Uncategorized

从React2Shell到全自动化时代的安全防线——职工信息安全意识提升行动

admin

头脑风暴：四大典型安全事件案例（摘自“攻击者全球聚焦React2Shell漏洞”全文）

  1. React2Shell（CVE‑2025‑55182）零日速爆——从代码审计漏洞到全球150 万次拦截
    一次泄漏，数十万台设备瞬间沦为攻击平台；从北美金融机构到东南亚高校，攻击链路遍布五大洲。

  2. “以太坊后门”EtherRAT与北韩UNC5342的隐匿作战
    利用区块链存储恶意载荷的“EtherHiding”技术，绕过传统检测；从招聘网站诱骗到企业内部持久化。

  3. Mirai‑派生僵尸网络席卷智能家居
    智能插座、路由器、NAS甚至智能电视，被“自动化”蠕虫“一键”感染，形成跨地域的DDoS洪流。

  4. 加密矿机与自研后门的“双子星”攻击
    Cryptominer与PeerBlight、ZinFoq等后门并行出现，既赚取算力收益，又植入长期窃密通道，实现“一次入侵，多次获益”。

案例一：React2Shell 零日速爆——“披荆斩棘”还是“坐享其成”

2025 年 12 月，React Server Components（RSC）中的最高危漏洞 CVE‑2025‑55182（业界昵称 React2Shell）悄然曝光。该漏洞源自 RSC 对用户输入的“服务器端渲染”缺乏严格的类型校验，使攻击者能够在受影响的服务器上执行任意代码。

关键时间线

时间 事件
12 月 4 日 漏洞首次在安全社区披露，安全厂商发布 PoC。
12 月 5‑6 日 Unit 42 与 Bitsight 监测到全球多地区的自动化扫描流量激增。
12 月 7‑9 日 多家黑产组织将漏洞写入漏洞扫描器，结合 Mirai‑style 载荷，开启“大规模投放”。
12 月 10 日 150 000+ 次拦截记录出现在终端安全平台，涉智能插座、NAS、摄像头等 IoT 设备。
12 月 12 日 React 官方与 Vercel 联手发布补丁，然而补丁覆盖率仅 48%。

影响面与攻击手法

  • 广泛使用：调查显示 39% 的云环境部署了 React 或 Next.js，意味着上千万业务系统潜在暴露。
  • 自动化投放：攻击者利用公开的漏洞扫描脚本，配合自研的“Payload Builder”，在扫描到目标后即自动下发 Mirai‑derived loader 或 Rondo 加密矿机。
  • 多层次渗透：从 IoT 设备入手的蠕虫链路，常常进一步横向渗透至企业内部的 Web 应用服务器，形成 后门 → C2 → 数据窃取 的完整闭环。

教训与启示

  1. “零日即战”已成常态：从公开披露到实战利用，仅用 24 小时便完成了从“发现”到“大规模投放”。
  2. 补丁不等于安全：即使官方在 48 小时内发布补丁，现场仍有超过一半的资产未能及时更新，导致持续被攻击。
  3. 资产清点是首要防线：未对使用 React/RSC 的业务系统进行资产标签，导致攻击面难以及时感知。

案例二：EtherRAT 与 UNC5342——“区块链暗流”中的隐匿作战

在同一波 React2Shell 爆发期间，Unit 42 报告发现 UNC5342（北韩情报机构代号）利用 EtherHiding 技术，将恶意载荷加密后写入以太坊智能合约，形成“区块链后门”。攻击链大致如下：

  1. 伪装招聘：攻击者在全球招聘平台发布“技术实习”岗位，诱导求职者下载含有 EtherRAT 的执行文件。
  2. 区块链存储：恶意文件首次运行后，从链上读取加密的 payload SHA‑256，解密后写入本地 /tmp 目录。
  3. 后门植入：EtherRAT 在系统中建立持久化的 C2 通道（使用加密的 WebSocket），可在任意时刻激活远程指令。

技术亮点

  • 使用区块链：传统 IDS/IPS 基于文件哈希或网络流量特征检测，难以捕获链上加密的数据块。
  • 双向隐蔽：攻击者既利用了招聘平台的高信任度，又借助区块链的不可篡改特性规避审计日志。

防御要点

  • 供应链安全审查：对外部招聘信息、简历投递系统进行恶意代码扫描，尤其是可执行文件的入口。
  • 链上监控：部署区块链流量分析工具，对异常的智能合约读取请求进行告警。
  • 最小权限原则：限制普通用户对系统关键目录的写入权限，防止恶意脚本自行持久化。

