11月速遞

中共中央政治局召開會議，審議《國家安全戰(zhàn)略》等重要文件。工信部發(fā)布《“十四五”信息通信行業(yè)發(fā)展規(guī)劃》、《“十四五”信息化和工業(yè)化深度融合發(fā)展規(guī)劃》、《“十四五”軟件和信息技術(shù)服務(wù)業(yè)發(fā)展規(guī)劃》和《“十四五”大數(shù)據(jù)產(chǎn)業(yè)發(fā)展規(guī)劃》等政策文件。美國眾議院批準(zhǔn)基礎(chǔ)設(shè)施法案，將投入19億美元建設(shè)網(wǎng)絡(luò)安全。美國CISA啟動關(guān)鍵基礎(chǔ)設(shè)施識別計(jì)劃。歐洲通過《數(shù)字市場法》草案。印度將推出國家網(wǎng)絡(luò)安全戰(zhàn)略。韓國率先發(fā)布全球首部《數(shù)據(jù)基本法》。

中共中央政治局召開會議，審議《國家安全戰(zhàn)略》等重要文件

中共中央政治局11月18日召開會議，審議《國家安全戰(zhàn)略(2021-2025年)》等重要文件。會議強(qiáng)調(diào)，要增強(qiáng)產(chǎn)業(yè)韌性和抗沖擊能力，筑牢防范系統(tǒng)性金融風(fēng)險(xiǎn)安全底線，確保糧食安全、能源礦產(chǎn)安全、重要基礎(chǔ)設(shè)施安全，加強(qiáng)海外利益安全保護(hù)。要持續(xù)做好新冠肺炎疫情防控，加快提升生物安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、人工智能安全等領(lǐng)域的治理能力。

資料來源：http://www.news.cn/politics/leaders/2021-11/18/c_1128077610.htm

工信部發(fā)布《“十四五”信息通信行業(yè)發(fā)展規(guī)劃》

近期，工業(yè)和信息化部發(fā)布《“十四五”信息通信行業(yè)發(fā)展規(guī)劃》與以往的五年規(guī)劃相比，本次《規(guī)劃》進(jìn)一步凸顯了信息通信行業(yè)的功能和定位：是構(gòu)建國家新型數(shù)字基礎(chǔ)設(shè)施、提供網(wǎng)絡(luò)和信息服務(wù)、全面支撐經(jīng)濟(jì)社會發(fā)展的戰(zhàn)略性、基礎(chǔ)性和先導(dǎo)性行業(yè)。

資料來源：https://mp.weixin.qq.com/s/SdBhqj5xjR225MQkKjFFtA

工信部發(fā)布《“十四五”信息化和工業(yè)化深度融合發(fā)展規(guī)劃》

近日，工業(yè)和信息化部印發(fā)了《“十四五”信息化和工業(yè)化深度融合發(fā)展規(guī)劃》(以下簡稱《規(guī)劃》)?！兑?guī)劃》強(qiáng)調(diào)，“十四五”信息化和工業(yè)化融合發(fā)展要以習(xí)近平新時(shí)代中國特色社會主義思想為指導(dǎo)，深入貫徹黨的十九大和十九屆二中、三中、四中、五中、六中全會精神，立足新發(fā)展階段，完整、準(zhǔn)確、全面貫徹新發(fā)展理念，構(gòu)建新發(fā)展格局，按照“堅(jiān)持市場主導(dǎo)、堅(jiān)持創(chuàng)新驅(qū)動、堅(jiān)持系統(tǒng)推進(jìn)、堅(jiān)持開放合作”的原則，緊扣制造業(yè)高質(zhì)量發(fā)展要求，以供給側(cè)結(jié)構(gòu)性改革為主線，以智能制造為主攻方向，以數(shù)字化轉(zhuǎn)型為主要抓手，打造數(shù)據(jù)驅(qū)動、軟件定義、平臺支撐、服務(wù)增值、智能主導(dǎo)的現(xiàn)代化產(chǎn)業(yè)體系，全面推進(jìn)產(chǎn)業(yè)基礎(chǔ)高級化、產(chǎn)業(yè)鏈現(xiàn)代化，為實(shí)現(xiàn)“新四化”的戰(zhàn)略目標(biāo)奠定堅(jiān)實(shí)基礎(chǔ)。

