2018年网络安全大事记

责编：gltian ｜2019-01-02 13:37:19

一、信息泄露与网络攻击篇

1. 信息泄露连续五年创历史记录

自2013年斯诺登事件以来，全球信息泄露规模连年加剧。尽管目前还没有信息泄露统计的确切数字，但2018年的数据泄露规模又将创下新的历史记录已是大概率事件。根据Gemalto发布的《数据泄露水平指数(Breach Level Index）》，仅2018年上半年，全球就发生了945起较大型的数据泄露事件，共计导致45亿条数据泄露，与2017年相比数量增加了133％。

2018年规模或影响较大的信息泄露事件

1月

印度媒体 The Tribune 声称以500卢比（约6英镑）的价格购买了对公民信息数据库Aadhaar的访问。该数据库包含10亿印度公民的个人信息。
美国国土安全部承认，2.4万名现任雇员和前任员工个人信息由于黑客攻击而泄露。

2月

美国高端运动品牌安德玛的健康及饮食跟踪应用MyFitnessPal被黑客入侵，1.5亿用户账户信息泄露。

3月

安全研究人员披露，仅今年前3个月，就发现了超过15.5亿份商业敏感文档在网上泄露，数据量高达12PB，是巴拿马文档泄露事件的4000倍。
英国媒体披露Facebook超过5000万名用户资料遭“剑桥分析”公司非法用来发送政治广告。

4月

加拿大零售集团HBC承认，其500万客户的信用卡和借记卡信息被黑客窃取，成为史上最大信用卡信息失窃案之一。
Facebook承认，“剑桥分析”事件影响8700万用户，同时有恶意行为人，用Facebook的反向搜索和恢复功能，很可能恶意爬取了20亿用户的账户基本信息。

5月

由于软件缺陷导致明文暴露证书，推特敦促其所有3.3亿用户更改口令。

6月

基因检测公司MyHeritage发布公告，称超过9200万个帐户信息被窃取。公告称，黑客入侵事件发生在2017年10月26日。
国内安全专家发现一个被盗密码查询网站，包含14亿的邮箱口令，而且查询结果为明文。
研究人员发现数据统计公司Exactis包含3.4亿个人记录的数据库，在网上可公开访问。该2TB大的数据库包含上亿美国成年人的个人信息和数百万公司信息。
谷歌Firebase平台2,271个数据库可公开访问，这些数据库中包括了1亿多条敏感信息记录，113GB的数据量。

7月

包括福特、通用、丰田、特斯拉等100多家公司的157GB含有高度敏感信息的商业和技术文档数据可公开访问。

8月

国内一家新媒体营销上市公司，非法劫持运营商流量赚取商业利益的案件被警方破获。百度、腾讯、阿里、今日头条等全国96家互联网公司用户数据被窃取，数量高达30亿条。
国内某集团多家酒店1.3亿人身份信息、2.4亿条开房记录和1.23亿条官网注册资料在暗网兜售，盗取数据的黑客二十天后被警方抓获。

9月

英国航空宣称被黑客攻击，38万乘客的支付卡信息被盗。
Facebook官方公开承认，由于一个令牌访问漏洞，黑客可接管5000万用户的账户，约9000万用户受到影响，包括扎克伯格本人的账户。

10月

在美国2018年中期选举之前，研究人员发现暗网上出售20个州的选民数据，数量达到8000万之多。
由于第三方供应商遭到黑客攻击，美国国防部至少3万名服务人员或雇员的个人和支付卡信息遭到泄露。
香港国泰航空声称，包含有940万乘客的姓名、生日、电话、地址、身份证及护照号等敏感信息外泄。

11月

万豪国际集团公布其酒店数据泄露事件，涉及约5亿客人的个人信息和开房记录。
安全人员发现开源搜索引擎Elasticsearch，至少有3个IP由于配置错误，可未授权访问，约8200万美国公民的个人信息被暴露。

12月

美国在线知识问答平台Quora官方发布通知，发现恶意第三方未经授权访问，约1亿用户数据泄露。
谷歌承认Google+出现API漏洞，在11月的6天时间里，5250万用户的姓名、电子邮箱、职业和年龄以及其他详细信息被访问。

