教育网络安全动态

2022年10月第3期（2022.10.22-2022.10.27）

一、政策要闻

1.雷朝滋，首次将"推进教育数字化"写进党代会报告为工作指明了前进方向

10月20日，教育部科学技术与信息化司党支部召开党的二十大精神学习研讨会，专题学习习近平总书记代表第十九届中央委员会向党的二十大作的报告，深入交流学习体会。党支部书记、司长雷朝滋主持会议，全司党员干部参会。雷朝滋强调，首次将“推进教育数字化”写进党代会报告，强调建设全民终身学习的学习型社会、学习型大国。这为进一步做好新时代高校科技创新和教育数字化工作指明了前进方向、提供了根本遵循。要加快实施国家教育数字化战略行动，升级国家智慧教育公共服务平台，建设国家教育大数据中心，为全面建设社会主义现代化国家培养创新人才。

（来源：教育信息化资讯）

2.央行下发《金融领域科技伦理指引》，有序推动数据资源安全共享

央行近日下发《金融领域科技伦理指引》。根据该《指引》全文来看，已就行业最关注的数据安全方面作出规定。根据该《指引》，相关金融机构需要充分获取用户授权、最小必要采集数据、专事专用使用数据。《指引》还要求，严格采取防护措施，建立健全数据安全防护长效机制，做好数据分类分级管理并采取常态化防护措施，提升数据保密性。在依法合规的前提下稳妥有序推动数据资源安全共享，不设置不合理的限制，不阻碍其他市场主体公平获取数据。《指引》指出，要主动清理留存数据，建立健全数据清理机制，明确清理的对象、流程、方式和要求。对于已实现处理目的或达到存储期限的个人信息，及时、妥善进行销毁或匿名化处理，并确保不能通过直接或间接的方式被非法识别获取。

（来源：新京报）

二、技术资讯

3.研究人员披露了 Windows 事件日志漏洞：LogCrusher 和 OverLog

据TheHackerNews报道，网络安全研究人员披露了微软Windows中两个漏洞的详细信息，其中一个漏洞可能被利用来导致拒绝服务（DoS）。这些漏洞被Varonis称为LogCrusher和OverLog，针对事件日志远程处理协议（MS-EVEN），该协议允许远程访问事件日志。Dolev Taler在与the Hacker News分享的一份报告中表示，虽然前者允许“任何域用户远程崩溃任何Windows计算机的事件日志应用程序”，但OverLog通过“填充域上任何Windows计算机的硬盘空间”导致DoS。

（来源：汇能云安全）

4.Ring 0 级固件威胁：新型 UEFI rootkit 恶意软件 BlackLotus 曝光

据cnBeta报道，最近引发广泛讨论的“BlackLotus”，属于一款相当全能的固件级 rootkit 恶意软件。特点是能够躲过各种删除操作，以及绕过先进的 Windows 防护措施。此前这类高级攻击能力，仅被拥有深厚背景的机构所拥有，比如情报威胁组织。然而据报道，一款更新、更强大的 UEFT rootkit，正被人挂到暗网论坛上叫卖。

（来源：cnBeta）

三、国际视野

5.谷歌推出开源计划GUAC，保护软件供应链安全

谷歌表示，除了可用于主动式安全和运营安全外，GUAC将帮助组织机构更有效地应对所发现威胁。例如，发现新漏洞时，组织机构将能够利用GUAC判断具体哪个软件组成部分受影响。同样，当开源组件被降级后，GUAC可帮助开发和安全团队快速评估对其环境造成的影响。

（来源：汇能云安全）

6.Typosquat模仿27个品牌推送Windows、Android 恶意软件

网络情报公司 Cyble在本周发布的一份报告中称发现了一些恶意网站，其重点关注模仿流行的 Android 应用商店以及 PayPal、VidMate、Snapchat等。在这场大规模的恶意活动中，Typosquat使用了 200 多个假冒域名，冒充 27 个品牌，诱骗访问者下载各种 Windows 和 Android 恶意软件。

（来源：汇能云安全）

7.欧洲2023年立法议程：数字立法位于第二位

欧盟委员会发布了新一年的工作计划（下称“计划”）。计划分为四个部分，其中第三部分为核心，交代了欧盟明年政策的六大议题，其中数字立法位于环保之后的第二位。欧盟曾考虑对元宇宙进行单独立法，但最终仍决定采用安放在相关治理工具的方式治理。2020-2022年间，欧盟委员会发布了一系列数字立法议案，整个数字治理版图已经基本清晰完整并开始收尾，来年将着重既有法律文本的打磨和敲定。

（来源：数字治理全球洞察）

以上内容不代表本部门观点，如有侵权请及时联系我们。