工信部通报50款侵害用户权益行为的APP（SDK）；美国政府将强制实施抗量子加密 | 牛览

/aqniu

新闻速览

ㆍ中国国家互联网信息办公室与印尼国家网络与密码局续签网络安全领域合作备忘录

ㆍ《工业和信息化领域数据安全风险评估实施细则（试行）》正式印发

ㆍ工信部通报50款侵害用户权益行为的APP（SDK）

ㆍ强制性国家标准《智能网联汽车时空数据安全处理基本要求（征求意见稿）》公开征求意见

ㆍ美国政府将从7月起强制实施抗量子加密

ㆍ美国联邦通信委员会提出BGP安全管理新规

ㆍAI大模型敏感数据违规输入增长156%

ㆍ特斯拉升级后的超宽带仍然存在中继攻击风险

ㆍWinRAR缺陷让攻击者利用ANSI转义序列欺骗用户

ㆍ威胁情报创新厂商SOCRadar宣布完成2520万美元B轮融资

ㆍBugcrowd收购攻击面管理初创企业Informer

ㆍ中国电信安全发布见微安全大模型2.0版

特别关注

中国国家互联网信息办公室与印尼国家网络与密码局续签网络安全领域合作备忘录

5月26日，中华人民共和国国家互联网信息办公室与印度尼西亚共和国国家网络与密码局在印尼登巴萨续签《关于发展网络安全能力建设和技术合作的谅解备忘录》，双方将进一步深化和拓展中印尼网络安全领域合作。

原文链接：

https://mp.weixin.qq.com/s/2VegL-FDPrk7tx1gfLuf8g

《工业和信息化领域数据安全风险评估实施细则（试行）》正式印发

日前，工业和信息化部根据《中华人民共和国数据安全法》、《中华人民共和国网络安全法》等法律，按照《工业和信息化领域数据安全管理办法（试行）》有关要求，制定并正式印发《工业和信息化领域数据安全风险评估实施细则（试行）》。该细则将适用于对我国境内工业和信息化领域重要数据和核心数据处理者数据处理活动开展的数据安全风险评估。以下是细则全文：

原文链接：

https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2024/art_414d957b786c4a549c37acd5c6e80c71.html

工信部通报50款侵害用户权益行为的APP（SDK）

工业和信息化部高度重视用户权益保护工作，依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，持续整治APP侵害用户权益的违规行为。近期，工信部组织第三方检测机构进行抽查，共发现50款APP及SDK存在侵害用户权益行为，并对其进行通报。通报要求，这些APP及SDK应按有关规定进行整改，整改落实不到位的，工信部将依法依规组织开展相关处置工作。

原文链接：

https://www.miit.gov.cn/jgsj/xgj/fwjd/art/2024/art_5738a1fd95fd443a88fbbe7051bf1c2a.html

强制性国家标准《智能网联汽车时空数据安全处理基本要求（征求意见稿）》公开征求意见

日前，根据国家标准化管理委员会标准制修订计划，自然资源部(国土)自然资源部地图技术审查中心已组织完成了《智能网联汽车时空数据安全处理基本要求》国家标准的征求意见稿,即日起公开征求意见。各有关单位可于2024年7月20日前将意见反馈给组织起草部门。

联系人：白敬辉联系电话：13716382383 联系邮箱：zrzybdtjssczx@163.com

以下是标准征求意见稿全文：

原文链接：

https://std.samr.gov.cn/gb/search/gbqSuggestionDetail?id=C10125EB0EECE8EFF1AA714AF794C7C7

热点观察

美国政府将从7月起强制实施抗量子加密

根据彭博社最新消息，美国政府或从7月起强制实施抗量子加密。而后量子加密标准一旦确定，将逐步成为政府承包商的强制性标准。NIST（美国商务部下属的国家标准与技术研究所）建议各组织尽快制定量子准备路线图，为未来实施PQC标准做好准备。

2024年5月22日，NIST对外发布消息，该机构将于今年7月发布其认为足以保护数据免受量子计算机攻击的加密算法（CRYSTALS-Khyber、CRYSTALSDilithium和SPHINCX+），制定一项国际公认的标准，旨在帮助各个机构组织应对不断演变的网络安全威胁。

这些算法标志着美国及NIST向“后量子密码学（PQC）”迈出了关键一步，将为包括国家保密机构到金融在线交易的一切组织建立一项新的国际标准。白宫副国家安全顾问AnneAubergine表示：“破解加密系统不仅对国家安全形成威胁，还对我们的护互联网、在线支付和银行交易的方式形成极大威胁。这些标准的推出将开启向下一代加密技术的过渡进程。”

