11月7日，欧盟网络安全局（ENISA）宣布制定技术指南，以协助欧盟成员国和相关实体实施《网络与信息系统安全指令》（NIS2）中规定的网络安全风险管理措施的技术和方法要求。NIS2是一项新的欧盟网络安全立法，旨在提升整个欧洲的网络安全水平，特别是增强关键行业的韧性。ENISA制定的技术指南包括非约束性建议、证据示例和提示，适用于DNS服务提供商、云计算服务提供商等多个子行业领域。此外，指南还提供了一个映射表，将要求与欧洲和国际标准或框架相关联，从而帮助实体整合多个标准或框架，保持合规性。ENISA还强调了建立风险管理框架、事件处理政策、业务连续性和灾难恢复计划的重要性，并涉及供应链安全和人力资源安全等方面。目前，该文件开放业界咨询，并征求反馈。

11月4日，美联邦首席数据官（CDO）与联邦首席信息安全官（CISO）联合发布《使用零信任框架实施数据安全》指南。该指南遵循“永不信任，始终验证”原则，具体包括定义数据、保护数据和管理数据三个部分。指南旨通过专注于“保护数据本身，而非保护数据的边界”来加强数据保护，从而帮助各联邦机构实施零信任安全架构。指南汇集来自30多个联邦机构的数据和安全专家的意见，提供了详细的零信任原则和五步安全路线图，强调数据分类、风险识别和管理的重要性。指南还特别提到与数据相关的风险，特别是可能损害美国国家安全和经济利益的网络安全威胁、存储故障和数据传输问题。此外，它还建议强化跨职能协作、定期评估与持续学习，以支持安全团队和数据团队的合作。这份指南发布在白宫要求各联邦机构提交零信任实施计划的截止日期前，显示了联邦政府在数据安全方面的积极行动。

11月4日，德国联邦司法部起草了一项新法律，旨在为负责发现并向供应商报告安全漏洞的安全研究人员提供法律保护。根据该草案，如果安全研究活动符合特定标准，研究人员将免受刑事责任和起诉风险。草案明确规定，只要研究人员的行为符合特定条件，如识别并报告安全漏洞、确保行动必要且不超范围访问系统，就不会被视为未经授权的违法行为，从而免除刑事责任。此外，草案还提出了针对严重数据间谍行为和数据拦截行为实施更严厉的惩罚措施，尤其是针对关键基础设施的攻击。目前，该草案已送交各联邦州和相关协会审议，征求意见的截止日期为2024年12月13日。之后，它将被提交至联邦议会进一步讨论。

11月7日，美国运输安全管理局（TSA）发布了一项拟议规则制定通知，计划对地面交通和关键基础设施领域的业主和运营商提出网络安全要求，以增强其网络安全管理和事件报告能力。这一拟议规则基于2021年安全指令和国家标准与技术研究院（NIST）的网络安全框架，旨在要求铁路、管道及高风险客运运营商制定全面的网络风险管理计划，建立监控和报告机制，并与网络安全和基础设施安全局（CISA）共享网络安全事件信息。该规则要求相关实体指定网络安全协调员、定期评估安全状况，并设立响应计划，确保系统在遭到攻击后快速恢复。TSA局长大卫·佩科斯克（David Pekoske）表示，此次规则旨在加强与行业的合作，为地面交通系统建立强大的网络安全防线。TSA欢迎各方在2025年2月5日之前提交反馈意见，以确保规则的适用性和可操作性。

11月4日，日本政府计划实施的网络安全法案因首相更换和执政党选举失利而陷入停滞，预计无法在今年年底前推出。该法案旨在实施“主动网络防御”策略，包括监控和预防对政府机构和关键基础设施的网络攻击，甚至包括在必要时干扰攻击者服务器。然而，该法案引发了对通信隐私权可能被侵犯的担忧。前首相岸田文雄宣布不参加自民党党魁竞选后，法案讨论被暂停。新首相石破茂面临争取反对派支持以通过法律的挑战，同时自民党内部对网络防御的支持也有所削弱。政府官员表示，政府可能要等到明年的下一次议会例会才能重新讨论这个问题。

