❶ 二零二一年几月中央网络安全和信息化委员会印发提升全民数字素养
二零二一年十月中央网络安全和信息化委员会印发提升全民数字素养。是在2021年10月，中央网络安全和信息化委员会印发《提升全民数字素养与技能行动纲要》，对提升全民数字素养与技能作出安排部署。
❷ 全球安全极客大会首登元宇宙，构筑网络安全新防线！有何看点
可以作为全球网络安全领域的顶级专业。借助“DEFCONstruct”这个构建于人类第二平行时空的虚拟空间，DEFCON30CHINAParty还将为元界“原住民”打造一个全新的极客社区中心，打造全新的极客社区中心。以全新的沉浸式体验和多重互动，传递网络安全领域最前沿的研究成果，展现极客的探索精神和创造力。
通过云扫描查杀，解决轻量级产品问题，将病毒库直接放在云端，实时更新，让查杀软件最终跑在病毒面前。免费策略真正让杀毒软件走进千家万户，使中国成为全球计算机安全性最好的国家。周鸿祎也因免费颠覆行业而出名，留下了颠覆者的名号。事实上，这功劳远不能为每个家庭节省数百美元的杀毒软件费用。
❸ “新基建”视野下网络安全新趋势
“新基建”的推进必将带来一轮信息化基础设施建设的高峰，推动 社会 经济模式和产业模式的新变革。网络安全作为“新基建”必不可少的安全保障，必然会迎来产业发展的新机遇。
1．“新基建”提速离不开网络安全保障
5G、工业互联网、人工智能、大数据中心作为新一代信息基础设施在“新基建”中被重点提出，是对我国基础设施进行数字化改造的重要方向。以5G为代表的新一代信息基础设施建设，可以支持物联网、工业互联网、智能家居、智慧医疗、智慧城市等多样化的交互智能的应用场景。在新一代信息基础设施建设过程中，不但要考虑5G、工业互联网、人工智能、大数据中心等自身架构的安全，而且要考虑在“新基建”形成的广泛应用场景的安全，不同场景的安全需求各有差异。因此，网络安全需要与“新基建”紧密联系，形成共成长、共协同的服务模式。
工业互联网让工业企业间逐渐互联互通、数据共享，工业信息安全作为工业数据及网络控制过程中的安全保障在其建设及发展中尤为重要。工业互联网、智能制造深入发展，生产网络和管理网络不断融合，工业数字化在打破生产与管理网络界限的同时，企业与外网链接的次数和数据交换量也在快速增长，工业体系逐渐由封闭走向开放，网络安全威胁开始向工业环境渗透，工业领域的信息安全问题日益凸显。工业信息安全也将是“新基建”的重点考虑问题，工业安全的重点也从IT防护扩展到“IT+OT”防护，即针对业务流程和数据进行的系统性防护。在工控系统安全方面，边界和终端安全防护是现阶段的主要手段，防护技术仍在 探索 当中。在工业网络和工业云方面，工业互联网安全监测与态势感知能力建设已成为重要趋势。据赛迪顾问预测，到2022年，我国工业信息安全市场规模达到307.6亿元人民币。
2．行业基础设施布局加快推动网络安全领域投资
交通、能源、制造等行业信息基础设施建设逐步加快，国家监管必然要求在建设过程中满足网络安全合规性，此类行业将在国家政策推动下加大网络安全的投资力度。在“新基建”中，加快城际高速铁路和城市轨道交通等基础设施建设，推动交通网的进一步发展，加快特高压和新能源 汽车 充电桩的建设，则是重点要推动能源网的发展。在融入5G和人工智能技术之后，交通网和能源网将会部署各种低时延感知的传感网络，遍布在全国各个地方和各种环境，进行大连接的感知。在这种大连接的感知中，网络安全的重要性依然不言而喻。因此，在交通网和能源网的建设过程中，国家将进一步加大网络安全投入，传统行业的网络安全市场将有较快增长。
3．数字基建进一步促进网络安全向服务化转型
随着智慧城市、数字经济的发展，网络安全更趋向与综合安全能力和运维能力一体化需求，持续的监测服务能力比单纯防护更为重要。数字基建的步伐加快数字城市的建设，推动数字经济的快速发展。在推进“新基建”的过程中要同步规划网络安全能力，专业的网络安全咨询与规划服务在建设过程中尤为重要。此外，在未来万物互联的状况下，针对未来网络安全对抗的复杂性和动态性，需要全面收集网络、云、终端、用户和业务等不同维度数据，对数字经济活动进行全面的、持续的安全监测，在安全监测的同时要利用安全多维分析引擎和安全专家形成人机协同的分析能力，及时发现和自动化处置不同威胁。越来越复杂的安全威胁使企业需要包括人、产品、技术方法的安全服务体系，因此，融合安全专家的专业安全监测与分析服务能力将成为未来必备的安全建设内容。据赛迪顾问预测，到2022年，包含安全规划、安全咨询、安全评估与分析在内的中国网络安全服务市场规模将迎来更快增长，达到209.9亿元人民币。
5．强化关键核心技术与产品的自研能力
