微信客服求职招聘微信群 http://www.ga-cd.net/fengshang/xinchao/1858.html

TOP5

5月14日全球信安资讯

1

拜登签署行政命令要求网络零信任和高加密

信源：securityaffairs

拜登总统本周签署了一项行政命令，以改善该国抵御网络攻击的能力，这是在最近一波攻击之后不久采取的一项重要举措，例如SolarWinds供应链攻击和ColonialPipeline攻击。

“美国面临着持续不断且日益复杂的恶意网络运动，这些运动威胁着公共部门，私营部门，并最终威胁着美国人的安全和隐私。联邦政府必须加大努力，以识别，制止，防止，侦查和响应这些行动和行为者。”题为《改善国家网络安全的行政命令》的文件旨在现代化网络安全防御措施，以使联邦政府的基础架构能够抵御日益复杂的攻击。

该命令为响应网络安全漏洞和事件提出了一份标准的联邦政府手册，旨在改善与威胁和威胁行为者有关的信息共享。该命令要求IT（信息技术）和OT（运营技术）服务提供商共享有关网络安全威胁和事件的信息。在与总检察长协商后，分配给国土安全部部长的命令是建立网络安全审查委员会（董事会）的职责，该委员会将审查和评估网络安全。

“委员会的成员应包括联邦官员和私营部门实体的代表。该委员会的成员应包括国防部，司法部，CISA，NSA和FBI的代表，以及由国土安全部部长确定的适当的私营部门网络安全或软件供应商的代表。由国土安全部部长确定，当所审查的事件涉及FCEB信息系统时，OMB的代表应参加董事会的活动。国土安全部长可根据所审查事件的性质，逐案邀请其他人参加。”要求联邦机构实施零信任架构，实施多因素身份验证，并对静态和传输中的数据采用加密。

该命令敦促通过制定准则，工具并采用最佳实践来审核关键软件组件来提高软件供应链的安全性。“联邦政府使用的软件的安全性对联邦政府执行其关键功能的能力至关重要。因此，联邦政府必须采取行动迅速改善软件供应链的安全性和完整性，并优先处理关键软件。”这些措施必须确保威胁参与者不会篡改软件，并且必须对供应链攻击具有弹性。

该命令还敦促部署集中式端点检测和响应（EDR）解决方案以及政府内部信息共享，以及早发现任何威胁和攻击。

订单中列出的操作必须在30天到天之间的一段时间内执行。白宫还发布了一份与行政命令有关的“情况说明书”，其中概述了其内容。

关键措施之一是要求所有联邦政府软件供应商都遵守有关网络安全的严格规则，否则将其列入黑名单的风险中。最终，该计划是创建一个“能源之星”标签，以便政府和公共购买者都可以快速轻松地查看软件是否安全开发。其他措施包括“空难调查式”网络安全安全审查委员会，该委员会将在重大事件发生后提出改进建议，以及用于政府事件响应的标准化手册。

默认情况下，EO还将强制要求驱动器以确保云服务和零信任，包括静态和传输中的多因素身份验证和数据加密。还提供了以下方面的规定：政府范围的端点检测和响应（EDR），改进的政府内部以及公共部门和私营部门之间的信息共享，以及联邦政府部门进行事件记录的要求，以加强调查和补救。

该行政命令受到了安全专家的欢迎。Sonatype的首席技术官兼创始人BrianFox辩称，这将要求供应商和软件公司总体上对自己的代码负责。他补充说：“虽然不应该采取政府干预措施来使企业采取适当的软件卫生措施，但拜登正在利用联邦政府的购买力来提高软件安全性，这是所有国家都可以从中受益的。”Illumio首席执行官AndrewRubin赞扬了对确保分布式计算环境安全的最佳实践零信任模型的