行业动态  会议活动  基于对抗的网络空间安全近日，由公安部第三研究所《信息网络安全》杂志主办，知道创宇协办的 “基于对抗的网络空间安全高级研讨会” 在北京举办。百余位国家网络安全相关单位、产学研究机构的领导、行业专家和企业代表出席会议，共同就对抗网络空间安全威胁，提高国家网络安全防护能力展开了深度探讨。此次“基于对抗的网络空间安全高级研讨会”也正是从最初的合规向“实战、对抗”的方向转型为着眼点，重点探讨如何帮助企业建立全方位的积极防御能力，对抗威胁，控制风险，以助力提升全国网络安全防护水平，为国家数字化建设和网络强国建设提供有力保障。

行业动态  会议活动  腾讯守护者计划  “微反诈行动” 发布会昨日，腾讯守护者计划防范新型电信网络诈骗公益行动 “微反诈行动” 发布会在北京举行。本次活动希望联合社会各界力量一起，用科技助力防范新型电信网络诈骗。发布会上，腾讯发布了《电信网络诈骗治理研究报告（2019上半年）》。报告显示，2019 年上半年，交易诈骗、兼职诈骗、交友诈骗、返利诈骗合计占比超 70%，免费送诈骗、盗号诈骗少量存在，其余诈骗类型比例相当，诈骗场景总体呈现多样化。被害人性别分布上，男女比例分别为 63%、37%，男性被害人数量是女性的近两倍。报告对 2019 年上半年电信网络诈骗现状进行了完整的分析，并整理了典型案例，针对电信网络诈骗综合防治提出了实效建议。

行业动态 勒索攻击 币安（Binance）近日，加密货币交易所币安（Binance）收到一位身份不明人士的威胁，要求币安以300个比特币（约350万美元）换取他声称掌握的币安的1万个KYC信息。在币安拒绝支付后，该身份不明人士开始向公众和媒体传播相关数据。币安方面表示，当被询问证明数据来源时，这位不明人士拒绝提供相关证据，并且直接以“白帽黑客”的虚假身份向媒体提供信息。对此，币安表示已经联系了相关的执法部门，将密切合作追踪此人行迹。同事，币安发出“悬赏”，如果有人能提供与该身份不明人士相关的信息，并协助币安用法律手段追踪此人。币安将会根据信息的相关性，提供25个比特币作为酬赏。

行业动态  安全罚款  万豪酒店  GDPR近日，万豪酒店被曝因信息泄露遭到的罚款也使得自己的收益造成雪崩式下跌。万豪酒店因2018年11月的信息泄露事件造成了3.83亿顾客的信息被盗，包括信用卡信息以及护照信息，这些数据包括了从2014年起的所有信息。最终，万豪根据GDPR被处以1.26亿美元的罚款。而在周一发布的万豪第二季度财报中，同比收入下降了65%，为2.32亿美元。

融资并购  赛门铁克  博通近日，博通已同意涉资107亿美元的巨额交易，收购赛门铁克的企业业务，该交易将使这家全球最大的专业网络安全供应商从此一分为二。这笔交易将使赛门铁克年收入25亿美元的企业部门与去年斥资190亿美元收购冠群科技而来的软件功能相合并。赛门铁克的企业业务包括防病毒和端点保护方面的传统优势，以及2016年收购Blue Coat Systems后获得的云安全功能。与此同时，赛门铁克的消费者业务（包括传统的Norton防病毒功能以及最近收购的Lifelock）将成为一家独立的公司。同时，作为交易的一部分，Symantec这个名称将出售给博通。自《华尔街日报》周三宣布两家公司之间的交易有望达成以来，赛门铁克股价猛涨13.4%，涨至每股23.15美元。