以新型基础设施建设为抓手，补足信息技术短板，强化关键核心技术与产品的自研能力，对于我国抢抓新一轮变革机遇意义重大。国家正在加大对信息技术应用创新的支持力度，汇聚产业资源，促进技术创新，推动信息技术新产品和技术在更多领域应用推广。要加强“新基建”的供应链安全管理，把信息技术应用创新作为“新基建”建设中的重要考核指标，共同营造产业做大做强需要的良好生态环境。因此，在“新基建”的推动下，信息技术应用创新将迎来产业应用的机遇，进一步推动芯片产业化、推动工业软件的研发、加强自主应用生态的形成，打造信息技术应用创新的产业生态。
要抓住“新基建”带来的网络安全发展新机遇，必须要从政策上保持重视、从投资上找准方向、从行业用户角度提高安全意识、从企业自身角度确定产品布局，积极参与到“新基建”的建设浪潮中去，形成全数据、全能力、全行业、全 社会 的大协同。
1．从政策上，同步加强“新基建”的安全保障
在“新基建”的规划和实施过程中，在推动国家数字化基础设施建设的过程中，确保信息化建设和网络安全建设同步规划、同步建设和同步运行。从政策层面，必须加强监测监管，加强应急响应，监督指导任何参与“新基建”与数字 社会 运行中的主体，具备充分的安全意识和安全能力，完善政策制度管理体系，做好网络安全审查和监督工作。
3．从应用上，加快建设网络安全防护体系
在信息技术快速发展的环境中，在“新基建”的发展过程中，行业用户必须要加强网络安全保障，按照《网络安全法》《密码法》等要求，同步规划和制定数字“新基建”安全技术保障措施，完善面向数字“新基建”的安全测评、安全审计、保密审查、日常监测等制度。在面临大融合、大连接的数字 社会 中，应当提升全民网络安全意识，加快提升网络安全建设水平，以应对日益复杂的信息 社会 环境。
4．从供给上，积极提升产品安全能力
网络安全建设必然是一切“新基建”所面临的基础性问题，网络安全企业应当把握“新基建”这一重大利好，发挥自身在数字新技术、安全能力建设和安全运营方面的优势，积极投身于各地“新基建”热潮中。一方面，网络安全企业应当运用整体系统工程思维建设网络安全能力，提升自身产品和服务水平；另一方面，有实力的网络安全企业不但可以参与“新基建”建设，更需要成为新一代信息基础设施的运营者，服务数字城市、数字 社会 的管理，保障数字经济的安全平稳运行。
❹ 汽车芯片短缺潮“拐点”已至下一波“网络安全”升级战悄然开始
“我认为我们已经度过了最糟糕的时期，”丰田 汽车 全球采购经理Kazunari Kumakura近日公开表态，我们看到了复苏的迹象，并预计产量将从12月开始恢复。
过去一年时间，因疫情和全球 汽车 芯片短缺给 汽车 行业带来的巨大冲击，造成车企阶段性减产以及零部件供应商业绩低于预期的状态，或许很快就会得到缓解。
国际评级机构预测，随着新的芯片产能开始投产，全球芯片供应将从2022年年中开始全面改善。然而，在2023年中期之前，一定程度上仍然会出现结构性短缺。
按照高工智能 汽车 研究院监测数据显示，以国内市场为例，从今年3月开始，新车上险量连续数月小幅滑坡，但从9月数据（165.85万辆，环比增长7.28%）来看，下滑态势有止步的迹象。
不过，从目前情况来看，不同主机厂的芯片短缺情况会在接下来的四季度出现分化。 部分类似丰田（主要Tier1电装参股瑞萨）这样的厂商，可能会优先得到供应保障，而依赖第三方Tier1的车企，则需要被排队“分配”。
日本主要的 汽车 芯片制造商瑞萨电子上周三宣布，计划到2023年将 汽车 用芯片（尤其是高端MCU）和相关电子产品的关键部件供应能力提高50%以上。
“我们一直在增加市场供应，但需求也一直强劲。”瑞萨高级副总裁Takeshi Kataoka表示 ，公司还将把目前缺货严重的低端MCU产品产能提高约70%，主要是通过扩大内部工厂的产能。同时，高端MCU则将借助外部第三方芯片代工厂。
不过，按照瑞萨电子的评估，“至少要到2022年，才能解决需求供给失衡问题。至于具体时间是2022年下半年，还是2023年初，现在还无法做出准确的判断。”
英飞凌是另一家全球 汽车 半导体的重要供应商，尤其是大众集团这个大客户，后者去年开始上市的ID系列纯电动车中，英飞凌提供了超过50颗不同应用的芯片。
该公司负责人披露，目前一辆普通燃油车大概有价值450美元的半导体元器件成本，用于从信息 娱乐 系统到各种不同的车身控制等功能。而一辆智能电动 汽车 的芯片成本大概在900-1000美元左右。
在谈及结构性需求问题时，该负责人认为，短期内电动化需要的芯片（比如，功率半导体）短缺影响相对更小，而涉及到车身及控制类芯片影响更大，因为这些产品和消费类电子共通性更大。 “这也解释了为什么这一轮 汽车 减产潮 ，并没有对纯电动车产量产生明显的影响。”
英飞凌在去年完成对赛普拉斯半导体公司的收购，继续保持其在功率半导体和安全控制器领域的全球份额龙头地位，同时借助赛普拉斯的规模补充，跃居成为全球第一的车用半导体供应商。
近日，该公司宣布计划明年将原计划投资额增加50%至约24亿欧元，将主要用于厂房和设备等产能扩张项目。上个月，其位于奥地利的新工厂正式投产，投资约16亿欧元。按照披露的数据，英飞凌预计今年营收将达到110亿欧元，明年将继续增长15%左右。