資料來源：https://mp.weixin.qq.com/s/JaFdbrTYPVuQmg3mhIO5VQ

工信部發(fā)布《“十四五”軟件和信息技術(shù)服務(wù)業(yè)發(fā)展規(guī)劃》

近日，工業(yè)和信息化部印發(fā)了《“十四五”軟件和信息技術(shù)服務(wù)業(yè)發(fā)展規(guī)劃》(以下簡稱《規(guī)劃》)。《規(guī)劃》強(qiáng)調(diào)，“十四五”軟件和信息技術(shù)服務(wù)業(yè)發(fā)展要以習(xí)近平新時(shí)代中國特色社會主義思想為指導(dǎo)，深入貫徹黨的十九大和十九屆二中、三中、四中、五中、六中全會精神，立足新發(fā)展階段，完整、準(zhǔn)確、全面貫徹新發(fā)展理念，構(gòu)建新發(fā)展格局，按照“創(chuàng)新驅(qū)動、價(jià)值導(dǎo)向、重點(diǎn)突破、協(xié)同推進(jìn)、應(yīng)用牽引、生態(tài)優(yōu)化、安全可控、開放合作”的原則，以高質(zhì)量發(fā)展為主題，以深化供給側(cè)結(jié)構(gòu)性改革為主線，深入實(shí)施國家軟件發(fā)展戰(zhàn)略，強(qiáng)化國家軟件重大工程引領(lǐng)作用，補(bǔ)齊短板、鍛造長板，提升關(guān)鍵軟件供給能力，加快繁榮開源生態(tài)，夯實(shí)產(chǎn)業(yè)發(fā)展基礎(chǔ)，提高產(chǎn)業(yè)鏈供應(yīng)鏈現(xiàn)代化水平，堅(jiān)持應(yīng)用牽引、整機(jī)帶動、生態(tài)培育，壯大信息技術(shù)應(yīng)用創(chuàng)新體系，全面推進(jìn)重點(diǎn)領(lǐng)域產(chǎn)業(yè)化規(guī)模化應(yīng)用，持續(xù)培育數(shù)字化發(fā)展新動能，全面支撐制造強(qiáng)國、網(wǎng)絡(luò)強(qiáng)國、數(shù)字中國建設(shè)。

資料來源：https://mp.weixin.qq.com/s/EewcFnuXEYc2mdWvqGYNAQ

工信部發(fā)布《“十四五”大數(shù)據(jù)產(chǎn)業(yè)發(fā)展規(guī)劃》

近日，工業(yè)和信息化部發(fā)布《“十四五”大數(shù)據(jù)產(chǎn)業(yè)發(fā)展規(guī)劃》(以下簡稱《規(guī)劃》)。《規(guī)劃》強(qiáng)調(diào)，“十四五”時(shí)期大數(shù)據(jù)產(chǎn)業(yè)發(fā)展要以習(xí)近平新時(shí)代中國特色社會主義思想為指導(dǎo)，深入貫徹黨的十九大和十九屆二中、三中、四中、五中、六中全會精神，立足新發(fā)展階段，完整、準(zhǔn)確、全面貫徹新發(fā)展理念，構(gòu)建新發(fā)展格局，以推動高質(zhì)量發(fā)展為主題，以供給側(cè)結(jié)構(gòu)性改革為主線，以釋放數(shù)據(jù)要素價(jià)值為導(dǎo)向，圍繞夯實(shí)產(chǎn)業(yè)發(fā)展基礎(chǔ)，著力推動數(shù)據(jù)資源高質(zhì)量、技術(shù)創(chuàng)新高水平、基礎(chǔ)設(shè)施高效能，圍繞構(gòu)建穩(wěn)定高效產(chǎn)業(yè)鏈，著力提升產(chǎn)業(yè)供給能力和行業(yè)賦能效應(yīng)，統(tǒng)籌發(fā)展和安全，培育自主可控和開放合作的產(chǎn)業(yè)生態(tài)，打造數(shù)字經(jīng)濟(jì)發(fā)展新優(yōu)勢，為建設(shè)制造強(qiáng)國、網(wǎng)絡(luò)強(qiáng)國、數(shù)字中國提供有力支撐。