11月7日，Anthropic公司与帕兰提尔（Palantir）及亚马逊网络服务（AWS）达成合作，将Claude 3和3.5系列人工智能模型引入AWS，为美国情报和国防机构提供服务。此次合作使Claude模型能在Palantir的人工智能平台内使用，借助AWS的安全、敏捷等优势，处理国家安全关键数据。Claude模型能高速处理复杂数据、识别数据模式和趋势，并简化文档审查过程，从而提高情报分析的效率和准确性。此次合作旨在推动政府运营的数字化转型，加快数据处理速度，增强数据驱动的洞察力，并帮助美国官员在时间紧迫的情况下做出更明智的决策。

11月6日，美国军方和国家安全官员正在测试新的大语言模型Defense Llama。该模型由Scale AI公司基于Meta公司的Llama 3大语言模型配置和微调，以满足其在战斗规划和情报行动等特殊任务中的生成式人工智能需求。Defense Llama模型经过特别训练，能够理解军事学说、国际人道法以及与美国国防部武装冲突规则和人工智能伦理原则相符的相关政策。该模型旨在减少总部人员处理数据的工作量，让决策者能够更快地访问更多数据并做出决策。

11月4日，Meta公司宣布允许美政府和国防承包商将其人工智能模型Llama用于军事用途，此举打破了该公司此前禁止人工智能技术涉军事应用的政策。Meta表示将与洛克希德·马丁、Palantir等国防承包商合作，为美国和“五眼联盟”提供支持。Llama作为一款开源模型，可供全球开发者复制和分发；但Meta特别为美国国防用途开绿灯，并强调该技术将被“负责任且合乎道德”地使用。Meta全球事务总裁尼克·克莱格（Nick Clegg）称，人工智能开源有利于美国的国家安全和经济发展。尽管有研究指出，人工智能在军事情报中存在数据偏见和隐私风险，但Meta认为开放人工智能将加速国防创新，例如提升数据分析能力、改进反恐怖融资追踪和增强网络防御等。目前，美国军方在生成式人工智能应用上进展有限，而Meta的最新策略旨在扩大其在公共部门的影响力，并加强其与美国政府的合作关系。

11月1日，美国Meta公司公布了其旗下基础人工智能研究团队（FAIR）对机器人触觉感知能力的研究成果。这项研究旨在使机器人通过触觉方式进一步理解和操作外界物体。Meta表示，打造相应人工智能机器人的核心在于让机器人的传感器感知理解物理世界，同时利用“人工智能大脑”精确控制机器人对物理世界做出反应。目前，该团队开发的机器人触觉感知能力主要专注于让机器人检测与之交互物体的材质和触感，从而帮助人工智能判断机器人应当如何操作这些设备。

11月4日，美谷歌公司宣布，其基于人工智能的漏洞分析工具Big Sleep成功检测到了第一个实际存在的安全漏洞。该工具能够模拟人类安全专家，系统性地发现和分析安全漏洞。Big Sleep最初源于谷歌的“Project Naptime”项目，该项目旨在评估大语言模型（LLM）在漏洞研究中的应用潜力。与传统的模糊测试相比，Big Sleep通过模拟人类的漏洞分析流程，展示了人工智能在发现高级安全漏洞方面的潜力。这一突破表明，人工智能可能在未来的安全研究中成为重要工具，尤其是在特定漏洞检测和多步骤漏洞利用方面。

11月5日，美国知名军工半导体厂商微芯科技（Microchip）发布最新财报披露，因近期网络安全事件，公司已产生2140万美元（约合1.53亿元人民币）的相关费用。此次安全事件于8月首次曝光，当时微芯科技发现，其网络系统中出现了可疑活动，并导致公司部分制造设施的生产中断。大约一周后，勒索软件团伙Play宣称对此次攻击负责，并表示已窃取了数几GB的数据。随后，该团伙发布了据称从微芯科技窃取的文件，称该公司拒绝支付赎金。黑客公布了一个4GB大小的压缩文件，声称其中包含微芯科技的内部数据。这些数据包括个人信息、客户文件以及与预算、工资、会计、合同、税务和财务等相关的文件。