原文链接：

https://www.csoonline.com/article/2119505/us-government-could-mandate-quantum-resistant-encryption-from-july.html

美国联邦通信委员会提出BGP安全管理新规

近日，美国联邦通信委员会(FCC)提出新规，要求大型宽带服务提供商加强对Border Gateway Protocol (BGP)的安全管理。BGP是互联网路由的关键系统，但缺乏可靠的安全机制，容易被黑客利用，对国家安全构成威胁。FCC主席Jessica Rosenworcel表示，尽管过去有一些努力缓解BGP安全风险，但仍需要采取更强有力的措施。

根据FCC的提案，9家最大的宽带服务提供商将被要求向FCC提交保密的BGP安全风险管理计划，详细说明他们实施行业标准和最佳实践的情况，并每季度向公众报告进度。这一提案旨在应对BGP安全缺陷所带来的风险，包括个人信息泄露、盗窃、勒索、间谍活动以及关键服务中断等。为此，FCC要求采用源头验证和RPKI (资源公钥基础设施)等技术手段，加强对BGP路由信息的验证。通过强化BGP安全，FCC希望确保互联网通信的安全性，防范潜在的国家级网络攻击。

原文链接：

https://www.networkworld.com/article/2111862/fcc-proposes-bgp-security-measures.html

AI大模型敏感数据违规输入增长156%

近日，据Cyberhaven发布的《人工智能采用与风险报告》报告显示，AI在工作场所的使用呈指数级增长，员工通过聊天机器人如ChatGPT和Gemini等输入敏感数据的频率较去年增加了一倍多。从2023年3月到2024年3月，员工将公司数据输入AI工具的总量增加了485%。科技公司的员工是AI工具的最大用户，他们以每10万名员工超过200万次的速度向机器人发送数据，以超过160万次的速度复制人工智能生成的内容。在员工提交给聊天机器人的数据中，27.4%是敏感数据，而去年为10.7%，增长了156%。

报告还提到影子AI的问题，即员工使用个人账户访问AI工具，这些账户缺乏企业账户的安全与隐私保护措施。大多数ChatGPT(73.8%)和谷歌工具(使用个人账户的比例高达95%)使用都发生在个人账户上，这不仅使敏感数据如法律文件、源代码、研发资料等存在泄露的风险，也使组织无法对员工使用AI的情况进行可见性管控。

原文链接：

https://www.scmagazine.com/news/shadow-ai-on-the-rise-sensitive-data-input-by-workers-up-156

网络攻击

特斯拉升级后的超宽带仍然存在中继攻击风险

近日，一项新的研究显示，尽管特斯拉最新款Model 3的无钥匙进入系统升级到了超宽带(UWB)无线电技术，被认为可以解决中继攻击问题，但研究人员发现，它仍然会受到中继攻击的威胁。中继攻击通过中继来自车主钥匙扣或智能手机的信号（通常是从远处）来欺骗汽车解锁。多年来，这种技术一直被用于盗窃众多型号的汽车，因为它欺骗了汽车进入系统，让它以为真正的车主就在附近。

据网络安全公司GoGoByte的最新研究表明，像特斯拉Model 3这样搭载超宽带技术的最新高端汽车仍然存在缺陷。研究人员演示了成功对最新特斯拉Model 3进行中继攻击，仅使用不到100美元的无线电设备就能立即解锁车门。这一缺陷尤其令人担忧，因为无钥匙进入系统也控制着防止发动机在未识别正确钥匙的情况下启动的防盗装置，这可能允许攻击者在成功入侵后驾驶走车辆。

据媒体Wired报道，特斯拉在回复研究人员发现的问题时表示，这一行为是预期的，超宽带技术并非旨在阻止中继攻击或防止汽车被盗。特斯拉表示，正在努力提高技术的可靠性，将在可靠性升级完成后实施测距增强措施。

原文链接：

https://thecyberexpress.com/tesla-ultra-wideband-vulnerable-relay-attacks/

WinRAR缺陷让攻击者利用ANSI转义序列欺骗用户

近日，文件压缩工具WinRAR中发现一个严重缺陷（CVE-2024-36052），影响到7.00版本之前的所有WinRAR版本，让攻击者能够利用ANSI转义序列欺骗用户。

