政府举措
● 中国拟立密码法 明确任何组织或个人不得窃取他人加密信息
● 工信部同意中国互联网络信息中心设立域名根服务器及运行机构
● 德国和荷兰建立首个联合军事互联网
● 欧盟《网络安全法》生效，ENISA正式成为网络安全职能部门
网络安全事件
● 意大利监管机构因剑桥分析丑闻对Facebook处以100万欧元罚款
● 报告称黑客入侵电信公司窃取用户数据
● 美国又一城市宣布向黑客支付价值将近50万美元的赎金
● 美团因违规发布信息被太原警方约谈，责令1周内整改
● 新恶意程序专注于破坏物联网设备的固件
数据统计
● 网络灾难造成保险损失或达数十亿
人才培养
● 《国家网络安全产业园区发展规划》正式发布
漏洞速递
● Excel 曝出 Power Query 安全漏洞 1.2 亿用户易受远程 DDE 攻击
● macOS门禁功能爆出安全漏洞：可安装恶意程序
政府举措
中国拟立密码法 明确任何组织或个人不得窃取他人加密信息
关键词：密码立法
6月25日，密码法草案提请十三届全国人大常委会初次审议。草案明确，任何组织或者个人不得窃取他人的加密信息，不得非法侵入他人的密码保障系统，不得利用密码从事危害国家安全、社会公共利益、他人合法权益的活动或者其他违法犯罪活动。
密码法草案共分总则，核心密码、普通密码，商用密码，法律责任，附则五章四十四条。
作为一部密码领域综合性、基础性法律，密码法立法过程中秉持三个原则：一是明确对核心密码、普通密码与商用密码实行分类管理的原则。二是注重把握职能转变和“放管服”需要与保障国家安全的平衡。三是注意处理好草案与网络安全法、保守国家秘密法等有关法律的关系。此外，草案还规定了相应的法律责任。（来源：中国新闻网）
工信部同意中国互联网络信息中心设立域名根服务器及运行机构
关键词：域名根服务器
工业和信息化部日前批复同意中国互联网络信息中心设立域名根服务器（F、I、K、L根镜像服务器）及域名根服务器运行机构，同意该中心负责运行、维护和管理编号分别为JX0001F、JX0002F、JX0003I、JX0004K、JX0005L、JX0006L的域名根服务器，并要求其严格遵守《互联网域名管理办法》《通信网络安全防护管理办法》及相关法律法规、行政规章及行业管理规定，接受工信部的管理和监督检查，保证域名根服务器安全、可靠运行。（来源：中国信息安全）
德国和荷兰建立首个联合军事互联网
关键词：军事互联网
据外媒报道，德国和荷兰政府官员本周签署了一项协议，将建立首个联合军事互联网。这项协议于6月26日在比利时布鲁塞尔签署。该军事互联网的名称是“战术优势网络”（Tactical Edge Networking），简称TEN。这是两国首次合并部分军事网络，该项目被视为未来统一其他北约成员国军事网络的一次试验。
北约更大的计划是让北约成员国之间共享军事网络，这样就可以在所有北约成员国开发和部署新的、经过改进的联合标准。在TEN网络上作战的部队将使用相同的计算机、收音机、平板电脑和电话。预计部署TEN将花费两国数百万欧元，为士兵和车辆重新装备新的兼容设备。（来源：E安全）
欧盟《网络安全法》生效，ENISA正式成为网络安全职能部门
关键词：《网络安全法》
欧盟《网络安全法》于6月27日生效，欧盟网络与信息安全局（ENISA）正式获得永久授权，旨在保护欧盟的关键网络和信息系统。ENISA的新任务之一是开发网络安全认证计划，为ICT产品、流程和服务的安全性提供保障。ENISA还将继续在网络安全方面发挥咨询作用，协助成员国和联盟机构在自愿的基础上制定和执行脆弱性披露政策，帮助成员国协调应对跨境网络威胁和攻击。（来源：ENISA官网）
网络安全事件
意大利监管机构因剑桥分析丑闻对Facebook处以100万欧元罚款
关键词：剑桥分析丑闻
据外媒Neowin报道，意大利官方数据保护机构Garante Privacy认为Facebook应对剑桥分析丑闻负责，并因此对该社交媒体巨头处以100万欧元的罚款。该保护机构认为Facebook未能保护用户数据，因此违反了意大利隐私法。由于相关隐私法于今年1月更新，因此根据之前的法律收取罚款。
