2017年的尾巴、刚刚过去的12月，安全行业发生了哪些大事？有什么政策趋势需要注意？请看下文的安全内参12月盘点：
政策&趋势
全国人大常委会执法检查组：建议明确网络安全执法各部门权责界限
全国人大常委会副委员长王胜俊在人大常委会作报告时指出，“网络安全监管‘九龙治水’现象仍然存在，权责不清、各自为战、执法推诿、效率低下等问题尚未有效解决，法律赋予网信部门的统筹协调职能履行不够顺畅。”
习近平强调，要切实保障国家数据安全。要加强关键信息基础设施安全保护，强化国家关键数据资源保护能力，增强数据安全预警和溯源能力。要加强政策、监管、法律的统筹协调，加快法规制度建设。要制定数据资源确权、开放、流通、交易相关制度，完善数据产权保护制度。要加大对技术专利、数字版权、数字内容产品及个人隐私等的保护力度，维护广大人民群众利益、社会稳定、国家安全。要加强国际数据治理政策储备和治理规则研究，提出中国方案。
包括信软司、通信司、信管局、网安局等相关司局。其中网络安全管理局2018年主要工作思路包括以下几点：
全面落实依法治国精神，夯实网络与信息安全依法监管能力；
聚焦工程建设和拓展应用，强化技术保障支撑能力；
强化网络基础设施和数据安全管理，提升行业网络安全保障水平；
维护国家安全和服务社会民生，深入推进网络空间综合治理；
推进网络安全产业发展和人才队伍建设，提高网络安全支撑服务能力。
12月25日，国家工商总局网络安全和信息化领导小组正式成立并召开领导小组第一次会议。总局党组书记、局长张茅强调，深入贯彻落实习近平总书记关于网信事业发展的系列重要讲话精神，全面加强工商网络安全和信息化建设，引领助推商事制度改革和市场监管创新，更好地服务经济社会发展。
美国当地时间2017年12月18日下午，特朗普公布了其任职期内的首份国家安全战略报告，长达68页，其中强调本届政府在全球及外交政策层面将始终坚持 “美国至上”的方针，囊括了用于改善美国国家网络安全方法的行动纲要清单。
工信部《工业控制系统信息安全行动计划（2018-2020年）》全文发布
工业控制系统信息安全（以下简称工控安全）是实施制造强国和网络强国战略的重要保障。近年来，随着中国制造全面推进，工业数字化、网络化、智能化加快发展，我国工控安全面临安全漏洞不断增多、安全威胁加速渗透、攻击手段复杂多样等新挑战。为全面落实国家安全战略，提升工业企业工控安全防护能力，促进工业信息安全产业发展，
台湾经济事务主管部门正式公告“IPCAM资安产业标准及检测规范正式版V1.0”制定完成，并预计于2018年开始推动检测验证工作，除可协助业者确保产品符合IPCAM产品质量规范，也让设备制造商与系统服务商在产品研发、设备采用方面有所依据，更重要的是藉此检测标准建立，建立台湾智慧联网设备资安检测服务能量，奠定台湾资安产业未来发展基础。
2017年度内参
全球100起重大投融资看未来网络安全发展热点 | 2017年网络安全行业内参
在即将过去的2017年，网络安全领域投资保持了增长趋势，全年大型投融资事件超过100起，投融资总额超过100亿美元。从投资的领域分布来看，云计算、终端安全、身份与访问管理、物联网安全等领域，吸引了大部分的投资资金，其中终端安全、身份与访问管理的投资多集中在少数创新领军企业，或者传统优势厂商收购增加安全功能。
全球28起重大事件看2017年网络安全大势 | 2017年网络安全行业内参
1、和2016年相比，2017年数据泄漏事件量级上整体翻了一番。短短一年里，从GB到TB，从数亿到数十亿，涨势凶猛。
2、勒索和软件供应链攻击以全年大事件出现频次最多而成为2017年黑客攻击的年度关键词。
3、引发WannaCry、NotPetya两次全球数据勒索危机的永恒之蓝（EternalBlue，CVE-2017-0144）是当之无愧的年度影响力漏洞。
全球31个政策看2017网络安全行业发展 |2017年网络安全行业内参
2017年，是网络安全法规制度建设的爆发年！通过对全球各国的31个网络安全法律政策的盘点，我们能够看到，网络安全法律、战略的顶层设计成为了全球各国在2017年网络安全领域的头等大事，各国纷纷出台网络安全相关法律法案、战略、指南等，对国家的网络空间安全发展、趋势进行引导和规范，对行业的网络安全防护进行指导。另外，针对关键信息基础设施甚至掌握相关关键信息基础设施资源的行业出台了更加严格的监管措施。
全球新闻
1.23亿美国家庭数据在线泄露，谁该为AWS S3配置错误买单？
美国加州数据分析公司Alteryx的因亚马逊AWS S3存储桶简单的配置错误问题，导致1.23亿美国家庭的敏感数据泄露。Alteryx公司泄露的这些数据，涉及美国家庭的住址、联系信息、偏爱的宠物等，数据详细到包括抵押所有权和财务状况以及购买行为的详细分析，这些暴露的数据反映出美国消费者的真实生活。
未经授权的黑客进入了公司的网络系统，其旗下加拿大金融公司（Nissan Canada Finance，NCF）和英菲尼迪加拿大金融服务公司（Infiniti Financial Services Canada）的客户个人信息可能已经遭到了访问及窃取。
美国国土安全部发布预警：HatMan、Triton等恶意软件威胁工控安全
