美国网络安全和基础设施安全局勒索软件预警计划将于今年启动

美国网络安全和基础设施安全局勒索软件预警计划将于今年启动美国国土安全部下属的网络安全和基础设施安全局(CISA)正在推出一项计划，向企业发出潜在勒索软件攻击预警。该计划目前正在试点运行，并将于2024年底全面投入运营。约有7,000个企业已报名参加试点。自2023年1月启动试点以来，CISA迄今为止已发出2,049条预警。CISA局长珍•伊斯特利说：“预警试点项目重点是通过使用我们的漏洞扫描工具，让企业了解其是否存在需要修补的漏洞，从而降低勒索软件的流行程度。”要获取预警，企业需要注册CISA的网络卫生扫描工具。该工具“通过对公共静态IPv4进行持续扫描来评估外部网络的存在情况，以查找可访问的服务和漏洞。该服务提供每周漏洞报告和临时警报。”——

美国网络和基础设施安全局（CISA）对被拼多多应用利用的一个 Android 高危漏洞发出警告

美国网络和基础设施安全局（CISA）对被拼多多应用利用的一个Android高危漏洞发出警告编号为CVE-2023-20963的AndroidFramework漏洞允许攻击者在不需要任何用户互动的情况下在未打补丁的Android设备上提权。Google在三月初释出了补丁修复了漏洞，表示该漏洞正被用于针对性的利用。3月21日Google从其应用商店下架了拼多多应用。（Solidot）https://www.cisa.gov/known-exploited-vulnerabilities-catalog

美国网络安全机构称俄罗斯黑客利用微软权限窃取政府电子邮件

美国网络安全机构称俄罗斯黑客利用微软权限窃取政府电子邮件美国网络安全和基础设施安全局（CISA）近日发布的一份紧急指令显示，俄罗斯政府支持的黑客利用他们对微软电子邮件系统的访问权限，窃取美国官员与微软公司之间的通信。在这份日期为4月2日的指令中，美国网络安全和基础设施安全局警告说，这对各机构构成了严重且不可接受的风险。此紧急指令要求各机构分析窃取的电子邮件内容、重置被盗凭据，并采取额外措施确保帐户的身份验证工具安全。

中方称将采措施防范危害中国关键基础设施安全网络攻击

中方称将采措施防范危害中国关键基础设施安全网络攻击在北京，外交部发言人毛宁在例行记者会回应提问时表示，美国国家安全局，也就是美国网军司令部去年宣布，他国的关键基础设施是美国网络攻击的合法目标，这种不负责任的政策将全球关键基础设施置于巨大风险之中，制造网络领域北溪事件的可能性明显上升。毛宁又说，去年以来，中国的网络安全机构陆续发布报告，揭露了美国政府长期以来对中国关键基础设施实施网络攻击的情况，中方将继续采取必要措施，防范和制止各类危害中国关键基础设施安全的网络攻击。2023-05-2616:28:21

天极智库美国国家安全局（NSA）联合多部门发布《面向供应商的软件供应链安全指南》

美国国家安全局（NSA）联合多部门发布《面向供应商的软件供应链安全指南》近日，美国国家安全局（NSA），NSA、网络安全和基础设施安全局（CISA）和国家情报总监办公室（ODNI）了《供应商软件供应链指南》，以解决国家关键基础设施面临的威胁。NSA认为网络攻击的目标是企业利用网络空间来侵入、禁用、或恶意控制计算环境或基础设施，破坏数据的完整性或窃取受控信息。NSA在通告中指出：软件供应链周期容易受到攻击，并面临潜在损害的风险。软件供应商可以在本次指南中获得指导，通过软件安全检查、保护软件、生产安全良好的软件等措施保护组织免遭损失。NSA在通告中指出，该指南是对SolarWinds攻击事件调查结果的反馈。据悉，NSA、CISA、ODNI联合组建的持久安全框架工作组（ESF）对该事件的调查结果表明，需要创建一套行业和政府评估的方法，重点关注软件供应商的需求。软件供应链中未得到缓解的漏洞给企业带来了巨大的风险。本系列文章对软件供应链的开发、生产和分销以及管理流程提出了可操作的建议，以提高这些流程的抗风险能力。所有组织都有责任建立软件供应链安全实践，以降低风险，但组织在软件供应链生命周期中的角色决定了这种责任的形式和范围。