随着数字化转型的深入发展，加强网络安全能力建设已经成为全球企业组织的普遍共识。然而，在经过多年的网络安全建设后，企业组织面临的网络安全威胁态势依然非常严峻。通过回顾2023年多个研究机构发布的网络安全调查统计数据可以发现，当前企业组织所面临的网络安全风险态势仍在不断恶化。对企业的网络安全防护人员而言，未来的工作任重道远。

[...]

日前，按照《商用密码管理条例》、《商用密码检测机构管理办法》有关规定，国家密码管理局组织对商用密码检测机构（商用密码应用安全性评估业务）资质申请材料进行了审查，并将通过材料审查的机构名单予以公示。

日前，为促进网络安全产品互联互通资产信息有效互通和整合，全国网络安全标准化技术委员会秘书处组织编制了《网络安全标准实践指南——网络安全产品互联互通 资产信息格式》。本《实践指南》给出了网络安全产品互联互通时资产信息的描述格式，可用于指导网络安全产品互联互通功能的设计、开发、应用和测试。

OWASP（Open Worldwide Application Security [...]

最近的研究表明，DDoS攻击变得越来越强大，有时被威胁行为者用作勒索手段。日前，CISA、联邦调查局 （FBI） 和多州信息共享和分析中心 （MS-ISAC）联合发布了一份针对公共部门实体的新指南《 Understanding and Responding to Distributed [...]

商业间谍软件是一种软件应用程序/脚本，也被称为“跟踪软件”、“监视软件”，主要功能包括非法数据收集、后门行为、远程控制工具、屏幕截图、密钥记录以及复制设备剪贴板中的内容等。商业间谍软件可以帮助恶意行为者监视受害者的计算机设备，秘密地窃取数据并在现实世界中造成伤害。

[...]

[...]

根据2024年3月15日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2024年第1号），全国网络安全标准化技术委员会归口的5项网络安全国家标准正式发布。具体清单如下：

日前，全国信息技术标准化技术委员会秘书处发布公告，对《安全可靠  服务器操作系统技术要求》等9项行业标准公开征求意见。各有关单位可于2024年4月18日前，将意见建议反馈至电子邮箱：zhengqiuyijian@cesi.cn。

日前，据安全网站SC Media报道，Google 旗下的Firebase平台被安全研究人员测试发现存在超过900个配置错误，使得近 1900 万个密码以明文方式存储，这可能会导致近1.25亿用户记录存在泄露隐患。

[...]

随着当前网络安全威胁的不断扩展与升级，开展渗透测试工作已经成为广大企业组织主动识别安全漏洞与潜在风险的关键过程。然而，传统的人工渗透测试模式对测试人员的专业能力和经验水平有很高的要求，企业需要投入较大的时间和资源才能完成。在此背景下，自动化渗透测试已成为渗透测试领域的重点研究内容，并被认为是人工渗透测试的一种演进形式。

日前，工业和信息化部网络安全管理局正式发布了《网络安全保险典型服务方案目录公示名单》，共有49款方案通过初审进入目录，并对外进行公示。公示截止时间为2024年3月25日。

[...]

你是否听过这样一句话：“攻击者不是入侵网络，而是登录网络？”但实际上，他们两者都会。

AI大模型的行业应用无疑是当前最火热的话题。在AI大模型的驱动下，整个信息科技领域故事不断。而在网络安全领域，AI大模型也为网络安全运营工作开辟出新的想象空间。作为AI大模型领域的两个代表性工具，OpenAI在2月初推出了ChatGPT 4.0收费版（ChatGPT Plus），谷歌也将Google [...]

日前，天翼安全科技有限公司（中国电信安全公司，简称“电信安全”）研究发布了《2023年国内APT攻击威胁年报》，对2023年国内APT（高级持续性威胁）攻击威胁态势和相关活跃组织进行了全面分析。报告数据显示，2023年的APT攻击威胁态势比2022年更加严峻，国内被APT攻击态势呈饱和式状态。

3月15日，绿盟科技2024合作伙伴大会在长沙隆重举行。本次大会以“聚以致远 共行万里”为主题，邀请了众多行业专家及绿盟科技合作伙伴共同参与。本次大会全面解读了绿盟科技在业务战略、渠道政策、核心技术及交付效能等方面的最新进展，更有行业专家带来深刻见解分享。

数据安全检查和评估，已经成为现代企业开展数据安全防护工作中不可或缺的一个环节。通过严格、细致的检查，可以发现现有防护体系中的不足，降低数据泄露的隐患。那么，企业到底应该如何做好数据安全检查和评估工作呢？

3月14日，工信部信息通信管理局发布《关于侵害用户权益行为的APP（SDK）通报》（2024年第2批，总第37批），对怪兽充电、途虎养车等62款存在侵害用户权益行为的APP及SDK进行了通报。

近年来，中央网信办坚持以清朗网络空间为目标，以人民根本利益为出发点和落脚点，持续开展“清朗”系列专项行动，集中整治网上突出问题乱象，推动网络生态持续向好。2024年“清朗”系列专项行动将紧紧围绕人民群众的新期待新要求，全面覆盖网上重点领域环节，着力研究破解网络生态新问题新风险，重点开展10项整治任务。

[...]