資料來源：https://mp.weixin.qq.com/s/cUz-0si9t-TJqeEMFXnbVQ

美國CISA啟動關(guān)鍵基礎(chǔ)設(shè)施識別計(jì)劃

美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局CISA正在識別哪些關(guān)鍵基礎(chǔ)設(shè)施如果遭到黑客攻擊將對美國國家安全和經(jīng)濟(jì)產(chǎn)生最大影響。CISA的分析基于經(jīng)濟(jì)和網(wǎng)絡(luò)中心性，以及“國家關(guān)鍵職能的邏輯主導(dǎo)地位”。CISA希望國會在確定這些組織后，確?！暗玫矫绹娜χС植⒊袚?dān)額外的安全要求”，以適應(yīng)其“獨(dú)特的地位和重要性”。

資料來源：https://www.cybersecuritydive.com/news/cisa-easterly-critical-infrastructure-tsa-sici/609210/

美國眾議院批準(zhǔn)基礎(chǔ)設(shè)施法案，將投入19億美元建設(shè)網(wǎng)絡(luò)安全

11月5日，美國眾議院批準(zhǔn)了1.2萬億美元的基礎(chǔ)設(shè)施法案，該法案將分配19億美元的網(wǎng)絡(luò)安全資金，其中約10億美元將用于建立新的資助計(jì)劃，幫助各州、地方、部落及領(lǐng)地政府提升網(wǎng)絡(luò)安全水平。這筆資金將由美國聯(lián)邦緊急事務(wù)管理局負(fù)責(zé)管理，從2022財(cái)年開始并持續(xù)四年，網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局(CISA)為資金調(diào)配提供指導(dǎo)意見。

資料來源：https://therecord.media/house-approves-massive-infrastructure-plan-that-includes-1-9-billion-for-cybersecurity/

印度將推出國家網(wǎng)絡(luò)安全戰(zhàn)略

印度的新網(wǎng)絡(luò)安全戰(zhàn)略即將推出，新網(wǎng)絡(luò)安全戰(zhàn)略的主要交付成果之一是為不同實(shí)體確定和成立監(jiān)管機(jī)構(gòu)，例如計(jì)算機(jī)應(yīng)急響應(yīng)小組CERT-In、網(wǎng)絡(luò)犯罪協(xié)調(diào)中心、國防網(wǎng)絡(luò)局和國家關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)中心NCIIPC。

資料來源：https://www.govinfosecurity.com/indias-national-cybersecurity-strategy-awaiting-approval-a-17829?&web_view=true

韓國率先發(fā)布全球首部《數(shù)據(jù)基本法》

韓國科學(xué)和信息通信技術(shù)部(MSIT)宣布，國務(wù)會議通過了《數(shù)據(jù)產(chǎn)業(yè)振興和利用促進(jìn)基本法》，旨在為發(fā)展數(shù)據(jù)產(chǎn)業(yè)和振興數(shù)據(jù)經(jīng)濟(jì)奠定基礎(chǔ)，并將于明年4月全面實(shí)施?！稊?shù)據(jù)基本法》是全球首部規(guī)制數(shù)據(jù)產(chǎn)業(yè)的基本立法，對數(shù)據(jù)的開發(fā)利用進(jìn)行統(tǒng)籌安排。

資料來源：https://www.secrss.com/articles/36503

歐洲通過《數(shù)字市場法》草案

11月23日，歐洲議會內(nèi)部市場和消費(fèi)者保護(hù)委員會通過了旨在限制互聯(lián)網(wǎng)巨頭的《數(shù)字市場法》(DMA)的草案。由于其規(guī)則嚴(yán)苛、涉及廣泛，DMA被視為到目前為止全球最嚴(yán)格的科技監(jiān)管立法嘗試。

資料來源：https://www.euractiv.com/section/digital/news/eu-parliaments-key-committee-adopts-digital-markets-act/