融资并购  终端安全  软银波士顿终端安全公司Cybereason获得日本软银E轮投资2亿美元，估值超过10亿美元。软银自2015年开始就使用Cybereason的产品，而随着Cybereason表示自己在过去24个月中客户增速已经超过300%，软银再次对其进行投资也不足为奇。Cybereason通过AWS，以SaaS的形式运行基于AI的终端监控。公司表示自己的解决方案可以在每个终端上每秒处理800万个事件。

漏洞悬赏  美国空军  国家安全近日，由美国空军主办的为期六周的漏洞悬赏竞赛落下帷幕。这次漏洞悬赏项目共有50名安全研究人员参加，赏金总共高达12.3万美元，共发现54个漏洞。

安全研究  小型飞机  CAN 总线近日，安全公司 Rapid7的研究人员探测了一番小型飞机上的电子设备，发现黑掉一家小型飞机竟是如此简单。研究人员在撬开了两家专业轻型飞机制造商所产飞机的航空控制与导航系统，分析发现，很多情况下，小型飞机 CAN 总线使用方式与现代汽车类似。该控制系统采用单总线向各种硬件部件传递指令，从各类传感器接收读数。但飞机的 CAN 系统基本没有针对恶意或非授权行为的防护措施。随后，研究人员就直接连进了飞机的这一中央网络，往各类控制系统发出了虚假消息。修改海拔高度和空速读数、更改遥测数据、禁用或变更自动驾驶系统、改变引擎读数等恶意操作均在凯利能力范围之内。

安全工具  IT 资产发现  免费  Qualys近日，纳斯达克上市网络安全公司 Qualys 决定免费提供其 IT 资产发现工具，并称首日即获 700+ 公司下载。据悉，Qualys 的工具不仅识别现场设备与应用，还能发现云、容器、OT 和物联网 (IoT) 应用与设备。相关人士表示，Qualys 借用了常见开源免费增值策略，其 IT 资产清单 (IT Asset Inventory) 解决方案发布随附额外付费服务，包括识别并标记硬件及软件产品发布日期、寿命终结日期、许可类别等信息的功能，可供经理标记未授权软件、过时硬件或到期软件，以及随之而来的的安全风险。

漏洞补丁 边信道  漏洞变种  CPU SWAPGS攻击8月7日，微软和红帽警告称发现X86处理器的Spectre（Variant 1）侧通道漏洞的一个新变种，它影响了英特尔CPU，以及一些AMD处理器。据悉，该漏洞（CVE-2019-1125）建立在Spectre、Meltdown等其他CPU漏洞之上，允许黑客绕过用户保护措施。该漏洞利用64位CPU中的SWAPGS指令，允许黑客窃取敏感信息，包括聊天消息、电子邮件、登录凭据、支付信息、密码、加密密钥、令牌和访问凭据等，且不会留下对硬件的攻击痕迹。目前，2012年至今制造的所有英特尔CPU都容易受到SWAPGS攻击，且不仅仅是英特尔CPU受SWAPGS攻击漏洞的影响，也包括Intel或AMD处理器的x86-64系统。

漏洞补丁  IBM X-Force Red团队  Warshipping  近日，IBM X-Force Red团队发现黑客可以利用网络安全的潜在漏洞渗透网络，实现访问设备以及窃取设备上的数据。这项新技术被X-Force Red称为“Warshipping”，黑客会在包裹内部署一个名为“战舰”（WarShip）的巴掌大小计算机，并通过快递方式将其运输到指定机构，随后入侵这些机构的WiFi内部网络。

漏洞补丁  硬件安全  安全更新  Nvidia  驱动程序Nvidia近日发出通知，督促自己的GeForce、NVS、Quadro与特斯拉GPU用户迅速进行安全更新。这些更新修复了5个在自己最新驱动程序中的严重安全漏洞，最严重漏洞威胁程度达8.8分。这些漏洞影响的驱动系统为两周前更新的431.60驱动程序。但是专家同时表示，尽管这些漏洞能造成DoS攻击，但是一般用户大概率不会受到影响：因为对于这五个漏洞的利用都需要直接的物理接触才能实现。

