【in资讯】

中国软件评测中心今日推出【in资讯】栏目，我们在这里与你同屏共享热门行业最in资讯。从此不必费力翻阅查找，一键get行业内你不知道的那些大事件、大举措。

【in资讯】做你简单可依赖的同行者。

       第一期网络安全领域资讯火热来袭，一起去看看吧。

一、   行业资讯

政策法规

1. 工信部发文推动工业互联网加快发展

2. 全国信息安全标准化技术委员会秘书处发布《网络安

3. 8项网络安全国家标准获批发布

产业动态

1. 国家重点支持的7大5G工程

2. 首个网络安全行业万人云峰会即将在线召开

安全漏洞

事件

1.“新冠肺炎”勒索病毒出现

2. 使用SCPI协议的设备易受到黑客攻击

3. 加密漏洞允许黑客克隆汽车遥控钥匙

4. 英特尔处理器爆新漏洞 Load Value Injection

5. SMBv3协议漏洞影响Windows 10系统

研究报告

1. 网络安全态势感知能力指南》发布

2.《移动办公及业务应用安全保障白皮书》发布

3.《2020数字医疗：疫情防控期间网络安全风险研究报告》发布

4.《IT/OT一体化工业信息安全态势报告》：勒索病毒仍是最大威胁

5.《全球高级持续性威胁（APT）2019年研究报告》发布

二、   中国评测资讯

网安动态

1.中国评测面向湖北地区提供29项免费服务

2.中国评测网安中心开讲“安全无小事”云课堂

以下为本期in资讯全文：阅读时间大约15分钟

一、   行业资讯

(一)   政策法规标准

1. 工信部发文推动工业互联网加快发展

为深入贯彻习近平总书记在统筹推进新冠肺炎疫情防控和经济社会发展工作部署会议上的重要讲话精神，落实中央关于推动工业互联网加快发展的决策部署，统筹发展与安全，推动工业互联网在更广范围、更深程度、更高水平上融合创新，培植壮大经济发展新动能，支撑实现高质量发展，工业和信息化部近日印发《关于推动工业互联网加快发展的通知》，提出加快新型基础设施建设、加快拓展融合创新应用、加快健全安全保障体系、加快壮大创新发展动能、加快完善产业生态布局和加大政策支持力度等6方面20项措施。在加快健全安全保障体系方面，提出建立企业分级安全管理制度、完善安全技术监测体系、健全安全工作机制、加强安全技术产品创新四项措施。

2. 全国信息安全标准化技术委员会秘书处发布《网络安全标准实践指南—远程办公安全防护》

2020年3月13日，全国信息安全标准化技术委员会秘书处针对远程办公安全问题，组织相关厂商和安全专家，编制了《网络安全标准实践指南—远程办公安全防护》,给出了远程办公的典型应用场景，分析了远程办公可能面临的办公系统自身安全、数据安全、设备安全和个人信息保护等风险，针对远程办公系统的使用方和用户，分别给出了安全控制措施建议。