影响后续产能供应的积极因素，来自于英特尔和三星。
英特尔在今年宣布未来十年在欧洲将投入800亿欧元开启 汽车 芯片扩产计划，并寻求为 汽车 行业提供代工业务。按照计划，英特尔将 汽车 行业视为关键的战略重点。
该公司CEO帕特·基辛格表示，到2030年，芯片将占 汽车 成本的20%，这一数字相较于在2019年的4%比例上翻了五倍。到2030年， 汽车 芯片市场规模将翻一番，达到1150亿美元。
而三星公司通过此前布局 汽车 座舱及ADAS芯片业务，以及为特斯拉代工FSD芯片已经尝到甜头。该公司目前正在制定新的 汽车 行业发展计划，壮大 汽车 行业的芯片代工业务，与台积电、英特尔进行正面竞争。
10月7日，三星公司对外确认将在2022年投产3纳米工艺，从2025年开始量产2纳米芯片，并且预计今年资本支出将达到370亿美元左右，目前，英伟达和特斯拉已经是合作伙伴。
此外，现代 汽车 上周披露，为了减少对第三方芯片供应商的重度依赖，计划自主开发芯片。目前，该公司正与韩国晶圆代工厂（有可能是三星）和芯片设计公司进行实质性合作谈判。
“芯片短缺最严重的时期已经过去，”现代 汽车 全球首席运营官（COO）José Munoz表示，原因正是类似三星、英特尔等传统芯片巨头为 汽车 行业扩大晶圆代工产能进行了大规模投资。
而对于 汽车 芯片行业来说，接下来还有一波技术升级战。
车规级、ISO26262等行业规范，是 汽车 行业的传统准入门槛。如今，辅助/自动驾驶、联网、软件更新使整车电子系统比以往任何时候都更加复杂和网络化。网络安全评估，正在成为 汽车 半导体设计的首要考虑因素。
目前，整车分布式ECU架构已经成为过去时，减少ECU的数量和集成度更高域控制器的上车，从同时运行多个虚拟机的域控制器，到用于传感器融合、制动、转向、信息 娱乐 、远程信息处理和车身控制的模块集成，加上OTA带来的迭代升级，也引入了更大的网络安全风险。
一项名为ISO21434的标准（道路车辆-网络安全工程），定义了 汽车 中所有电子系统、组件和软件以及外部连接的网络安全工程开发实践规范。这个标准在今年8月31日正式发布。
瑞萨电子在本月已经宣布，旗下 汽车 微控制器（MCU）和SoC解决方案将从2022年1月起，全面符合ISO/SAE 21434标准规范要求。 目前，该公司的16位RL78和32位RH850，以及R-Car SoC系列产品主要面向 汽车 行业。
按照公开数据，欧洲、日本和韩国自2022年7月起，对于新车型审批，要求整车企业配备获得 汽车 网络安全管理体系（CSMS）认证的硬件产品，对于 汽车 芯片厂商来说，将是一个新的时间窗口期，市场门槛也将越来越高。
“越来越多新的功能，如远程诊断、互联网服务、车内支付、移动应用程序，以及车路协同、车云互通等重度联网功能，都增加了车辆安全的攻击面。”业内人士认为，接下来在满足法规要求的前提下，车企和供应商将共同决定安全级别和成本之间的平衡。
NXP是全球第一家通过TÜV SÜD认证的 汽车 半导体供应商，符合最新的 汽车 网络安全标准ISO/SAE 21434。这意味着，接下来满足该标准的芯片，必须从原型设计阶段开始，一直到产品生命周期结束都必须考虑网络安全。
目前，对于车企和供应商来说，最快的方式就是从ECU/域控制器开始，同时增加硬件安全模块（HSM）以及安全软件堆栈，防止未经授权的车内通信和车辆控制访问。 目前，英飞凌、ST、瑞萨、NXP等几家 汽车 芯片厂商都有相应的产品线。
比如，英飞凌近日推出的SLS37 V2X硬件安全模块（HSM），适用于V2X的即插即用安全解决方案，基于一个高度安全、防篡改的微控制器，为V2X应用程序的安全需求量身定制。从目前行业进展来看，智能网关及车路云相关硬件会率先成为网络安全细分赛道的主力军。
以芯驰 科技 G9X智能网关芯片为例，作为面向新一代车内核心网关设计的高性能车规级芯片，采用双内核异构设计，搭载独立完整且支持国密标准的硬件信息安全模块HSM，满足高功能安全级别和高可靠性的要求。
同时，这款智能网关芯片提供对OTA固件数据的来源安全验证、传输安全加密和本地安全存储和完整性校验的支持。此外，HSM加密模块还包含了一个800MHz的处理器，可支持未来多种安全服务软件。
❺ 360重磅发布十大网络安全“利器”，重塑数字化时代大安全格局
随着全球数字化的推进，网络空间日益成为一个全域连接的复杂巨系统，安全需要以新的战法和框架解决这个巨系统的问题。 近日，在第九届互联网安全大会（ISC 2021）上，三六零（股票代码：601360.SH，下称“360”）创始人、董事长周鸿祎正式提出以360安全大脑为核心，协同安全基础设施体系、安全专家运营应急体系、安全基础服务赋能体系“四位一体”的新一代安全能力框架。
