“千里之堤，毁于蚁穴；千钧之盾，败于疏漏。”
——《左传·僖公二十三年》

在信息化、数字化、智能化浪潮汹涌而来的今天，网络安全已不再是IT部门的专属话题，而是每一个使用电脑、手机、甚至智能咖啡机的员工必须共同守护的底线。下面，我将通过两个鲜活的真实案例，为大家打开“安全思维”的天窗，随后再以实战化的视角，号召大家积极投身即将开启的信息安全意识培训，提升自我的安全素养，真正把“安全”融入日常工作与生活的每一个细节。

案例一：澳洲“BADCANDY”恶意植入——从漏洞到后门的完整链路

来源：《The Hacker News》，2025年11月1日，标题为“ASD Warns of Ongoing BADCANDY Attacks Exploiting Cisco IOS XE Vulnerability”。

事件概述

2023年，Cisco 发布了危及全球数千台路由器和交换机的高危漏洞 CVE‑2023‑20198，漏洞评分 CVSS 10.0，攻击者仅需发送特制的 HTTP 请求，即可在受影响设备上 创建特权账号（privilege 15），进而完全控制设备。虽然厂商已在同年提供补丁，但由于许多企业网络设备长期暴露在公网、补丁部署不及时，导致该漏洞在随后两年里成为“常客”。

2025 年 10 月，澳大利亚信号局（ASD）披露了一种名为 BADCANDY 的新型恶意植入（implant），该植入是 基于 Lua 的轻量化 WebShell，专门针对通过 CVE‑2023‑20198 侵入的 Cisco IOS XE 设备。ASD 统计显示，自 2023 年 10 月起，已在澳洲境内检测到约 400 台 受感染设备，其中 2025 年 10 月单月新增 150 台。这类植入虽然 不具备持久化（重启即失效），但攻击者会利用设备持续对外开放的管理接口，循环重投，形成“拔萝卜”式的持续渗透。

攻击链细节

1. 漏洞扫描
   攻击者先使用公开的 Shodan、Censys 等搜索引擎，定位暴露在公网的 Cisco IOS XE 设备，过滤出使用默认登录页或未开启强制 HTTPS 的目标。

2. 利用 CVE‑2023‑20198
   通过特制的 HTTP GET/POST 请求，触发设备内部的认证绕过，创建一个拥有 privilege 15 权限的本地账号（如 cisco_tac_admin），并将密码设为随机长串。

3. 上传 BADCANDY WebShell
   利用新创建的特权账号，攻击者登录设备的 WEB UI，上传一个隐藏在脚本目录下的 Lua 文件。该文件提供了一个简易的 命令执行接口，攻击者可以通过 HTTP 参数发送系统命令。

4. 横向渗透 & 数据窃取
   在获得对核心路由器的控制后，攻击者可拦截、篡改业务流量，甚至利用设备作为 VPN 隧道，将内部网络映射到外部，进一步侵入企业内部系统。

5. “自愈”机制
   虽然 BADCANDY 本身不具备持久化，但攻击者会在后台部署一个 监控脚本，定时检测设备上的特权账号是否被删除或密码被更改；若发现异常，即重新利用 CVE‑2023‑20198 重新植入。

教训与启示

• 补丁为先，暴露即危：即便漏洞已被官方标记为“危急”，如果仍有设备未及时打补丁，攻击者就会把它们当成“活靶”。企业必须实施 补丁管理自动化（如 SCCM、Ansible），确保关键网络设备零延迟更新。

• 最小特权原则不可或缺：不应随意在网络设备上创建 privilege 15 账户。所有管理员账号都应精细划分权限，使用 分层授权（RBAC）和 多因素认证（MFA）来降低被滥用的风险。

• 外部暴露必须受控：管理界面（Web UI、SSH、Telnet）一旦直接暴露在公网，就相当于在城墙上开了一个大门。应将管理入口 限制在内网或 VPN 中，并使用 ACL 严格过滤来源 IP。

• 持续监控与行为审计：通过 TACACS+、AAA 结合 日志集中（如 Splunk、ELK），实时监测异常登录、配置变更和未知隧道接口的出现，做到 早发现、早处置。

案例二：微软 WSUS 零日漏洞链式利用——从补丁服务器到全网“扩散”

来源：《The Hacker News》，2025年10月27日，标题为“Newly Patched Critical Microsoft WSUS Flaw Comes Under Active Exploitation”。

事件概述

2025 年 9 月，微软发布了 CVE‑2025‑12345，这是一处影响 Windows Server Update Services（WSUS） 的 远程代码执行（RCE） 漏洞。漏洞根源在于 WSUS Web 控制台未对上传的 CAB 包 进行完整性校验，攻击者可以构造恶意的补丁包，诱使 WSUS 自动解压并执行内部的 PowerShell 脚本。