（注：以上部分泄露事件由白帽汇安全研究院提供）

2018年的信息泄露事件呈现以下特点：

信息泄露事件自2013年开始已经连续5年突破历史记录，根本原因在于网络安全保障的意识、认知和能力均落后于信息网络技术及其应用的爆发式增长，两者之间出现极大裂痕。
信息泄露事件常态化，无分行业、领域、国家。随着全球信息化程度的提高，全社会对网络和数字化技术的依赖，这一情况很有可能还将加剧。
信息泄露给企业、个人带来的损失越来越大，可大幅度降低企业估值，令企业面临巨额赔偿，威胁个人财产和生活稳定等。
信息泄露的途径主要分为内部人员或第三方合作伙伴泄露，信息系统无法杜绝漏洞，机构本身的防护机制不健全，对数据的重要程度不敏感，以及对安全配置的疏忽大意等问题。

2. 网络攻击对现实世界产生重大影响

从数字货币到勒索软件，从网络欺诈到舆论控制，从商业竞争到国家安全，随着数字化世界的到来，网络攻击对政治、经济、军事、国家、社会安全，甚至是人身安全的影响越来越大。据网络风险公司RiskIQ的统计，2017年度全球网络犯罪造成6000亿美元的损失，意味着每一分钟的损失约为114万美元。

2018年影响较大的网络攻击事件

1月

东京交易所Coincheck价值5.3亿美元的加密货币NEM被黑客窃取，并尝试转移到其它交易所。

2月

韩国平昌冬奥会开幕式期间，服务器遭到身份不明的黑客入侵，导致主媒体中心的IPTV（交互式网络电视）发生故障。奥组委关闭了内部网络服务器，导致官网彻底关闭，无法打印开幕式门票。
英国斯旺西大学计算机教授声称，英国国家医疗服务系统(NHS)，每年因信息系统故障和漏洞导致的死亡事件，约在100到900例之间。
美国科罗拉多州交通部遭遇勒索软件两次攻击，致使该机构运转停滞数周，工资系统和供应商合约也受到了攻击的影响，员工被迫用纸笔处理事务。

3月

代码共享平台GitHub遭遇反射放大(Memcached)拒绝服务攻击，峰值创记录的达到1.35Tbps。之后不到一周，Arbor网络又声称美国一家服务提供商遭到了峰值1.7Tbps的Memcached攻击。
特朗普政府首次公开将NotPetya勒索软件，以及对美国电力、核能、商业、航空、制造业等基础设施的攻击，归咎于俄罗斯政府。
美国司法部起诉9名伊朗黑客，对22个国家的大学、私营公司和政府机构进行大规模网络攻击，窃取研究信息，其中被入侵的320所大学遭受了大约34亿美元的损失。
美国亚特兰大市政府受到勒索软件攻击，其所用424个软件程序中的1/3以上停止了服务或部分功能被禁用，影响核心城市服务，包括警署和法庭。在一份官员提交的预算简报中透露，该攻击可能是美国城市遭受的最严重网络攻击，这份预算提案包含了950万美元的服务恢复费用支出。
美国巴尔的摩市遭遇勒索软件攻击，导致911紧急调度服务的计算机辅助调度(CAD)功能掉线。CAD系统是911派遣第一反应人员的工具，如果没有CAD系统，警察、消防员和救护车就不能第一时间派往事发地进行救助。掉线期间911操作人员仍能手动调度响应人员，效率大幅降低。
区块链资产交易平台币安数十个用户账户被黑客控制，并通过买入卖出操纵币价，专业人士估计黑客可能从中获利7亿元。

5月

一款名为VPNFilter的恶意软件感染了Linksys，MikroTik，Netgear和TP-Link等厂商的路由器，影响范围覆盖全球54个国家，超过50万台路由器和网络设备。

6月

三一重工近泵车失踪案宣判。犯罪分子通过源代码找到远程监控系统的漏洞，得以解锁设备，间接造成企业约10亿元的经济损失。
韩国最大虚拟货币交易平台Bithumb遭黑客入侵，价值约350亿韩元（3000万美元）的数字货币被盗。

