从暗网蛛网到企业数据堡垒：信息安全的警示与自救

admin

Ⅰ、头脑风暴：想象两场信息安全的“惊心动魄”

在信息安全的世界里，真实的黑客往往比电影中出现的反派更具隐蔽性、更加狡猾。若把整个企业看作一座城池，那么黑客就是一支悄无声息的特种部队，他们凭借一根细细的绳索——或是一次不经意的点击——即可把城墙撕开一道裂缝。下面，我将从两起不同的真实案件出发，展开一次脑洞大开的“情景剧”，让大家在惊叹中体会危机，在警醒中汲取经验。

案例一：全球追踪——GDID 如何让“隐形”黑客光芒四射
2025 年 5 月，一家奢侈珠宝零售商的官网被植入后门，导致数千笔交易记录泄露。随即，警方锁定了涉嫌此案的黑客组织——Scattered Spider。就在公众还在议论该组织的“蜘蛛网”有多么错综复杂时，法院公布的起诉书却让所有人惊掉下巴：犯罪嫌疑人 Peter Stokes（化名）之所以被捕，核心证据竟是一串看似“微不足道”的数字——Microsoft Global Device Identifier (GDID)。

GDID 是微软为每一次 Windows 安装分配的唯一标识，且在系统升级、补丁推送等日常“打卡”中会悄然回传给微软。虽然重新安装系统会生成新的 GDID，但在同一台设备上，它的生命周期足以跨越数年甚至更久。检方指出，Stokes 在使用 ngrok（一种常用于内网穿透的云服务）时，其设备的 GDID 与 ngrok 的登录日志、后端访问记录等数据形成了铁证如山的关联链——从 DNS 查询、到代理服务器的 IP、再到最终访问受害公司的网站，整个链路在法院的法庭图表上犹如一根清晰的红线，最终指向了 Stokes 所在的 Windows 终端。

简言之，微软的这根“隐形标签”成为了执法部门破案的“金丝雀”。它不需要收集完整的浏览历史，却足以让执法机关通过“设备+时间+IP”三要素，精准锁定嫌疑人。正如 Huntress 的安全运营经理 Dray Agha 所言：“Microsoft 并非在监视 ngrok，而是在监视设备本身，调查人员把点点滴滴连成了线。”

案例二：勒索病毒的高速列车——VPN 漏洞的致命链
2026 年 7 月，全球多家大型企业相继遭遇了同一波勒索攻击。攻击者利用了企业常年未打补丁的 VPN 端口转发漏洞，通过弱口令、默认凭证或未加固的远程访问入口，直接侵入内部网络。与传统勒索不同的是，这一次攻击者在入侵后没有立即加密文件，而是先横向移动，盗取关键业务系统的 备份数据库，随后用 AES‑256 加密并索要巨额赎金。

在一次内部审计中，某金融机构的安全团队发现，攻击者的行动轨迹在 SIEM（安全信息与事件管理）系统中形成了一个连续的时间轴：从 VPN 登录成功、通过内部管理员账户提权、利用 PowerShell 脚本在域控制器上创建隐藏的计划任务、到最终在文件服务器上布置勒索病毒。整个过程仅用了 48 小时，而企业的 灾备演练 由于备份数据同样被加密，导致业务恢复时间窗口被迫拉长至数周。

更令人担忧的是，攻击者在侵入前使用了 Tor 与 商业 VPN 双重混淆，极大地提升了追踪难度。然而，正是因为员工在日常工作中对 VPN 的“一键开、随时用”习惯缺乏安全意识，才给了攻击者可乘之机。正如业界专家 Joan Goodchild 在其《Moving Beyond the Checkbox in Human Risk Management》一文中指出：“技术的防线往往是最坚固的，但若人们在使用入口时缺少最基本的安全常识，任何防火墙都可能被轻易绕过。”

Ⅱ、案例深度剖析：从技术细节到管理盲点

1. 持久标识（GDID）背后的“双刃剑”

  • 技术层面：GDID 与传统的 MAC 地址、IMEI 类似，都是硬件或系统层面的唯一标识。但不同的是，GDID 通过云端 telemetry 与多种 Microsoft 服务（如 Defender SmartScreen、Edge 浏览器、Windows Update）进行实时同步。即使用户使用 VPN、代理甚至 TOR，只要设备主动“打卡”，GDID 就会随之曝光。

