1、欧洲议会正式通过人工智能监管法案
新华社布鲁塞尔3月13日电（记者张兆卿）欧洲议会13日以压倒性票数通过《人工智能法案》，这标志着欧盟扫清了立法监管人工智能的最后障碍。在法国斯特拉斯堡举行的欧洲议会全会上，该法案获得523张赞成票，46张反对票。
https://www.secrss.com/articles/64384
2、微软Security Copilot下月全面上市
微软日前宣布，将于4月1日正式推出订阅式AI安全服务Copilot for Security（也称Security Copilot）。基于GPT-4和微软专用安全模型，Copilot for Security能够接受来自人或脚本的输入内容，通过编排器层、上下文层和应用插件传递文本，然后由底层AI模型返回响应。期间会涉及文档总结、标记可疑交互，或者生成加强安全实践的建议等任务。
https://www.theregister.com/2024/03/13/microsoft_copilot_for_security_ready/
3、谷歌2023年发放了7100万元漏洞赏金，近年累计支出超4亿元
在2023年内，谷歌向来自68个国家的632名研究人员支付了1000万美元（约合人民币7196万元），以表彰他们在发现并负责地报告旗下产品和服务的安全漏洞。尽管较2022年支付给研究人员的1200万美元有所下降，但这一数额仍然相当可观，展示了社区在谷歌安全工作中的高度参与度。2023年，漏洞报告中最高的奖励为113337美元。自2010年推出漏洞奖励计划以来，谷歌支付的总奖金已达到5900万美元（约合人民币4.24亿元）。
https://www.bleepingcomputer.com/news/google/google-paid-10-million-in-bug-bounty-rewards-last-year/
4、2023年超过1200万个身份验证密钥在GitHub上泄露
GitHub用户在2023年意外暴露了超过300万个公共仓库中的1280万个身份验证和敏感密钥，其中绝大多数在五天后仍然有效。暴露的机密包括帐户密码、API密钥、TLS/SSL证书、加密密钥、云服务凭据、OAuth令牌和其他敏感数据，这些数据可能使外部访问者无限制地访问各种私有资源和服务，从而导致数据泄露和财务损失。
https://www.bleepingcomputer.com/news/security/over-12-million-auth-secrets-and-keys-leaked-on-github-in-2023/
03.
安全事件
1、日本汽车制造商Nissan确认勒索软件攻击泄露了10万人数据
日本汽车制造商Nissan在2023年12月遭受Akira勒索软件的网络攻击后，确认数据泄露影响了10万人。Nissan承认黑客窃取了一些现任和前任员工的数据，以及该地区日产、三菱、雷诺、Skyline、英菲尼迪、LDV和RAM经销商的客户。这些数据集包括大约4,000张医疗保险卡、7,500张驾驶执照、220本护照和1,300个税号。其余90%的人有其他个人信息受到影响，例如与贷款相关的文件、就业细节和出生日期。Nissan承诺将单独通知受影响的客户，以准确告知他们暴露了哪些信息，以及他们可以提供哪些形式的支持。
https://www.bleepingcomputer.com/news/security/nissan-confirms-ransomware-attack-exposed-data-of-100-000-people/
2、俄罗斯黑客入侵微软，窃取敏感源代码和机密
微软提供了有关俄罗斯国家支持的名为 Midnight Blizzard 或 Nobelium 的黑客组织发起的复杂且持续的网络攻击的最新信息。该攻击于 2024 年 1 月首次检测到，最近几周大幅升级，因为黑客试图利用窃取的数据破坏 Microsoft 的内部系统和源代码存储库。微软在一篇博客文章中透露，Midnight Blizzard 于 1 月 12 日渗透了该公司的公司电子邮件系统，使黑客能够窃取敏感数据。虽然面向客户的系统尚未受到损害，但黑客正在利用窃取的信息对微软的系统发起越来越激进的密码喷射攻击。虽然此次泄露的全部范围仍在调查中，但微软表示，它已经实施了增强的安全控制、监控和威胁检测功能，以应对午夜暴雪的无情攻击。Midnight Blizzard 至少从 2018 年开始活跃，是一个受俄罗斯外国情报机构支持的著名黑客组织。它主要针对美国和欧洲的政府机构、非政府组织和科技公司，目的是进行间谍活动和情报收集，以支持俄罗斯的利益。
https://www.cyberkendra.com/2024/03/russian-hackers-breach-microsoft-steal.html
3、美国顶级网络安全机构遭黑客攻击并被迫关闭部分系统
3月8日，负责网络安全的联邦机构发言人和熟悉该事件的美国官员告诉 CNN，该机构上个月发现自己遭到黑客攻击，并被迫关闭两个关键计算机系统。据了解情况的美国官员透露，美国网络安全和基础设施安全局受影响的系统之一运行着一项计划，允许联邦、州和地方官员共享网络和物理安全评估工具。消息人士称，另一个掌握着化学设施安全评估的信息。目前尚不清楚谁是此次黑客攻击的幕后黑手，但这次黑客攻击是通过犹他州 IT 公司 Ivanti 开发的流行虚拟专用网络软件中的漏洞发生的。几周来，CISA 一直敦促联邦机构和私营公司更新其软件或采取其他防御措施，以应对黑客广泛利用 Ivanti 漏洞的情况。虽然这有一些讽刺意味，但即使是网络安全机构或官员也可能成为黑客攻击的受害者。毕竟，他们依赖与其他人相同的技术。
https://edition.cnn.com/2024/03/08/politics/top-us-cybersecurity-agency-cisa-hacked/index.html
4、美洲免税店遭Black Basta勒索软件攻击
勒索软件组织 Black Basta 宣称将美洲免税店 Duty Free Americas (DFA)纳入其新增的十几个新勒索软件受害者之一，且已从其公司网络系统中窃取了约 1.5 TB 的敏感信息。
https://cybernews.com/news/duty-free-americas-black-basta-ransomware/
04.
漏洞事件
1、Fortinet FortiClientEMS SQL注入漏洞 (CVE-2023-48788)
Fortinet FortiClientEMS 平台存在 SQL注入漏洞，未经认证的远程攻击者可向服务器发出精心制作的恶意数据，成功利用此漏洞可在目标系统上执行任意命令。https://fortiguard.fortinet.com/psirt/FG-IR-24-007
05.
安全标准
1、NSA发布云环境应用10大安全策略
3月7日，美国国家安全局(NSA)发布了云客户应用来改善安全状况的十大推荐缓解策略列表。该通报于2024年3月7日发布，汇编了从云安全措施到身份和访问管理、数据安全实践和网络分段的十项策略。美国网络安全和基础设施安全局(CISA)为NSA的十项战略中的六项提供了支持。
https://gbhackers.com/nsp-top-ten-cloud-security-practices/
06.
政策发布
1、全国网安标委发布《网络安全标准实践指南——车外画面局部轮廓化处理效果验证》。
《为指导汽车数据处理者对车外画面进行人脸、车牌局部轮廓化处理效果的自行验证，秘书处组织编制了《网络安全标准实践指南——车外画面局部轮廓化处理效果验证》。
https://www.tc260.org.cn/upload/2024-03-12/1710222091492034788.pdf