Ponemon、Dragos發(fā)布ICS、OT網(wǎng)絡(luò)安全事件調(diào)查報(bào)告，安全事件的平均成本約為300萬美元。澳大利亞供水公司SunWater遭黑客入侵，被控制長達(dá)9個(gè)月。風(fēng)電巨頭維斯塔斯遭網(wǎng)絡(luò)攻擊，數(shù)據(jù)被泄露。歐洲電子零售巨頭MediaMarkt遭勒索軟件攻擊，眾多門店受影響。巴基斯坦國民銀行遭網(wǎng)絡(luò)攻擊致服務(wù)中斷。Cloudflare緩解了Mirai僵尸網(wǎng)絡(luò)發(fā)起的2 Tbps DDoS攻擊。

Ponemon、Dragos發(fā)布ICS、OT網(wǎng)絡(luò)安全事件調(diào)查報(bào)告

PonemonInstitute和工業(yè)網(wǎng)絡(luò)安全公司Dragos 發(fā)布的一份報(bào)告顯示，影響工業(yè)控制系統(tǒng)(ICS)或其他運(yùn)營技術(shù)(OT)系統(tǒng)的安全事件的平均成本約為300萬美元，一些公司報(bào)告的成本超過1億美元。

資料來源：https://www.securityweek.com/ics-ot-cybersecurity-incidents-cost-some-us-firms-over-100-million-survey

澳大利亞供水公司SunWater被黑客入侵控制長達(dá)9個(gè)月

根據(jù)澳大利亞昆士蘭州審計(jì)署11月10日公布的年度財(cái)務(wù)審計(jì)報(bào)告，供水公司SunWater被黑客入侵，但其行為一直未被發(fā)現(xiàn)。黑客在這家供水公司的服務(wù)器上隱藏了9個(gè)月，盡管事后證實(shí)沒有客戶信息或財(cái)務(wù)信息被竊取。

資料來源：https://securityaffairs.co/wordpress/124498/hacking/queensland-water-supplier-hacked.html

風(fēng)電巨頭維斯塔斯遭網(wǎng)絡(luò)攻擊并導(dǎo)致數(shù)據(jù)泄露

丹麥風(fēng)力渦輪機(jī)巨頭Vestas Wind Systems遭遇網(wǎng)絡(luò)攻擊，這起事件破壞了其部分內(nèi)部IT基礎(chǔ)設(shè)施。維斯塔斯在 11月19日事件發(fā)生后關(guān)閉了其部分系統(tǒng)。該公司稱發(fā)生了數(shù)據(jù)泄露，部分IT設(shè)施正在恢復(fù)中。

資料來源：https://www.cyberscoop.com/vestas-cyberattack-it-shutdown-wind-turbine/

歐洲電子零售巨頭MediaMarkt遭勒索軟件攻擊

MediaMarkt是歐洲最大的消費(fèi)電子產(chǎn)品零售商，在11月7日晚間至8日上午遭受勒索軟件攻擊，服務(wù)器和工作站被加密，導(dǎo)致IT系統(tǒng)關(guān)閉。這次攻擊影響了整個(gè)歐洲的眾多零售店，主要是荷蘭的零售店。

資料來源：https://www.bleepingcomputer.com/news/security/mediamarkt-hit-by-hive-ransomware-initial-240-million-ransom/?&web_view=true

巴基斯坦國民銀行遭網(wǎng)絡(luò)攻擊致服務(wù)中斷

巴基斯坦國民銀行(NBP)10月30日發(fā)布的一份聲明稱，10月29日深夜和10月30日凌晨，NBP服務(wù)器遭到了網(wǎng)絡(luò)攻擊，其部分服務(wù)被迫中斷，已立即采取措施隔離受影響的系統(tǒng)，NBP沒有發(fā)現(xiàn)任何數(shù)據(jù)泄露和經(jīng)濟(jì)損失。

資料來源：https://www.thenews.com.pk/print/904555-nbp-hit-by-outages-in-cyber-attack

Cloudflare緩解了Mirai僵尸網(wǎng)絡(luò)發(fā)起的2 Tbps DDoS攻擊

Web安全服務(wù)提供商Cloudflare表示，它緩解了分布式拒絕服務(wù)(DDoS)攻擊，該攻擊的峰值達(dá)到每秒2TB(Tbps)。此次攻擊是由大約15,000臺感染了原始Mirai惡意軟件變體的機(jī)器組成的僵尸網(wǎng)絡(luò)發(fā)起的。

