“千里之堤，溃于蚁穴；万兆网络，一失即泄。”
——《韩非子·有度》

---

一、头脑风暴：两大典型安全事件案例

在信息安全的浩瀚星空中，每一次星辰的坠落，都提醒我们要在黑暗中点燃防御的灯塔。以下两起近期发生的真实案例，既是警示，也是教科书式的学习素材，值得我们在培训课堂上细细品味。

案例一：FortiClient EMS 被锁定——EKZ Infostealer 伪装“补丁”偷取信息

背景
2026 年 4 月 4 日，全球知名网络安全公司 Fortinet 发布了端点管理平台 FortiClient EMS（Endpoint Management Server）的紧急补丁，以修复重大漏洞 CVE‑2026‑35616。该漏洞属于远程代码执行（RCE）类，攻击者若成功利用，可在受管端点上执行任意 PowerShell 脚本，进而植入后门或窃取数据。

攻击链
1. 漏洞利用：黑客通过已公开的 CVE‑2026‑35616 利用代码，获取了 EMS 管理服务器的管理员权限。
2. 伪装更新：攻击者制作了与 Fortinet 官方补丁同名的恶意文件，文件名如 FortiClient_6.4.1_patch.exe，但内部载荷为 EKZ Infostealer。
3. 指令下发：借助 EMS 的统一下发机制，黑客向所有受管终端推送该恶意文件，终端在“自动更新”模式下直接执行。
4. 信息窃取：EKZ Infostealer 使用 MinGW 编译的代码，针对 Chromium 系列浏览器（Chrome、Edge）以及 Gecko 系列浏览器（Firefox）搜集浏览器凭证、Cookies、自动填充表单数据等。更恐怖的是，它还能抓取会话信息，绕过多因素认证（MFA），直接登陆云端服务与内部系统。
5. 横向扩散：成功植入后，恶意程序会在后台持续运行 PowerShell，尝试横向渗透局域网其他机器，将攻击面扩大至整个公司网络。

影响
– 数据泄漏：潜在泄漏的账户数以万计，涉及企业内部系统、云服务、第三方 SaaS 平台。
– 业务中断：部分关键业务服务器因被植入后门，出现异常流量和服务不稳定。
– 合规风险：敏感个人信息被窃取，触发 GDPR、个人信息保护法等合规罚款风险。

教训
– 补丁管理并非万无一失：即使是官方补丁，也可能被黑客伪装。企业必须在内部进行二次校验（哈希校验、签名验证）。
– 最小权限原则：EMS 管理账户不应拥有全局管理员权限，必要时采用分段授权、审计日志。
– 终端检测能力：单纯依赖 EMS 推送更新的模式需配合 EDR（Endpoint Detection & Response）进行实时行为监控，发现异常 PowerShell 进程立即阻断。

---

案例二：OTP 平台 EVERY8D 被攻——“一键化”社交工程渗透

背景
2026 年 5 月 26 日，国内领先的 OTP（一次性密码）短信平台 EVERY8D 突然发布“黄灯级”安全事件通报。该平台为金融、政务、物流等行业提供短信验证码服务，日均发送量突破 2 亿条，承载着重要的身份认证职责。

攻击链
1. 社交工程：攻击者通过钓鱼邮件冒充平台内部运维，向平台工作人员发送包含恶意链接的邮件，声称是“系统升级”通知。
2. 凭证泄露：受害者点击链接后，进入仿冒登录页面，输入内部运维账号与密码，导致平台后端管理控制台被攻破。
3. 批量注入：攻击者利用已获取的管理权限，向系统注入恶意脚本，拦截并篡改用户的 OTP 短信内容，将真正的验证码发送给攻击者的控制服务器。
4. 身份冒用：黑客利用拦截到的验证码，登录银行、企业内部系统，完成转账、数据导出等高价值操作。
5. 隐蔽清理：事后攻击者删除了关键日志，利用平台自带的日志压缩功能“掩埋”痕迹，给事后取证带来极大困难。