  • 隐私争议：GDID 的持久性在帮助执法机关快速定位犯罪嫌疑人方面发挥了积极作用，但它同样让普通用户的日常行为被“永久留痕”。目前，微软对 GDID 的保留周期、是否支持用户自行删除或重置均未提供明确的可视化界面，导致“信息闭环”缺乏透明度。

  • 管理建议：企业在进行 Endpoint Detection and Response (EDR) 部署时，可通过策略限制 GDID 的上报频率或在内部做一次“GDID 伪装”。同时，建议 IT 部门在系统镜像制作阶段加入 GDID 重置脚本，确保每台新设备在交付前拥有唯一且不被外部追踪的标识。

2. VPN 与勒索的“完美匹配”

  • 漏洞根源：多数企业在引入远程办公解决方案时，将 VPN 当作唯一的安全网。实际上，VPN 本身是一把“双刃剑”。在未开启 多因素认证（MFA）、未设置 强密码策略、未及时更新补丁的情况下，VPN 成了攻击者的“后门”。

  • 横向移动：一旦攻击者成功登录 VPN，即可利用 Pass-the-Hash、Kerberos 黄金票证 等技术在内部网络中横向渗透。通过对 PowerShell 脚本的深度审计与执行策略限制，能够在一定程度上阻止恶意任务的自动化执行。

  • 灾备失效：勒索病毒在加密备份后，往往会以“恢复点不可用”为由逼迫受害方支付赎金。若备份系统本身缺乏 Air‑gap（物理隔离） 或 只写（WORM） 机制，即使企业拥有完整的备份，也难以在短时间内恢复业务。

  • 管理建议：从 Zero Trust（零信任） 的思路出发，重新审视 VPN 的使用场景。可采用 SASE（Secure Access Service Edge） 替代传统 VPN，把身份验证、网络安全、数据防泄漏统一在云端统一管理。同时，强制所有远程登录使用 MFA，并对关键系统实施 基于风险的访问控制。

Ⅲ、数据化、智能化、数智化融合时代的安全挑战

在 数据化（Data‑centric） 的浪潮中，企业已经将业务决策、客户洞察、供应链管理全部搬到了云端、数据湖与 AI 引擎之上。智能化（Intelligent） 则把机器学习、自动化运维、智能客服等技术深度植入业务流程。而 数智化（Digital‑Intelligent） 则是这三者的叠加：在大数据的支撑下，利用 AI 进行预测、防御、响应，实现 “安全即服务” 的新生态。

然而，这种高度融合的技术栈本身也孕育了新的风险点：

  1. 数据泄露的连锁效应：一次不慎的日志泄露，可能让攻击者获取到 API Key、OAuth Token，进一步突破微服务之间的信任边界。
  2. AI 误判与对抗：安全 AI 依赖大量历史攻击样本进行模型训练，若攻击者使用 对抗样本（Adversarial Samples）扰乱模型，就可能导致误报率下降，防御失效。
  3. 供应链攻击的放大效应：在数智化平台中，第三方插件、容器镜像、开源库都是潜在的薄弱环节。一次供应链植入的后门代码，可能在全球数千家企业内部同步激活。

面对这些挑战，仅靠技术工具的堆砌已经难以满足安全需求。“防御的终极形态是人机协同”， 正如《孙子兵法》所言：“兵者，诡道也”。我们必须让每一位员工都成为 “安全的第一道防线”。

Ⅵ、号召全员参与信息安全意识培训的必要性

1. 培训不是负担，而是“护城河”

在过去的一年里，昆明亭长朗然科技有限公司 已经完成了对 80% 员工的 网络钓鱼演练，平均点击率下降了 38%；但仍有 22% 的新员工在首次登录企业 VPN 时未开启 MFA，这是一道潜在的安全裂缝。我们期待通过即将启动的 信息安全意识培训，实现以下目标：

  • 提升风险感知：让每位员工在面对陌生邮件、可疑链接时，能够第一时间联想到 “可能的攻击向量”。
  • 普及安全操作规范：从 密码管理、多因素认证、设备加固 到 数据分类与加密，形成系统化的工作习惯。
  • 构建应急响应思维：通过 桌面推演、案例复盘，让员工掌握 “发现‑报告‑处置” 的基本流程。