基于此框架，360在ISC 2021上重磅发布十大网络安全“利器”，全面考虑安全防御、检测、响应等威胁应对环节的需求，充分发挥安全战略资源、人的作用，保障框架防御的动态演进和运行。
360下一代威胁情报订阅服务
360下一代威胁情报订阅服务是集成360云端安全大脑所有安全能力的XaaS服务。 云端订阅安全服务，依托于360安全大脑16年来亿万级资产、漏洞、样本、网址、域名等安全大数据的积累，以及对于安全大数据分析形成的安全知识库，精细利用数据直 接从云端赋能，能够缩短安全的价值链，提高实时响应水平，降低设备、运营、人力成本，提高网络安全防护的专业性、灵活性和有效性。 本次ISC 2021中，360发布的360下一代威胁情报订阅服务包含了产品订阅服务和云端订阅服务两大类的十余个订阅应用和多个专业情报分析工具， 可以助力城市、行业、企业通过管理外部攻击面，掌握攻击者的意图、能力和技战术等，从而高效制定出应对策略；并可以专业的分析人员可以精准完成事件定性、攻击溯源、APT狩猎等高级分析工作，全方位护航相关业务的可持续发展。
360安全大脑情报中心
360安全大脑情报中心，是数据运营基础设施的“利器”。负责安全大数据采集、分析的数据运营基础设施下的新品。 360安全大脑情报中心依托于360安全大脑的亿万级安全大数据， 以数据运营和情报生产为核心，通过平台+社区的形式让更多的安全专业人员对威胁进行有效的分析溯源，为他们提供前所未有的情报和平台支撑服务。用户能够在平台上进行情报的检索、生产、 消费、讨论和反馈，并实现情报的再次生产。360各个研究方向的安全团队将根据热点安全事件实时将研究成果在情报社区进行共享，真正实现情报的互联互通。
360态势感知一体机2.0
360态势感知一体机2.0，是专家运营基础设施的“利器”。 在安全基础设施体系中，专家运营基础设施承担日常安全运营和应急响应的工作，负责提高态势感知与自动处置能力。360态势感知一体机2.0通过整合流量侧神经元，以轻松部署、方便运营、快速有效的能力优势广泛服务于中小型客户，充分满足客户对可视化、自动化、智能化态势感知、威胁分析、集中安全运营及合规需求，并通过远程专家运营和安全托管服务，帮助客户解决可持续运营的痛点问题。
360 新一代 网络攻防靶场平台
360新一代网络攻防靶场平台是攻击面防御基础设施下的“利器” ，面对数字化浪潮下不断加剧的安全风险，攻击面防御基础设施可有效负责发现和阻断外部攻击。360新一代网络攻防靶场平台利用虚拟化技术模拟真实业务网络，可为政企机构提供高度仿真、相互隔离、高效部署的虚实结合场景，为训练、对抗、试验、演习等需求提供流程管理、能效评估、数据分析、推演复盘等能力，可以全方位满足应对不断演化的网络攻击威胁、检验攻防能力、迭代防御体系等多样化需求。
360天相-资产威胁与漏洞管理系统
360天相-资产威胁与漏洞管理系统是攻击面防御基础设施下的“利器”， 其从数字资产安全日常管理场景出发，专注帮助用户发现资产，建立和增强资产的管理能力，同时结合全网漏洞情报，进一步弥补传统漏洞扫描信息不及时性，以及爆发新漏洞如何在海量资产中快速定位有漏洞的资产，并进行资产漏洞修复，跟踪管理。
360终端资产管理系统
360终端资产管理系统是数据运营基础设施下的“利器”， 其依托于360安全大脑情报中亿万级设备库信息，从XDR攻防对抗视角出发，以终端自动发现为基础，设备类型自动识别为核心实现内网终端资产的全发现，从而不断提高内网终端安全防护水平，提高攻击门槛，降低被攻击风险。
360零信任解决方案
360零信任解决方案是资源面管控基础设施下的“利器”， 资源面管控基础设施包括身份、密码证书、零信任和SASE基础设施，以身份化管理的方法，实现网络、系统、应用、数据的细粒度动态管控。此次ISC 2021中正式发布360“零信任解决方案”，是基于360积累的安全大数据，结合安全专家运营团队，可提供强大的数据和运营支撑能力。同时，通过整合攻击侧防护和访问侧防护，强调生态联合，构建了安全大数据支持下的零信任生态体系。
面向实战的攻防服务体系
持续的实战检验是“知己知彼”的有效途径。攻防对抗中的对 手、环境、自己都在不断变化，针对性发现问题和解决问题，才是 安全防护保持敏捷的关键，只有充分的利用好实战检验手段，才能 快速的弥补安全对抗中认知、经验、能力的不足。 面向实战的攻防服务体系是专家运营服务的最佳实践， 在360高级攻防实验室攻防对抗、漏洞研究、武器能力、情报分析、攻击溯源等核心研究方向和实战经验的赋能下，面向实战的攻防服务体系推出AD域评估、漏洞利用、攻击连分析、红蓝对抗等一系列攻防服务，打造出面向真实网络战场的安全能力，并实现安全能力的不断进化和成长，进一步保障各类业务安全。
车联网安全解决方案