案例三：Mirai‑派生僵尸网络——“智能家居的黑暗版图”

Bitsight 的研究指出，仅在 React2Shell 披露后 5 天内，就检测到 362 个独立 IP 段对全球 Smart Plug、Smart TV、NAS、路由器等设备发起了攻击。链路梳理后，攻击者使用的工具主要包括：

  • Mirai 原始 loader：针对默认密码的暴力破解，快速植入僵尸节点。
  • Mirai‑derived 挖矿器：将受感染设备转化为 Rondo 加密矿机，进行比特币、Monero 等收益。

产业链影响

  • DDoS 变相：大规模的 IoT 僵尸网络可以在几分钟内发动 10 TB/s 级别的流量攻击，轻易压垮目标网站或公共服务。
  • 隐私泄露：某些智能摄像头被植入后门后，攻击者可实时窃取家庭画面，形成“镜头即监控”。

防御思路

  1. 默认密码强制更改：在采购阶段即要求供应商提供强随机密码或基于证书的身份验证。
  2. 网络分段：将企业内部网络与 IoT 设备所在的子网严格隔离，使用 VLAN、ACL 限制互通。
  3. 固件更新自动化：通过 MDM/IoT 管理平台，实现固件的统一检测与推送。

案例四：加密矿机与自研后门的“双子星”攻击——“一举多得”

Huntress 报告显露出，一批攻击者在利用 React2Shell 漏洞后，混合投放 Cryptominer、PeerBlight（Linux 后门）以及 ZinFoq（Go 语言植入式 implant）。其主要特征如下：

  • 先挖后植：攻击者首先下发轻量级矿工，以掩盖网络流量；随后在系统空闲时下载更为隐蔽的后门。
  • 多层 C2：Miner 通过公开的矿池进行通信；后门则使用自建的 CowTunnel 反向代理，实现流量混淆。
  • 持久化手段：使用 systemd、cron、rc.local 等多种方式确保恶意进程随系统启动自动运行。

对企业的危害

  • 资源消耗：CPU、GPU、内存被挖矿程序霸占，直接导致业务性能下降。
  • 数据泄露：后门植入后，可随时窃取数据库凭证、源代码或敏感文档。
  • 合规风险：若未在规定期限内发现并处置，可能触发监管部门的处罚（如 GDPR、PIPL 等）。

防护建议

  • 行为监控：部署基于机器学习的异常行为检测平台，实时捕获 CPU 使用率、网络流量异常的“矿工行为”。
  • 文件完整性校验：对关键系统文件、二进制执行文件使用 FIM（File Integrity Monitoring）技术，及时发现未授权篡改。
  • 零信任架构：对内部系统实行细粒度的身份认证、访问控制和持续审计，防止后门横向扩散。

自动化、具身智能化、无人化——信息安全的“新疆界”

1. 自动化：安全运营的机器人管家

在 CI/CD、IaC（Infrastructure as Code）和 GitOps 的推动下，代码交付全链路实现了自动化。与此同时，安全自动化（Security Automation）正从漏洞扫描、配置审计走向 自动化响应（SOAR）和 智能威胁猎捕（AI‑Driven Threat Hunting）。

  • 优势：能够在毫秒级别完成威胁检测、关联分析、阻断执行，弥补人工响应的时滞。
  • 风险：若自动化脚本本身存在漏洞或配置错误，可能被攻击者逆向利用，形成“自动化的自我破坏”。

职工应对：了解常见的安全自动化工具（如 Splunk SOAR、Cortex XSOAR、Microsoft Sentinel）基本工作原理，能够在安全运营中心（SOC）提供“人‑机协同”的关键判断。

2. 具身智能化：AI Agent 与机器人同进化

“具身智能”（Embodied AI）指的是将 AI 算法嵌入物理设备（机器人、无人机、自动驾驶车辆）中，实现感知、决策、执行的闭环。2025 年底，大型语言模型（LLM）已能生成 攻击脚本、钓鱼邮件，甚至 自动化渗透。

  • 机会：AI 能帮助安全团队快速生成攻击路径、漏洞利用报告。
  • 挑战：同样的技术亦被恶意组织用于 自动化攻击、AI‑驱动的社会工程。

职工应对：提升对 LLM 生成内容的鉴别能力，了解 Prompt Injection、Hallucination 等风险；在使用内部 LLM 辅助时，遵循 数据最小化 与 输入审计 的原则。

