安恒信息2023年12月金融安全資訊

文檔編號 AH-PSS-SN-12版本編號 Ver1.0密 級 完全公開日 宣發(fā)部門

2023-12-29服務咨詢規(guī)劃部金融業(yè)安全資訊（202312月）本資訊由安恒信息服務咨詢規(guī)劃部提供整理提供，如果有相關咨詢和意見可聯系：consultation@適用性聲明本文檔為安恒信息金融業(yè)安全定期資訊相關文檔。版權聲明本文中的所有信息均為安恒信息內部信息，務請妥善保管，未經安恒信息明確作出的書面許可，不得為任何目的、以任何形式或手段（包括電子、機械、復印、錄音或其他形式）對本文檔的任何部分進行復制、存儲、引入檢索系統或者傳播。目錄一.金融行業(yè)相關 1《非銀行支付機構監(jiān)督管理條例》自2024年5月1日起施行 1國外金融科技領域加強生態(tài)合作促進數據安全的做法及啟示 1信用卡團伙欺詐風險分析與應對策略 1民營銀行數字化安全運營實踐 2加強金融行業(yè)關鍵信息基礎設施安全保護，有效防范網絡安全風險 2審計視角下信用卡套現風險應對策略分析 2方濱興院士：發(fā)展網絡安全保險產業(yè)構建新型網絡安全生態(tài) 3二.國家信息安全工作 3網絡安全標準實踐指南——大型互聯網平臺網絡安全評估指南》公開征求意見 3國家互聯網信息辦公室關于《網絡安全事件報告管理辦法（征求意見稿）》公開征求意見的通知 國家網信辦發(fā)布《粵港澳大灣區(qū)（內地、香港）個人信息跨境流動標準合同實施指引》................................................................................................................................................4CCIA技術規(guī)范《兒童智能手表個人信息和權益保護指南》公開征求意見 4國家標準《信息安全技術政務計算機終端核心配置規(guī)范》公開征求意見 5工信部等十四部門部署開展網絡安全技術應用試點示范工作 5工信部組織開展網絡安全保險服務試點工作 5北京經信局印發(fā)《關于打造國家信創(chuàng)產業(yè)高地三年行動方案(2023-2025年)》 6三.安全事件與攻防技術 6埃及電子支付巨頭遭勒索軟件攻擊，花費近半個月恢復正常 6非洲國家萊索托央行被黑，國家支付系統癱瘓 6美國一銀行工程師離職刪庫，被判兩年監(jiān)禁 72023年十大新興安卓銀行木馬 7金融云被勒索，超60家信用社服務中斷 7美國房地產市場接連“爆雷”，美國產權保險巨頭遭網絡攻擊下線 8美國某金融公司遭遇網絡攻擊，130萬民眾受影響 8銀行“大盜”Carbanak勒索軟件卷土重來 8四.參考資料與信息 9小議IOC生命周期及其核心環(huán)節(jié) 9深度分析：網絡偵察技術類別與發(fā)展趨勢 9中國企業(yè)出海數據跨境合規(guī)問題及應對 9網絡安全運營關鍵績效指標簡析 10央企在網絡安全新形勢下的動態(tài)防御體系研究與應用 10數據接口安全風險監(jiān)測技術原理與實踐案例分析 10網絡安全制度的內在關系 112024年網絡安全合規(guī)建設的6個發(fā)展預測 11一.金融行業(yè)相關202451日起施行20231217202451660國外金融科技領域加強生態(tài)合作促進數據安全的做法及啟示隨著金融科技行業(yè)的快速發(fā)展，金融數據安全問題日益凸顯。國外金融科技領域在數據安全監(jiān)管、數據安全保護等方面注重加強生態(tài)合作，相關的做法對于國內運營商有參考啟示作用。信用卡團伙欺詐風險分析與應對策略當前，我國信用卡行業(yè)已從高速增長階段轉向高質量發(fā)展階段，但行業(yè)整體也面臨著諸多風險挑戰(zhàn)，其中欺詐風險形勢較為嚴峻。中國銀聯數據顯示，2022年，我國信用卡欺詐直接損失金額為0.8566.30%、16.09%、11.81%。本文對有中介參與的信用卡欺詐風險特征進行分析，并基于實際數據研究分析信用卡團伙欺詐風險，同時提出相關應對策略，希望能對銀行防范和治理此類風險有所幫助。民營銀行數字化安全運營實踐當前，全球數字化進程持續(xù)推進，伴隨著人工智能、大數據和云計算等數字技術的不斷創(chuàng)新與升級，全球信息安全的格局也隨之發(fā)生深刻變化。銀行業(yè)機構作為金融基礎設施的運營者，在網絡安全建設方面承擔著更多的責任和使命。當前，隨著數字化發(fā)展的不斷深入，關鍵信息基礎設施作為國家的重要戰(zhàn)略資源，面臨著國內外嚴峻的網絡安全風險。