在360新一代安全能力框架的支撑下，360能够整合各种生态产品，支撑各行各业的数字化场景，形成一张动态的、多视角、全领域覆盖的数字安全网。ISC 2021中，360正式发布了面向车联网的安全解决方案。车联网安全检测平台和车联网安全监测平台是基于对车联网环境的重要组件的数据采集、分析等技术，结合360安全大脑提供的分析预警和威胁情报，为车企、车路协同示范区车联网系统建立安全威胁感知分析体系，实现智能网联 汽车 安全事件的可感、可视、可追踪，为 汽车 行业、车路协同的安全运营赋能。
信创安全解决方案
当前，信创安全面临严峻的能力建设和整体集成方面的挑战。此次发布的信创安全解决方案， 从web应用和浏览器视角切入信创业务应用迁移带来的兼容性问题以及相关威胁和相应解决方案，推出了360扁鹊及支持零信任SDP安全接入体系的360企业安全浏览器。据悉，360扁鹊能针对基于Wintel平台上IE浏览器构建的业务系统的兼容性问题进行自动化排查及修复；同时，360企业安全浏览器可以实现跨平台终端的统一接入管理，并可以作为零信任SDP安全防护体系的终端载体实现基于国密加密通讯的算法的安全接入、基于环境及设备身份、用户身份、用户行为的动态判断和持续的访问控制能力。
随着新型网络威胁持续升级，传统碎片化的防御理念必然要向注重实战能力的安全新战法升级。同时要建设新的安全能力框架，提升纵深检测、纵深防御、纵深分析、纵深响应的整体防御能力。此次在ISC 2021上，360重磅发布的十大新品，无疑是充分调动自身数据、技术、专家等能力原量，将安全能力框架面向全域赋能落地的创新实践。
❻ 安全工信部通报阿里云，未及时上报重大漏洞，国资云建设刻不容缓
中科院云计算中心分布式存储联合实验室特讯： 近期，工信部网络安全管理局通报，暂停阿里云公司作为工信部网络安全威胁信息共享平台合作单位6个月。此次事件源自阿里云发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患报告不及时， 再次为国家数据安全敲响警钟，国资云建设刻不容缓、势在必行。
近期，工业和信息化部网络安全管理局通报称，阿里云计算有限公司（简称“阿里云”）是工信部网络安全威胁信息共享平台合作单位。近日，阿里云公司发现阿帕奇（Apache）Log4j2组件严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。经研究，现暂停阿里云公司作为上述合作单位6个月。暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。
Apache Log4j 史上最大安全漏洞
先梳理一下阿帕奇严重安全漏洞的时间线：
11月24日
阿里云在阿帕奇（Apache）开放基金会下的开源日志组件Log4j2内，发现重大漏洞Log4Shell，然后向总部位于美国的阿帕奇软件基金会报告。
获得消息后，奥地利和新西兰官方计算机应急小组立即对这一漏洞进行预警。新西兰方面声称，该漏洞正在被“积极利用”，并且概念验证代码也已被发布。
12月9日
中国工信部收到有关网络安全专业机构报告，发现阿帕奇Log4j2组件存在严重安全漏洞，立即召集阿里云、网络安全企业、网络安全专业机构等开展研判，并向行业单位进行风险预警。
12月9日
阿帕奇官方发布紧急安全更新以修复远程代码执行漏洞，漏洞利用细节公开，但更新后的Apache Log4j2.15.0-rc1版本被发现仍存在漏洞绕过。
12月10日
中国国家信息安全漏洞共享平台收录Apache Log4j2远程代码执行漏洞；阿帕奇官方再度发布log4j-2.15.0-rc2版本修复漏洞。
12月10日
阿里云在官网公告披露，安全团队发现Apache Log4j2.15.0-rc1版本存在漏洞绕过，要求用户及时更新版本，并向用户介绍该漏洞的具体背景及相应的修复方案。
12月14日
中国国家信息安全漏洞共享平台发布《Apache Log4j2远程代码执行漏洞排查及修复手册》，供相关单位、企业及个人参考。
12月22日
工信部通报，由于阿里云发现阿帕奇严重安全漏洞隐患后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理，决定暂停该公司作为工信部网络安全威胁信息共享平台合作单位6个月。
在服务器的组件中，日志组件是应用程序中不可缺少的部分。而其中Apache（阿帕奇）的开源项目log4j是一个功能强大的日志组件，被广泛应用。
由于Apache Log4j存在递归解析功能，未取得身份认证的用户，可以从远程发送数据请求输入数据日志，轻松触发漏洞，最终在目标上执行任意代码。即 攻击者只要提交一段代码，就可以进入对方服务器，而且可以获得最高权限，控制对方服务器。通俗说，黑客通过这个普遍存在的漏洞，可以在服务器上做任何事。
有关报道显示，黑客在72小时内利用Log4j2漏洞，向全球发起了超过84万次的攻击。利用这个漏洞，攻击者几乎可以获得无限的权利——比如他们可以 提取敏感数据、将文件上传到服务器、删除数据、安装勒索软件、或进一步散播到其它服务器。