3. 无人化：从无人机送货到无人车渗透

无人化技术正渗透到供应链、物流、制造业等场景。无人机、AGV（Automated Guided Vehicle）在提升效率的同时，也成为 物理层面的攻击入口。

  • 案例：2024 年某物流公司无人车被植入后门，攻击者通过车载 WIFI 突破企业内部网。
  • 防御：对无人化设备进行 固件完整性验证、网络隔离 与 行为白名单 管理。

职工应对：熟悉无人化设备的安全基线，如 OT/IT 边界划分、零信任网络接入（ZTNA）等原则。

号召行动：加入信息安全意识培训，共筑“人‑机‑系统”三位一体的防御壁垒

“防患未然，未雨绸缪。”——《左传》
“知己知彼，百战不殆。”——《孙子兵法》

在上述四大案例中，我们看到 技术漏洞、供应链薄弱、自动化滥用 与 新型硬件 的多维度攻击正以指数级速度演进。若仅靠技术堡垒难以彻底防御，人 的安全意识、知识储备与行为规范同样是不可或缺的“最后一道防线”。

培训的核心价值

维度 培训内容 预期收益
知识层 漏洞生命周期、零信任模型、AI安全伦理 提升对新兴威胁的认知深度
技能层 漏洞复现演练、SOC 实战案例、SOC‑AI 协同 强化对自动化工具的使用与审计
行为层 Phishing 防御、密码管理、IoT 资产清点 培养安全习惯、降低人因失误概率
文化层 安全共享平台、红蓝对抗赛、CTF 实战 构建安全共识、激发创新精神

参与方式

  1. 线上微课：每周一次，时长 30 分钟，覆盖最新漏洞（如 React2Shell）与防御技术。
  2. 实战工作坊：每月一次，模拟真实攻击链路，现场演练渗透与响应。
  3. 安全挑战赛（CTF）：季度组织，奖励激励，促进跨部门协作。
  4. 安全知识库：搭建公司内部 Wiki，持续更新安全经验、工具使用手册。

小贴士：在自动化时代，“每一次手动点击” 都可能成为 AI 学习样本，请务必保持警惕，及时报告异常。

结语：让安全成为每个人的“第二张皮”

从 React2Shell 的极速蔓延，到 EtherRAT 的区块链暗箱，再到 Mirai‑style 僵尸网络的全屋渗透，最后是 Cryptominer+后门 的“双子星”组合，这些案例共同敲响了 “技术与人”共同防御 的警钟。

在自动化、具身智能、无人化的浪潮中，技术是刀，意识是盾。只有当每一位职工都把安全意识内化为日常行为，才可能形成组织层面的 “人‑机‑系统”三位一体防御壁垒。

让我们在即将开启的 信息安全意识培训 中，携手共进、拥抱变革，用知识点燃防御的火炬，用行动绘制安全的底色。安全不再是 IT 的专属，而是全员的共同使命。期待在培训课堂上见到每一位充满好奇与热情的同事，一起把“防御”写进每一行代码、每一条指令、每一台机器的血液里。

让我们从现在做起：学习、实践、分享、提升——让安全成为我们每个人的第二张皮！

昆明亭长朗然科技有限公司致力于帮助您构建全员参与的安全文化。我们提供覆盖全员的安全意识培训，使每个员工都成为安全防护的一份子，共同守护企业的信息安全。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

从看不见的漏洞到可见的防线——职工信息安全意识全景指南

admin

“知人者智，自知者明。”——老子
“防微杜渐，方能保全。”——孔子

在信息技术高速迭代的今天，安全不再是“有漏洞就补”，而是一场关于“看得见、看得懂、看得控”的长期对弈。为让大家在日常工作中不被“隐形威胁”盯上，本文将先以头脑风暴的方式，挑选 四大典型安全事件，用血的教训把“安全盲点”映射到每个人的工作场景；随后结合具身智能化、智能体化、自动化的融合趋势，呼吁全体职工积极参与本公司即将开启的信息安全意识培训，共同筑起“一人防、千人固、万企安”的安全防线。
文章全文约 7 200 多字，请耐心阅读，信息安全的“种子”正在悄然萌芽。