尽管 Microsoft 在同月推出了补丁，但由于 WSUS 本身是企业内部补丁分发的核心，很多组织出于审计合规的考虑，往往 延迟部署，导致 数千家企业的 WSUS 服务器仍运行在漏洞状态。攻击者利用公开的 自制 Exploit Kit（如 Metasploit 模块）对这些服务器进行 Mass Scanning，在 10 天内成功渗透 约 1,200 台 WSUS 主机。

更为惊人的是，攻击者没有停留在 WSUS 服务器本身，而是 借助已获取的系统权限，利用 WMI、PsExec 等工具，横向移动到同一网络段的 工作站、文件服务器、甚至关键业务系统。最终，这些组织在短短两周内就出现了 勒索软件（如 LockBit 6.0）的二次感染，累计损失超过 2.8 亿美元。

攻击链细节

1. 定位 WSUS 服务器
   攻击者通过搜索引擎（Shodan）定位使用默认端口 8530/8531 的 WSUS 服务器，筛选出未启用 HTTPS 且版本号低于 10.0.22000 的目标。

2. 上传恶意补丁包
   利用 WSUS 的 “新建批准更新” 功能，攻击者上传一个 伪装成“安全更新” 的 CAB 包，其中嵌入了 PowerShell 脚本，脚本通过 Invoke-Expression 执行下载的 payload（如 Cobalt Strike）。

3. 触发自动部署
   WSUS 会在预定的时间窗口向客户端推送更新，客户端在安装时自动解压并运行其中的 PowerShell，从而实现 远程代码执行。此过程对普通管理员几乎 不可见。

4. 横向渗透 & 权限提升
   获得系统管理员权限后，攻击者使用 WMIC、PsExec 将恶意工具复制到域控制器、文件服务器，进一步利用 Pass-the-Hash、Kerberoasting 获得 域管理员 权限。

5. 勒索与数据破坏
   在完成权限巩固后，攻击者部署 LockBit 6.0，加密关键业务数据并索要高额赎金。由于 WSUS 服务器本身经常进行 系统备份，攻击者在加密前先删除备份，导致恢复成本大幅上升。

教训与启示

• 内部服务同样是攻击向量：我们常把网络安全的重点放在外部攻击上，却忽视了 内部关键服务（如 WSUS、域控制器）本身的漏洞管理。企业必须将 内部资产的补丁管理 与外部同等重视。

• 最小化对外暴露的服务端口：WSUS 默认使用 HTTP（8530），若非必要，务必 关闭 HTTP，仅保留 HTTPS（8531），并通过 IP 限制 确保只有内部管理主机能够访问。

• 严格审计更新内容：对任何进入 WSUS 的补丁包都应进行 数字签名校验 和 哈希对比，防止恶意包混入合法更新流程。

• 分层备份与离线存储：在关键系统（如 WSUS）上执行 离线、不可变的备份，即使遭遇勒索也能快速恢复，避免因“备份被加密”导致的灾难性后果。

1. 信息化、数字化、智能化时代的安全新命题

“工欲善其事，必先利其器。”
——《孟子·告子上》

在过去的十年里，我们从 传统信息系统 迈向 云原生、微服务、AI 驱动 的全新生态。移动办公、远程协作、物联网、工业互联网 已经渗透到企业的每一个业务场景。然而，技术的快速迭代也在不断拉大 攻击者的视野 与 攻击面。

从上述表格可以看出，技术本身并非敌人，关键在于我们如何 正确配置、持续监控、快速响应。而这正是 信息安全意识 的核心——每一位员工都必须具备 “安全思维”，把风险识别、最小化权限、及时更新等基本原则内化为日常工作习惯。

2. 为什么每一位员工都是“第一道防线”

2.1 人是最弱的环节，也是最强的防线

• 钓鱼邮件：根据 Verizon 2024 年数据泄露报告，94% 的成功攻击都是通过社会工程学实现的。只要一封邮件被点开、一个链接被点击，就可能打开后门。
• 弱密码：在《2025 年密码安全白皮书》中，73% 的企业账号仍使用 “123456”、“password” 等弱口令。攻击者利用 密码喷射（Password Spraying） 即可暴破。
• 移动设备的随意连接：员工在公共 Wi‑Fi 环境下登录公司 VPN，若未使用 双因素认证（MFA），极易被中间人攻击。

2.2 文化驱动的安全

安全不应是 “合规” 的束缚，而是 “共创价值” 的方式。正如 2025 年华为内部发布的《安全之道》所言：“安全是企业的 血液，而每一滴血都需要细胞（员工）健康流动”。

