利用数字证书的攻击五年内飙升了700%
根据Venafi最新报告《机器身份驱动企业攻击面的快速扩大》的数据显示，过去五年中利用“机器身份”进行网络攻击的数量猛增了700％以上。
标签：恶意软件, 数字证书
一周安全头条（20201019-1025）
据外媒报道，近日英国数据安全监管部门信息专员办公室对英国航空公司因2018年客户数据泄露事件罚款2000万英镑（约合人民币1.7亿元）。
标签：报告调研, 行业动态
人民的名义：解读欧洲云计算的“隐私革命”
7月份欧盟法院废止《欧美隐私盾牌》协定之后，欧盟与美国之间的数据主权和隐私保护之争全面升级，而此间美国对Tiktok的封杀威胁更是让中美之间的隐私保护、域外云数据监管与网络安全问题走到了聚光灯下。
标签：云计算, 数据安全
网络安全创业融资的“尤里卡时刻”
专注网络安全投资的风险资本机构YL Ventures的首席技术官Lior Yaari近日撰文指出，在优秀的产品技术路线图和市场定位之外，网络安全创业公司还需要关注本文的几个重要问题。
标签：创业公司, 安全产品
MFA不是网络安全的万灵药
在“零信任”时代，多因素认证（MFA）已经成为企业加强基于身份的网络安全管理的“必修课”，在“多因素认证六大常见错误与误区”中，我们了解到错误的认知和部署会让MFA的效用大打折扣。本文，我们将探讨MFA技术自身面临的威胁。
标签：多因素认证，零信任
印度滑向网络犯罪大国
根据Insight的报告，2022年印度网络安全市场规模有望达到30亿美元，增长速度是全球平均水平的150%。但与此同时，最新的报告显示，紧张的地缘政治和新冠疫情正在加速推动印度滑向“网络犯罪大国”的深渊。
标签：网络犯罪, 网络黑客
一周安全头条（20201019-1025）
据外媒报道，近日英国数据安全监管部门信息专员办公室对英国航空公司因2018年客户数据泄露事件罚款2000万英镑（约合人民币1.7亿元）。
标签：报告调研, 行业动态
美国财政部禁止企业支付勒索软件赎金
本月初，美国财政部外国资产控制办公室（OFAC）发布咨文警告组织不要向勒索软件支付赎金，并声称此举存在违反政府对网络犯罪集团或国家黑客施加的经济制裁的法律风险。
标签：勒索软件, 网络犯罪
看门狗即将发布的游戏大作被勒索软件窃取源码
本月才崭露头角的勒索软件犯罪团伙Egregor声称已经入侵了看门狗（Watch Dogs）并窃取了即将推出的游戏大作《军团再临》（Legion）的源代码。
标签：勒索软件, 网络攻击
2020年生物识别设备市场收入暴跌22%
根据ABI Research的最新报告，在新冠病毒大流行之后，2020年全球生物识别设备收入预计将下降22%，降至66亿美元。
标签：多因素身份验证, 生物识别
微软启动针对Chromium的零日漏洞计划
在2020年1月份宣布使用开源代码库重建Edge浏览器之后，微软近日宣布启动了针对Chromium的类似Google Project Zero风格的零日漏洞安全研究计划。
标签：开源代码, 零日漏洞
一周安全头条（20201012-1018）
为了促进互联网用户公众账号信息服务健康有序发展，保障公民、法人和其他组织的合法权益，维护良好网络生态，营造清朗网络空间，国家互联网信息办公室对2017年10月8日正式施行的《互联网用户公众账号信息服务管理规定》进行了修订，现向社会公开征求意见。
标签：政策法规, 漏洞补丁
不堪重负：企业安全合规成本平均高达350万美元
Telos最近开展了一项企业合规成本调查，于2020年7月至8月间对300名IT安全专业人员进行了调查，结果显示，平均每家企业必须遵守13个不同的IT安全和/或隐私法规，并且每年在合规性活动上花费高达350万美元，同时合规性审核每季度需要58个工作日。
标签：IT安全, 企业安全合规成本
调查：新冠疫情下全球七成企业渴望“零信任架构”
根据Forrester周三发布的最新报告《领导者现在致力于零信任》在新冠疫情全球大流行期间，超过一半的全球组织遭受了数据泄露，更多的企业表达了强烈愿望和需要转向零信任架构来增强安全性。
标签：数据安全, 零信任架构
五眼联盟与印度、日本发布联合声明，要求科技公司在产品中植入后门