11月5日，施耐德电气披露了其在过去18个月内遭遇的第三次网络攻击。此次攻击由HellCat勒索软件团伙发起，攻击者声称窃取了超过40GB的数据，包括项目、问题、插件和40万行用户数据，并要求支付12.5万美元的赎金（以门罗币支付）。施耐德电气表示，尽管遭受攻击，但其产品和服务均未受影响，且其全球事件响应团队已立即采取行动。此次攻击发生在新任首席执行官奥利维尔·布鲁姆上任之际。此前，施耐德电气在2023年6月和2024年1月也曾遭遇Cl0p和Cactus勒索软件的攻击。HellCat团伙通过施耐德的Atlassian Jira系统访问了公司基础设施，并威胁公开敏感客户和运营数据。此次事件成为施耐德电气在不到两年内的第三次数据泄露事故。

11月5日，全球范围内的Synergia II行动成功关闭了超过22,000个与网络钓鱼、信息窃取和勒索软件攻击相关的IP地址。此次行动由国际刑警组织的95个成员国联合多个私营部门合作伙伴参与，旨在应对日益严峻的跨国网络犯罪威胁。行动期间，执法机构分析了约30,000个可疑IP地址，关闭了76%的目标IP，并查封了59台服务器。此次行动不仅涉及网络追踪，还包括住宅搜查和电子设备的没收。国际刑警组织表示，Synergia II行动是对日益增长的全球网络钓鱼、信息窃取和勒索软件攻击以及不断升级的跨国网络犯罪的回应。

11月8日，俄罗斯互联网监管机构Roskomnadzor封锁了数千个使用美国公司Cloudflare提供的“加密客户端问候”（ECH）功能的网站。该功能旨在提高用户隐私和安全性，使第三方更难追踪用户访问情况。Roskomnadzor指责ECH技术可绕过政府的信息获取限制，违反俄罗斯法律，并建议网站转用本地CDN服务。此举是俄罗斯加强信息审查的最新行动之一。目前，Cloudflare在俄罗斯市场的占有率约为44%，这项举措将对用户获取信息造成进一步影响。尽管Cloudflare在俄乌冲突期间继续服务俄罗斯用户，声称其需要更多的互联网接入以满足需求，但部分公司因制裁终止服务。

11月4日，跨国电信巨头诺基亚正调查一起数据泄露事件。黑客IntelBroker声称已获得诺基亚及其第三方承包商的内部敏感信息，并在网络犯罪论坛BreachForums上出售。泄露的数据包括源代码、SSH密钥、RSA密钥等。黑客声称通过默认凭证访问了第三方供应商的SonarQube服务器，并下载了包括诺基亚在内的客户Python项目。诺基亚表示正在调查，但尚未发现任何系统或数据受影响的证据。如果此次数据泄露得到证实，则可能影响诺基亚与印度电信提供商Vodafone Idea Limited相关的4G/5G产品数据。此外，诺基亚的多项业务可能受到波及，包括其企业客户群体，例如私有无线网络用户、工业自动化客户、云计算和数据解决方案客户等。

11月7日，澳大利亚内政部（DHA）与澳大利亚储备银行（RBA）签署谅解备忘录（MoU），旨在加强关键基础设施的安全，特别是支付系统的安全性。该协议正式确立了双方在监管《2018年关键基础设施安全法案》下有义务的实体方面的合作，以期提高透明度、避免重复工作，并减轻相关实体的监管负担。根据该协议，DHA与RBA将就关键支付系统资产的重要问题相互咨询，并共享相关信息，从而促进这些资产的有效风险管理。此外，RBA将接收并审查关于关键支付系统的年度报告，确保采取统一的方法进行风险管理。DHA的网络和基础设施安全中心（CISC）负责推动全面的风险管理制度，通过与政府和行业合作，协助关键基础设施所有者和运营商管理风险。

11月5日，澳大利亚网络和基础设施安全中心（CISC）宣布，将新增46个关键基础设施资产为国家重要系统，此举旨在进一步提升澳大利亚的网络韧性。截至目前，被列为国家重要系统的基础设施总数已超过200个，涵盖能源、通信、交通等多个领域。政府要求这些资产的所有者和运营者履行一系列网络安全义务，包括制定事件响应计划、开展安全演习、评估和修复漏洞，并向澳大利亚信号局报告相关信息。这些措施旨在加强国家安全，保护澳大利亚民众免受网络攻击的威胁。