3. 8项网络安全国家标准获批发布

2020年3月6日，全国信息安全标准化技术委员会归口的GB/T 35273-2020《信息安全技术 个人信息安全规范》等8项国家标准正式发布：

GB/T 17901.1-2020 信息技术 安全技术 密钥管理 第1部分：框架

GB/T 35273-2020 信息安全技术 个人信息安全规范

GB/T 38540-2020  信息安全技术 安全电子签章密码技术规范

GB/T 38541-2020  信息安全技术 电子文件密码应用指南

GB/T 38542-2020  信息安全技术 基于生物特征识别的移动智能终端身份鉴别技术框架

GB/T 38556-2020  信息安全技术 动态口令密码应用技术规范

GB/T 38558-2020  信息安全技术 办公设备安全测试方法

GB/T 38561-2020  信息安全技术 网络安全管理支撑系统技术要求

(二)   产业动态

1. 国家重点支持的7大5G工程

3月12日，为推进新型基础设施建设，国家发展改革委、工业和信息化部联合组织实施2020年新型基础设施建设工程，5G领域共有7大5G创新提升工程：

1)  面向重大公共卫生突发事件的5G智慧医疗系统建设

2)  面向互联网+协同制造的5G虚拟企业专网建设

3)  面向智能电网的5G新技术规模化应用

4)  基于5G的车路协同车辆网大规模验证和应用

5)  5G+智慧教育应用示范

6)  5G智慧港口应用系统建设

7)  5G+4K/8K超高清制播系统基础设施建设

2. 首个网络安全行业万人云峰会即将在线召开

3月24日，全球首个网络安全行业万人云峰会在线召开，届时包括RSAC2020大会与BCS大会这两大全球顶级安全盛会的重磅嘉宾以及全球安全行业专家，在线分享并共同探讨全球网络安全行业发展的战略、产业、技术。万人云峰会由北京网络安全大会（BCS）举办。意在克服全球疫情影响，破除地域空间、网络与现实的限制，通过全球数字经济领域、网络安全产业及创新技术领域的领袖、专家、学者在线探讨，将网络安全行业新机遇、新趋势、新技术进行更大范围的分享与传播，以促进全球范围内网络安全领域的交流与合作，推动网络安全产业向更宽领域、更深层次、更高质量发展。万人云峰会邀请中国、美国、以色列、日本等国家的网络安全专家学者、行业领袖、技术专家，从战略、产业和技术三个维度，分享网络安全最前沿的技术信息，探讨产业趋势，同时也中国的网络安全理念与能力传至全球。会议议题涉及云安全、个人信息安全与隐私、零信任身份安全、数据安全、终端安全、安全意识、密码技术与应用、DevSecOps、安全创投、新基建等。

(三)   安全漏洞和事件

1. “新冠肺炎”勒索病毒出现

近期奇安信病毒响应中心在日常监测中，发现继Cerberus银行木马利用“新冠肺炎”传播以后，“新冠肺炎”勒索病毒也已经出现。Anubis银行木马也通过仿冒名为“covid-19”的软件进行传播，同时发现Cerberus将病毒仿冒名称由“Coronavirus”改为“corona”继续传播。

2. 使用SCPI协议的设备易受到黑客攻击

网络安全公司趋势科技近日警告称，支持可编程仪器标准命令（SCPI）协议的测量仪器容易受到黑客攻击。SCPI协议已经有30年历史，它受到广泛支持，但是设计之初并未加入身份验证机制，在万物逐渐互联的今天，暴露于互联网/内联网的使用SCPI的设备已经不再安全了。通过一次快速的扫描，研究人员能够找到多个互联网上的暴露设备。在Keysight科技的万用表的安全测试中，研究人员能够使其显示任意文本，乃至造成物理损坏。

3. 加密漏洞允许黑客克隆汽车遥控钥匙

比利时鲁汶大学和英国伯明翰大学的研究人员在汽车防盗控制器使用的加密系统中发现了漏洞，漏洞存在于丰田、现代和起亚等厂家采用的德州仪器加密系统DST80中。黑客利用廉价的 Proxmark RFID发射机在使用DST80的遥控钥匙附近可以收集到足够的信息去推断其密钥，克隆遥控钥匙，关闭防盗系统启动汽车引擎。受影响的汽车型号包括丰田凯美瑞、花冠和RAV4，起亚远舰、秀尔和锐欧以及现代I10、I20和I40，特斯拉Model S汽车也受到影响。

4. 英特尔处理器爆新漏洞 Load Value Injection

国外安全研究人员披露了名叫 Load Value Injection（LVI） 的英特尔处理器新漏洞，能窃取英特尔SGX（Software Guard eXtensions，软件保护扩展）中储存的秘密信息。LVI 与 Meltdown 和 Spectre 等类似，都属于瞬态执行利用，源自于 CPU的一项优化技术“预测执行”。与其它瞬态执行漏洞类似，LVI 只能缓解无法修复。SGX 能在内存中创建一个隔离的环境，使用强加密和硬件层的隔离确保数据和代码的安全，防止被纂改。研究人员演示了他们可以利用 LVI 漏洞窃取 SGX 保护的密钥。受影响的处理器包括了Sandy Bridge家族、Ivy Bridge家族和 Haswell家族等。

5. SMBv3协议漏洞影响Windows 10系统

微软公司发布安全公告，证实在Windows 10操作系统的最新版本中，存在着一个SMBv3网络文件共享协议漏洞。该协议允许计算机上的应用程序读取文件，以及向服务器请求服务。新曝光的严重漏洞可能被攻击者利用，在SMB服务器或客户机上执行远程代码。该漏洞影响1903/1909版本的Windows 10和Windows Server操作系统，攻击者可通过将特制数据包发送到目标SMBv3服务器发动攻击。此次的SMBv3安全漏洞与“永恒之蓝”系统漏洞极为相似，因此，该漏洞也被称为“永恒之黑”。3月12日，微软已发布该漏洞的安全补丁 KB4551762，鉴于该漏洞的潜在危害较大，政企用户应高度重视、谨慎防护，及时安装安全补丁或采取关闭SMBv3协议等防护措施。