7月

美国参议员马可·卢比奥宣称，人工智能视频处理工具“Deep Fakes”是对国家安全的威胁，并将其与导弹、核武器相比。
美国阿拉斯加Mat-Su自治市遭遇勒索病毒，致使该市的网络电话和电子邮件全面瘫痪，工作人员只能使用原始的纸笔办公。
美国司法部副部长宣布，以阴谋干涉2016年美国大选的罪名起诉12名俄罗斯军官。
360披露从2011年开始持续至今，高级攻击组织蓝宝菇（APT-C-12）对我国政府、军工、科研、金融等重点单位和部门进行了持续的网络间谍活动。该组织主要关注核工业和科研等相关信息，被攻击目标主要集中在中国大陆境内。
FBI公共服务通告部发布统计报告，从2013年10月至2018年5月，全球披露的邮件欺诈事件造成的损失已达120.5亿美元。
一伙网络犯罪通过劫持40名受害者的手机SIM卡，共窃取了总额超过500万美元的加密货币。
币圈传出消息，区块链资产交易平台币安再次遭遇用户API被控，转走7000多枚比特币拉升小币种再抛出，推论黑客可因此获得8000万元。

8月

台湾积体电路制造三大厂区出现电脑大规模勒索病毒事件，约造成17.6 亿元的营收损失，股票市值下跌78亿。
安全公司Securonix披露，朝鲜黑客组织Lazarus通过侵入SWIFT/ATM系统，三天内从印度最大的银行Cosmos盗走9.4亿卢比（约1.35亿美元）。
Email安全公司Valimail发布的报告显示，全球虚假电子邮件的日发送量已高达64亿封。
首次于2017年出现的Globelmposter勒索病毒在国内再次爆发，包括多家企业、大学及政府机构受害，山东10个市的不动产业务登记暂停受理。

9月

美国政府正式指控朝鲜政府，称其是索尼影业黑客事件、WannaCry勒索软件和孟加拉银行等一系列网络银行劫案背后主使。
日本数字货币交易所Zaif发布声明，被黑客盗走三种数字货币，分别为比特币、比特币现金和MonaCoin，总价值约合5967万美元。

10月

网络安全公司Group-IB的研究报告披露，朝鲜黑客组织Lazarus从2017年开始，已经盗取了价值5.7亿美元的加密货币。
彭博社报道称，中国特工在亚马逊、苹果、美国政府和其他潜在目标使用的超微(Super Micro)服务器中成功植入间谍芯片，令中国政府可窥探高度敏感数据。

11月

安全公司Cylance宣称，国家支持的黑客组织“白色军团”对巴基斯坦军队网络执行了名为“Operation Shaheen”的长期针对性攻击。

12月

欧洲国际刑警宣布，在3个月的联合行动中，来自30个国家的执法机构共抓捕了168个“钱骡”。超过300家银行、20个银行协会、以及其他机构总共报告了26,376起欺诈性钱骡交易，防止了4100万美元的损失。
美国司法部指控两名中国公民窃取全球12个国家数十家公司的商业机密和知识产权，攻击目标还包括美国海军和国家航空航天局(NASA)在内的多家美国政府机构。
安全厂商 Upstream Security 发布的《全球汽车行业网络安全报告》预计，到2023年由于网络黑客攻击可导致汽车制造商损失240亿美元。

2018年的网络攻击呈现以下特点：

针对加密货币的黑客攻击无论是攻击数量还是在造成的损失上，均呈爆发态势。依据有关统计，仅今年上半年，损失已超过17.3亿美元。其主要原因为加密货币的火爆带来的巨大商业利益。
勒索软件持续产生严重危害，发生多起影响企业生产、政府办公、城市运转的实际事故，反映出安全意识的普遍薄弱和基本防护手段的缺失，预示着网络安全对现实生活带来的重大隐患。
电子邮件欺诈带来的损失史无前例。据FBI统计，2013至2016年5月，商业欺诈邮件造成53亿美元的损失，但这一数字在2018年5月上升到了120亿美元。
国家之间的网络对抗呈明显化趋势。美国政府已实施严格的商业禁令，并公开指责、诉讼他国黑客的攻击行为。如果说，前两年国家支持的黑客行动还属于冷战时期，今年则进入了小规模冲突时期，全面网络战的阴影迫近。

