全球瞭望｜网络安全重大事件精选（146期）

　　网安标委发布《网络安全标准实践指南——粤港澳大湾区（内地、香港）个人隐私信息跨境处理保护要求》

　　11月18日消息，工业与信息化部网络安全威胁和漏洞信息共享平台（CSTIS）发布重要风险提示，提醒广大新老用户和网络运营者高度警惕一种名为SteelFox的新型恶意软件。据监测，SteelFox恶意软件利用合法软件的激活工具进行伪装，利用互联网钓鱼、恶意邮件等多种途径传播，能够窃取用户敏感信息、破坏系统正常运行，甚至有可能被用于发起更大规模的网络攻击。工信部强调，各用户和网络运营者应立即采取行动，加强系统安全防护，及时来更新和升级安全软件，以防范该恶意软件的入侵。

　　11月19日消息，中国钢铁工业协会、中国有色金属工业协会、中国石油和化学工业联合会等17家行业组织联合发布了《工业和信息化领域数据安全合规指引》。改文件详细规定了数据处理活动中的基础要求、数据分类分级管理、数据安全风险评估、数据安全事件应急处置等内容，并提出了加强数据全生命周期安全管理的具体措施。通过这一些措施，旨在构建一套适应工业和信息化领域特点的数据安全管理体系，提高整个行业的数据安全水平。

　　03《网络安全技术 终端安全监测产品相互连通接口内容和格式》公开征求意见

　　11月20日消息，中国网络安全产业联盟（CCIA）真正开始启动了《网络安全技术 终端安全监测产品相互连通接口内容和格式》技术规范的公开征求意见工作。该技术规范详细定义了终端安全监测产品之间进行信息交换的接口内容和数据格式，确保不一样的品牌、不一样的终端安全监测产品可以在一定程度上完成数据共享和协同工作。其主要内容有但不限于：接口协议的选择与设计、数据交换的标准格式、安全监测信息的分类与编码规则等。

　　04网安标委发布《网络安全标准实践指南——粤港澳大湾区（内地、香港）个人隐私信息跨境处理保护要求》

　　11月21日消息，全国信息安全标准化技术委员会（简称“网安标委”）正式对外发布了《网络安全标准实践指南——粤港澳大湾区（内地、香港）个人隐私信息跨境处理保护要求》。此《实践指南》旨在为粤港澳大湾区内的个人隐私信息处理者提供明确的操作规范，确保个人隐私信息在跨境处理过程中的安全性和合法性。《实践指南》明确规定了个人信息跨境处理过程中应遵循的根本原则和具体保护要求。

　　11日23日消息，国家数据局正式印发了《可信数据空间发展行动计划（2024—2028年）》。该计划明白准确地提出，到2028年，可信数据空间在运营、技术、生态、标准、安全等体系方面将取得突破，建成100个以上可信数据空间，基本建成广泛互联、资源集聚、生态繁荣、价值共创、治理有序的可信数据空间网络。这将明显提升各领域数据开发开放和流通使用水平，初步形成与我们国家的经济社会持续健康发展水平相适应的数据生态体系。

　　近日，一个越南语黑客组织正利用一种名为PXA Stealer的新型Python恶意软件，对欧洲与亚洲的政府机构及教育学习管理机关发动信息窃取攻击。这款恶意软件具备高度危害性，能够窃取包括在线账户登录信息、VPN及FTP客户端数据、财务详情、浏览器cookie以及游戏数据在内的多种敏感信息，并且有能力解密浏览器的主密码，从而进一步盗取存储的各类凭证。PXA Stealer的传播路径始于精心设计的网络钓鱼邮件，这些邮件中嵌入了Rust加载器以及作为诱饵的PDF文件，其目的是巧妙规避防病毒软件的检测，并顺利部署窃取程序。尤为需要我们来关注的是，该软件对窃取Facebook的cookie表现出了极高的兴趣，意图通过这一途径收集用户的账户信息及广告相关数据。

　　近日，美国国土安全部（DHS）近期发布了名为《关键基础设施中人工智能的角色和责任框架》的指南，该指南由DHS的人工智能安全和安保委员会精心制定。该指南的核心目的是为关键基础设施中人工智能（AI）的安全开发与部署提供明确指导。该指南内容着重强调了AI在强化关键基础设施的坚韧性和弹性方面所具备的巨大潜力，并同时指出，在部署AI技术时，必须严格保护公民的权利与自由。为实现这一目标，该框架旨在促进各方之间的协调合作，推动实施严格的安全与安保措施，改善关键服务的提供质量，增强不同实体间的信任与透明度，并大力推动AI安全与安保领域的相关研究。

　　近日，韩国ICTK公司凭借创新的硬件安全技术崭露头角，成功将全球首创的物理不可克隆功能（PUF）技术推向市场。该公司自主研发的VIA PUF技术，已被广泛认可为最让人信服的身份认证方案，服务于众多企业及全球科学技术领军者，为其提供搭载此技术的安全芯片。ICTK推崇采用其基于硬件的PUF技术安全芯片，这些芯片在半导体生产的全部过程中即被赋予独一无二的ID，犹如个体的指纹或虹膜般不可复制，确保了极高的防伪与防篡改能力。这一核心特性为实施零信任原则的身份验证提供了理想解决方案。

