普普安全资讯一周概览（0910-0916）

作者：

时间：
2022-09-16

1、跨平台攻击何以威胁网络安全


目前，一种新的攻击技术和策略开始受到网络黑产分子的青睐——实现跨平台攻击。什么是跨平台攻击？举例，比方网络诈骗犯为了避开电子商务平台的监控可能会在微博上发消息，在百度上撒网，腾讯上联系，最后在淘宝上交易。因此这样的跨平台操作方法会大大添加犯罪的过程监控和取证难度。跨平台攻击不仅能够影响到原本的受害者、就连受害者的其他移动设备，甚至是所连接的网络或者网络中其他的系统都会被攻陷。

最早实现跨平台攻击功能的勒索软件组织是RedAlert和Monster，他们可以针对目标的多个操作系统和环境实施该攻击。

跨平台攻击的攻击者只需编写一次特定的程序功能，就可以使用生成的代码编写针对多个目标的攻击脚本，这种攻击不仅能阻碍分析，还可以针对特定受害者环境定制攻击。攻击者可以使用命令行自定义攻击，例如，在针对特定类型的客户端虚拟机时，允许代码在ESXi环境中运行。这也让安全专家检测和预防勒索软件攻击变得更加困难。

普普点评

未来可能会有越来越多的跨平台的威胁出现。黑产会将移动设备作为恶意软件的载体用来攻击企业或政府机构，一旦受感染的移动设备连接或同步到申博太阳城官网系统，就能立马从内部散播感染整个网络，窃取申博太阳城官网重要数据。

因此，为防止威胁在不同平台中跳跃，未来不管是工作还是家庭环境的设备都应该进行安全优化，并且要对相关人员定期进行安全培训，防止跨平台攻击的实现。




2、如何将零信任炒作与现实区分开来


零信任并不是一种产品，而是一种基于深度防御和最低特权访问概念的安全方法。

在零信任及其实施方面，似乎每个人都在玩“猜迷游戏”，并且是从政府指导开始。美国政府在今年1月对美国管理和预算办公室(OMB)针对联邦机构和部门的联邦零信任战略的评论既务实又充满抱负。他们的观察以Log4j漏洞为例，很好地总结了这一点：“零信任策略将使机构和组织能够更快地检测、隔离和响应这些类型的威胁。”

然而，要使零信任战略取得成功，实施者必须了解它是什么以及它所依据的基本原则。

在关于零信任主题的研讨中，Trellix申博太阳城官网首席工程师兼漏洞研究主管Douglas McKee在Black Hat会议上指出，现实情况是“深度防御”和“最低特权访问原则””是流行术语“零信任”背后的基本要素。

正如Code42申博太阳城官网首席执行官Joe Payne所说：“让员工能够以受信任的方式完成工作，并在企业的保护伞下，这样如果他们冒险离开企业的流程和程序，例如加载到基于Web的存储，他们就会立即得到纠正。”

普普点评

健康且持续的遵守使每个人都保持警觉，并专注于如何访问、移动和存储信息。这种思维方式需要从企业高管到个人贡献者都接受，因为安全实施可能得到首席信息安全官及其信息安全专家团队的支持，因此在运营和生产中发挥了重要作用。



3、网络不安全，人工智能何以解？


如今，网络攻击已经变得十分广泛且普遍，不断是对于企业还是个人而言，都难以避免层出不穷的网络攻击。网络攻击的目标则是访问、更改或删除数据，甚至出现敲诈勒索和中断正常服务等现象。人们已经明显感受到网络攻击的影响，并且有报道称，这些攻击只会变得更恶劣，甚至可能对全球经济造成破坏。

在这样的情况下，网络安全也日益受到人们的重视，对许多企业而言，网络安全正在成为一种生存机制，而不再是可有可无的选项。不过，实施有效的网络安全措施尤其具有挑战性，因为设备的数量比人还要多，而攻击者也变得更具创新性。为了对抗一直呈上升趋势的网络攻击，机器学习被予以了重任。

网络安全的“不安全”最直接就表现在数据泄露和各类网络攻击上。在网络时代，确保国家信息安全，对于国家政治安全的重要性空前增强。

普普点评

网络安全是数字化时代不可避免的难题，但也并非无解。基于人工智能技术所构建的网络安全系统就能够对网络安全漏洞进行及时的检测，并规模化、高速度地对网络安全威胁做出应对，进而能够有效提升网络安全系统的防护能力。



4、零信任对 Kubernetes 意味着什么


零信任是一种被大量炒作的安全模型，但尽管存在营销噪音，但它对于具有安全意识的组织具有一些具体而直接的价值。

零信任的核心是，将授权从“在边界验证一次”转变为“随时随地验证”。

为此，零信任要求我们重新思考身份的概念，并摆脱基于位置的身份，例如 IP 地址。

Kubernetes 采用者在网络层实现零信任时具有明显的优势，这要归功于基于 Sidecar 的服务网格，它提供无需更改应用程序就可实现的最细粒度的身份验证和授权。

