威胁猎人情报报告：网络安全法律法规

2021年6月猎人的威胁情报报告 威胁猎人情报报告：网络安全法律法规威胁猎人情报报告：网络安全法律法规| 斯普伦克2威胁猎人情报报告是由 Splunk 的威胁搜寻和情报 （THI） 团队为您带来的月度系列报告。我们研究并生成有关最新网络安全威胁和趋势的可操作报告，帮助组织一次一份报告，领先对手一步。法律和监管1012021 年 5 月 25 日是欧盟 （EU） 通过《通用数据保护条例》（GDPR） 的三周年，这一里程碑提高了数据隐私标准的标准，永远改变了我们保护个人信息的方式。从那以后发生了很多事情。不断变化的监管环境改变了隐私保护的本质，给首席信息安全官 （CISO） 带来了更大的压力，要求他们确保客户数据的安全，否则将面临毁灭性的处罚。2020 年 12 月，联邦贸易委员会 （FTC） 和 46 个州发起了两起反垄断诉讼，旨在将 Facebook 与其两家最大的收购 Instagram 和 Whatsapp 分开。检察官指控这家社交媒体巨头将数据武器化，并将“利润置于消费者的福利和隐私之上”，再次将消费者隐私问题置于历史性监管打击的核心。在本月的期刊中，我们探讨了围绕数据隐私的态度转变，以及大量涌入的监管要求，这些要求将不可避免地让首席信息安全官（及其安全团队）夜不能寐。2021年6月 威胁猎人情报报告：网络安全法律法规威胁猎人情报报告：网络安全法律法规| 斯普伦克3这个概要文件1一般的数据保护监管欧洲当局正在认真执行GDPR。这意味着违规者——即使是善意的——也将面临严重后果。对欧盟公民个人和财务信息管理不善。一个例子是2018年英国航空公司的网络攻击，由于该航空公司可疑的安全措施，五十万客户的个人信息被泄露。作为回应，英国信息专员办公室（ICO）对公司——那是在减少最初的罚款之后。但不知何故，企业仍然没有被财务破产（或接近财务破产）吓倒，面临高达2000万欧元的罚款或违规者年收入的4%的风险 - 以较高者为准。最近的一项研究报告称，只有28%的公司认为他们完全符合GDPR。GDPR并不是公司需要应对的唯一要求 - 欧盟全面的隐私法为类似的立法铺平了道路，包括加州消费者隐私法案（CCPA），加拿大的消费者隐私保护法（CPPA），以及缅因州和内华达州等州严格的消费者数据保护。那么，为什么缺乏对GDPR（以及随后的许多隐私法案）的考虑？因为这些任务可能很难完成——尤其是在没有合适的工具或足够的资源的情况下。许多组织还没有准备好应对如此多的复杂性，并列举了遗留 IT 系统与策略不一致的重大挑战，或者担心以法规遵从性为中心的方法最终会阻碍成本和贸易。你需要知道:为了满足对数据隐私和保护日益增长的需求，组织将需要重组其安全策略。一种方法是转向“隐私设计”模型，建立包括合规框架和策略的信息安全管理系统（ISMS）。还应该有用于跟踪隐私法和自动化合规任务的工具，这将有助于创建可预测、可重复的流程——让审计员满意并消除风险。2021年6月 威胁猎人情报报告：网络安全法律法规威胁猎人情报报告：网络安全法律法规| 斯普伦克4这个概要文件2美国立法加强物联网网络安全政府机构正在寻求标准化物联网 （IoT） 以及工业制造和关键领域的安全防御基础设施。欧盟的NIS指令于2016年首次奠定了基础，为包括能源，运输和医疗保健在内的许多行业的关键基础设施和数字服务提供商（DSP）建立了基于风险的安全措施。从那时起，加州的物联网安全法全面生效——要求所有连接的设备纳入“合理的安全”措施，即围绕用户身份验证。还有物联网网络安全改进法案，该法案希望美国国家标准与技术研究院（NIST）制定强制性安全法规政府机构使用的所有物联网设备。这些规定还不止于此：这些规定适用于消费类设备，包括从智能电视和相机到Siri、Alexa、Cortana和Google Assistant等虚拟助手的所有设备。你需要知道:这些法案将安全立法推向了一个全新的方向，重新定义了各种技术的安全要求，并不可避免地为工业和消费市场的未来提供了信息。此外，对这一立法领域（即物联网网络安全）的兴趣日益浓厚，激发了对连接设备的持续审查——包括在隐私和保护方面的合理期望，以及如何最好地将功能和安全性结合起来。