影响
– 金融损失：涉及多家银行的用户账户被冒用，累计损失人民币约 2.3 亿元。
– 品牌信任危机：EVER8D 的品牌形象受损，客户流失率骤升至 12%。
– 监管处罚：金融监管部门对受影响的金融机构进行专项检查，认定存在“身份认证安全薄弱”问题，处以巨额罚款。

教训
– 人因是最大漏洞：即使技术防护再严密，若内部人员被钓鱼成功，仍可导致全链路被渗透。
– 多因素认证要落地：单靠 OTP 已不适应新形势，需结合硬件令牌、生物识别等多因素手段。
– 日志不可轻删：关键系统日志必须采用不可篡改的方式存储（如 WORM 磁带、区块链审计），确保事后追溯。

---

二、数字化、数据化、具身智能化——信息安全的新赛场

在过去的十年里，企业正经历“一体两翼”的数字化浪潮：数字化（业务流程、线上化）与 智能化（AI、机器学习、具身机器人）相互融合，催生出 数据化（大数据、实时分析） 和 具身智能化（AR/VR、数字孪生） 等新概念。这些技术让组织的效率提升了数十倍，却也悄然打开了无数潜在的攻击面。

新技术	典型风险	防御要点
云原生容器	镜像后门、横向渗透	镜像签名、容器运行时安全 (CSPM)
大数据平台	数据泄漏、误用	数据加密、访问控制、审计
AI 大模型	对抗样本、生成式钓鱼	模型安全、输入检测
具身机器人	物理控制劫持、身份冒用	设备身份认证、实时监控
零信任网络	隐蔽横向移动	动态访问策略、微分段

从云到边缘、从平台到终端，攻击者的“作战画布”被无限放大。我们再也不能把安全的责任压在技术团队的肩上，每一位职工都是数字星球的守护者。

“防微杜渐，始于点滴；祛暗扬光，靠众人合力。”——《孟子·告子上》

---

三、呼吁：加入信息安全意识培训，点燃个人防御之灯

1. 培训目标——打造全员防御能力

• 认知层面：了解最新攻击手法（如案例一、案例二），掌握风险判定的思维模型。
• 技能层面：学会辨别钓鱼邮件、验证补丁来源、使用安全密码管理工具。
• 行为层面：养成安全上网、敏感信息最小化披露、及时报告可疑事件的习惯。

2. 培训形式——“沉浸式+游戏化+案例驱动”

形式	内容	时长	特色
线下工作坊	现场演练“假补丁”识别、PowerShell 行为审计	2 小时	手把手实操，现场答疑
在线微课	《社交工程全景图》《零信任概念速成》	30 分钟/册	短小精悍，随时随地学习
情景仿真	Phishing 模拟演练、红蓝对抗赛	1 周周期	实战感受，积分排行榜
复盘研讨	案例深度解读（如 EKZ Infostealer）	1 小时	经验共享，提升思辨

3. 培训计划（示例）

• 2026 年 6 月 5 日：信息安全意识启动仪式（公司内部直播）
• 2026 年 6 月 12–15 日：线上微课发布（共计 8 章节）
• 2026 年 6 月 20–22 日：线下工作坊（北京、上海、广州三地同步）
• 2026 年 6 月 28 日：全员 Phishing 模拟测试（结果将在 7 月 5 日公布）
• 2026 年 7 月 5 日：经验复盘与优秀学员颁奖（“安全之星”）

4. 参与激励——安全之路，星光相伴

• 积分兑换：完成每节微课可获得 5 分，累计 50 分可兑换公司内部咖啡券、健身卡等福利。
• 年度安全之星：年度安全防护绩效最高的 5 位同事，将获得公司专项学习基金（含安全证书培训费用）。
• 内部黑客挑战赛：对安全防御有兴趣的同事，可报名参加内部红队/蓝队演练，提升技术视野。