一、头脑风暴：四起典型信息安全事件

1. 供应链暗流——Rust Crate 被植入恶意代码

事件概述
2023 年 10 月，全球知名开源项目 serde 的一个 fork 版本（serde‑evil）悄然发布到 crates.io。该版本在编译时会在生成的二进制中植入后门函数，导致所有依赖此版本的应用在启动时向攻击者的 C2 服务器报送系统信息。

漏洞根源
– 缺乏 SBOM（软件组成清单）：部署团队仅凭 cargo.lock 确认依赖，未生成可追溯的 SBOM。
– 容器镜像未露出依赖信息：最终的容器镜像只包含压缩后的 Rust 二进制，依赖元数据被“炼金”般消失。
– 自动化 CI/CD 未校验签名：CI 流程中未启用 Cargo 包签名校验，导致恶意 Crate 直接进入生产环境。

影响
– 受影响的微服务数量超过 200 余个，涉及订单处理、支付网关等核心业务。
– 攻击者通过后门持续数周窃取用户交易数据，导致公司损失估计达 3000 万人民币。

教训
– “看得见”才是根本：在容器镜像中嵌入完整的依赖清单（如 cargo-auditable）或使用 SBOM 生成工具，确保每一个 Crate 都可追溯。
– 签名校验不可或缺：在 CI/CD 流程中强制执行 Cargo 包签名（cargo verify）与二进制签名检查，阻断供应链的“投毒”。

2. 容器“盲盒”——缺失依赖信息导致漏洞扫描误报/漏报

事件概述
2024 年 2 月，一家金融科技公司在使用 Anchore Enterprise 进行镜像安全扫描时，报告显示该容器“未检测到任何第三方库”。然而，真实情况是该容器内嵌入了 150+ Rust Crate，但因为未使用 cargo-auditable，Syft（Anchore 的底层 SBOM 引擎）只能看到一个巨大的可执行文件，误判为“无依赖”。

漏洞根源
– 默认关闭的 Rust lockfile cataloger：Syft 在镜像扫描时默认不启用 rust-cargo-lock-cataloger，导致即使容器中保留了 Cargo.lock，也不被读取。
– 生产镜像过度瘦身：为了追求体积，团队在多阶段 Dockerfile 中将 Cargo.lock 与源码全部删除，仅保留二进制。
– 缺乏二进制元数据：未使用 cargo-auditable 将依赖信息写入二进制的专用段。

影响
– 漏洞扫描在 120 天的时间窗口内未检测到 Tokio 0.2.25 中的三个高危漏洞，攻击者利用该漏洞进行远程代码执行，导致内部服务器被植入比特币矿工。
– 后续事后取证时，安全团队只能凭日志推断，造成取证成本倍增。

教训
– “不看不知”。 让容器镜像“自己讲述”依赖关系才是最省事的方式。
– 主动打开 cataloger：在 CI 脚本中加入 syft --select-catalogers +rust-cargo-lock-cataloger <image>，或升级至 Syft 1.15+ 自动识别 cargo-auditable 嵌入的元数据。

3. “秘密泄露”——CI 环境变量误写入容器镜像

事件概述
2024 年 9 月，某电商平台在 GitHub Actions 中使用 docker build 打包 Rust 应用时，将 AWS_ACCESS_KEY_ID 与 AWS_SECRET_ACCESS_KEY 通过 ENV 指令写入 Dockerfile，以便在构建阶段拉取私有依赖。构建完成后，镜像被推送至公开的 Docker Hub，导致密钥被全网爬虫抓取。

漏洞根源
– 环境变量直接写入镜像：在 Dockerfile 中使用 ENV 指令将敏感信息写入镜像层，未加密、未清理。
– 缺乏 镜像审计：发布前未使用镜像安全审计工具（如 Trivy）检测敏感信息泄漏。
– CI/CD 脚本缺少清理步骤：构建完成后未删除临时文件或环境变量，导致它们被 “烘干”进镜像。

影响
– 攻击者使用泄露的 AWS 凭证在 48 小时内创建了 200+ 高权重 EC2 实例，产生 150 万人民币 的费用。
– 企业声誉受损，客户对数据安全产生疑虑。

教训
– “留痕审计”。 在每一次镜像构建后，使用 镜像扫描（Trivy、Anchore）检查是否存在硬编码或环境变量泄露。
– “最小特权”。 将 CI 环境的凭证使用 GitHub Secrets 或 Vault 注入到构建容器的运行时，而非写入镜像层。