近日，五眼安全联盟国家——澳大利亚、加拿大、新西兰、美国、英国以及日本和印度，上周发布联合声明，呼吁科技公司在其产品设计中，出于公共安全的考虑，为政府和执法部门访问加密内容预留“后门”。
标签：网络加密, 隐私安全
新加坡推出智能家居网络安全标签，将全球推广
近日，新加坡启动了一个新的智能家居设备网络安全标签计划（CLS），以标明家用电器和智能家居设备的网络安全级别，并计划在国际范围内推广该标准。
标签：智能家居, 网络安全
调查：网络安全是数字化转型的重中之重
企业数字化转型大会DTX:NOW对600名参会IT领导者的调查显示：适应新的远程办公数字文化是他们在未来12个月中需要克服的第一大挑战。
标签：网络安全, 远程办公
2020年二季度点块式DDoS攻击增长了570%
根据Nexusguard的最新报告，DDoS攻击者在2020年第二季度改变了攻击策略，点块式（Bit-and-piece） DDoS攻击与去年同期相比增加了570％。
标签：DDoS攻击, 网络攻击
工控安全年度悬案：“变压器门”事件
据Motherboard报道，今年5月特朗普政府没收了一台的中国产高压变压器，当时这台变压器正被运往科罗拉多州，由于未知原因，这台被“截获”的变压器被带到了新墨西哥州的桑迪亚国家实验室。
标签：工控安全, 电力安全
安全扫描使勒索软件网络保险索赔减少了65％
在今年的RSA安全会议上，FBI特工Joel DeCapua指出，70-80％网络攻击事件的是由攻击者侵入互联网上公开暴露的远程桌面服务器引起的。
标签：勒索软件, 网络保险
Gartner：2020-2021十大热门网络安全项目
近日，Gartner发布了2020-2021年的十大热门网络安全项目、八大安全技术趋势预测，并对未来十年网络安全产业变革的关键驱动力进行了研判。
标签：安全技术, 网络安全项目
过去10年中，滥用机器身份的恶意软件攻击增长了8倍
根据Venafi最新发布的威胁分析报告，利用机器身份的恶意软件活动正在极速增加。总体而言，在过去十年中，利用机器身份进行的恶意软件攻击增长了八倍，其中最近五年的增长更快。
标签：恶意软件, 机器身份
硅谷最神秘的大数据安全公司将“净身”上市
据报道，硅谷最神秘的公司——Palantir Technologies将于9月29日“净身”上市，该公司为美国军方、政府执法和国家安全提供大数据预测分析平台服务，一直以来都隐藏在公众视线之外。
标签：网络安全, 预测分析
TikTok危害国家安全？美国网络安全专家表示“看不懂”
近日，Threatpost搞了个美国网络安全专家研讨会，邀请了多位大咖发声，是目前为止从技术层面对TikTok和Wechat相关的安全和隐私话题最为专业的探讨。
标签：TikTok, 隐私安全
五角大楼的人工智能网络战项目：IKE
从DARPA的X计划到五角大楼神秘面纱下的IKE项目，美国的人工智能网络战争技术平台已经发展到了一个危险的阶段，美国如何以及何时发动网络战的决策将越来越依赖计算机。
标签：人工智能, 网络战
一周安全头条（20200907-0913）
2020年9月8日上午，国务委员兼外长王毅在“抓住数字机遇，共谋合作发展”国际研讨会高级别会议上发表题为《坚守多边主义 倡导公平正义 携手合作共赢》的主旨讲话，提出《全球数据安全倡议》。
标签：政策法规, 漏洞补丁, 行业动态
与狼共舞：零信任与SASE如何重新定义网络安全
SASE和ZNTA两大架构之间有何关联？如何协同演进？依然是数字化转型企业当下最为关心的问题之一，本文尝试从几个方面进行解读。
标签：SASE, 零信任
科学开展网络安全建设，加快推进“等保、关保”工作贯彻实施
9月2日，在公安部网络安全保卫局的指导下，公安部第三研究所、公安部第一研究所联合在北京举办“网络安全等级保护和关键信息基础设施安全保护工作宣贯会”。
标签：基础设施安全, 网络安全等级保护
90亿信用卡曝出协议漏洞：黑客无需密码即可盗刷
最近，来自苏黎世联邦理工学院计算机科学系的3名研究人员，即David Basin，Ralf Sasse和Jorge Toro-Pozo发现了EMV协议中的漏洞，该漏洞使攻击者可以实施中间人攻击（MITM），进行欺诈性交易。
标签：信用卡信息, 协议漏洞
收到赎金也撕票：印度电商支付公司Paytm被勒索软件攻击