(四)   研究报告

1.《网络安全态势感知能力指南》发布

2020年3月19日，数字安全领域第三方调研机构数世咨询发布《网络安全态势感知能力指南》，在业界首次提出能力点阵的概念，从技术创新力与市场执行力两大维度，对国内主流态势感知提供商进行了侧写。报告还对态势感知的市场、技术与应用等层面进行了梳理。

2.《移动办公及业务应用安全保障白皮书》发布

3月13日，中国网络安全产业联盟发布《移动办公及业务应用安全保障白皮书》。白皮书梳理了移动办公及业务应用发展的现状，系统分析了移动办公和业务应用面临的安全风险，结合当前国家和行业的网络安全监管合规要求，提出了面向行业移动业务场景进行安全保障建设的整体思路，从安全技术和安全管理两个维度提供了可参考的控制措施体系设计，并介绍了主要安全技术，最后对移动办公及业务应用安全发展趋势做出了预测。

3. 《2020数字医疗：疫情防控期间网络安全风险研究报告》发布

报告基于中国信通院安全研究所产业互联网安全实验室的技术能力，针对医疗领域相关的数字资产，从公共互联网安全、移动App安全、新型医疗设备和网络攻击态势等角度，解析了疫情防控期间数字医疗领域所面临的网络安全风险，研究了网络安全风险变化趋势，并从健全标准体系、完善平台机制、培养人员意识、建设安全能力等不同维度提出了工作思路与建议。

4. 《IT/OT一体化工业信息安全态势报告》：勒索病毒仍是最大威胁

近日，工业控制系统安全国家地方联合工程实验室发布了《IT/OT一体化工业信息安全态势报告》。报告显示，在2019年工业应急响应安全事件中，病毒攻击仍然是工业企业遭受失陷的主要原因，其中，病毒多为“永恒之蓝”蠕虫变种、挖矿蠕虫。

5. 《全球高级持续性威胁（APT）2019年研究报告》发布

2020年3月，腾讯安全威胁情报中心发布了《全球高级持续性威胁（APT）2019年研究报告》，报告分析了2019年度APT攻击威胁与攻击形式并预测了2020年的威胁趋势，认为中国依然是APT攻击的主要受害国，网络攻击与地域政治局势有紧密的关联，0day漏洞依然是最有效的攻击工具。2019年全球安全厂商披露了APT攻击500余起，大部分APT组织具有深厚的政府背景，国内政府机构、央企、科研单位和高校为APT攻击的重灾区。报告预测在2020年，APT攻击会针对关系民生的能源，电信等基础行业与设施；随5G技术的普及和物联网的快速发展，扩大了APT的攻击面，容易被攻击者获取声音、视频等敏感信息。

二、 中国评测资讯

1. 中国评测面向湖北地区提供29项免费服务

为贯彻落实党中央、国务院关于疫情防控工作的总体部署，响应工业和信息化部战疫情、复生产、稳增长的战略方针，在中国电子信息产业发展研究院（赛迪研究院）各级领导的大力支持下，中国评测为支持湖北地区疫情防控和复工复产紧急部署召开“驰援武汉”主题会议，决议向湖北地区免费提供29项服务。其中软件产品登记测试、信创产品应用推广平台、网络安全培训、电子招投标系统（EBS)认证、移动互联网医疗应用安全风险监控服务、信息技术服务工具产品（ITSS）注册测试等服务被湖北省经济和信息化厅列为第三批免费云产品和服务目录。

2. 中国评测网安中心开讲“安全无小事”云课堂

为贯彻工信部“摸清企业情况、突出工作重点、突出精准帮扶政策”的指导方针，响应赛迪研究院“驰援武汉、复工复产”的工作部署，进一步落实中国评测面向湖北地区提供29项免费服务的决议，中国评测网安中心面向湖北地区乃至全国企事业单位持续推出以“安全无小事”为主题的“免费云课堂”。目前已开讲三期，内容包括网络安全政策、云计算和大数据行业网络安全、电信和互联网行业网络安全，3月25日第四期《关键信息基础设施安全保护和云安全评估解读》开讲。云课堂吸引了武汉地区多家信息科技企业参与，各参训企业表示培训活动准备充分，讲解详实，对做好网络安全工作起到了很好的指导作用。

END

文字 / 王涛、 般若

配图 / 般若

编辑 / 般若