11月5日，美国家标准与技术研究院（NIST）发布NIST SP 800-161r1-upd1文件，即《网络安全供应链风险管理指南》（C-SCRM），此次更新旨在帮助识别、评估和缓解跨组织层面的供应链网络安全风险。该文件强调了C-SCRM的重要性，提供了制定C-SCRM战略实施计划、政策和计划的指导，以及产品和服务的风险评估。文件还强调企业需要制定有效沟通机制，持续监控供应链网络安全控制和实践的有效性，并与同行交流C-SCRM见解，以便不断评估和改进其C-SCRM计划。

11月6日，英国与韩国举行第四届网络对话，由英国外交部网络主任Andrew Whittaker和韩国外交部国际网络事务大使Rhee Dong-yeol共同主持，约50名来自两国网络安全相关部门的官员参与了此次会议。双方同意进一步加强网络安全合作，对话议程包括：网络威胁的威慑战略；私营企业在网络安全方面合作；打击有组织网络犯罪和勒索；解决商业网络入侵能力扩散问题；网络技能培训。双方同意加强合作，共同应对国家支持的恶意网络活动，包括加密货币盗窃和技术支持核武器开发。

11月7日消息，美国谷歌公司计划在沙特建人工智能中心，旨在支持阿拉伯语人工智能模型和“沙特特定人工智能应用”的研究。尽管谷歌和沙特公共投资基金都没有透露“针对沙特的人工智能应用”具体细节，但考虑到化石燃料在沙特经济中的核心地位，可以推测从数据中心运行的人工智能算法可能会被应用于石油和天然气生产领域。谷歌在2020年表示，将停止开发用于石油和天然气生产的算法，并在2021年承诺到本世界末将碳排放量减少一半。

11月9日，美国网络安全与基础设施安全局（CISA）高级技术顾问Jack Cable表示，拜登政府推动的安全设计承诺已获得248家公司签署，其中包括微软、谷歌等大型软件公司。这些公司在多因素身份验证（MFA）、安全代码开发等方面取得了显著进展。尽管问责制仍是挑战，但CISA计划与民间社会组织合作，提供独立评估，并建立网站链接以发布公司进度报告。同时，CISA内部也在跟踪进展，并计划发布公开报告，汇总数据和经验教训。例如，亚马逊网络服务（AWS）要求管理员账户使用MFA登录，并增加对FIDO2密钥的支持；Fortinet在入门级设备上启用自动更新功能，并要求云服务用户使用MFA登录；微软发布云服务中严重漏洞的CVE，并要求Azure等云服务用户使用MFA登录；Okta完成了减少默认密码使用等三项目标。这些公司表示，CISA的承诺目标既切实可行又提供了改进空间，推动了软件行业向正确方向发展。

11月6日，美国家标准与技术研究院（NIST）通过其国家网络安全卓越中心（NCCoE）发布了加密模块验证程序（CMVP）的详细介绍，并呼吁各方对该程序提出意见。该验证程序旨在确保加密模块符合《联邦信息处理标准（FIPS）出版物140-3》中对加密模块的安全要求。目前，NCCoE正在进行自动化加密模块验证项目（ACMVP），以提高验证流程的效率和及时性。ACMVP计划利用自动化工具，使组织能够根据FIPS 140-3要求测试其加密产品，并将结果直接报告给NIST。该项目分为三个主要工作流：测试证据（TE）工作流、协议工作流和研究基础设施工作流。每个工作流有不同的侧重点，旨在简化和自动化测试过程。截至目前，该项目已经为CMVP验证所需的测试证据类别进行了分类，并开始开发自动化支持所需的云基础设施。

11月6日，加拿大政府以国家安全风险为由，命令字节跳动旗下的TikTok解散其在该国的业务，但未对该平台实施全面禁令。政府强调，不会阻止加拿大人使用TikTok，也不限制其创建内容的能力，并表示使用社交媒体应用是个人选择。然而，自2023年2月以来，加拿大政府已禁止政府设备使用该应用，并建议公众提高网络安全意识，警惕外国行为者如何管理和使用个人信息。对此，TikTok公司回应称，关闭加拿大办事处将导致数百个本地工作岗位流失，并计划通过法院挑战这一决定。

分享网络安全知识 强化网络安全意识

欢迎关注《中国信息安全》杂志官方抖音号

《中国信息安全》杂志倾力推荐

“企业成长计划”