二、漏洞事件篇

# 国家信息安全漏洞库(CNNVD)：

CNNVD公布的漏洞数量为14,866个，2017年全年的漏洞总数为12,433个，年增长率约为19.6%。

# 美国国家漏洞库(NVD)：

NVD公布的漏洞数量为18,041个，2017年全年的漏洞总数为18,114个，年增长率约为0.4%。

# 公共漏洞披露平台(CVE)：

CVEdetails公布的漏洞数量为16,492个，2017年全年的漏洞总数为14,714个，年增长率约为12.08%。

（注：以上2018年的漏洞数量均为截止到12月29日的统计数字）

2018影响较大和较为特殊的漏洞事件

1月

谷歌“Project Zero”团队和多国研究人员共同发布的漏洞披露报告称，英特尔的x86 64位处理器有一个“根本性的设计缺陷”，设计瑕疵存在已久，近10年来搭载英特尔处理器的Windows、Mac 与Linux 电脑均可能受到影响。
西部数据旗下MyCloud系列网络存储设备多个漏洞细节被曝，包括固件中的管理员权限的后门账号。研究人员早在2017年6月就将其发现提交给了西数公司，在一直没有得到修复的情况下，公开漏洞细节。

3月

以色列硬件安全公司CTS Labs发布白皮书，指出AMD Zen CPU架构存在四类多达12个以上的安全漏洞。这些漏洞有可能让攻击者绕过防止篡改计算机操作系统的安全防范措施，并且植入无法检测或删除的恶意软件。值得注意的是，CTS Labs只给了AMD 24小时的时间，就公布了漏洞细节。

4月

美国食品与药物管理局在全球范围内督促，使用了 Abbot Laboratories 心脏植入设备的患者，尽快前往附近的医疗中心进行固件升级。一个固件漏洞允许攻击者向患者的设备发送远程指令，造成潜在的电量加速流失隐患。
思科IOS/IOS XE 中的智能安装客户端（Smart Install Client）代码中被发现堆栈缓冲区溢出漏洞（CVE-2018-0171），通过此漏洞无需身份验证即可远程执行任意代码，实现对该设备的完全控制。

5月

阿姆斯特丹自由大学研究人员发现同时改变RAM内存中的3个比特，就不会触发阻止Rowhammer式攻击的ECC校正机制。于是攻击者可进行篡改数据，注入恶意代码和命令，更改访问权限等操作，以窃取密码、密钥和其他秘密信息。
360通告，发现区块链平台EOS的一系列高危安全漏洞，可通过远程攻击，直接控制和接管EOS上运行的所有节点。

7月

加州大学研究人员发现，用前视红外(FLIR)热成像摄像头扫描计算机键盘，在口令首字符被敲下的30秒之内便可以恢复出用户敲击的口令。
来自以色列理工学院的研究人员发现一个高危蓝牙漏洞（CVE-2018-5383），可进行拦截、监控或篡改设备的网络数据。漏洞影响苹果、博通、英特尔、高通等多家硬件供应商的相关产品。
物联网安全公司Armis发布的研究报告显示，包括网络电话、打印机、交换机、路由器等近5亿台企业设备，面临DNS重绑定的攻击风险。

8月

安全研究人员发现了影响英特尔处理器的“Foreshadow”漏洞，攻击者能够绕过英特尔内置的芯片安全特性，获得存储在“安全封锁区域”的敏感数据。
研究人员发现某医疗科技公司的心脏起搏器与胰岛素泵存在安全漏洞。利用漏洞可以控制发送到心脏的电脉冲，可能导致患者受伤甚至死亡。