4. “盲目瘦身”——剥离二进制导致安全工具失效

事件概述
2025 年 1 月，一家金融风控公司在生产环境采用 distroless 镜像，仅保留业务二进制文件与少量运行时库。为节省空间，团队在构建后使用 strip 命令剥离了二进制的 调试信息和自定义段，包括 cargo-auditable 嵌入的依赖元数据。结果，Anchore 在扫描时只能识别出 1 个 主体二进制，所有依赖信息彻底消失，导致漏洞评估严重失准。

漏洞根源
– 错误的“瘦身”手段：盲目使用 strip -s 剥离所有自定义段，忽视了安全元数据的所在位置。
– 缺乏测试验证：在生产镜像发布前未通过 SBOM 对比验证依赖是否完整。
– 对安全工具不了解：误以为“剥离调试信息”只会影响调试，不会影响安全审计。

影响
– 暴露在 CVE-2022-25855（一个影响 OpenSSL 的严重漏洞）之下，因未能检测到关联的 OpenSSL 版本，导致服务器面临被中间人攻击的风险。
– 最终在紧急补丁期间，业务服务被迫下线 3 小时，造成约 80 万人民币 的直接损失。

教训
– “安全先行”。 使用 strip 前必须确认已将安全元数据提取或锁定；或使用 cargo-auditable –no-strip 选项保留审计段。
– SBOM 对比：在镜像瘦身后，用 Syft 生成 SBOM 与原始构建产物的 SBOM 对比，确保关键元信息未被剥离。

二、从案例看“看得见、看得懂、看得控”的安全路径

通过以上四起案例，我们不难发现，信息安全的根本目的是让“未知”转化为“已知”。若要实现这一目标，必须在 三个维度 完成闭环：

维度 关键技术 实践要点
可视化 SBOM（Syft、CycloneDX）
cargo‑auditable		 在构建阶段嵌入依赖元数据；在镜像入库前生成 SBOM 并存档
可验证 包签名（cargo verify）
镜像签名（Cosign）
CI/CD 安全扫描（Trivy、Anchore）		 强制签名校验；在 CI 流程中集成安全扫描，阻止未签名或含漏洞的产物
可控制 最小特权（IAM、Vault）
自动化合规（OPA、Kubernetes Gatekeeper）
运行时保护（Falco、Sysdig)		 通过策略即代码（Policy-as‑Code）实现自动合规；运行时监控即时告警

“防微杜渐，宏观治理”。 只有把细节治理上升到平台化的自动化、可审计的层面，才能在“具身智能化、智能体化、自动化”融合的当下，真正做到“一键可查、全链可控”。

三、具身智能化、智能体化、自动化的融合环境——安全新常态

1. 具身智能化：从“代码”到“体感”

随着 AI‑Driven DevSecOps 的普及，代码审查、依赖分析正逐步由 LLM 辅助完成。
– 代码生成：ChatGPT、Claude 等模型可以即时生成安全建议，例如“在 Cargo.toml 中加入 audit = "0.5"”。
– 安全审计：使用 GitHub Copilot 扫描 PR，自动标记引入未签名 Crate 的风险。

对策：在团队内部推广 LLM 辅助审计的最佳实践，明确“模型建议仅供参考，最终决策由专业安全审计人确定”。

2. 智能体化：安全机器人与自动化响应

安全体（Security Agent）在生产集群中已成为“常驻警卫”。
– 链路追踪：使用 OpenTelemetry 结合 Jaeger，实时追踪二进制调用链，定位异常行为。
– 自动响应：触发 Kubernetes Admission Controllers，在检测到未签名镜像时自动阻断部署。

对策：在本公司内部的 CI/CD 流水线中，加入 OPA 策略文件，确保所有容器镜像必须通过 SBOM 完整性检查 才能进入生产环境。

3. 自动化：从“手动扫描”到“持续合规”

安全工具正从 点检测 转向 流检测，实现 持续合规（Continuous Compliance）。
– 流水线集成：在每一次代码提交后，自动触发 Syft + Grype 生成 SBOM 并进行漏洞匹配。
– 合规报告：通过 CICD Dashboard 实时展示合规状态、风险趋势，帮助管理层快速决策。

对策：部门负责人每周一次审阅 合规仪表盘，对未通过的镜像制定 48 小时整改计划。

“事先防范，事后可溯”。 通过具身智能化的感知、智能体的即时响应与自动化的持续监控，我们可以实现安全从“事后补救”到“事前预警”的根本转变。

四、号召全员参与信息安全意识培训——共建安全文化

1. 培训定位：从“技术细节”到“全员共识”