国外网友以漫画说明Log4j2的重要性
该漏洞CVSS评分达到了满分10分，IT 通信（互联网）、工业制造、金融、医疗卫生、运营商等各行各业都将受到波及，全球互联网大厂、 游戏 公司、电商平台等都有被影响的风险。 比如苹果、亚马逊、Steam、推特、京东、腾讯、阿里、网络，网易、新浪以及特斯拉等全球大厂，悉数中招，众多媒体将这个漏洞形容成“史诗级”“核弹级”漏洞，可以说相当贴切。
据工信部官网消息，今年9月1日，工业和信息化部网络安全威胁和漏洞信息共享平台正式上线运行。其中提到，根据《网络产品安全漏洞管理规定》，网络产品提供者应当及时向平台报送相关漏洞信息，鼓励漏洞收集平台和其他发现漏洞的组织或个人向平台报送漏洞信息。
此次事件中，作为我国云计算服务的头部供应商的阿里云，11月24日发现计算机史上最大的漏洞，是先向国外的Apache基金会报告，而未及时向主管部门报送漏洞信息。工信部得知情况，已经是12月9日，中间已经过了15天。这十五天，中国的互联网简直是在裸奔。这期间已经有黑客掌握了这个漏洞，在利用这个漏洞进行网络攻击。作为新基建重要一环的云计算平台，更加应以谨慎的心态承担起保障网络安全的责任。
国资云建设 安全自主可控为上
互联网时代，国家安全自然延伸到了网络。各个国家，都在想办法堵自己漏洞，找别人家的漏洞，甚至是隐藏的后门。同样的漏洞，那就是看谁率先掌握。国外的开源软件层出不穷的漏洞，隐没难寻的后门，应用于国家重要机构或事关 社会 民生的部门，其潜在危害难以估量。我们除了想方设法被动收集修复漏洞，还要大力发展和利用自主安全可控的技术，才能在互联网领域寻求战略平衡，保障国家安全。
所以说，阿里云的这次行动足以为戒，忽视国家各项数据安全法律法规，国家安全责任意识淡漠，将国家网络安全置于巨大的危机之中。试问这样的第三方云服务商，如何让国家机构、央企国企放心将数据业务托管？
风险就在那里，警告从未缺席。国资云以安全自主可控、平稳可靠运行为上，才能确保国家安全，尽到 社会 责任。第三方云服务商难以超越企业自身的稳健盈利，更不要说将国家安全、公共利益、亿万民众福祉放在首位。国资云的建设将第三方云服务商排除在外，是互联网竞争环境的使然，也是数据安全责任的担当，更是时代赋予的使命。
“国资云”建设 大势所趋
经过深入研究分析，北京交通大学信息管理理论与技术国际研究中心（ICIR）认为， “国资云”建设是大势所趋，原因主要有以下三方面：
一是“国资云”建设是国有资产管理的需要。国企数据资源属于国有资产，应纳入国资监管和统一管理，保护国有数据资产安全是建设国资云的核心目的；
二是“国资云”建设是保障国家重要数据安全的需要。近期，《关键信息基础设施安全保护条例》、《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》相继颁布实施，将数据安全提升到前所未有的高度，而国有企业的许多数据事关国家关键信息基础设施安全；
三是“国资云”建设是信创工程落地的重要抓手。在“国资云”数据中心逐步加大CPU、操作系统、存储、数据库、中间件等国产信创产品比重，并鼓励国产信创业务系统与“国资云”数据中心基础设施适配应用，从基础到应用全方位推进信创工程步伐。
因此，“国资云”建设的重要意义在业界已达成高度共识。
国资云赋能云上安全 G-Cloud增强国企竞争力
国有企业是中国特色 社会 主义的重要物质基础和政治基础，是我们党执政兴国的重要支柱和依靠力量，国有企业不仅具有鲜明的政治属性，也具有强烈的经济属性和物质属性，坚定不移地将国有企业做强做大做优是党和人民对国有企业的基本要求。因此，国有企业更需要资产不断保值增值，规模不断发展壮大，盈利水平不断提高，这就要求国有企业必需使用最先进的生产工具，创造出最先进的生产力，保持在国际国内市场中的竞争力。
而云计算平台就是当前最先进的生产工具。云计算平台中除了计算、存储、网络、虚拟化等Iaas服务相对比较成熟外，在Paas、Saas层面的技术创新速度非常快，产品迭代周期不断缩短，不同的厂商提供的云平台服务在技术领先性、服务稳定性、用户覆盖面等方面具有非常大的差异。
在激烈的市场竞争中，企业选择了什么类型、什么厂商的云服务，在一定程度上意味着企业使用了什么工具和武器，在很大程度上决定了企业的生产效率、管理效率和市场效率，也就决定了企业的竞争力。
国资云赋能云上安全，打造排除第三方云服务商的行业专属私有云。 中科院云计算中心自主研发的G-Cloud云操作系统，首要胜在安全。 其次G-Cloud在智慧城市、智慧医疗、智慧教育、智慧交通等领域的成功案例，将有助于充分激活国企强劲的竞争力、影响力、带动力。