据法新社报道，法国多个政府部门日前遭受了大规模的网络攻击，攻击目标包括法国总理办公室、经济部、生态转型部、卫生部和文化部等。攻击活动一度造成了部分政府网站和公共服务访问中断，但目前，攻击事件的影响已经在逐渐减少，相关政府网站的访问也已恢复正常。

[...]

日前，网络安全AI智能体公司云起无垠宣布完成数千万元天使+轮融资，本轮融资由朗玛峰资本独家投资，远明资本担任本轮融资财务顾问。云起无垠表示，本轮融资完成后，公司将致力于促进AI大模型与网络安全深度融合的相关技术研究。

据《Recorded Future News》报道，美国国家网络安全与基础设施安全局（CISA）日前遭到黑客攻击，黑客利用了Ivanti产品的安全缺陷侵入了该机构的网络系统，并导致CISA不得不紧急关闭两个关键的业务系统。

API集成的重要性正愈发凸显。调查数据显示，83%的受访者表示API集成在其业务战略中起着关键作用，约40%的受访者表示企业数字化转型的深入发展是推动API集成的关键推动力。对于现代企业而言，API集成的重要性主要体现在以下方面：

[...]

XDR（可扩展威胁检测和响应）一直被誉为解决安全威胁检测孤岛问题的“瑞士军刀”方案。相比传统的单点式威胁检测工具，它代表了一种较先进的安全技术理念，旨在实现多种威胁检测能力的集成和融合，并成为能够上下联动、前后协同的有机整体。

随着智能手机和平板电脑等移动设备用户数量的剧增，移动应用的数量和种类亦在不断膨胀，加速了数字化转型的步伐。然而，伴随着这一增长的是移动应用安全形势的日益严峻。我们见证了恶意软件的猖獗、数据泄露事件的频发以及隐私侵犯问题的严重性，这些不仅威胁到广大个人用户的信息安全，也会对企业的数据资产构成潜在的风险。

[...]

[...]

TC260-003《生成式人工智能服务安全基本要求》.pdf

实战化的攻防演习活动一般具有时间短、任务急等特点，作为防守方，蓝队需要在日常安全运维工作的基础上，从攻击者角度出发，了解攻击者的思路与打法，并结合本单位实际网络环境、运营管理情况，制定相应的技术防御和响应机制，才能在演练活动中争取主动权。

[...]

[...]

电子邮件作为全球最主要的通信方式之一，具有简单、廉价和易于获取的特点。然而，由于电子邮件系统在最初设计时并未充分考虑安全性，因此也成为了黑客们的天堂，为他们提供了大量诱人的实施欺诈机会。本文介绍了七种应对危险电子邮件的有效方法，可以显著改善企业邮件系统应用的安 [...]

在网络安全领域中，一直有一个重要的实践原则——“三分技术、七分管理”，即70%的网络安全问题无法通过纯技术手段解决，而是需要依靠组织严格的安全管理制度和检查措施去规避。通过有效的网络安全管理，企业可以规范所有员工的网络使用行为，减少不安全的风险因素，降低安全事件的发生率，最终实现企业数字化发展的安全目标。

[...]

近日，美国国家标准与技术研究院NIST发布了网络安全框架（CSF）的2.0版本，这是该框架在2014年正式发布之后，首次进行的重大更新。NIST表示：这次更新旨在帮助更多类型的组织管理和降低网络安全风险，而不仅仅是那些关键基础设施中的大型企业组织。

[...]

如今，网络安全已成为企业数字化发展中的一个重要议题。然而，尽管企业实施了各种安全控制措施和攻击防护程序，但许多组织仍然发现他们的网络安全战略并不够全面，仍然会面临较大的网络攻击风险。

工业和信息化部关于印发《工业领域数据安全能力提升实施方案（2024-2026年）》的通知

日前，全球开源安全组织OWASP（Open Web Application Security [...]

近期，北京市公安局网安部门加大对不履行网络安全保护义务违法行为的打击力度，切实压紧压实网络运营者的主体责任，对未建立管理制度、不履行网络信息安全管理义务的多家违法企业依法给予行政处罚。

[...]

日前，苹果公司宣布，为其iMessage应用推出了一款名为“PQ3”的全新后量子密码协议。苹果公司认为，这是一种“开创性的、最先进的”密码协议，其加密保护能力将超越目前所有实际部署的其他密码协议，并且能够针对高度复杂的量子攻击提供可靠的防御。

2023年以来，全球勒索软件威胁形势持续恶化，各种类型的勒索攻击规模和破坏性均有明显增长，这严重威胁了企业组织数字化业务的稳定开展。