近日据网络安全公司Cyble报告，印度电子商务支付系统和金融技术公司Paytm遭受了大规模的数据泄露，其电商网站Paytm Mall的中心数据库被入侵，黑客一边向Paytm Mall索要赎金，一边在黑客论坛上出售其数据。
标签：Paytm, 数据泄露, 网络攻击
一周安全头条（20200824-0830)
日前，六部门联合下发《教育部等六部门关于联合开展未成年人网络环境专项治理行动的通知》，启动开展未成年人网络环境专项治理行动。
标签：政策法规, 数据泄露, 行业动态
CISSP的含金量升级：“等效”硕士学位
近日，负责提供全球资历的信息和专家指导服务的英国国家机构UK NARIC认定CISSP认证的资质级别相当于RQF7级，也就是说，在整个欧洲范围内，CISSP的资质与硕士学位相当。
标签：CISSP, 网络安全认证
CWE Top25漏洞榜单发布，跨站脚本跃居榜首
近日，在CWE(通用漏洞枚举)最新发布的2020年25种最危险软件漏洞榜单中，跨站脚本（XSS）名列榜首，威胁评分为46.82。
标签：CWE, Top25漏洞, 跨站脚本（XSS）
Kali Linux 2020.3发布
近日，Offensive Security发布了流行的开源渗透测试平台Kali Linux 2020.3新版本（https://www.kali.org/downloads/）。
标签：Kali Linux 2020.3, 新版本发布
全球最大邮轮运营商遭遇勒索软件攻击
被疫情重创的邮轮业再遭打击，全球最大的邮轮运营商嘉年华公司（Carnival Corporati……
标签：勒索软件攻击, 嘉年华公司（Carnival Corporation）
CIO调查：2020下半年IT支出最高优先级是网络安全
根据日立（Hitachi）ID近日发布的企业首席信息官（CIO）调查，2020年下半年最高IT支出优先级是网络安全。其中身份和访问管理（IAM）、端点安全和安全意识培训是安全支出的三个重点。
标签：2020下半年, IT支出
物联网安全联盟ioXt已认证多个科技巨头产品
ioXt（Internet of secure things）物联网安全联盟近日宣布，包括谷歌、T-Mobile、Silicon Labs等科技巨头已经通过ioXt联盟认证计划认证了多种设备。
标签：ioXt, 物联网安全
全球最大办公家具制造商Steelcase遭受Ryuk勒索软件攻击
近日，在向美国证券交易委员会（SEC）提交的8-K表格中，Steelcase透露他们于2020年10月22日遭遇网络攻击。
标签：Ryuk勒索软件, 勒索软件
NitroPDF文档大规模数据泄露，谷歌、苹果、微软全中招
近日，PDF文档服务Nitro PDF被曝光发生大规模数据泄露，受影响企业超过1万家，其中不乏Google、Apple、Microsoft、Chase和Citibank等知名企业。
标签：Nitro, 数据泄露
5G打开潘多拉盒子：全球被感染物联网设备猛增100%
根据诺基亚发布的最新《 2020年威胁情报报告》，过去一年来，全球受感染的物联网（IoT）设备的数量猛增了100％。
标签：物联网, 网络功能虚拟化
利用数字证书的攻击五年内飙升了700%
根据Venafi最新报告《机器身份驱动企业攻击面的快速扩大》的数据显示，过去五年中利用“机器身份”进行网络攻击的数量猛增了700％以上。
标签：恶意软件, 数字证书
“深度伪造”的第一个大规模应用：色情机器人
“深度伪造”（DeepFake）被认为是最危险的人工智能技术之一，可广泛应用于业务欺诈、舆论操纵、社会工程等多个犯罪领域。但是直到最近，深度伪造技术才有了第一个大规模应用：深度伪造色情机器人（DeepNude）。
标签：深度伪造, 隐私安全
2.5Tbs！Google透露曾经受史上最大规模DDoS攻击
近日，Google在一篇官方博客文章中透露，2017年9月Google的基础设施曾缓解了迄今为止已知最大规模的DDoS攻击，流量峰值高达2.5Tbps。
标签：DDoS攻击, 僵尸攻击
三秒提权：微软Windows“满级漏洞”被利用
近日，安全公司Secura针对一个刚修补不久的Windows漏洞（CVE-2020-1472）开发了一个概念验证...