漏洞补丁  0day 漏洞  Linux KDE桌面环境安全研究员 Dominik Penner 披露了 Linux KDE 桌面环境上存在的一个 0day 漏洞。根据 Dominik 的说法，此漏洞存在于 KDE v4 与 v5 版本中，该漏洞使得嵌入在 .desktop 和 .directory 文件中的命令在打开文件夹或者将压缩文件夹提取到桌面时即可执行，目前几乎所有 Linux 发行版都在使用易受攻击的 KDE 版本。.desktop 和 .directory 文件是符合 freedesktop.org 标准的桌面环境使用的配置文件，它们用于配置应用和文件夹的显示方式。 

黑客攻击  俄罗斯黑客  微软微软安全研究人员通过官方博客发出警告，为俄罗斯政府工作的黑客正利用各种物联网设备如打印机和视频解码器作为立足点渗透到目标的网络中。微软研究人员是在今年四月发现利用物联网的攻击行动。俄罗斯黑客利用了 IP 电话、打印机和视频解码器，其中两起案例中，设备使用的是默认很容易猜测出的秘密，另外一起案例的设备使用了存在已知漏洞的固件。一旦进入到网络，攻击者只需要简单执行网络扫描去寻找其它不安全的设备，发现更高权限的账号从而访问到更高价值的数据。微软认为，发起攻击的是与俄罗斯政府有关联的黑客组织 Strontium，aka Fancy Bear 或 APT28。

数据泄露  微软  Skype个人语音近日，微软（Microsoft）工作的承包商被曝正在监听从Skype自动翻译功能与Cortana语音助手收集的录音，以进行收集并使用用户的对话以帮助改进Microsoft产品和服务。这些录音包括用户私密对话。在微软之前，苹果、亚马逊和谷歌也相继因处理从各自语音助手收集到的语音数据而面临严峻的审查。

数据泄露 E3近日，有网友爆料在、此前参与报道了全球最大的视频游戏大会E3的大量记者的个人联系信息被公开曝光。在报告中称目前已经有超过2000人受到影响，除了各大新闻机构和媒体的记者、编辑之外，还有YouTube和Twitch等视频网站上的网红主播，以及高盛、IMDb和其他公司的工作人员。上周六E3游戏展的组织方Entertainment Software Association（简称ESA）向这些受影响的记者发出了电子邮件警告，而这些记者都通过官方渠道注册参与了今年6月在洛杉矶会议中心举办的游戏大展，并获得了新闻报道证书。

数据泄露  “第一资本”银行  美国近日，总部位于美国弗吉尼亚州“第一资本”发表声明，证实在19日发现系统基础架构的“配置漏洞”，导致大约一亿美国用户的信息在今年3月12日到7月17日期间被黑客窃取——其中大部分失窃数据是个人和小企业用户从2005年到今年初申请信用卡时所提供的信息，包括：姓名、地址、电话号码、出生日期，以及个人收入等。事发后，官方表示：黑客并没有获得用户的信用卡账号和登录密码，但有大约14万美国人的社会安全号码以及与之关联的八万个银行储蓄卡账号被盗；另外还有大约100万加拿大人的社会保险号外泄。据悉，此次数据外泄可能让这家银行今年的经营成本增加一亿至1.5亿美元，用于赔偿受影响的用户。

数据泄露  印度  数据库配置错误近日，一家名为FormGet的印度公司发生了信息泄漏事故。该公司泄露了包含“数十万”份用户上传的敏感文件，这些文件的上传时间最早可追溯到2013年。据悉，此次事故是由一个配置错误的AmazonS3存储桶引起的：一位匿名安全研究人员发现该公司的存储桶在联网后并没有设置密码。该公司所泄露的文件包扩：护照、驾照扫描件、工资支票以及社保号码的扫描件；银行账户报表和水电费账单的详细信息、带有姓名和电话号码的快递标签、包含联系信息的简历以及多家银行和金融公司的网络安全评估报告。