“不积跬步，无以至千里；不聚细流，无以成江海。”——《荀子·劝学》

---

四、从点滴做起——职工日常安全自检清单

项目	检查要点	操作建议
密码	是否使用 12 位以上、大小写+符号组合；是否重复使用	使用公司统一密码管理器，开启密码随机生成
多因素认证	是否为关键系统（邮箱、VPN、云盘）启用 MFA	开启 OTP、硬件令牌或生物识别
补丁更新	系统、应用是否及时更新；补丁来源是否为官方签名	仅使用公司 IT 部门批准的更新渠道
邮件安全	发件人地址、链接 URL、附件是否可信	对陌生邮件采取“先确认再点击”原则
移动设备	是否开启设备加密、远程擦除功能	安装 MDM（移动设备管理）并强制策略
网络连接	是否使用公司 VPN、是否避免公共 Wi‑Fi 进行敏感操作	使用企业 VPN，打开网络防火墙
数据备份	关键文件是否做好冷热备份	采用 3‑2‑1 备份方案（本地+云端+离线）
社交媒体	是否在社交平台泄露公司内部信息	谨慎发布工作细节，遵守公司信息披露规范
物理安全	工作站是否锁屏、机房是否受限进入	离岗后锁屏，使用硬件钥匙卡控制访问
异常行为	是否注意到系统异常提示、未知进程	及时报告 IT 安全团队，切勿自行处理

---

五、结语：共筑数字星球的安全屏障

信息安全不是某个人的专利，也不是某个部门的独舞，而是 全体职工共同谱写的交响乐。我们每个人的防御细节，汇聚成企业的安全基石；每一次的安全意识提升，都是对企业未来竞争力的加码。

正如《周易·乾卦》所云：“天行健，君子以自强不息”。在这场数字化、数据化、具身智能化的时代浪潮中，让我们 自强不息，持续学习，用知识的灯塔照亮每一台终端、每一条网络、每一个业务环节。

现在，就让我们一起踏上信息安全意识培训的旅程——从了解 EKZ Infostealer 的伪装技巧，到防范 OTP 平台的社交工程；从掌握云原生安全要点，到实践零信任的每日检查。只要每位同事都愿意投入一点时间、贡献一点精力，我们就能让黑客的每一次尝试，都化作一声轻笑，最终在数字星球的每一个角落，绽放出安全的光芒。

守护数字星球，始于你我。

信息安全意识培训组

2026 年 5 月 29 日

通过提升人员的安全保密与合规意识，进而保护企业知识产权是昆明亭长朗然科技有限公司重要的服务之一。通过定制化的保密培训和管理系统，我们帮助客户有效避免知识流失风险。需求方请联系我们进一步了解。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

---

前言：头脑风暴式的两大安全警钟

在信息安全的世界里，危机往往不是“一声惊雷”而是“一滴暗流”。下面用两则鲜活而又惊心的案例，开启本次安全意识的深度思考。

案例一：某跨国金融机构因间接依赖漏洞导致数据泄露

事件概述
2024 年底，某全球性银行的线上支付系统遭遇大规模数据泄露。攻击者并未直接攻击该系统的核心服务，而是锁定了银行内部使用的一个第三方日志收集库 log‑collector‑x。该库本身引用了 utility‑y，而 utility‑y 的旧版本中藏有一个 CVE‑2023‑4587 的远程代码执行（RCE）漏洞。攻击者利用该漏洞在日志收集服务器上植入后门，随后横向渗透至核心数据库，窃取了上千笔客户的信用卡信息。

安全盲点
– 间接依赖被忽视：传统的依赖扫描只检查 直接声明 的库（即银行显式引入的 log‑collector‑x），未能辨识 log‑collector‑x 内部的 utility‑y。
– 缺乏 SBOM 可视化：银行未维护完整的 Software Bill of Materials（SBOM），导致无法快速定位 vulnerable chain。
– 补丁策略滞后：即便 utility‑y 的安全团队在 2023 年已发布补丁，银行的内部部署仍停留在 2 年前的版本。

后果
– 超过 12,000 名客户的个人敏感数据被泄露；
– 监管部门处以 3000 万美元 罚款；
– 该行品牌形象受挫，股价短期下跌 8%。

案例二：AI 生成代码引入的“隐形”开源漏洞

事件概述
2025 年 3 月，一家国内内部管理系统的开发团队尝试使用 ChatGPT‑4.0 辅助编写业务逻辑。通过“一键生成”功能，系统快速得到一段用于数据加密的代码片段。该代码片段内部调用了 crypto‑lite 库的 v1.2.3 版本，而该版本在 2024 年被发现存在 CVE‑2024‑1122（密钥泄露）漏洞。由于生成的代码直接写入了项目的 requirements.txt，并在 CI/CD 流程中未触发额外的安全审计，漏洞随即进入生产环境。