2021年11月， 国资云平台中科云（东莞） 科技 有限公司正式成立，由中科院、东莞市政府等多方投资的上市企业国云 科技 控股，国资背景加持，官方认可，国内顶尖 科技 机构技术背书，使用国内首个自主产权、安全可控的G-Cloud云操作系统，建设“国资云”， 赋能千行百业数字化转型升级，最大化优化国有资本布局，提高国有资本运营效能、产业互联和商业创新！
中科云凝聚服务政企信息化、数字化建设的核心团队， 联合产学研用各方力量，融合大数据、云计算、物联网等新一代信息技术，在政府、医疗、教育、交通、智能制造等多行业、多领域提供新型基础设施建设、数据分布式存储服务，助力国资国企规模和实力的持续增长，实现高质量发展。
❼ 聚焦终端安全 天融信引领数字时代网络安全新风向
随着数字化进程的加速发展，新技术、新场景、新威胁持续涌现，终端安全作为网络安全防护体系建设中的关键组成部分，引起了 社会 各界的高度重视。众多网络安全厂商持续发力终端安全市场，不断推进终端安全产品创新升级、完善终端安全管理体系建设，以满足用户更高、更全、更灵活的安全诉求。近日，天融信终端威胁防御系统(TopEDR)和天融信终端安全解决方案分别入围2021央采杀毒软件采购项目和中国移动集采项目，充分彰显了天融信在终端安全领域的强劲实力。
EDR作为传统终端安全防护产品的重要补充，已成为终端安全市场规模持续增长的重要驱动力。天融信终端威胁防御系统(TopEDR)在中央国家机关政府采购中心近日发布的“中央国家机关2021年杀毒软件协议供货采购项目成交公告”中，凭借过硬的产品技术与强大的综合实力，Windows版和Linux版双双入围2021央采杀毒软件采购项目，充分体现了政府部门对天融信产品技术与服务能力的高度认可。
TopEDR集病毒查杀、漏洞修复、系统加固、网络防御、终端管控、资产管理、风险态势展示等功能于一身，为客户提供立体化的终端安全防护解决方案。TopEDR基于领先的虚拟沙盒技术对威胁行为进行深度分析，结合勒索诱捕、虚拟补丁、微隔离等主动防御技术，有效防御勒索、挖矿、免杀逃逸等行为，多维度防止病毒传播和横向感染，帮助客户快速检测、响应终端安全问题。
此外，在中国移动2021年至2024年终端安全软件集中采购项目中，天融信终端安全解决方案凭借在系统架构、扩展能力、资源占用、国产化适配、处理性能以及安全性等方面的优异表现，从众多竞标厂商中脱颖而出，得到客户和专家的一致认可。天融信终端安全综合解决方案集终端威胁防御与数据安全防护于一身，在具备病毒查杀、漏洞修复、系统加固、网络防御、终端管控、资产管理以及风险态势展示等功能的同时，基于深度内容识别技术，通过对“流动”敏感数据进行全面监控与防泄漏策略控制，实现多维度的数据泄漏防护措施，大大降低了客户面临的数据安全风险，全面提升客户终端安全防护能力。
作为国内领先的网络安全、大数据与云服务提供商，天融信经过多年来的持续技术积累与行业深耕，目前已有多款创新产品成功入围政府、运营商、金融、能源等多个行业领域集采目录，为全行业客户、全应用场景提升终端安全防御能力。未来，天融信将始终坚持自主创新，持续推出行业领先的产品、服务和解决方案，积极践行维护国家网络安全的使命与责任，为各行业数字化转型升级护航。
❽ 感受守护网络安全的“黑科技”，这些“黑科技”可以带来哪些保障
首先是能够防止设备信息被不法分子窃取。物联网设备虽然给生活带来了很多便利，但安全隐患也不容忽视。用户在工作日应妥善保管自己的智能设备。黑客用来打开访问控制的技术是复制和重放射频信号。NFC通信技术是近年来主流智能手机的标准配置，但很多用户并不知道黑客可以通过NFC通信轻松读取银行卡中的用户隐私信息。
要知道的是网络空间是亿万人民共同的精神家园。凝聚正能量，共筑同心圆，营造清净廉洁的网络空间，是我们共同的心愿。在“共建同心圆”互动展台前，几人同时将手掌按在触控板上，强化数字地球，他们将看到来自世界各地的人们手牵手，构建网络空间命运共同体。
❾ 阿里云未及时通报重大网络安全漏洞，会带来什么后果
【文/观察者网 吕栋】
这事缘起于一个月前。当时，阿里云团队的一名成员发现阿帕奇（Apache）Log4j2组件严重安全漏洞后，随即向位于美国的阿帕奇软件基金会通报，但并没有按照规定向中国工信部通报。事发半个月后，中国工信部收到网络安全专业机构的报告，才发现阿帕奇组件存在严重安全漏洞。
阿帕奇组件存在的到底是什么漏洞？阿里云没有及时通报会造成什么后果？国内企业在发现安全漏洞后应该走什么程序通报？观察者网带着这些问题采访了一些业内人士。
漏洞银行联合创始人、CTO张雪松向观察者网指出，Log4j2组件应用极其广泛，漏洞危害可以迅速传播到各个领域。由于阿里云未及时向中国主管部门报告相关漏洞，直接造成国内相关机构处于被动地位。
关于Log4j2组件在计算机网络领域的关键作用，有国外网友用漫画形式做了形象说明。按这个图片解读，如果没有Log4j2组件的支撑，所有现代数字基础设施都存在倒塌的危险。
国外社交媒体用户以漫画的形式，说明Log4j2的重要性
观察者网梳理此次阿帕奇严重安全漏洞的时间线如下：
