錢書慧（整理）

網(wǎng)絡風險無處不在

●據(jù)美國科技媒體ZDNet報道，有研究人員發(fā)現(xiàn)，中國企業(yè)出現(xiàn)了數(shù)起簡歷信息泄漏事故，涉及5.9億份簡歷。大多數(shù)簡歷之所以泄露，主要是因為MongoDB和ElasticSearch服務器安全措施不到位，不需要密碼就能在網(wǎng)上看到信息，或者是因為防火墻出現(xiàn)錯誤導致。

●WinRAR在享譽全球成為必備裝機軟件的同時，過去的19年來，它也深受各種嚴重安全漏洞的負面影響。根據(jù)安全公司Check Point研究人員披露的細節(jié)，在WinRAR的UNACEV2.dll代碼庫中發(fā)現(xiàn)嚴重安全漏洞，該漏洞允許人們繞過權限提升就能運行WinRAR，而且可以直接將惡意文件放進Windows系統(tǒng)的啟動文件夾中。這就意味著當用戶下次重新開機的時候，這些惡意文件就能自動運行，讓人“完全控制”受害者的計算機。全球有超過5億用戶受到WinRAR漏洞的影響。

●網(wǎng)絡安全機構GDI Foundation安全研究人員維克多·葛弗斯發(fā)現(xiàn)，3.64億條中國用戶的私密聊天記錄被泄露到了互聯(lián)網(wǎng)上，其中涉及微信支付記錄。葛弗斯表示，他發(fā)現(xiàn)一個包含有3.64億條記錄的數(shù)據(jù)庫，其中包含與姓名和身份證號相關聯(lián)的社交媒體數(shù)據(jù)、聊天記錄。數(shù)據(jù)庫中的記錄有提及微信、QQ、微信支付記錄和QQ賬號的標簽。許多聊天記錄是中國用戶之間的日常對話，涉及金錢、愛情等。

●在新加坡卡巴斯基安全分析師峰會上，卡巴斯基安全研究人員稱發(fā)現(xiàn)了一個新的網(wǎng)絡犯罪市場“Genesis”，主要產(chǎn)品是用戶的完整數(shù)字配置文件，上面銷售著60,000多名用戶的全數(shù)字指紋。該服務于2018年秋季推出，創(chuàng)建者開始在幾個出售被盜支付卡詳情的論壇上宣傳其“二級/相關服務”。

●感染過惡意軟件或安裝過惡意瀏覽器擴展程序的用戶在不知不覺中被記錄了賬號密碼和完整的瀏覽器詳細信息，包括在線支付門戶、電子銀行服務、文件共享或社交網(wǎng)絡服務賬戶登錄憑據(jù)、與這些賬戶關聯(lián)的cookie、瀏覽器用戶代理詳細信息、WebGL簽名、HTML5畫布指紋及其他瀏覽器和PC細節(jié)等用戶配置文件一并發(fā)送給了Genesis運營商，而運營商再將這些信息在其市場上出售給其他網(wǎng)絡犯罪集團，以此賺取利潤。

網(wǎng)絡系統(tǒng)

1.接入與訪問

禁止通過USB、光驅(qū)等外部設備進行數(shù)據(jù)交換，關閉不必要的服務和端口；

及時刪除多余、過期賬戶，避免存在共享賬戶；

用戶口令應滿足密碼復雜度要求(有數(shù)字、大小寫字母、特殊符號)，至少6個月更換一次；

禁止在互聯(lián)網(wǎng)暴露管理頁面和管理端口；

限制或檢查內(nèi)部用戶非授權連到外部網(wǎng)絡、非授權設備私自接入內(nèi)部網(wǎng)絡、內(nèi)部用戶傳送重要文件或數(shù)據(jù)到外網(wǎng)。

2.最小化安裝

僅安裝業(yè)務所需的組件和應用程序，服務器專機專用；

在業(yè)務服務器上關閉不必要的端口。

設備

1.網(wǎng)絡設備防護

內(nèi)部用戶身份鑒別信息應具有不易被冒用的特點，口令應有復雜度要求并定期更換，用戶名和口令禁止相同；

明確業(yè)務必需的端口，關閉不必要的服務和端口；

應定期檢查并鎖定或撤銷網(wǎng)絡設備中多余的內(nèi)部用戶賬號及調(diào)試賬號。

2.移動終端安全

移動終端接入網(wǎng)絡及訪問應用時，應對用戶與設備進行認證及授權；

對進行信息采集的移動終端設備進行安全性檢測；

移動終端安裝、運行的客戶端來自可靠分發(fā)渠道或使用可靠證書簽名；

移動終端在安全的網(wǎng)絡環(huán)境下接入；

外部終端接入網(wǎng)絡訪問，應進行訪問權限管理；

定期檢查、處理非法接入和非法外聯(lián)行為。

3.介質(zhì)管理

確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護，并定期盤點；

對介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等情況進行控制。

4.設備管理

確保信息處理設備經(jīng)過審批才能帶離機房或辦公地點；

對機房安全管理作出規(guī)定，包括機房物理訪問、物品帶進帶出和機房環(huán)境安全等；

避免在重要區(qū)域接待來訪人員，包含敏感信息的紙檔文件和移動介質(zhì)等應妥善保管。

數(shù)據(jù)

1.安全數(shù)據(jù)交換

信息系統(tǒng)與外部網(wǎng)絡進行數(shù)據(jù)交換時，應通過數(shù)據(jù)交換區(qū)或?qū)Ｓ脭?shù)據(jù)交換設備等完成內(nèi)外網(wǎng)數(shù)據(jù)的安全交換。

2.數(shù)據(jù)共享

對數(shù)據(jù)共享目錄進行嚴格的權限設置，分配訪問賬號及賬號權限；

取消共享目錄內(nèi)所有文件的執(zhí)行權限。

3.個人信息保護

個人可公開信息、個人敏感信息（電話號碼、郵箱、血型、宗教信仰、銀行賬號等）應進行區(qū)別存儲；

對個人敏感信息進行加密存儲，并使用數(shù)據(jù)脫敏技術，對敏感信息進行模糊化處理；

對個人敏感數(shù)據(jù)文件內(nèi)容進行加密存儲。