵件正文很短，PDF 附件偽裝成 Apple Store 中某個 APP 的支付確認單，並提醒受害者“如果沒授權購買，就點擊鏈接”，這些鏈接都是經過處理的短鏈接，無法看出網址來源。一旦受害者點擊鏈接，就會跳轉到新的頁面。頁面要求受害者使用 Apple ID 登錄頁面。如果受害者上當登錄，就會看到提示：“由於安全原因，此 Apple ID 已經被鎖定。若想繼續登錄，需要先解鎖。”而解鎖頁面則要求受害者輸入全名、地址、電話號碼、社會安全號碼、出生日期、付款信息、駕駛執照號碼或護照號碼等。如果這一步受害者還沒產生懷疑，那麼個人隱私信息就會被攻擊者獲取。這樣的方式騙過了很多人，影響範圍較大。（來源：freebuf）
安全人員:黑客可繞過雙重認證 盜取Gmail或Yahoo賬戶
關鍵詞：雙重驗證
雙重認證是目前Gmail、Yahoo電子郵件等經常使用的認證方法，但據《香港經濟日報》報道，安全公司Certfa Lab指出，即使用戶使用雙重認證，黑客仍能破解密碼，從中取得Gmail或Yahoo賬戶資料。
Certfa Lab公佈的最新研究報告指出，透過追蹤伊朗黑客組織“Charming Kitten（迷人小貓）”的服務器，發現部分Gmail和Yahoo電子郵件地址，即使啟用短信驗證，也會被成功入侵。政客、科學家、記者的電郵賬戶都是目標。
不過，嚴格來說，黑客是繞過程序、避開雙重認證機制。Certfa Lab表示，黑客通過電郵地址發送虛假警報，提醒用戶檢測到有人未經授權試圖進入賬戶，並要求他們點擊鏈接以檢查賬戶安全。當用戶點擊鏈接後，便會進入黑客設計的釣魚網站。此外，黑客會以圖像代替文字，繞過Google的保護及反網絡釣魚攻擊。（來源：新浪科技）
NASA服務器遭到網絡攻擊，員工信息洩露
關鍵詞：NASA遭攻擊
美國國家航空航天局（NASA）已確認旗下一臺服務器在10月被黑客攻擊，黑客從其中盜取了一些員工信息，包括社會安全號碼等等。在12月18日發佈的通知中，美國國家航空航天局表示，它目前正在通知那些可能因此受到損害的員工。調查已經開始，NASA表示社會安全號碼和其他個人身份信息存儲在被黑的服務器上。NASA表示，在發現這些事件後，NASA網絡安全人員立即採取行動保護服務器及其中包含的數據。美國宇航局及其聯邦網絡安全合作伙伴正在繼續檢查服務器，以確定潛在數據洩漏的範圍，並識別可能受影響的個人。NASA表示，調查需要時間，但強調它現在已成為NASA目前最重要的優先事項。（來源：darkreading）
數據統計
工信部：三季度網絡安全形勢嚴峻
關鍵詞：第三季度網絡安全形勢
12月份，工信部網絡安全管理局發佈2018年第三季度網絡安全威脅態勢分析與工作綜述。第三季度公共互聯網網絡安全形勢依然嚴峻，發生多起嚴重危害用戶合法權益的網絡安全事件。工信部下一步工作重點包括：做好網絡安全試點示範項目相關工作；開展移動惡意程序專項治理工作等。
第三季度，用戶數據洩露事件多有發生，凸顯加強網絡安全防護重要性。第三季度，網曝多起用戶數據洩露事件，涉及互聯網、物流、酒店等多個行業企業，最高達上億條信息記錄，疑似是由於企業服務器或手持終端被植入惡意程序，以及內部安全管理機制不完善等問題導致。
第三季度，全行業共處置網絡安全威脅約3397萬個，包括惡意IP地址、惡意域名等惡意網絡資源約653萬個，木馬、殭屍程序、病毒等惡意程序約2611萬個，網絡安全漏洞等安全隱患約4.8萬個，主機受控、數據洩露、網頁篡改等安全事件約127萬個，其他網絡安全威脅約1萬個。
此外，三季度上海市通信管理局針對51家互聯網企業的網站、應用系統、移動應用程序等存在網絡安全漏洞的情況，約談了相關企業，並督促其及時整改漏洞、消除安全隱患；廣東省通信管理局開展網站後門鏈接專項打擊，清理非法植入的網站後門鏈接606個。（來源：工信部）
加密貨幣惡意軟件數量過去1年增長4000%
關鍵詞：加密貨幣
根據McAfee實驗室近期公佈的最新研究報告，針對加密貨幣的惡意軟件數量在過去一年中增長了4000%。在2018年12月威脅報告中，McAfee指出2018年第一季度針對加密貨幣礦工的惡意軟件數量大幅增長。這一趨勢在第二季度似乎略有減少，但在第三季度，環比增長近40％。在過去幾個季度中，新型勒索軟件的數量有所下降，這表明這些攻擊者正轉向更有利可圖的加密劫持模式（cryptojacking）。