根据公开资料，此次被阿里云安全团队发现漏洞的Apache Log4j2是一款开源的Java日志记录工具，控制Java类系统日志信息生成、打印输出、格式配置等，大量的业务框架都使用了该组件，因此被广泛应用于各种应用程序和网络服务。
有资深业内人士告诉观察者网，Log4j2组件出现安全漏洞主要有两方面影响：一是Log4j2本身在java类系统中应用极其广泛，全球Java框架几乎都有使用。二是漏洞细节被公开，由于利用条件极低几乎没有技术门槛。因适用范围广和漏洞利用难度低，所以影响立即扩散并迅速传播到各个行业领域。
简单来说，这一漏洞可以让网络攻击者无需密码就能访问网络服务器。
这并非危言耸听。美联社等外媒在获取消息后评论称，这一漏洞可能是近年来发现的最严重的计算机漏洞。Log4j2在全行业和政府使用的云服务器和企业软件中“无处不在”，甚至犯罪分子、间谍乃至编程新手，都可以轻易使用这一漏洞进入内部网络，窃取信息、植入恶意软件和删除关键信息等。
阿里云官网截图
然而，阿里云在发现这个“过去十年内最大也是最关键的单一漏洞”后，并没有按照《网络产品安全漏洞管理规定》第七条要求，在2天内向工信部网络安全威胁和漏洞信息共享平台报送信息，而只是向阿帕奇软件基金会通报了相关信息。
观察者网查询公开资料发现，阿帕奇软件基金会（Apache）于1999年成立于美国，是专门为支持开源软件项目而办的一个非营利性组织。在它所支持的Apache项目与子项目中，所发行的软件产品都遵循Apache许可证（Apache License）。
12月10日，在阿里云向阿帕奇软件基金会通报漏洞过去半个多月后，中国国家信息安全漏洞共享平台才获得相关信息，并发布《关于Apache Log4j2存在远程代码执行漏洞的安全公告》，称阿帕奇官方已发布补丁修复该漏洞，并建议受影响用户立即更新至最新版本，同时采取防范性措施避免漏洞攻击威胁。
中国国家信息安全漏洞共享平台官网截图
事实上，国内网络漏洞报送存在清晰流程。业内人士向观察者网介绍，业界通用的漏洞报送流程是，成员单位>工业和信息化部网络安全管理局 >国家信息安全漏洞共享平台（CNVD） CVE 中国信息安全测评中心 > 国家信息安全漏洞库（CNNVD）> 国际非盈利组织CVE；非成员单位或个人注册提交CNVD或CNNVD。
根据公开资料，CVE（通用漏洞共享披露）是国际非盈利组织，全球通用漏洞共享披露协调企业修复解决安全问题，由于最早由美国发起该漏洞技术委员会，所以组织管理机构主要在美国。而CNVD是中国的信息安全漏洞信息共享平台，由国内重要信息系统单位、基础电信运营商、网络安全厂商、软件厂商和互联网企业建立的信息安全漏洞信息共享知识库。
上述业内人士认为，阿里这次因为漏洞影响较大，所以被当做典型通报。在CNVD建立之前以及最近几年，国内安全人员对CVE的共识、认可度和普及程度更高，发现漏洞安全研究人员惯性会提交CVE，虽然最近两年国家建立了CNVD，但普及程度不够，估计阿里安全研究员提交漏洞的时候，认为是个人技术成果的事情，上报国际组织协调修复即可。
但根据最新发布的《网络产品安全漏洞管理规定》，国内安全研究人员发现漏洞之后报送CNVD即可，CNVD会发起向CVE报送流程，协调厂商和企业修复安全漏洞，不允许直接向国外漏洞平台提交。
由于阿里云这次的行为未有效支撑工信部开展网络安全威胁和漏洞管理，根据工信部最新通报，工信部网络安全管理局研究后，决定暂停阿里云作为上述合作单位6个月。暂停期满后，根据阿里云整改情况，研究恢复其上述合作单位。
业内人士向观察者网指出，工信部这次针对是阿里，其实也是向国内网络安全行业从业人员发出警示。从结果来看对阿里的处罚算轻的，一是没有踢出成员单位，只是暂停6个月。二是工信部没有对这次事件的安全研究人员进行个人行政处罚或警告，只是对直接向国外CVE报送的Log4j漏洞的那个安全专家点名批评。
本文系观察者网独家稿件，未经授权，不得转载。
❿ 如何构建数字政府全方位安全保障体系
构建数字政府网络安全保障体系，要抓好以下工作：确保“三同步”。要同步规划、同步建设、同步运营数字政府安全设施，使安全成为数字政府的天然基因。这既体现在安全设计中，也体现在安全可信产品和服务的采购中。
建立数字政府安全运营中心。数字政府建设是一项复杂的系统工程，保障数字政府安全运行必须具有全局观念，进行顶层设计，并形成全面态势感知和决策指挥能力。
构建数字政府全方位安全保障体系作用：
为此，应当建立独立的安全运营中心，具备一体化的分析识别、安全防护、监测评估、监测预警、主动防御、事件处置功能。
建设全流程数据安全管理制度，确保数据安全流通和利用。贯彻以人民为中心的发展思想，使每一个公民感到数字时代的温暖，切实保护公民信息权益。
坚持安全和发展并重，加强数据安全风险防范，实现安全的数据共享，充分发挥数据要素价值，使数字政府建设成为促进数字经济高质量发展的重要驱动力量。