9月

趋势科技发布的调查报告显示，数据采集与监控系统（SCADA）系统2018年上半年的漏洞几近于2017年上半年的两倍。

10月

安全研究机构Ponemon发布的《2018年端点安全风险状态报告》显示，针对端点的攻击手段，无文件攻击将占到35%，主要包括利用的宏、脚本引擎、内存、命令执行等系统内置功能。
加州大学研究人员公布了3个边信道漏洞利用，这些漏洞利用可从GPU抽取敏感数据，而且相比CPU边信道攻击，操作更为简单。个人用户和高性能计算系统均面临潜在风险。

11月

物联网安全公司Armis发现德州仪器制造的低功耗蓝牙(BLE)芯片存在漏洞，全球数百万思科和惠普生产的联网接入设备面临远程攻击风险。
俄罗斯安全研究人员公开披露了Oracle虚拟机中的一个零日漏洞(VirtualBox E1000 Guest-to-Host Escape)。攻击者可以利用该漏洞逃逸出客户计算机虚拟环境。
芬兰两所大学的研究人员发现名为“PortSmash”(CVE-2018-5407)的漏洞。攻击者可以从计算机的内存或处理器中提取敏感数据，如加密密钥。该漏洞影响所有依赖同步多线程(SMT)架构的CPU，包括Intel的超线程(HT)架构。
手机App安全公司Privacy4Cars披露了名为CarsBlues的汽车蓝牙漏洞。黑客可通过蓝牙获得车主手机信息并进入车载娱乐系统获得权限，推测全球数千万辆汽车可能受到影响。
荷兰拉德堡德大学研究人员发现，固态硬盘流行加密软件Bitlocker存在重大漏洞。通过调试端口对其重编程，就可以重设任意口令，解密数据。
国内首个专注于重大漏洞的黑客破解比赛，“天府杯”PWN举行。参赛选手成功利用30个漏洞，攻破了Microsoft Edge/Chrome/Safari/macOS/VMware/Oracle VB/Adobe Reader/Microsoft Office等主流操作系统、浏览器和应用软件，以及包括iPhone X和3款国内流行智能手机，奖金总额达102.4万美元。
软件风险评估与管理公司Checkmarx的研究人员发现，可通过手机应用嗅探设备间通信，控制智能灯泡的灯光颜色来渗漏数据。

12月

安全公司 Check Point 使用流行的Windows模糊测试框架进行漏洞测试，仅50天的时间里，就在 Adobe Reader 中找出53个CVE漏洞。
美国国防部监察长报告称，美国弹道导弹防御系统(BMDS)的网络安全操作存在“系统性漏洞”，网络安全操作存在严重缺陷。包括不锁服务器机架、缺乏加密、没有持续身份验证、打补丁、数据监控保护等……
2018年漏洞相关事件的特点：
与2017年的漏洞数量激升相比，2018年的漏洞通告数量增速放缓。这一现象的主要原因，可能在于漏洞报告较以往更为分散化，大量漏洞并未得到官方收录。此外，还与各个国家对漏洞披露政策的保守化有关，漏洞已成为重要的竞争资源。
底层硬件漏洞、边信道和无文件等攻击手法越来越受到关注，针对芯片、内存、硬盘、协议级别的攻击方法相继出现，同时，借用系统内置功能的无文件攻击开始普及。
摄像头、路由器、汽车、音箱、无人机等智能联网设备，以及工业联网系统的漏洞明显增多。主要原因在于智能设备的爆发和全球智能制造的浪潮，制造商普遍对安全的忽视，和嵌入式系统难以更新。
业界对漏洞的重视已成常态。从国家监管到互联网企业，再到软件厂商、科技公司，均加强了对漏洞的监管、发现、通告和修补。漏洞相关的政策、标准和技术，逐渐走向规范化，体系化。

相关参考

政府应该不应该囤积零日漏洞？

不管是CVE还是NVD 好多漏洞都被忽略

调查：新漏洞的出现速度比安全团队的修复速度更快

三、行业市场篇

1. 会议活动数量连续三年激增

2018年国内网络安全相关会议活动继续呈爆发态势，因篇幅原因无法全部列出，现将规模与影响力较大的活动分为十大安全会议、十大安全竞赛，十大信息安全产业基地及产业园，以及安全领域较为活跃的十大城市和省份五类分别列出。