資料來源：https://securityaffairs.co/wordpress/124634/security/cloudflare-mitigated-ddos-2-tbps.html?web_view=true

工業(yè)自動化軟件AzeoTech DAQFactory存在高危漏洞，可能會導(dǎo)致代碼執(zhí)行、內(nèi)存損壞等嚴(yán)重問題。HMI/SCADA軟件VBASE Editor存在高危漏洞，包括多個(gè)工業(yè)部門在內(nèi)的企業(yè)均受到影響。飛利浦披露其TASY EMR漏洞對患者數(shù)據(jù)構(gòu)成風(fēng)險(xiǎn)，其IntelliBridge EC 40和EC 80集線器患者監(jiān)測系統(tǒng)存在高危漏洞。西門子修復(fù)其產(chǎn)品的 36 個(gè)漏洞。施耐德電氣修復(fù)其產(chǎn)品的17個(gè)漏洞。思科修復(fù)Catalyst PON企業(yè)交換機(jī)的嚴(yán)重漏洞、修復(fù)ASA和FTD防火墻中的高危漏洞。

工業(yè)自動化軟件AzeoTech DAQFactory存在高危漏洞

DAQFactory是AzeoTech的一款HMI/SCADA工業(yè)自動化軟件，存在對固有危險(xiǎn)函數(shù)的使用、不可信數(shù)據(jù)的反序列化、敏感信息的明文傳輸?shù)榷鄠€(gè)漏洞。成功利用這些漏洞可能會導(dǎo)致代碼執(zhí)行、內(nèi)存損壞或未經(jīng)授權(quán)訪問用戶信息。

資料來源：https://us-cert.cisa.gov/ics/advisories/icsa-21-308-02

HMI/SCADA軟件VBASE Editor存在高危漏洞

VBASE是一款可用于多個(gè)工業(yè)部門在內(nèi)的HMI/SCADA軟件，存在多個(gè)可遠(yuǎn)程利用的漏洞，包括訪問控制不當(dāng)、跨站腳本、XML外部實(shí)體引用的不當(dāng)限制以及使用具有已知漏洞的組件。成功利用這些漏洞，可能會允許未授權(quán)的用戶可控?cái)?shù)據(jù)輸入、本地文件泄露、以及敏感文件的訪問。

資料來源：https://us-cert.cisa.gov/ics/advisories/icsa-21-308-01

西門子修復(fù)其產(chǎn)品的 36 個(gè)漏洞

西門子11月9號發(fā)布了13條公告，涵蓋了36個(gè)漏洞。其中兩個(gè)公告重點(diǎn)關(guān)注新披露的NUCLEUS:13漏洞對其產(chǎn)品的影響。另一個(gè)包含嚴(yán)重和高危漏洞的建議針對SIMATIC產(chǎn)品，本地攻擊者可以利用這些漏洞來提升權(quán)限，讀取、寫入或刪除文件。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-and-schneider-electric-address-over-50-vulnerabilities-0

施耐德電氣修復(fù)其產(chǎn)品的17個(gè)漏洞

施耐德電氣11月9號發(fā)布了七項(xiàng)建議，修復(fù)了總17個(gè)影響其產(chǎn)品的漏洞。其中一份報(bào)告描述了penGUIn HMI產(chǎn)品的GUIcon配置工具中的兩個(gè)高危和中危漏洞。漏洞利用可能導(dǎo)致DoS攻擊、代碼執(zhí)行和信息泄露，但由于產(chǎn)品已停產(chǎn)，因此不會發(fā)布補(bǔ)丁。

資料來源：https://www.securityweek.com/ics-patch-tuesday-siemens-and-schneider-electric-address-over-50-vulnerabilities-0

飛利浦披露TASY EMR漏洞對患者數(shù)據(jù)構(gòu)成風(fēng)險(xiǎn)