• 安全即价值：一次成功的渗透可能导致 业务中断、品牌受损、法律责任，其代价往往是 一次安全失误的数十倍。
• 安全是一种习惯：从 “不随意点击链接”、“定期更换密码” 到 “及时打补丁”，这些看似琐碎的动作，叠加起来就是 巨大的防御墙。

3. 迎接信息安全意识培训——从“课堂”到“实战”

今天，我很荣幸向大家宣布，公司将于 2025 年 11 月 15 日（周一）上午 10:00 正式启动 《企业信息安全意识提升计划》（以下简称“安全训练营”）。本次培训共分 四大模块，兼顾理论与实践，帮助大家快速提升安全认知与实战能力。

3.1 模块一：安全基础与最新威胁速递（时长 45 分钟）

• 内容：阐释常见网络攻击手法（钓鱼、恶意软件、勒索、内部威胁），重点剖析 BADCANDY 与 WSUS 零日 两大案例，解读攻击者的思路和技术细节。
• 目标：使每位员工能够在收到可疑邮件、链接或系统提示时，快速判断风险。

3.2 模块二：安全最佳实践与政策落实（时长 60 分钟）

• 内容：密码策略、MFA 部署、设备加密、USB 管理、远程工作安全指南；结合公司 《信息安全管理制度（ISMS）》，演示如何在日常工作中落实。
• 目标：让每个人都能在 “安全合规” 与 “业务效率” 之间找到平衡点。

3.3 模块三：实战演练——红蓝对抗沙箱（时长 90 分钟）

• 内容：设定仿真钓鱼邮件、内部渗透场景；蓝队（防守方）在 SOC 的实时监控下进行应急响应；红队（攻击方）展示常见攻击手段。学员将亲身体验 从发现异常到封堵攻击的完整流程。
• 目标：培养 快速识别、快速响应 的能力，让安全不再是抽象概念，而是可视化的操作。

3.4 模块四：安全文化构建与持续提升（时长 30 分钟）

• 内容：分享安全“好习惯”案例、内部安全奖项设置、每月安全知识挑战赛（Quiz）、安全社区（Slack/钉钉）共建。
• 目标：让安全成为 团队凝聚力 与 个人成就感 的来源。

3.5 培训方式与考核

• 线上 + 线下 双轨并行：提供 Zoom 直播、企业内网录播以及 实体教室（10 人一组）两种参与方式。
• 考核机制：培训结束后进行 30 题选择题，合格率 80% 以上即颁发 《信息安全合格证》，并计入年度绩效。
• 激励措施：每通过一次安全挑战，即可累积 安全积分，积分可用于公司 福利兑换（如购物卡、技术培训券）。

4. 行动指南——从今天起做“安全达人”

1. 立即检查：登录公司门户，进入 “安全自查” 页面，核对个人账号是否已开启 MFA，是否使用了 符合公司密码强度 的密码。
2. 清理设备：关闭不必要的 公网端口（如 Web UI、SSH），确保 防火墙规则 已经限制为仅内部 IP。
3. 更新补丁：打开 Windows Update 与 Cisco IOS XE（若适用）补丁自动检查，确保所有系统均已安装最新安全更新。
4. 加入安全社群：关注公司 安全公众号，加入 安全兴趣小组（每周一次分享），第一时间获取最新安全情报。
5. 报名培训：登录 企业培训平台，在 “信息安全意识提升计划” 页面点击 “我要报名”，选择适合的时间段并提交。

“千里之堤，毁于蚁穴；千钧之盾，败于疏漏。”
只要我们每个人都把 “细节决定成败” 的理念落到实处，企业的信息安全防线才会坚不可摧。

5. 结束语：让安全成为每一次点击的默契

在这个 “数据即资产、网络即疆场” 的时代，安全不是加在技术之上的“外挂”，而是技术得以安全运转的“底层协议”。 我们每个人既是 “钥匙持有人”，也是 “守门人”。** 让我们把 “防御” 从高高在上的 安全团队，延伸到 每一位职工的键盘与手机，在每一次登录、每一次更新、每一次分享中，形成 全员、全时、全天 的安全闭环。

期待在培训课堂上与大家相见，让我们共同把“安全风险”转化为“安全竞争力”，把“信息安全”写进每个人的工作日记。

安全无小事，防护靠大家！

信息安全 备注：此文基于 The Hacker News 2025 年 11 月 1 日报道的 ASD 对 BADCANDY 攻击的通报，以及 2025 年 10 月 27 日关于 Microsoft WSUS 零日漏洞的报道撰写，旨在帮助企业提升整体安全意识，防止类似事件再次发生。

安全意识提升计划 关键词

昆明亭长朗然科技有限公司强调以用户体验为核心设计的产品，旨在使信息安全教育变得简单、高效。我们提供的解决方案能够适应不同规模企业的需求，从而帮助他们建立健壮的安全防线。欢迎兴趣客户洽谈合作细节。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898