这不是Facebook首次因剑桥分析丑闻被罚款，而且可能不会是最后一次。全球各地的当局和机构长期以来一直在对此事件进行调查。2018年3月，欧盟开始调查有关滥用Facebook用户数据的指控。与此同时，FTC对Facebook的数据隐私实践进行了调查。在2018年4月，Facebook首席执行官马克·扎克伯格因外界质疑不得不在美国国会作证。（来源：cnbeta）
报告称黑客入侵电信公司窃取用户数据
关键词：电信公司被入侵
安全公司 Cybereason 报告称，在长达七年的间谍行动中，黑客入侵了全球数十家电信公司窃取了大量数据。调查人员表示，攻击者入侵了 30 多个国家的电信公司，旨在收集政府、执法机关和政治相关人员的信息。黑客使用的工具被认为可以联系到中国。中国外交部发布人表示对报告不知情，称中国不允许任何人在其领土或利用其基础设施从事此类活动。Cybereason 称，在一次案例中，攻击者入侵了目标的整个活动目录，访问了该机构所有人的用户名和密码。他们还获得了大量个人数据，包括账单信息和通话记录。黑客使用了多个工具曾被中国黑客组织APT10使用。（来源：solidot）
美国又一城市宣布向黑客支付价值将近50万美元的赎金
关键词：支付赎金
在美国佛州Riviera City成为首个同意向黑客支付赎金（高达60万美元）的城市之后，佛州又有一个城市宣布采取相同的应对方式。莱克城（Lake City）位于佛州北部，拥有6.5万人口，在本次黑客攻击中各项市政工作已经停摆两周时间。
在感染后一周莱克城就收到了赎金请求，并且通过保险提供商League of Cities进行谈判，确认了42个比特币的赎金。援引当地媒体报道，该市政官员本周一同意支付赎金要求，并于6月25日向该保险公司支付了款项。根据比特币付款时的价格，估计付款价值在480,000美元到500,000美元之间。该市的IT人员现在正在努力在收到解密密钥后恢复其数据。（来源：cnbeta）
美团因违规发布信息被太原警方约谈，责令1周内整改
关键词：美团
山西省太原市公安局昨日对外通报，6月26日，该局网安支队针对美团网站在太原地区经营过程中存在的为医疗诊所类用户提供信息发布服务时未要求其提供真实资质信息、部分店铺发布超范围经营信息和发布低俗信息等问题，对该网站进行了约谈。
约谈会上，太原警方首先要求美团网站负责人就本网站在经营过程中如何执行安全管理制度、防范网络安全风险进行了汇报。民警向其通报了违法违规的问题事项，出示了相关网店页面截图和涉事诊所负责人提供的印证材料，指出未经审核发布诊所信息和发布超范围经营信息的行为，分别违反了《网络安全法》第二十一条及《计算机信息网络国际联网安全保护管理办法》第五条之有关规定，要求该网站在一周内全面整改，并书面向公安机关反馈整改情况。（来源：bianews）
新恶意程序专注于破坏物联网设备的固件
关键词：物联网固件
一种新的恶意程序正通过破坏物联网设备的固件使其停止工作，类似 2017 年破坏数百万设备的 BrickerBot 恶意程序。该恶意程序被称为 Silex，它通过抹掉物联网设备的存储、防火墙规则和网络配置让其停止工作，要恢复设备受害者需要手动重新安装固件，对大多数设备拥有者来说太复杂了。
Akamai 研究员 Larry Cashdollar 称，恶意程序利用已知的物联网设备登录凭证登录系统，然后调用 fdisk -l 显示所有硬盘分区，向所有分区写入随机数据。它还会删除网络配置，运行 rm -rf / 删除它错过的数据。（来源：solidot）
数据统计
网络灾难造成保险损失或达数十亿
关键词：网络灾难
上个月，英国网络风险模型公司Kovrr发布了一份报告，报告指出网络风险的不断增加将可能对保险行业造成重大影响，网络连接中断的灾难可能会对保险行业造成高达32.5亿美元的损失。报告呼吁保险公司注重这一问题并积极采取行动，确保在网络灾难发生之前制定好网络风险应对机制，管控网络风险等问题。（来源：Helpnetsecurity）
人才培养
《国家网络安全产业园区发展规划》正式发布
关键词：网络安全产业园区
6月30日，在中国软件产业发展情况新闻发布会上，《国家网络安全产业园区发展规划》正式发布，工业和信息化部与北京市人民政府决定建设国家网络安全产业园区。