虽然服务网格可以提供帮助，但 Kubernetes 安全性仍然是一个复杂而微妙的话题，需要从多个层次进行了解。

零信任是一种位于现代安全实践前沿的强大的安全模型。这也是一个容易引起轰动和炒作的术语，因此很难消除噪音。那么，究竟什么是零信任，对于 Kubernetes，它究竟意味着什么？在本文中，我们将从工程的角度探讨什么是零信任，并构建一个基本框架来理解它对 Kubernetes 运维和安全团队等的影响。

普普点评

零信任是一种强大的安全模型，处于现代安全实践的前沿。如果可以消除围绕它的营销噪音，那么采用零信任有一些深刻而重要的好处。虽然零信任需要对身份等核心理念进行一些根本性的改变，但如果 Kubernetes 用户能够采用服务网格并从纯粹基于边界的网络安全转变为“对每个用户、设备、应用程序和交易的持续验证”，那么他们至少有很大的优势。



5、筑牢网络安全坚实屏障


泄密溯源技术、大数据反诈系统、量子加密技术……在2022年国家网络安全宣传周网络安全博览会中，诸多网络安全新技术、新应用亮相，各种沉浸式的科普互动也让观众目不暇接。

当前，我国网民规模达10.51亿，互联网普及率高达74.4%，互联网早已全面融入社会生活各方面，成为支撑社会正常运行不可或缺的基础设施。网络安全一旦遭到破坏，哪怕是某一局部范围内的安全功能丧失，都会使社会生活直接受到影响。

网络安全意味着互联网络、网络空间和网络生活免受攻击、破坏、危险、事故等干扰或威胁，能够在有效的防范防护下，维持其稳固存在和正常运行。构筑网络安全的坚实屏障，是建设美好网络家园，享有安定有序、文明向善的网络生活的必要前提。近年来，我国网络安全工作各领域的成功实践，深刻揭示出网络安全保障的三大“密码”：强化网络安全意识、完善网络安全体系和落实网络安全责任。

普普点评

构建网络安全的坚固屏障，营造绿色健康的网络环境，既要争朝夕之功，也要谋长远之策、行固本之举。压实维护网络安全的主体责任，激发起全民参与网络安全的主动性，形成网络安全的澎湃人民力量，才能筑牢网络安全防线，让网络空间更加清朗起来，切实提升广大人民群众在网络空间的获得感、幸福感、安全感。



6、如何保障物联网安全


物联网解决了许多领域的关键问题，从生产到健康，从运输到物流。然而，物联网网络日益增加的安全风险要求在利用连接设备时需要保持谨慎。

互联的物联网对象不是相同的设备、对象或服务。每个对象都有不同的用途、接口、操作机制和底层技术。鉴于这种多样性，对所有对象应用单一的安全结构和方法不足以提供物联网所需的安全。物联网安全计划通过预防性方法保护通过网络连接的物联网设备，旨在防止对其进行大规模网络攻击。与任何其他计算设备一样，物联网设备是黑客攻破申博太阳城官网网络的潜在切入点。因此，需要强有力的安全措施来保护它们。

如今，物联网的范围已经扩大到包括传统的工业机器，使它们具备与网络连接和通信的能力。您可以看到，物联网技术现在被用于医疗设备或各种目的，如教育、制造、业务开发和通信。越来越多的用例使得物联网网络的安全性比以往任何时候都更加重要。61%的企业物联网网络和战略呈现出高度成熟的状态。

普普点评

企业可以采取一些主要措施来确保其物联网网络的安全。其中包括在物联网设备上使用授权的软件，以及在收集或发送数据之前对网络上的物联网设备进行认证。由于它们的计算能力和内存有限，因此有必要设置防火墙来过滤发送到物联网端点的数据包。



7、关于数据安全的刑法保护


当前数据安全犯罪中的数据已远远超出“计算机信息系统”的技术性范畴，从其自身的物理层面上讲具有内在的以“云计算”为核心的技术优势和以“网络经济”为平台的经济效应和财富价值，从公众的价值需求上讲，包含公众对数据储存状态及其内容的信赖感，这种信赖感关乎个人信息、关乎社会秩序、关乎国家安全。因此，数据安全法益符合法益内涵，应被赋予独立法益价值进行评价。

现行刑法中，涉及数据安全法益保护的条文仅有第二百八十五条第2款和第二百八十六第2款，在当前的刑法体系中事实上形成了“重信息网络，弱数据安全”的差序格局，数据安全类犯罪依附于计算机信息系统犯罪。数据安全法益的出现引发了立法时未预料到的情况，是以扩张性解释来使现行关于计算机信息系统犯罪涵摄侵犯数据安全法益的相关犯罪行为还是针对新法益进行刑事立法予以规制，是数据安全法益保护需要研究的问题。

普普点评

当前，我国刑法对于数据安全犯罪的规制仍受制于传统计算机信息系统安全法益，数据安全犯罪仍处于传统计算机犯罪体系保护之下，在这一保护模式下，对数据安全犯罪的规制既与数据犯罪的技术实质不吻合，又难以与数据保护的社会利用需求相协调。