标签：windows漏洞, 勒索软件
微软 “接管”了Trickbot僵尸网络
据知名安全博客KrebsonSecurity报道，微软公司近日发动一次有组织的法律偷袭，以破坏恶意软件即服务僵尸网络Trickbot，后者已经成为全球威胁，感染了数百万台计算机，并用于传播勒索软件。
标签：僵尸网络, 勒索软件
日拱一卒：全球首位漏洞赏金百万富翁的生财之道
近日，来自阿根廷的年仅19岁的圣地亚哥·洛佩兹（Santiago Lopez），成为首位官方报道获得漏洞奖金超过百万美元的漏洞猎手。
标签：漏洞赏金, 网络黑客
一次内部攻击的成本高达200万美元
Bitglass的最新调查显示，一次成功实施的内部攻击（例如内鬼投放勒索软件、数据泄露或者删库跑路），给企业造成的平均损失高达200万美元。
标签：企业安全, 网络攻击
2021安全市场热点：自动化安全运营工具
根据Micro Focus最新发布的企业调查，全球SOC安全运营团队最重视的安全能力是高级威胁检测，并且希望更多使用基于人工智能和机器学习技术的下一代自动化安全运营工具来构筑主动防御体系。
标签：MITRE ATT&CK, 自动化安全
GHunt：可嗅探Google账户的OSINT工具
一个新发布的开源情报OSINT工具——GHunt可让安全团队浏览由Google账户创建的数据，甚至仅根据电子邮件来分析目标Google的“足迹”。
标签：OSINT工具, 开源情报
开源工具Infection Monkey扩展ATT&CK测试技术
Infection Monkey是一种流行的开源漏洞和攻击模拟（BAS）工具，可映射到MITER ATT＆CK知识库，并测试网络是否符合Forrester零信任框架。
标签：ATT&CK, Infection Monkey
PE Tree：一个恶意软件逆向工程分析开源工具
近日，由BlackBerry Research and Intelligence团队开发的PE Tree——一种恶意软件逆向工程开源工具，现已向网络安全社区免费提供。
标签：PE Tree, 开源工具, 恶意软件, 逆向工程分析
Fawkes：又一种可以击败人脸识别AI的照片伪装技术
近日，芝加哥大学的研究者在第29届USENIX安全研讨会发布了一个新的图像混淆技术，可以对人们发布的照片进行像素级的更改（肉眼无法察觉的图像伪装），实验证明，无论如何训练人脸识别深度学习模型，Fawkes都能提供95％以上的保护成功率（人像不被正确识别）。
标签：Fawkes, 图像混淆技术
DeimosC2：给红队省钱的C2开源工具
TEAMARES近日推出了DeimosC2，以满足市场对跨兼容的开源命令和控制（C2）工具的需求，该工具用于管理包括移动支持在内的受感染机器。
标签：DeimosC2, TEAMARES, 开源命令和控制