根据规划，到2020年，依托产业园带动北京市网络安全产业规模超过1000亿元，拉动GDP增长超过3300亿元，打造不少于3家年收入超过100亿元的骨干企业。加快构建“高精尖”经济结构，推进首都“四个中心”建设，增强网络安全产业发展的高端引领作用，保障网络时代国家安全利益。到2025年，依托产业园建成我国网络安全产业“五个基地”，分别是国家安全战略支撑基地，国际领先的网络安全研发基地，网络安全高端产业集聚示范基地，网络安全领军人才培育基地，网络安全产业制度创新基地。
其中，网络安全领军人才培育基地是依托北京市技术、人才、科研、教育等优势资源，建设一批总部型、基地型培训基地，吸引国内外高端网络安全人才。（来源：界面新闻）
漏洞速递
Excel 曝出 Power Query 安全漏洞 1.2 亿用户易受远程 DDE 攻击
关键词：Excel
近日，Mimecast 威胁中心的安全研究人员，发现了微软 Excel 电子表格应用程序的一个新漏洞，获致 1.2 亿用户易受网络攻击。其指出，该安全漏洞意味着攻击者可以利用 Excel 的 Power Query 查询工具，在电子表格上启用远程动态数据交换（DDE），并控制有效负载。此外，Power Query 还能够用于将恶意代码嵌入数据源并进行传播。
作为协调漏洞披露（CVD）的一部分，Mimecast 与微软合作，来鉴定操作是否是 Power Query 的预期行为，以及相应的解决方案。
遗憾的是，微软并没有发布针对 Power Query 的漏洞修复程序，而是提供一种解决方案来缓解此问题。（来源：hackernews）
macOS门禁功能爆出安全漏洞：可安装恶意程序
关键词：macOS
门禁（Gatekeeper）是macOS系统上的一项安全工具，旨在确保只有受信任的软件才能在 Mac 上运行。这款应用身份认证功能存在安全漏洞，可以用于传播名为“OSX/Linker”的恶意软件安装包。
当安装来自App Store外部的Mac应用、插件和安装器软件时，macOS会检查Developer ID签名和公证状态，以验证软件是不是来自获得认可的开发者并且没有遭到改动。该漏洞主要利用了Mac的automount和Gatekeeper两项功能。Gatekeeper会将从互联网上下载的文件汇集到苹果XProtect防病毒筛选程序进行审核，但是对于从本地存储设备（通过automount安装）授予文件安全通道，不会详细审查。Cavallarin能够欺骗Gatekeeper认为下载的文件来自于本地磁盘，从而绕过正常的筛选协议。随附的OSX / Linker恶意软件会试图劫持Mac，从而让计算机从事任何恶意活动，包括加密货币挖掘和数据窃取。目前攻击样本数据并不大，恶意软件已经被Intego软件和可能的其他防病毒工具筛选识别。因此如果用户选择拒绝来自未知来源的下载，相对容易能够避免OSX/Linker恶意软件。（来源：cnbeta）
其他漏洞
6月24日-6月30日：
国家信息安全漏洞共享平台（简称 CNVD）共收集、整理信息安全漏洞221个，其中高危漏洞73个，中危漏洞102个，低危漏洞46个。
本周关注度最高漏洞：
|
漏洞名称 |
危害级别 |
CNVD-ID |
|
EyouCms后台存在文件上传漏洞 |
高 |
CNVD-2019-16764 |
|
漏洞描述 |
EyouCms后台存在文件上传漏洞，攻击者可利用该漏洞获取网站服务器控制权。 |
|
|
解决方法 |
厂商尚未提供漏洞修复方案，请关注厂商主页更新： |
|
|
漏洞名称 |
危害级别 |
CNVD-ID |
|
百恒网络cms存在文件上传漏洞 |
高 |
CNVD-2019-16765 |
|
漏洞描述 |
百恒网络cms存在文件上传漏洞，攻击者可利用该漏洞获取网站服务器控制权。 |
|
|
解决方法 |
厂商尚未提供漏洞修复方案，请关注厂商主页更新： |
|
免责声明：
快讯内容及图片出于传递更多信息之目的，属于非营利性的转载。如无意中侵犯了某个媒体或个人的知识产权，请联系我们，我们将立即删除相关内容。其他媒体、网络或个人从本网下载使用须自负版权等法律责任。
更多资讯请关注“奥航智讯”官方微信