　　近日，由美国陆军网络司令部研发的人工智能网络监控工具——“全景交汇”（Panoptic Junction），现已携手美国网络司令部，共同步入为期一年的试点运行阶段。此工具凭借人工智能技术，能够接入“体系任务保障支持服务”（EMASS）及威胁情报资源，进而精准评估特定网络环境下的风险等级，并自动分析事件日志，迅速识别出潜在的恶意活动。“全景交汇”的引入，明显地增强了美军在互联网空间识别风险、洞察对手动态的能力，同时，也极大地提升了网络运营与维护的工作效率。这一创新举措，标志着美军在推进数字化、安全化转型的道路上迈出了坚实而重要的一步。

　　近日，美国微软公司与Atom Computing公司携手取得了一项重要突破，成功利用高性能计算技术操控了24个逻辑量子位，为容错量子计算的发展奠定了坚实的基础。这一成就得益于双方技术的深层次地融合：Atom公司提供的中性原子硬件与微软公司研发的量子位虚拟化软件相得益彰，共同促成了24个量子位纠缠态的创建。该技术采用中性原子作为计算载体，由于其不带电荷的特性，有效减轻了量子计算中常见的噪声干扰问题。此外，该技术还实现了计算错误的实时检测与纠正，逐步提升了量子计算的准确性和稳定性。

　　近日，美国宾夕法尼亚大学的研究团队在针对大型语言模型（LLM）控制机器人的安全评估中，发现一项重大安全漏洞。研究者通过设计虚构的任务场景，成功使得Unitree公司的Go2机器人（内置GPT-3.5技术）、英伟达公司的Dolphins无人驾驶系统，以及Clearpath Robotics的Jackal UGV执行了非预期的、可能带来难以处理的后果的动作，例如模拟引爆装置的行为。这一系列测试揭示，虽然大型语言模型为机器人提供了极为灵活的语音控制功能，但同时也为攻击者开辟了通过“越狱”指令非法控制机器人的新途径。

　　近日，美国国防部宣布了一项新计划：将于2025年夏季发布关于OT的零信任新指南。此举旨在加速推进国防部“2027财年前在整个部门全方面实施零信任架构”的战略目标，确保所有国防部机构均能达到91项“目标级”零信任能力标准。此前，美国国防部的零信任工作大多分布在在信息技术领域，但近期已将关注范围扩展至OT领域，以应对日益严峻的安全挑战。有必要注意一下的是，美国海军的云服务Flank Speed已率先达到这一高标准，完全具备了全部91项“目标级”零信任能力，成为首个全面符合美国国防部零信任目标的军用服务，为其他部门树立了典范。

　　近日，美国AeroVironment公司隆重发布了其无人机通信安全软件的升级版——Project GOLD，旨在为Puma™ 3 AE与Puma™ LE系列无人机在纷繁复杂的战场环境中注入更强效能。此创新软件专为应对全球卫星导航系统（GNSS）及通信信号不稳定、缺失或遭受干扰的挑战而设计，确保无人机在此类极端条件下仍能保持卓越的导航精度与任务执行能力。Project GOLD的核心价值在于，它赋予了无人机在GPS信号不可用的情况下，依然能够依托高级的定位、导航与授时解决方案，结合先进的视觉导航系统，以及强化后的安全无线电通信能力，同时提升了载荷效率。尤为值得一提的是，该软件展现出了高度的灵活性与兼容性，其升级不受限于特定硬件配置，无论是现有系统还是未来新部署的系统，均可通过简单的软件更新就可以获得这些强大的新功能。

　　近日，美国政府问责局（GAO）发出警告，指出由于缺少一个统一的监督管理的机构来引领方向，联邦政府在向后量子密码学的转型过程中面临失败的风险。GAO精确指出，白宫下属的国家网络总监办公室（ONCD）是担当此重任、制定国家层面量子计算网络安全战略的理想选择。GAO强调，随着未来量子计算机的潜在出现，现有的密码学体系将面临被破解的严重威胁，进而危及联邦政府机构与关键基础设施的安全。尽管政府已经发布了若干指导性文件，但在具体实施策略及明确责任归属方面仍存在非常明显空白。GAO进一步强调，由ONCD主导制定的战略应当全面涵盖问题的清晰界定、详尽的风险评估流程、明确的目标设定以及可量化的绩效衡量标准。

　　近日，美国国防部长正式对外发布了首份针对东南亚地区的愿景声明，旨在进一步深化与东南亚各盟友之间的合作伙伴关系，并加速推进区域现代化的步伐。此声明着重强调了以尖端军事技术为核心的联合行动计划，旨在全方面提升各成员国单独及集体的防御能力，尤其是在网络安全这一新兴且至关重要的领域。迄今为止，美国已向东盟成员国提供了累计超过170亿美元的军事援助，同时，每年成功举办多达40次双边及多边军事演习，不断加深区域安全合作。未来，美国将致力于促进合作伙伴国防工业基础的强化，尤其是在增强对地区安全态势的感知能力建设。