网络安全公司 FireEye和 Dragos 于上周报道称，新型恶意软件 Triton 和 Trisis 通过破坏关键基础设施中广泛使用的施耐德电气 Triconex 安全控制器致使中东部分机构关场停工。据悉，工业网络安全公司 CyberX 根据种种迹象推测，此次网络攻击事件的幕后黑手可能由伊朗策划，其目标疑似沙特阿拉伯的一家重要机构。美国国土安全部（DHS）的国家网络安全和通信集成中心（NCCIC）周一就此事发布了一份针对工业安全系统的恶意软件的分析报告。
在美国的阿拉斯加法庭上，三名美国年轻人承认造成去年10月21日“美国断网事件”的 Mirai 僵尸网络工具是他们开发的。21岁的Paras Jha 接受了多项指控，包括编写Mirai 源代码及运营僵尸网络，并以此发送攻击和在线欺诈程序。他的同伙 Josiah White（20岁）和 DaltonNorman（21岁）则承认同谋。三人从中获利 100 个比特币，目前价值约 170万美元。三人面临最高 5 年的刑期和一笔至少 25 万美元的罚款。
特朗普政府的国土安全顾问Thomas P. Bossert ，周一在华尔街日报发表的一篇专栏文章中表示：WannaCry 在全球范围内肆虐，造成数十亿美元的损失，而朝鲜负有直接责任。 我们不是轻易这样说的。 而是基于确凿的证据，和多重严重得到了这个结论。
据外媒报道，美国总统特朗普于当地时间周二签署了一项法令，接下来各政府部门将不能继续使用卡巴斯基实验室的杀毒软件。这一禁令进一步强化了特朗普政府在今年9月发布的一项法令，即民间机构需要在90天内删除卡巴斯基软件。现在新法令同时适用民用和军用网络。
漏洞研究
网络安全公司 SECConsult 研究人员近期发现德国自动化工业厂商 WAGO 制造的 17 款 750-820X 系列的 PFC200 PLC（可编程逻辑控制器）存在一处高危漏洞，允许黑客未经授权远程访问目标组织整个网络系统，可能会对生产和关键基础设施构成严重威胁。
据澳大利亚信息技术安全公司Elttam 的安全研究人员发现，开源GoAheadWeb服务存在高危漏洞（CVE-2017-17562），可被利用执行远程执行恶意代码。Embedthis GoAhead 3.6.5之前的版本均受到影响。
Windows 10面部识别曝安全漏洞，一张大头贴就能破了它
微软在本月早些时候发布了更新，以修复Windows 10面部识别系统WindowsHello中的一个漏洞，该漏洞允许攻击者使用打印的照片来绕过面部扫描。Windows Hello是一种生物特征授权方式，允许用户可以通过面部扫描解锁Windows 10设备（配备近红外传感器的台式机、笔记本电脑或者平板电脑）。
仅仅贴一张膜，就可能让你的指纹锁形同虚设，而所涉及的手机品牌几乎包括目前所有主流国产手机厂商。业内人士认为，这一重大安全漏洞不仅仅是个别芯片厂商的设计漏洞，而可能是手机指纹识别的行业性问题，保守估计，至少会有上亿部手机受到影响，而这可能是手机行业涉及终端数量最大的一次安全事故。
美国运营商AT&T的电视网关被爆0day漏洞，可远程ROOT设备
趋势科技安全研究人员RickyLawshae公开了AT&T DirecTV WVB设备组件中存在易于利用的 0day漏洞（编号CVE-2017-17411），黑客利用该漏洞可以获取root权限，从而完全控制该设备，数百万注册 DirecTV服务的用户将面临风险。
预测&规划
01 更多的供应链攻击
02 更多高端的移动恶意软件
03 更多类似BeEF的web框架分析工具
04 先进的UEFI和BIOS攻击
……
1. AI与AI的较量
2.非洲将成为攻击者和目标的新领域
3. 身份危机
4. 勒索软件瞄准IoT设备
5. 企业开始重视安全事件响应
1. 政府将不再是惟一可靠的、经过验证的身份供应方
2. 脱离混乱：将有更多物联网攻击出于经济收益驱使
3. 网络犯罪分子将利用勒索软件关闭POS系统
4. 网络犯罪分子将试图破坏美国2018年中期选举的完整性
5. 区块链将在风险投资与安全供应商发展路线图层面超越AI成为新的关注核心
6. 在寻找内部威胁方面过于积极的企业将面临诉讼与GDPR罚款
1、信息化应用趋向移动化、集成化、智能化
2、信息资源规划逐渐成为信息化规划的重点
3、央企全面推进信息化借助“大云平移”等新一代信息技术
4、应对新的安全形势必将加强信息安全体系建设
5、管理提升与业务创新的融合将更加深入
作为企业信息安全主管，作者对于金融特别是保险企业信息安全建设及发展规划有着丰富的经验和独到的见解。他认为，过去业内惯常的对于已知威胁过度聚焦的思维，已经无法应对金融企业发展的新形势和其对安全能力的新要求。他强调，信息安全规划应该着眼细节，局部入手，动态发展，并且逐步建立并实现整体安全观。
关于安全内参
《安全内参》是专注网络安全产业发展和行业应用的智库平台，依托于专业的安全团队和近千位国内顶级的产业和行业专家团队，为网络安全相关政府、行业、企业和机构的管理者、决策者和从业者提供全球视野、高价值的安全知识和安全智慧，致力于成为网络安全首席知识官。
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