安全盲点
– AI 辅助开发的盲区：开发者对 AI 生成的代码缺乏足够的来源验证，默认信任其“现代化”。
– 依赖树缺乏深度扫描：传统的依赖扫描工具（如 Gemnasium）只能捕获 直接声明 的库，未能递归检查 crypto‑lite 的子依赖 openssl‑shim，后者同样存在高危漏洞。
– 缺少“使用感知”：虽然 crypto‑lite 在项目中被引用，但实际业务代码只调用了非敏感的 API，系统未能区分“真正被使用”与“被动引入”的差异，导致误报与漏报并存。

后果
– 攻击者利用密钥泄露的漏洞，窃取了公司内部 5 万条敏感业务数据；
– 公司被迫在 2 周内完成全系统的代码审计与库升级，造成 约 200 万人民币 的直接成本；
– 此事在行业内引发热议，促使多家企业重新审视 AI 代码生成的安全治理。

---

Ⅰ. 何为“供应链安全”？——从技术概念到组织认知

“千里之堤，溃于蚁穴。”
——《左传·僖公二十三年》

现代企业的数字化转型让 “软件即服务（SaaS）”、“平台即平台（PaaS）”、“容器即容器（CaaS）” 成为常态。与此同时，开源生态 的繁荣让每一个业务功能背后都藏着 上百甚至上千 条“依赖链”。正如 GitLab 19.0 所强调的那样，用 SBOM（Software Bill of Materials） 为基石的相依性扫描，能够让我们：

1. 全景可视化：从根节点到叶子节点，完整呈现每一个第三方组件的来源、版本、许可证信息。
2. 漏洞匹配：将 SBOM 中的每一项与 GitLab Advisory Database、NVD、CVE 等公开漏洞库即时比对。
3. 使用感知：识别代码实际调用的库（code‑level usage），帮助团队优先修补“真”风险。
4. 持续监控：在新漏洞公开后，系统自动对已有 SBOM 进行再扫，确保老组件不因“沉睡”而变成新威胁。

从案例一看，如果该金融机构在项目初期就生成了完整的 SBOM，并在 CI 中嵌入了 GitLab 的 SBOM 相依性扫描器，团队完全可以在漏洞公开的第一时间收到 “utility‑y v1.3.2 已发布安全补丁，请及时升级” 的告警，从而防止后门植入。

从案例二看，AI 生成的代码若在提交前通过 SBOM 解析，便能立刻发现 crypto‑lite v1.2.3 属于 “高危” 级别，并提示开发者改用安全更新的版本或自行实现加密逻辑。

---

Ⅱ. 融合发展的大潮：数字化、机器人化、数据化的安全需求

1. 数字化——业务流转的“血管”

企业的 ERP、CRM、SCM 等系统正快速迁移至云端，业务数据在 API、微服务、事件总线 中流动。每一次接口调用，都可能携带 第三方 SDK 或 云函数。若未对这些组件进行 SBOM 化管理，攻击者只需要在链路的任意节点植入一个“隐蔽的后门”，即可实现 横向渗透。

2. 机器人化——自动化的“双刃剑”

机器人流程自动化（RPA）与工业机器人（IoT）正逐步取代人工执行重复任务。机器人运行的 固件、驱动程序、脚本 同样依赖开源库。一次固件升级若未进行 供应链安全审计，势必将 整个生产线 暴露在潜在漏洞之下。

“机器不懂善恶，只有人能赋予安全。”——《韩非子·说难》

3. 数据化——资产价值的根基

大数据平台、数据湖、实时分析引擎在企业决策中扮演核心角色。数据治理工具往往依赖 Apache Hadoop、Spark、Flink 等生态，这些生态本身是 高度模块化 的，且每个模块都有其独立的发布节奏。缺失 SBOM 管理，就等于在“一张巨大的数据地图”上留下未标记的暗礁。