2021年6月 威胁猎人情报报告：网络安全法律法规威胁猎人情报报告：网络安全法律法规| 斯普伦克5这个概要文件3人工调节在美国和欧盟的情报在美国和欧盟，正在制定严格的人工智能（AI）法规，这意味着应该预料到广泛的后果。2021 年 4 月，欧盟委员会 （EC） 提出了《人工智能法案》，呼吁更好地监督人工智能，同时禁止某些用例和系统。该提案还包括围绕安全性和可信度的护栏，并着眼于人工智能对人类和道德的影响。美国很快效仿，并正在制定一项全面的国家人工智能政策。2021 年 1 月 12 日，国家人工智能倡议办公室成为人工智能研究和政策制定的中心枢纽，计划监督和实施全国性的人工智能战略。你需要知道:与GDPR类似，《人工智能法案》有许多条款可能会影响公司（和行业）。虽然欧盟委员会的初稿可能会发生变化，但该提案仍有可能保持原样，或者变得更加严格。无论公司总部如何，开发或使用人工智能的组织都应密切关注《人工智能法案》（以及针对人工智能的其他政策工作）。根据用于确定哪些用例是“不可接受”和“高风险”的定义，这些要求最终可能适用于广泛的应用程序和产品，并对创新产生深远的影响。2021年6月 威胁猎人情报报告：网络安全法律法规| 斯普伦克6违反者概要剑桥—想要违反数据隐私法律一个臭名昭著的数据隐私法违反者就是剑桥分析公司。Cambridge Analytica 自 2018 年 5 月停业以来，是一家英国咨询公司，利用美国选民的个人资料，成功收集了多达 8700 万 Facebook 用户的数据——这是 Facebook 历史上最大的违规行为。攻击计划简单而阴险。毫无戒心的Facebook用户授予第三方应用程序访问其数据的权限，仅供应用程序开发人员转身将个人信息提供给Cambridge Analytica，这明显违反了Facebook的服务条款。当丑闻爆发时，愤怒是立竿见影的。立法者和监管机构，更不用说广大公众，对公然滥用和误用用户数据以及可能影响2016年大选的可疑做法感到震惊。不出所料，人们迫切呼吁加强防范数据利用的保障措施。而不是不久之后，GDPR正式通过，随后是美国和加拿大的数据隐私法案。最终，Cambridge Analytica在巨大（和正当）的审查下倒闭了。而在2019年，据报道，Facebook预计将因侵犯隐私而被FTC处以高达50亿美元的罚款。Facebook还在其季度财务业绩中报告了这一预计金额。违反者类型:私营部门疑似原产国和支持:美国和英国动机:利润W N T E D 威胁猎人情报报告：网络安全法律法规| 斯普伦克7网络钓鱼去黑暗水晶老鼠Dark Crystal远程访问木马（RAT）通过电子邮件进行社交化 - 引诱毫无戒心的受害者单击嵌入的URL，从而在Microsoft Office中打开文档。这允许不良行为者利用软件中的漏洞，丢弃肯定会带来回报的有效载荷。但里程可能会有所不同。除了大多数网络钓鱼攻击采用的流行、古老的电子邮件策略之外，这种威胁还可以通过社交媒体、应用程序下载或更新以及流行软件服务的盗版副本进行传播。Dark Crystal RAT在俄罗斯开发，最初可以在一个网站上找到 - 令许多黑客失望的是 - 最终被用俄语编写的不敬和亵渎的问答所取代。但是，黑客工具仍然可用，并且可以轻松找到（如果您知道在哪里查找）。对Dark Crystal RAT感兴趣的黑客可以下载基本软件包，并选择投资其他模块以增强该工具，例如键盘记录器和数据泄露技术。黑水晶RAT的一长串功能包括（但不限于）：•执行远程命令•Keylogging•收集饼干•打开聊天框与受害者进行通信•管理文件系统•操作和记录视频通过网络摄像头•通过麦克风录制音频•收集剪贴板数据•初始化一个远程控制连接•将文件从其服务器下载或上传到受感染的主机（反之亦然）•通过用户的默认浏览器打开网址•管理活动流程•编译和执行c#代码 现在就订阅寻找麻烦?通过订阅有关威胁搜寻和调查的每月更新，领先于当前和新出现的威胁。Splunk、Splunk>、Data-to-Everything、D2E 和 Turn Data Into Do 是 Splunk Inc. 在美国和其他国家/地区的商标和注册商标。所有其他品牌名称、产品名称或商标均属于其各自所有者。© 2021 斯普伦克公司保留所有权利。21-18068-Splunk-THI 网络安全法律法规-EB-106