十大安全会议

十大安全竞赛

十大信息安全产业基地及产业园

十大网络安全城市

十大网络安全省份

（注：城市与省份的比例来源于安全牛用户关注数）

2018年会议活动数量和规模空间。国家与地方政府、事业单位、协会组织、国企民企、行业媒体，纷纷举办相关会议和活动。网络安全受到了前所未有的关注。
网络安全竞赛的形式与数量不断放大，网络攻防开始从幕后走向前台。赛制与赛题也越来越向实战演练和解决实际问题的方向靠拢，意味着从注重形式逐渐走向实际成效。
全国各省市加强对网络安全工作的重视和投入，接近二十个省会与经济发达城市开始建立信息安全产业基地或产业园，至少五十余座城市举办网络安全活动。
地方政府开始在整个网络安全产业中扮演越来越重要的角色，结合中央各部委及监管机构，通过各种优惠政策吸引网络安全产业各个层面的机构、企业和人才的汇集。

2. 国内融资规模有望登顶

今年国外资本市场融资并购事件与去年基本持平，由于缺少几十亿乃至百亿美元的大型收购事件，规模有所下降。国内的融资规模则再次突破历史记录，且有大幅度增长。

2018年国外亿级美元以上的融资并购

2018年国内安全公司融资并购概况

2018年国际网络安全资本市场与需求市场保持平稳增长，融资并购规模约为150亿美元，数据安全、端点安全、云安全、大数据安全分析、工控安全、物联网安全继续成为热点。对于安全创业公司来说，并购是趋势，上市是小众。
2018年国内融资额高达60亿元人民币，与去年相比增长率约为71%。考虑到下半年国内外的政治与经济形势，今年国内一级市场的融资规模可能在未来几年都将是一个高点。
国内的安全细分领域开始多样化，在线业务安全、云安全、数据库安全、身份安全、移动安全、威胁情报、智能SOC、用户行为分析等新兴安全技术开始落地。但较为前沿的物联网安全、车联网安全、工业互联网安全，以及SaaS模式的规模化土壤还有待形成。
新兴安全概念在国内的落地，往往需要整合进传统的安全解决方案，而不是单独购买，这也是创新企业很容易遇到的业务成长瓶颈之一。对于资本方来说，普遍开始意识到安全领域投资是个长期过程，而技术复杂性是网络投资的关键驱动力。

四、政策法规篇

漏洞披露、个人隐私、数据安全、关键基础设施保护、经济博弈、网络犯罪、国家安全，是制定政策法规的关键词和重要背景。网络安全已经得到全球各国政府的实际重视，并成为支撑自身发展，与他国进行政治、军事、经济博弈的关键因素之一。

1. 国际政策法规动向

1月

美国众议院通过《网络漏洞公开报告法案》(H.R.3202)。法案要求国土安全局向国会提交关于政府如何处理公开漏洞的相关报告。报告内容分为两个部分：为协调网络漏洞公开而制定的政策和程序描述；可能为机密属性的“附件”，包括一些特定实例的描述。
美国参议院投票通过“外国情报监控法修正案”，重新授权美国国家安全局根据《外国情报监视法案》第702条对美国以外公民的通信进行监听，并将该项授权延长六年。法案待美国总统特朗普签署后，将正式成为法律。

2月

澳大利亚《数据泄露通报法案》正式实施。该法案是对澳大利亚隐私法案1988PartIIIC的修正案，建立强制性的数据泄露通报制度，并要求义务人向受数据泄漏影响的个人提供避免或减轻数据泄露造成的危害的建议。
新加坡国会通过《网络安全法案》。这项法案旨在加强保护提供基本服务的计算机系统，防范网络攻击。该法案提出针对关键信息基础设施（CII）的监管框架，并明确了 CII 所有者确保网络安全的职责。

3月

英国政府发布一项新的“网络安全出口”战略。这项新的战略将帮助英国的网络安全企业进入国际新市场并持续发展。
美国网络司令部公开其指挥战略愿景文件《获取并维持网络空间优势》。该愿景是新形势下网络司令部的作战宣言和行动指南，主要思想依旧延续该部门一贯做法，渲染网络空间安全威胁，针对性提出网络行动的目标、原则、任务和方法等，为各军种网络战部队统一思想和统一行动奠定基础。