為了確保國家安全，在國家發(fā)展各領域和全過程中，需要將安全發(fā)展貫穿始終，筑牢國家安全屏障。金融安全作為國家安全的重要組成部分，是經濟平穩(wěn)健康發(fā)展的重要基礎?！蛾P鍵信息基礎設施安全保護條例》已實施了兩年，《信息安全技術關鍵信息基礎設施安全保護要求》（GB/T39204-2022）（以下簡稱《關保要求》）51日正式實施。中國民生銀行作為關鍵信息基礎設施（以下簡稱“關基”）運營者，始終貫徹習近平總書記關于網絡安全審計視角下信用卡套現風險應對策略分析近年來，伴隨著手機支付、掃碼支付等大數據、智能化場景業(yè)務的多樣化快速發(fā)展，信用卡套現呈現更多新的特點。套現中介機構掌握著大量商戶信息，依據刷卡人常住地、交易區(qū)域、交易時間、交易金額等特征指標總結出一套避免因套現被發(fā)卡銀行封卡的方法，如不封頂刷卡、刷卡金額有零有整、使用不同商戶刷卡等。發(fā)卡銀行內部審計部門是風險防控的第三道防線，分析如何應對大數據、智能化對信用卡套現審計帶來的新挑戰(zhàn)，多措并舉對信用卡套現行為進行精準監(jiān)測審計，實現內部審計對信用卡業(yè)務的監(jiān)督和服務價值，具有較強的現實意義。20237二. 國家信息安全工作網絡安全標準實踐指南——大型互聯網平臺網絡安全評估指南》公開征求意見為指導大型互聯網平臺評估發(fā)現和防范可能影響社會穩(wěn)定、公共利益的網絡安全風險，秘書處組織編制了《網絡安全標準實踐指南——大型互聯網平臺網絡安全評估指南（征求意見稿）》。國家互聯網信息辦公室關于《網絡安全事件報告管理辦法（征求意見稿）》公開征求意見的通知2023128日，為了規(guī)范網絡安全事件的報告，減少網絡安全事件造成的損失和危害，維護國家網絡安全，依據《中華人民共和國網絡安全法》等法律法規(guī)，國家互聯網信息辦公室起草了（征求意見稿1小時內進行報告。（個人信息跨境流動標準合同實施指引》20231213新科技及工業(yè)局關于促進粵港澳大灣區(qū)數據跨境流動的合作備忘錄》關于“共同制定粵港澳大灣區(qū)個人信息跨境標準合同并組織實施，加強個人信息跨境標準合同備案管理”的合作措施，國家互()個人信息跨境流動標準合同實施指引》，現予公布。CCIA技術規(guī)范《兒童智能手表個人信息和權益保護指南》公開征求意見全國信息安全標準化技術委員會歸口的國家標準《信息安全技術政務計算機終端核心配置規(guī)范》現已形成標準征求意見稿。工信部等十四部門部署開展網絡安全技術應用試點示范工作工業(yè)和信息化部、國家網信辦、人力資源社會保障部等十四部門近日聯合印發(fā)通知，部署開展網絡安全技術應用試點示范工作。將以新型信息基礎設施安全、數字化應用場景安全、安全基礎能力提升為主線，面向公共通信和信息服務、人力資源社會保障、水利、衛(wèi)生健康、應急管理、廣播電視、金融、交通運輸、郵政等重要行業(yè)領域網絡和數據安全保障需求，從基礎網絡安全、云計算安全、人工智能安全、大數據安全、信創(chuàng)安全、商用密碼、車聯網安全、物聯網安全、中小企業(yè)數字化轉型安全、網絡安全共性技術、網絡安全創(chuàng)新服務、教育技術產業(yè)融合發(fā)展聯合體、網絡安全13個重點方向，遴選一批技術先進、應用成效顯著的試點示范項目。工信部組織開展網絡安全保險服務試點工作為加快推進網絡安全保險新模式落地應用，工業(yè)和信息化部近日印發(fā)通知，組織開展網絡安全保險服務試點工作。結合現階段我國網絡安全保險現有險種，本次試點險種主要包括網絡安全財產類保險和網絡安全責任類保險兩大類。結合我國網絡安全保險發(fā)展實際，試點內容包括面向電信和互聯網、工業(yè)互聯網、車聯網等重點行業(yè)的企業(yè)類保險和網絡安全產品、信息技術產品，以及網絡安全服務類保險。(2023-2025年)》1221日，北京市經濟和信息化局、北京經濟技術開發(fā)區(qū)管委會聯合制定的《關于打造國家信創(chuàng)產業(yè)高地三年行動方案（2023-2025年》（以下簡稱《行動方案》）2025年，在全國率先建成技術領先、企業(yè)集聚、方案突出、服務完備的信創(chuàng)產業(yè)高質量發(fā)展體系，打造100個信創(chuàng)應用場景，集聚400家信創(chuàng)企業(yè)，引培萬名產業(yè)人才，信創(chuàng)產業(yè)規(guī)模突破1000億元。三.安全事件與攻防技術LockBit3.0Fawry8FawryHackmanacLockBit3.0Fawry客戶的個Fawry平臺上的賬戶信息。