2. 培训内容概览

章节 关键点 实操演练
第 1 课：信息安全的基本概念 CIA 三要素、攻击链模型 关键字匹配实验
第 2 课：终端防护与 GDID 解析 Windows Telemetry、GDID 作用 本地日志分析
第 3 课：远程访问安全（VPN 与 Zero Trust） MFA、SASE、访问策略 VPN 配置审计
第 4 课：社交工程与钓鱼防御 邮件标题伪装、恶意链接 钓鱼邮件模拟
第 5 课：数据加密与备份策略 Air‑gap、只写存储、密钥管理 备份恢复演练
第 6 课：AI 时代的安全威胁 对抗样本、模型投毒 机器学习模型安全评估
第 7 课：供应链安全 第三方组件审计、容器镜像签名 漏洞快速响应流程
第 8 课：应急响应与报告机制 IR 流程、取证要点 案例演练（从发现到复盘）

3. 学习方式与激励机制

  • 线上微课 + 线下工作坊：每周一次线上 15 分钟微课，配合每月一次的现场实操工作坊，确保理论与实践同步。
  • 积分兑换制度：完成每个模块后可获得 安全积分，累计至 500 分 可兑换 公司内部咖啡券、电子书或额外假期。
  • 安全之星评选：每季度评选 “安全之星”，获奖者将获得 公司内部专栏专访、技术论坛发表机会，并直接向高层汇报安全建议。

4. 打造安全文化的长效机制

  • 安全周活动：每年安排一次 “安全文化周”，包括黑客演讲、CTF（Capture The Flag）比赛、部门安全演练，让员工在竞争与合作中提升防御技能。
  • 安全沙龙：鼓励技术团队、业务团队共建 “安全兴趣小组”，定期分享最新的攻击趋势、漏洞分析与防御思路。
  • 透明化报告：实现 “安全事件公开透明”，在内部平台公布每一次的安全事件处理过程、根因分析与改进措施，形成组织学习闭环。

Ⅶ、结语：让每一次点击都有“安全护航”

在数字化浪潮的推动下，信息安全已不再是 IT 部门的专属职责，而是每一位职员的日常工作方式。《礼记·大学》中有云：“知之者不如好之者，好之者不如乐之者。”如果我们能把 安全 当作一种 “乐趣”、一种 “自我价值的提升”，那么防御的壁垒将不再是冰冷的技术堆砌，而是一种自发的、全员参与的文化氛围。

回顾 GDID 案例，我们看到的是一次技术细节的“破案”之旅；回望 VPN 勒索案例，我们感受到的是一次因人为疏忽导致的“灾难”。这两则案例的共同点，是 “人” 与 “技术” 的交叉点。只要我们把 “安全意识” 与 “日常操作” 紧密结合，就能让黑客的每一次“蛛丝”在我们的网络中无所遁形。

让我们共同踏上 信息安全意识培训 的起航之旅，以 “知行合一” 的态度，把每一次技术操作都转化为 “安全的加分项”，让企业在数智化的浪潮中稳步前行，成为 “数据的守护者、智能的监管者、数字化的领路人”。

让安全成为我们每一天的习惯，让防御成为我们每一次点击的底色。

——信息安全意识培训专员 董志军

2026 年 8 月 2 日

昆明亭长朗然科技有限公司深知每个企业都有其独特的需求。我们提供高度定制化的信息安全培训课程，根据您的行业特点、业务模式和风险状况，量身打造最适合您的培训方案。期待与您合作，共同提升安全意识。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

从“看不见的危机”到“安全的未来”——一次全员参与的网络安全意识提升之旅

admin

前言：头脑风暴的四大典型案例

在信息化、智能化、无人化、机器人化快速融合的今天，企业的业务系统已经不仅仅是运行在服务器机房的几台裸机上，而是深度嵌入了云平台、容器编排、AI 代码生成、自动化流水线以及工业机器人等多维度的技术生态。正因如此，安全威胁的攻击面被极大拓宽，攻击者的作案手段也愈发多样、隐蔽、致命。

为了帮助大家快速梳理潜在风险，下面挑选了 四个典型且具备深刻教育意义的真实案例，每个案例都围绕“看不见的危机”展开，旨在让大家在阅读的第一秒就产生共鸣、警觉并思考防御路径。