---

Ⅲ. 我们的使命：全员参与、持续强化的安全文化

1. “安全不是某个人的事，而是全公司的呼吸”

• 管理层：要把 SBOM 当作 合规报告 与 审计基线，并在预算中预留 供应链安全工具 的费用。
• 研发团队：在 代码审查、CI/CD 中嵌入 GitLab SBOM 相依性扫描 或同类工具，做到 “提交即检测、发现即修复”。
• 运维/安全团队：利用 SBOM 仪表盘 统一追踪跨项目、跨环境的漏洞状态，及时发布 “紧急升级通告”。

  

• 业务部门：了解 “依赖风险” 对业务连续性的影响，配合技术团队完成 风险评估 与 业务中断计划（BCP）。

2. 培训的价值：从“知晓”到“内化”

我们即将启动的 信息安全意识培训，将围绕以下三大核心模块展开：

模块	目标	关键内容
供应链安全基础	让每位员工懂得 SBOM 的概念与价值	SBOM 定义、CycloneDX 格式、GitLab Advisory Database
实战演练：从漏洞发现到修复	把理论转化为操作技能	演示如何在 GitLab CI 中集成 SBOM 扫描、如何阅读漏洞报告、如何发起补丁合并请求
AI 与自动化代码的安全治理	防止“AI 代码陷阱”	AI 生成代码审计、依赖树深度扫描、使用感知技术区分“真风险”与“假风险”

每个模块将采用 案例驱动、交互式实验 与 情境模拟 相结合的方式，确保学习过程既 “有料” 又 “有味”。完成培训后，系统将自动为每位学员生成 “安全能力画像”，帮助人力资源搭建精准的 “安全人才梯队”**。

3. 让安全成为组织的“软实力”

“兵者，诡道也。”——《孙子兵法·计篇》
在数字化战争中，情报 与 防御 同等重要。只要我们把安全意识灌输到每一次代码提交、每一次系统运维、每一次业务决策之中，企业的整体韧性便会以指数级增长。

---

Ⅳ. 行动指南：从今天起，迈向安全的第一步

1. 立即生成项目 SBOM
   • 在 GitLab 中新增 .gitlab-ci.yml 步骤：sbom_generator → 输出 CycloneDX 格式文件。
2. 开启 SBOM 相依性扫描
   • 在 Security Configuration Profile 中启用 Dependency Scanning，设置 “仅显示实际引用的漏洞” 过滤器。
3. 报名参与培训
   • 登录公司内部学习平台，搜索关键字 “供应链安全”，完成报名并在 5 月 31 日前完成预学习材料。
4. 提交安全改进建议
   • 通过 GitLab Issue 模板，将调查到的高危依赖、升级计划、验证结果记录下来，形成可追溯的 “安全改进记录”。
5. 定期回顾与复盘
   • 每月一次，由安全团队组织 “SBOM 资产盘点会”，回顾最新漏洞、已修补项与未修补项的进度，确保 “零遗漏、零拖延”。

---

结语：在“看不见的链条”里筑起坚不可摧的防线

从 金融机构的间接依赖泄露，到 AI 代码生成的隐形漏洞，我们已经看到供应链安全失踪的真实代价。面对 数字化、机器人化、数据化 融合的新时代，安全已经不再是“后置检查”，而是 “一体化、前置化、持续化” 的全链路治理。

让我们在即将到来的 信息安全意识培训 中，摒弃“安全是 IT 的事”的陈旧观念，把 SBOM、相依性扫描、使用感知 等核心技术内化为每位员工的日常操作。只要全员行动、共筑防线，企业的业务才能在风起云涌的数字浪潮中稳健前行。

让安全成为企业的硬核竞争力，让每一次代码提交都成为一道“防火墙”。

安全不是终点，而是不断迭代的旅程。
让我们携手同行，打开 SBOM 的新世界！

昆明亭长朗然科技有限公司专注于打造高效透明的信息保密流程。通过我们的服务，您可以轻松识别和管理潜在的数据泄露风险。对此感兴趣的客户请联系我们了解详细方案。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898