非洲國家萊索托央行被黑，國家支付系統癱瘓18日消息，上周早些時候，非洲南部國家萊索托的中央銀行遭受網絡攻擊，導致嚴重故障。萊索托央行發(fā)表多份聲明，確認最近的事件影響了多個系統。萊索托位處內陸山區(qū)，被南非環(huán)抱，這個國家人口為200余萬。該行在上周二（1212日）表示，“萊索托中央銀行通知公眾，1211日，央行系統發(fā)生一起網絡安全事件。央行已對此展開調查，并正在全天候工作以恢復系統功能?！泵绹汇y行工程師離職刪庫，被判兩年監(jiān)禁舊金山第一共和銀行前云工程師MiklosDanielBrody52.9萬美元。第一共和銀行是美國的一家商業(yè)銀行，擁有七千多名員工，年收入達67.5億美元。該銀行于2023年5月1日被出售給摩根大通。2023年十大新興安卓銀行木馬2023年，1061個國家/985個銀行和數字金融交易程序。銀行木馬是一種“老而彌堅”的惡意軟件，可竊取用戶的憑證和會話cookie來繞過雙因素認證（2FA）保護，有時甚至能自動執(zhí)行交易來竊取用戶的在線銀行帳戶資金。60家信用社服務中斷12月4日消息，大約60家信用合作社因行業(yè)技術提供商遭受勒索軟件攻擊面臨服務中斷。美國國家信用合作社管理局（NCUA）是聯邦層面監(jiān)管信用合作社的機構。該機構發(fā)言人JosephAdamoli表示，此次勒索軟件攻擊對象是云服務提供商OngoingOperations，該公司隸屬信用合作社技術公司Trellance。RealEstateWealthNetwork15億條房產交易信息后，美國第二大產權保險公司第一美國產權保險（FirstAmerican）本周五凌晨遭網絡攻擊后關閉了部分系統（勒索軟件攻擊的典型癥狀）。美國某金融公司遭遇網絡攻擊，130萬民眾受影響TheRecord網站披露，美國最大的產權保險公司富達國民金融（FidelityNationalFinancial（"FNF"））子公司向所在州監(jiān)管機構報告了一起數據泄露事件，并指出有1316938人的數據信息被入侵其母公司的威脅攻擊者盜取。Carbanak勒索軟件卷土重來據觀察，名為"Carbanak"的銀行惡意軟件近日又有新動作。有黑客利用該軟件發(fā)起勒索攻擊，并采用了與之前完全不同的全新策略。NCC11四. 參考資料與信息IOC生命周期及其核心環(huán)節(jié)(IETF)RFC9424IOC（IndicatorOfCompromise）IOC的用途、優(yōu)勢及使用場景部分。IOC4深度分析：網絡偵察技術類別與發(fā)展趨勢網絡攻擊者利用偵察技術，通過發(fā)現系統和人員中的漏洞來滲透網絡并破壞系統，在攻擊中發(fā)揮著重要作用，是成功實施攻擊的關鍵階段之一，如在烏克蘭電網網絡攻擊中的系統掃描、孟加拉國銀行網絡搶劫中的魚叉式網絡攻擊等。本文在介紹網絡偵察概念、偵察目標的同時，對現有的偵察技術根據獲取目標信息手段的不同進行分類評述，包括基于第三方數據源、社會工程學、系統的偵察技術，最后提出網絡偵察技術未來的發(fā)展方向。中國企業(yè)出海數據跨境合規(guī)問題及應對數據要素已經成為生產要素之一，被比作當代的“石油”。從理論上來說，數據流動越暢通、越快速，它所產生的經濟效益就越大。尤其是生成式人工智能崛起之后，數據的經濟價值更加凸顯。那么究竟是什么因素，導致各國政府會制定阻止數據的自由流動、影響經濟增長的“數據本地化”政策呢？如果企業(yè)能深刻理解這個問題，在不同國家、不同場景中做出應對選擇時一定會事半功倍。網絡安全運營關鍵績效指標簡析只有可以被衡量的事才能得到有效管理，對于網絡安全運營工作更是如此。在日常工作中，安全運營團隊應該通過可量化的指標向企業(yè)管理層和其他業(yè)務部門展示組織當前的網絡安全建設狀況和風險態(tài)勢，同時證明現有的網絡安全投入是否有效。在此背景下，網絡安全運營工作應該被設置合理的績效指標?；谶@些指標，企業(yè)可以更好地了解當前面臨的風險，了解攻擊者的攻擊企圖，同時還能夠為優(yōu)化未來的工作目標提供參考。本文12央企在網絡安全新形勢下的動態(tài)防御體系研究與應用網絡安全的本質是對抗，針對當前高水平和快速變化的安全威脅，為適應央企在網絡安全新形勢下的應用以及業(yè)務體系快速疊加演進所帶來的安全風險和威脅，須改變傳統被動防護的安全管理和技術體系，使之更加智能、快速、彈性地應對突發(fā)的安全威脅，并在威脅處置過程中不斷進行防御策略的優(yōu)化、網絡空間環(huán)境的塑造，將網絡和信息安全防護工作從被動響應變?yōu)橹鲃臃烙軌驅θ遮厪碗s的網絡攻擊進行更為精準的發(fā)現與打擊，形成統一閉環(huán)的動態(tài)