4月

美国商务部宣布，禁止美国企业向中兴通讯出售任何电子技术或通讯元件，这一禁令为期长达7年，直到2025年3月13日。
美国联邦通讯委员会决议，禁止美国运营商使用联邦补贴购买可能威胁美国国家安全的设备厂商产品。其中，华为和中兴均包括在内。

5月

欧盟《通用数据保护条例》(GDPR)生效，违反GDPR的组织将被处罚高达全球年营业额的4％或2000万欧元，两者以较高为准。
美国国土安全部发布《网络安全战略》。遭受网络攻击。该战略描绘了国土安全部未来五年在网络空间的路线图，指导该机构未来五年履行网络安全职责的方向。此外，还须推出一套正规方法以衡量及掌握机构在信息安全政策、实践和必要控制措施方面的采用情况。
美国能源部发布《能源行业网络安全多年计划》，确定了美国能源部未来五年力图实现的目标和计划，以及实现这些目标和计划将采取的相应举措，以降低网络事件给美国能源带来的风险。

6月

加拿大发布新版国家网络安全战略。该战略作为加拿大在网络安全方面的路线图，旨在实现加拿大人的目标和优先事项。新版国家网络安全战略内容有三项：建立加拿大网络安全中心；设立国家网络犯罪协调部门；开展自愿网络认证计划。
英国政府与NCSC(国家网络安全中心)合作，推出了一套新的安全标准，“最低安全标准”。要求所有政府部门，包括公司企业、政府机构、非政府公共机构和承包商，必须遵守。该标准细分为5个部分共10节：身份、保护、检测、响应和恢复。
美国众议院外交事务委员会通过“2018网络威慑与响应法案”(H. R. 5576)，要求美国总统确认高级持续威胁（APT）组织名单，并在《联邦公报》中公布并定期更新。该法案还要求美国政府制裁对美国发动国家支持型网络攻击的参与者。
美国联邦通信委员会废除网络中立性法规的决定开始实施。网络中立性法规由奥巴马政府于2015年制定，旨在保证全体网民拥有平等地访问互联网的权利。一旦网络中立性法规被废除，互联网服务提供商们将开始捆绑销售网络服务。
立陶宛、克罗地亚、爱沙尼亚、荷兰、罗马尼亚、西班牙欧盟六国签署《意向声明》表示将按照“永久结构化合作”防务机制成立“网络快速响应小组”，应对网络攻击。

7月

美国国土安全部成立国家风险管理中心，以促进关键基础设施网络威胁的跨部门信息共享与协作响应。该中心为美国政府主导的新型联合防御战略的基础，旨在更有效地响应美国利益在网络空间遭遇到的威胁。

8月

美国总统特朗普签署《NIST小企业网络安全法》（S. 770）。该法案要求NIST简明扼要地传播网络安全资源，帮助担心其网络安全风险的小企业。该法案非强制性，小型企业可自愿采用这些资源。
美国国防部“Hack海军陆战队”活动完成。至此，美国国防部已经完成“Hack五角大楼”、“Hack陆军”、“Hack空军”和“Hack国防旅行系统”等漏洞奖励项目。
美国联邦贸易委员会和司法部，未来的机构组织必须采用某种形式的漏洞披露计划(VDP)，供善意的安全研究人员汇报安全漏洞情况。