案例编号 案例概述 教训要点
Ⅰ JetBrains TeamCity 预认证远程代码执行（CVE‑2026‑63077）：攻击者构造特制 HTTP 请求，绕过身份验证直接在自建 CI/CD 服务器上执行任意系统命令，导致构建环境泄露、供应链被篡改。 预认证 RCE 是最易被忽视的高危漏洞；CI/CD 平台往往拥有高权限，安全失守会直接波及整个软件供应链。
Ⅱ SolarWinds Orion 供应链攻击（2020）：恶意软件植入渗透更新包，全球数千家机构的网络管理系统被后门植入，攻击者利用其轻量级后门横向渗透。 供应链安全 不仅是代码库，更包括第三方运维工具、插件、容器镜像等；“一次更新，万家受害”。
Ⅲ Colonial Pipeline 勒索攻击（2021）：攻击者通过未打补丁的 VPN 服务器获得内部网络访问，随后利用 Ransomware 加密关键控制系统，迫使企业支付巨额赎金。 远程访问硬件 若缺乏多因素认证与网络分段，即成“后门”；而关键基础设施被攻击将导致业务停摆与社会影响。
Ⅳ Deepfakes 社交工程钓鱼（2023）：攻击者利用生成式 AI 合成公司高层的语音及视频，骗取财务部门转账；受骗员工因缺乏对 AI 合成内容的辨识能力而导致资金失窃。 生成式 AI 已成为新型社交工程武器，传统的“请核实邮件内容”已不足以防御，需要技术手段与意识并重。

思考：这四个案例看似来源不同——一是软件平台漏洞，一是供应链后门，一是远程访问失控，一是 AI 合成诈骗；但它们共同指向一个核心——“对外暴露的接口与信任链条”。只要在任何环节出现薄弱，攻击者就能“看不见的手”将危害悄然送达。

案例深度剖析

1. JetBrains TeamCity 预认证 RCE（CVE‑2026‑63077）

  • 漏洞定位：TeamCity 代理轮询协议在处理客户端发送的序列化数据时未进行充分的输入校验，攻击者发送特制的二进制 payload，服务器在反序列化阶段直接触发对象的 java.io.Serializable 方法，导致任意代码执行。
  • 攻击路径：
    ① 攻击者获得目标服务器的公网 HTTP(S) 入口；
    ② 发送恶意 polling 请求；
    ③ 服务器以 teamcity 进程用户身份执行命令（往往是 root 或管理员特权）；
    ④ 攻击者可下载密钥、窃取构建产物、注入恶意依赖，完成供应链植入。
  • 危害评估：CVSS 9.8（极高），攻击者不需要任何凭证；一旦成功，后续的每一次代码提交、每一次自动部署都可能被篡改，风险链条极长。
  • 防御要点：
    ① 及时升级：官方已在 2025.11.7 与 2026.1.3 中修补；
    ② 网络分段：将 CI/CD 服务器置于受限子网，仅限内部 IP 访问；
    ③ 最小权限：TeamCity 进程不应以 root 运行；
    ④ 插件硬化：使用官方安全补丁插件，启用请求体校验。

2. SolarWinds Orion 供应链攻击

  • 攻击手法：APT 组织在 SolarWinds Orion 更新文件中插入恶意指令（SUNBURST），利用代码签名伪装合法更新，诱导数千家企业下载并执行。因为 Orion 是网络监控核心，一旦植入后门，攻击者即可横向访问关键资产（Active Directory、数据库、SCADA）。
  • 根本原因：缺乏 安全的软件供应链 验证机制。企业默认信任供应商的签名，却未对二进制的 构建环境、CI/CD 过程 进行独立审计。
  • 整改建议：
    ① 引入 SBOM（Software Bill of Materials） 与 签名验证 流程；
    ② 将关键更新部署在 隔离的测试环境，通过沙箱执行验证；
    ③ 对所有网络管理工具开启 双向 TLS 与 零信任访问。