本次培训将围绕 “三看三控”（看得见、看得懂、看得控）展开，分为 三大模块：

模块 目标受众 关键议题
基础篇 全体职工（非技术岗） 信息安全概念、社交工程防护、密码管理
进阶篇 开发、运维、测试 Rust 生态安全、cargo‑auditable 使用、SBOM 生成
实战篇 安全团队、CI/CD 负责人 CI 安全流水线、容器镜像签名、自动化合规

每一模块都配备 案例复现（如前文四大案例）与 现场演练（使用 syft、grype、cosign），让理论学习与实操练习同频共振。

2. 培训方式：线上+线下、互动+沉浸

  • 线上自学：提供 8 小时的微课视频、配套实验手册，支持随时回看。
  • 线下实战：每周一次的 2 小时工作坊，现场演练 Dockerfile 优化、cargo‑auditable 集成。
  • 互动环节：利用 Kahoot! 进行安全知识抢答，最高分可赢取 “安全之星” 勋章。
  • 沉浸体验：在 安全演练室 中模拟“供应链攻击”，让参训者亲身感受攻击链，每一步都对应防御措施。

3. 奖励机制：安全积分制

  • 积分获取：完成每一模块、通过实战考核、提交安全改进建议均可获得积分。
  • 积分兑换：达到 100 分可兑换公司内部的 “技术图书券”、80 分可获得 “免费午餐”，200 分以上可参与年度 “安全创新大奖” 评选。
  • 表彰：每季度评选 “安全先锋”，在公司内部新闻稿及年终评优中重点表彰，以点滴激励形成 安全文化的正向反馈循环。

4. 培训时间表（示例）

日期 时间 内容 主讲人
2025‑12‑18 14:00‑16:00 基础篇：信息安全概念与社交工程防护 信息安全部主管
2025‑12‑22 09:00‑11:00 进阶篇：Rust Crate 安全与 cargo‑auditable 实操 Rust 开发组负责人
2025‑12‑28 14:00‑16:00 实战篇：CI/CD 安全流水线与容器签名 DevOps 自动化专家
2025‑12‑31 09:00‑12:00 综合演练：供应链攻击全链路防御 红蓝队联合演练

“千里之行，始于足下”。 只要每位职工把握住这几场培训机会，就能在日常工作中把“看不见的漏洞”转化为“可看可控”的安全资产。

五、结语：把安全植根于每一次代码、每一次部署、每一次操作

安全不止是技术，更是理念与行为的统一。回顾四起案例，我们看到：

  1. 供应链攻击因缺失 SBOM 与签名而隐藏；
  2. 容器盲盒因默认关闭 cataloger 而导致漏洞漏报；
  3. 密钥泄露因环境变量写入镜像而被全网抓取；
  4. 过度瘦身因剥离二进制导致审计失效。

它们共同的根源，是“不可见”。而 cargo‑auditable、Syft、Anchore、Cosign 等工具正是帮助我们把“不可见”变为“可视”。在 具身智能化、智能体化、自动化 的新时代，安全已经不再是“事后补丁”，而是 持续、自动、可审计 的全链路治理。

因此，请每一位同事：

  • 主动学习：参与即将开启的安全意识培训，把理论转化为实践。
  • 自觉检查：在每一次镜像构建后，生成 SBOM、签名并上传至制品库。
  • 遵守规范：严禁在 Dockerfile 中写入硬编码密钥，使用 Vault 或 Secrets 管理。
  • 反馈改进：发现安全风险及时上报，积极参与安全改进提案。

“安而不忘危，危而不自扰。” 让我们共同把安全的灯塔点亮在每一次代码提交、每一次镜像发布、每一次系统运行之上，确保企业的数字资产在风雨中屹立不倒。

安全，是全员的共识；防御，是每个人的职责。

让我们从 “看得见的依赖” 开始，迈向 “可控的全链路”。

信息安全意识培训，期待您的参与！

关键字：供应链安全 容器镜像 SBOM 具身智能 自动化

在数据安全日益重要的今天，昆明亭长朗然科技有限公司致力于为企业提供全面的信息安全、保密及合规解决方案。我们专注于提升员工的安全意识，帮助企业有效应对各种安全威胁。我们的产品和服务包括定制化培训课程、安全意识宣教活动、数据安全评估等。如果您正在寻找专业的安全意识宣教服务，请不要犹豫，立即联系我们，我们将为您量身定制最合适的解决方案。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898