9月

美国众议院通过一项两党法案《2018网络威慑与响应法案》，旨在阻止和制裁未来国家支持的针对美国的网络攻击，以保护美国的政治、经济和关键基础设施免受侵害。
美国国防部公布《2018国防部网络战略》，要求将网络活动的重点放在应对中国和俄罗斯强敌方面，运用网络能力，收集情报并为未来冲突做好准备，并提出了解决网络威胁，以及实施《国家安全战略》和《国防战略》所规定优先事项的愿景。
国际电信联盟发布“国家网络安全战略指南”。该指南旨在帮助政策制定者根据国家的情况、文化和社会价值制定网络安全战略，建立安全、有弹性、信息通信技术发达的互联互通社会。
美国总统特朗普发布《国家网络战略》，这是其上任后的首份国家网络战略，概述了美国网络安全的四项支柱，十项目标与42项优先行动。国家网络战略的四项指导支柱是：1.保护美国人民、国土及美国人的生活方式；2.促进美国的繁荣，主要目标是维护美国在科技生态系统和网络空间发展中的影响力；3.以实力求和平，主要目标是识别、反击、破坏、降级和制止网络空间中破坏稳定和违背国家利益的行为，同时保持美国在网络空间中的优势；4. 扩大美国影响力，主要目标是保持互联网的长期开放性、互操作性、安全性和可靠性。

10月

由于看重与白帽子合作带来的价值，美国国防部宣布扩大其漏洞奖励项目，将合约授予3家漏洞测试服务商：HackerOne、Synack和Bugcrowd。
Facebook因“剑桥分析”造成的数据泄露事件被英国处以50万英镑的罚款。同时在澳大利亚遭到起诉，罚款预计在3亿到30亿澳元之间。
欧洲议会投票通过《非个人数据自由流动条例》。该条例将在今年年底生效，旨在欧洲单一市场之内，消除非个人数据在储存和处理方面的地域限制。新条例将取消欧盟境内数据自由流动壁垒，推动欧洲经济增长，确保数据跨境自由流动；确保监管控制的数据可用性；鼓励制定云服务行为准则。

11月

加拿大新的数据泄露法《个人信息保护和电子文件法》正式生效，其要求加拿大公司如发生信息泄露事件时必须尽快通知受影响用户，否则将面临处罚。每次违规的罚款数额最高可达10万加元。
由英国政府通信总部国家网络安全中心参与指导的，英国金融系统网络攻击演习举行，以测试金融系统在攻击面前的弹性。英国40家金融机构，和英国财政部、英国金融市场行为监管局参加演习。
英国间谍机构政府通信总部(GCHQ)及其信息安全部门NCSC发布了安全漏洞披露策略。其“漏洞公平裁决过程”由三层决策系统组成，包括安全专家、情报机构成员、政府机构代表和由NCSC主导的公平监管委员会。
美国司法部长和国家情报总监联合领导下的国家内部威胁特别工作组(NITTF)，发布了一份新的《内部人员威胁项目成熟度框架》。其目的是帮助行政部门及机构ITP超越《最低标准》，变得更主动、更全面、更能威慑、检测和缓解内部人员威胁风险。
美国国会一致通过之前参议院通过的《网络安全与基础设施安全局法案》(H.R. 3359)，并将由总统签署。该法案旨在保护联邦网络，保护关键基础设施免受网络和物理威胁。

12月

美国众议院能源和商业委员会发布《网络安全战略报告》，提出6个应对网络安全事件的核心内联概念以及解决网络安全问题的6个重点。
GPDR今年正式实施。对安全行业而言，一方面，GDPR合规是企业数字化转型的有效驱动力，给安全带来了新的市场。另一方面，法规往往会“约束好人，放纵坏人”的现象不可忽视。GDPR对安全行业带来的真正影响还有待观察。
个人隐私与数据分析同样是一把双刃剑。数据时代，如何在保护个人隐私的条件下，利用数据的流动为全人类创造价值，可能是一个永远的话题。但保护自己数据，查看别人的数据，至少是现阶段的一致做法。
漏洞众测及漏洞资源受到美国政府的重视。美国国防部不断加大众测力度，并尝试从立法上平衡社会商业利益与国家安全的关系。
网络安全在国与国之间对政治和经济的影响已经十分明显，商业禁令、政治抨击、舆论影响，无不以其为重要依据。对于先进国家而言，保护只是基本，威慑与打击已经写入国家战略，军事对抗更是暗流涌动。

上一篇：【完美收官】”SRC白帽子技术沙龙“ -Party/魔术/游戏/劲舞/抽奖High到爆！

下一篇：2018年全球十大APT攻击事件盘点