3. Colonial Pipeline 勒索攻击

  • 攻击载体：利用未打补丁的 Palo Alto GlobalProtect VPN 漏洞（CVE‑2019‑11510），攻击者获取 VPN 管理员凭证，进而进入内部网络。随后使用 Ransomware（DarkSide） 加密管道控制系统的关键服务器，导致美国东海岸燃油供应中断 5 天。
  • 安全失误：
    ① 远程访问入口长期对外开放，缺乏 多因素认证；
    ② 网络分段 不严格，VPN 用户可直接访问 SCADA 区域；
    ③ 备份 与 灾难恢复 漏洞，使得企业只能选择支付赎金。
  • 防御措施：
    ① 零信任：对每一次访问进行身份、设备、行为的动态验证；
    ② 微分段：将控制系统、业务系统、办公系统分别放在独立安全域；
    ③ 离线备份：使用异地、离线、不可变备份技术；
    ④ 安全审计：对 VPN 访问日志进行自动化异常检测。

4. Deepfakes 社交工程钓鱼

  • 攻击场景：黑客利用 Stable Diffusion 与 ChatGPT 合成公司 CEO 的语音、视频，发送至财务主管的即时通讯工具，声称紧急需要转账至境外账户。员工因缺乏对合成内容的辨识能力，直接在内部系统完成转账，导致公司损失上千万。
  • 技术趋势：生成式 AI 的 低成本、快速生成 让伪造身份的门槛大幅下降；传统的“邮件发件人检查”已无法抵御。
  • 防御思路：
    ① 建立 多层验证（例如：同事之间需通过跨渠道验证码确认大额转账）；
    ② 部署 AI 内容鉴别 工具，对视频、语音进行深度伪造检测；
    ③ 加强 安全文化，让每位员工了解生成式 AI 的潜在威胁。

2. 智能化、无人化、机器人化时代的安全新挑战

2.1 业务场景的演进

业务形态 代表技术 潜在安全隐患
智能制造 工业机器人、PLC、边缘计算 机器人指令被劫持 → 生产线停摆或产品质量受损
无人仓储 AGV（自动导引车）、无人叉车、IoT 传感器 物流路径被篡改 → 货物错放、盗窃
AI 辅助开发 代码生成模型（Copilot、ChatGPT）、自动化测试 生成的代码潜藏后门 → 供应链植入
云原生运维 Kubernetes、容器镜像、Service Mesh 镜像被篡改 → 整个集群被横向渗透
远程办公与协同 视频会议、企业即时通讯、云文档 伪造视频、深度合成钓鱼 → 机密信息泄露

可以看到，“技术越先进，攻击面越宽” 已不再是口号，而是客观事实。尤其是 机器人 与 无人系统 直接控制物理生产，安全失控的后果往往从“数据泄露”升级为“设备破坏、人员安全”。因此，建立 “安全即服务（SecOps as a Service）” 的思维模式尤为重要：安全必须渗透到每一条业务链路、每一个系统组件、每一次代码提交。

2.2 零信任的必然落地

零信任（Zero Trust）理念强调“永不信任，始终验证”。在无人化、机器人化的场景中，它的实现路径包括：

  1. 身份与设备双因子：每一台机器人、每一台 AGV 必须拥有唯一的硬件根密钥（TPM）与动态证书，进入网络时进行双向 TLS 互认。
  2. 最小权限策略（Least Privilege）：机器人仅能调用与其职责相关的 API，禁止跨域调用；所有异常调用自动触发审计与阻断。
  3. 行为分析（UEBA）：通过机器学习模型实时监控机器人指令频率、时序、异常路径，一旦偏离基线即报警。
  4. 安全即代码（SecCode）：在每一次机器人固件升级、模型部署时执行自动化安全检测（静态分析、容器扫描、供应链签名），确保没有隐藏的恶意指令。

3. 信息安全意识培训的必要性与目标

为什么每位员工都必须成为安全的第一道防线？
– 攻击者的第一枚子弹 常常来自 “社会工程”（钓鱼、冒充、深度伪造），而这类攻击的成功率直接取决于接受者的判断能力。
– 技术防御是底层屏障，但无法防止内部误操作、误配置、密码泄露等人为失误。
– 合规要求（如《网络安全法》《数据安全法》《个人信息保护法》）明确规定企业必须组织 定期的安全培训 并记录员工的学习情况。