该缺陷源于WinRAR对ZIP归档文件中的文件名缺乏适当的验证和过滤。当使用特制的ZIP归档文件提取一个包含ANSI转义序列的文件名时，WinRAR无法正确处理这些转义序列，反而将其解释为控制字符。这就允许攻击者操纵显示的文件名，欺骗用户认为他们正在打开一个无害的文件，如PDF或图像。然而，一旦用户尝试从WinRAR中打开这种看似无害的文件，缺陷就会被触发。WinRAR的ShellExecute函数收到错误的参数，而不是启动预期的文件，它执行一个隐藏的恶意脚本，比如批处理文件(.bat)或命令脚本(.cmd)，这个脚本可以在同时显示诱饵文档以避免引起怀疑的情况下，在受害者设备上安装恶意软件。

这个缺陷特定于Windows上的WinRAR，与影响WinRAR Linux和UNIX版本的CVE-2024-33899不同。WinRAR的Linux和UNIX版本，也容易受到ANSI转义序列造成的屏幕输出欺骗和拒绝服务攻击。为了降低这个缺陷带来的风险，建议WinRAR用户立即更新到7.00或更新版本，其中包含了这个问题的修复。此外，打开来历不明的归档文件时保持谨慎，并在Windows中启用文件扩展名可见性，都是有效的缓解措施。

原文链接：

https://cybersecuritynews.com/winrar-flaw-deceive-users/

产业动态

威胁情报创新厂商SOCRadar宣布完成2520万美元B轮融资

日前，企业级端到端威胁情报和品牌保护提供商SOCRadar宣布成功完成B轮融资，筹集了2520万美元。本轮融资由PeakSpan Capital领投，Oxx参投，反映出投资者对SOCRadar创新网络安全方法的信心。此轮融资将用于拓展美国市场、加强在欧洲的业务、深入MSP和MSSP市场，以及持续投资研发，特别是在人工智能方面。

SOCRadar 致力于针对勒索软件、网络钓鱼和 BEC 等网络威胁以及所有外部来源的攻击提供先发制人的防御，最重要的是，在攻击发生之前检测和预防攻击。通过最新融资，SOCRadar 有望进一步巩固其作为值得信赖的合作伙伴，在外部网络威胁防御和数字资产保护领域的地位。

原文链接：

https://www.darkreading.com/cybersecurity-operations/socradar-secures-25-2m-in-funding-to-combat-multibillion-dollar-cyber-security-threats

Bugcrowd收购攻击面管理初创企业Informer

日前，众包安全服务提供商Bugcrowd宣布完成收购外部攻击面管理(ASM)和持续渗透测试服务商Informer，此次收购扩大了Bugcrowd在向各行各业的各种规模客户提供众包安全服务方面的创新优势，这些服务通过灵活的、以数据和AI驱动的SaaS平台提供。通过将Informer的专业知识和技术整合到其产品组合中，Bugcrowd将进一步加快其在全球范围内的覆盖能力和解决客户不断变化的主动安全需求的能力。交易的进一步条款未披露。

Informer自动识别组织的外部攻击面，并为客户提供专门的渗透测试服务，该公司将持续地资产发现和渗透测试结合在一个平台上，将机器学习和专家渗透测试的力量集于一体的SaaS解决方案。Informer建立了一个强大的外部ASM平台，为组织提供实时的边界可见性，两个平台的结合，将通过为Bugcrowd带来最佳的资产发现和监控能力，来增强客户获得的价值。

原文链接：

https://www.darkreading.com/cyberattacks-data-breaches/bugcrowd-acquires-informer-to-enhance-attack-surface-management-penetration-testing

中国电信安全发布见微安全大模型2.0版

日前，第七届数字中国建设峰会智算云生态大会·安全论坛在福州成功举行。论坛以“智启数据新引擎，共筑安全新生态”为主题，聚焦数据安全、人工智能安全等热点领域。在本次会议上，中国电信安全公司焕新发布见微安全大模型2.0等多款新品。

据介绍，见微安全大模型2.0以实际攻防场景为切入点，重点研发了日志降噪研判、智能攻防地貌分析、大模型护栏、报告自动生成与解读、以及安全服务运营助手等关键能力。通过深度嵌入实际的安全运营流程，见微安全大模型2.0不仅新增了运营数据的积累，还拓展了场景应用驱动的采集源和RAG数据，并与阡陌数聚方案形成了紧密的双向赋能闭环。目前，见微安全大模型2.0已在中国电信安全五条内部产线以及十多家省级专业安全服务公司中实际应用。

原文链接：

https://mp.weixin.qq.com/s/MQRygbgZkM2GRqHXLY-6EQ

合作电话：18311333376

合作微信：aqniu001

投稿邮箱：editor@aqniu.com