飛利浦修復(fù)了其TASY電子病歷HTML5系統(tǒng)3.06.1803及更早版本中的兩個(gè)CVSS評分均為8.8的SQL注入漏洞，這可能導(dǎo)致患者敏感數(shù)據(jù)從TASY數(shù)據(jù)庫中泄露或泄露。攻擊者可以利用這些漏洞為未經(jīng)授權(quán)的用戶提供對設(shè)備的訪問權(quán)限或創(chuàng)建拒絕服務(wù)條件。

資料來源：https://www.scmagazine.com/analysis/risk-management/philips-discloses-tasy-emr-vulnerabilities-pose-risk-to-patient-data

飛利浦醫(yī)療產(chǎn)品存在高危漏洞

飛利浦醫(yī)療產(chǎn)品IntelliBridge EC 40和EC 80集線器患者監(jiān)測系統(tǒng)存在兩個(gè)高危漏洞，這些漏洞與使用硬編碼憑據(jù)和身份驗(yàn)證繞過有關(guān)。成功利用這些漏洞可能允許攻擊者未經(jīng)授權(quán)訪問數(shù)據(jù)以及進(jìn)行拒絕服務(wù)攻擊。

資料來源：https://www.securityweek.com/philips-working-patches-vulnerabilities-found-medical-products

思科修復(fù)Catalyst PON企業(yè)交換機(jī)的嚴(yán)重漏洞

思科已修復(fù)Catalyst無源光網(wǎng)絡(luò)(PON)系列交換機(jī)光網(wǎng)絡(luò)終端和策略套件中的嚴(yán)重漏洞。其中最嚴(yán)重的漏洞是CVE-2021-34795和CVE-2021-40113，CVSS評分均為10.0，允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者使用具有默認(rèn)靜態(tài)密碼的調(diào)試帳戶登錄受影響的設(shè)備，或執(zhí)行命令注入攻擊。

資料來源：https://www.securityweek.com/cisco-plugs-critical-holes-catalyst-pon-enterprise-switches

思科防火墻存在高危漏洞

思科ASA(自適應(yīng)安全設(shè)備)和FTD(Firepower威脅防御)的防火墻中存在漏洞CVE-2021-34704，CVSS評分8.6。如果漏洞被利用，組織的防火墻將被削弱，使其更容易受到攻擊，遠(yuǎn)程工作的員工將無法訪問組織的內(nèi)部網(wǎng)絡(luò)。

資料來源：https://www.infosecurity-magazine.com/news/cisco-flaw-affects-firewalls/?&web_view=true

谷歌推出新的開源數(shù)據(jù)隱私協(xié)議，旨在確保特定查詢期間的隱私。微軟發(fā)布AI勒索軟件攻擊檢測系統(tǒng)，通過評估風(fēng)險(xiǎn)和在外圍阻止攻擊者來補(bǔ)充現(xiàn)有的云保護(hù)。

谷歌推出新的開源數(shù)據(jù)隱私協(xié)議

谷歌推出了新的開源數(shù)據(jù)隱私協(xié)議Private Set Membership，旨在確保特定查詢期間的隱私。該協(xié)議用于檢查一個(gè)特定的標(biāo)識符是否存在于服務(wù)器持有的列表中：客戶的標(biāo)識符是加密傳輸?shù)?，除了知曉被查詢的?biāo)識符是否存在于列表之外，服務(wù)器不知道查詢的結(jié)果，客戶也不知道服務(wù)器上標(biāo)識符集的細(xì)節(jié)。

資料來源：https://www.securityweek.com/google-introduces-new-open-source-data-privacy-protocol?&web_view=true

微軟發(fā)布AI勒索軟件攻擊檢測系統(tǒng)

微軟為 Microsoft Defender for Endpoint 客戶推出了一個(gè)AI驅(qū)動的勒索軟件攻擊檢測系統(tǒng)，通過評估風(fēng)險(xiǎn)和在外圍阻止攻擊者來補(bǔ)充現(xiàn)有的云保護(hù)。由于人為操作的勒索軟件攻擊具有一組特定的方法和行為，因此微軟認(rèn)為他們可以使用數(shù)據(jù)驅(qū)動的AI方法來檢測這些類型的攻擊。

資料來源：https://www.bleepingcomputer.com/news/microsoft/microsoft-adds-ai-driven-ransomware-protection-to-defender/?&web_view=true