培训的四大核心目标

目标 具体表现
认知提升 了解常见威胁（钓鱼、勒索、供应链、AI 伪造）以及企业资产的价值链。
技能赋能 掌握安全的基本操作：密码管理、二因素认证、文件加密、异常报告流程。
行为养成 形成安全的日常习惯：定期更新系统、审计访问日志、验证陌生请求。
文化沉淀 将“安全第一”内化为团队文化，使之在每一次项目评审、每一次代码提交时都有安全的声音。

4. 培训计划概览（2026 年 9 月启动）

时间 内容 讲师/主持 形式 关键学习点
第一周 安全基础速成班（密码学、网络协议、常见攻击） 内部安全专家 线上直播 + 交互问答 认识常见攻击手法，掌握密码强度原则
第二周 CI/CD 与供应链安全（案例：TeamCity 漏洞） 外部资深顾问 录播 + 实战实验（演练漏洞复现） 理解供应链风险，学会使用 SCA、SBOM
第三周 零信任与微分段（工业机器人安全） 自动化安全团队 现场演示 + 案例研讨 实施最小权限、设备身份认证
第四周 AI 伪造与深度防御（Deepfake 钓鱼） 信息安全实验室 互动工作坊（合成检测工具实操） 辨别 AI 伪造，落实多渠道验证
第五周 应急响应与取证（勒索攻击演练） 法务与取证专家 案例演练 + 报告撰写 快速定位、隔离、恢复，完成取证
第六周 综合演练：从渗透到恢复 综合演练小组 红蓝对抗赛（全员参与） 将所学贯通于实战，提升团队协同能力

培训奖励机制：完成全部课程并通过终测的同事，将获得 “信息安全守护者” 电子徽章、公司内部积分，可兑换额外的学习资源或技术设备。

5. 从案例到行动：我们可以立即做的五件事

  1. 立即检查公开端口：使用 Nmap、Shodan 等工具自行扫描，确认是否有不必要的 HTTP、RDP、SSH 端口对外开放。
  2. 强制更新关键组件：对 TeamCity、SolarWinds、VPN、容器镜像等关键软件，务必在本周内完成官方补丁或安全插件的部署。
  3. 启用多因素认证：所有远程登录、内部敏感操作均强制使用 MFA（如硬件令牌、手机 OTP），不再依赖单一密码。
  4. 完善密码管理：采用企业密码库（如 1Password、Bitwarden）统一生成、存储、定期更换密码，杜绝口令复用。
  5. 建立安全报告渠道：在企业内部社交平台开设 “安全情报站”，鼓励员工即时上报异常行为、可疑邮件，奖励制度透明化。

6. 结语：让安全成为企业的“软实力”

在智能化、无人化、机器人化的宏大浪潮里，技术是加速器，安全是刹车器。如果刹车失灵，后果不仅是业务中断，更可能演变为 品牌崩塌、法律惩罚、员工信任流失。从 TeamCity 的预认证漏洞、SolarWinds 的供应链毒瘤、Colonial Pipeline 的勒索危机 到 AI 生成的 Deepfake 钓鱼，每一次真实的攻击都敲响了“安全不可忽视”的警钟。

今天我们通过四个案例把抽象的风险具象化；今天我们用零信任、最小权限、行为分析等技术手段搭建防御堡垒；今天我们推出系统化、实战化、激励化的安全意识培训计划，目的只有一个——让每一位同事都成为信息安全的第一线守护者。

请大家在接下来的培训中，敞开心扉、积极参与、勇于提问。让我们共同用知识、用行动把“看不见的危机”彻底驱散，让安全成为企业竞争力的 软实力，让每一次代码提交、每一次机器人指令、每一次业务连接都在安全的护盾下自信运行。

让我们携手并进，构筑零信任的未来；让安全意识浸润每一次点击、每一次对话、每一次部署。

信息安全意识培训，期待与你不见不散！

安全不是某个人的事，而是 全体 的事。

让安全成为我们的习惯，让防御成为我们的常态！

—— 昆明亭长朗然科技有限公司 信息安全意识培训团队

昆明亭长朗然科技有限公司关注信息保密教育，在课程中融入实战演练，使员工在真实场景下锻炼应对能力。我们的培训方案设计精巧，确保企业在面临信息泄露风险时有所准备。欢迎有兴趣的客户联系我们。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898