由於普遍缺乏適當的安全控制，類似於IP攝像頭等物聯網設備和路由器等設備非常容易受到攻擊。這些設備雖然沒有強大的CPU，但龐大的數量依然可以為黑客帶來有價值的回報。在過去兩年中，惡意軟件總體上已經出現了穩定和可預測的增長，這一趨勢沒有顯示出放緩的跡象。（來源：McAfee）
人才培養
網絡安全人才百萬缺口亟待填補
關鍵詞：網絡安全人才缺口
北京電子科技學院院長毛明近日在接受採訪時表示，當前我國網絡信息產業出現的“缺芯少魂”“被卡脖子”等問題，歸根到底是高端人才匱乏、原始創新能力不足的一種反映。因此，必須高度重視與加快培養高素質的網絡空間安全人才，為推進網絡強國建設和維護網絡空間安全提供人才支撐。
權威數據顯示，我國對網絡空間安全人才的需求在2017年上半年飆升了232%，當前網絡空間安全人才數量缺口高達70萬，預計到2020年將超過140萬。目前，高校作為網絡空間人才培養的主渠道，我國在該領域僅有160多所院校開設相關專業，樂觀估計每年培養規模也僅在兩萬人左右，不足以支撐這百萬量級的人才需求。而且，由於網絡安全產業發展迅速，網絡空間安全學科與專業建設不能及時跟上，導致網絡空間安全人才培養模式不成熟、體系不完善等矛盾較為突出。
從國家和社會層面上講，要進一步加大人才體制機制改革力度，創新選才、引才、育才及留才的舉措和辦法。改革和完善人才引進各項配套制度，健全具有全球競爭力的人才制度體系，為網絡空間安全人才發揮和施展創造良好的條件、提供廣闊的平臺，形成網絡空間安全人才創造力迸發的良好局面。（來源：經濟參考報）
陸寶華：建立科學的網絡安全人才評價體系
關鍵詞：網絡安全人才評價體系
網絡安全離不開人才的支撐，網絡對抗說到底也是人才的對抗。如何培養網絡安全人才，對人才的評價是至關重要的，建立一個合理的人才評價體系，對於培養網絡安全人才的重要性是不言而喻的。
建立網絡安全人才評價體系的必要性
目前，國內網絡安全人才的培養，還處在一個不斷探索和完善的階段，還沒有形成科學的人才培養體系。雖然我們的高等院校開辦 了網絡安全人才專業，並設置為一級學科，各類培訓機構也不算少。但是，我們的網絡安全人才培養體系，還不能說是真正的建立起來了。
建立科學的網絡安全人才評價體系
首先我們要建立一個科學的網絡安全人才分類體系，有了分類作為基礎，還要考慮分級，應該制定每一類人員的不同級別要求作為網絡安全人才的分級體系，同時分類和分級與社會實踐的目標要一致，並且能有對應的崗位級別的限制，低一級的人員不能從事高一級的工作。最後，要制定一個合適的科學的考核評價標準，基於理論知識、技術技能兩大方面對人才進行考查。（來源：關鍵信息基礎設施技術創新聯盟）
漏洞速遞
研究人員發現新的 Windows 0-day 漏洞
關鍵詞：0-day漏洞
近日，推特名為 SandboxEscaper 的研究人員披露了一個新的 Windows 0-day 漏洞的 POC，這是他幾個月內披露的第三 Windows 0-day 漏洞。這個漏洞是任意文件讀取漏洞，可被低權限用戶或惡意程序利用，讀取目標 Windows 計算機上的任意文件內容。而這一功能原本只能通過管理員權限才能實現，所以也有媒體稱之為Windows 系統提權漏洞。漏洞存在於“MsiAdvertiseProduct”函數中，由於存在某些錯誤，會讓安裝服務以系統權限複製任意文件，進而讀取文件內容。該研究人員發佈演示視頻後，也在 GitHub 上發佈了 POC，但該賬號隨後被關閉。（來源：zdnet）
其他漏洞
12月10日-12月16日：
國家信息安全漏洞共享平臺（簡稱 CNVD）共收集、整理信息安全漏洞215個，其中高危漏洞69個，中危漏洞128個，低危漏洞18個。
信息安全快訊的內容及圖片出於傳遞更多信息之目的，屬於非營利性的轉載。如無意中侵犯了某個媒體或個人的知識產權，請聯繫我們，我們將立即刪除相關內容。其他媒體、網絡或個人從本網下載使用須自負版權等法律責任。
閱讀更多 e安教育 的文章
