从“暗网暗流”到“云端风暴”：让安全意识成为每位员工的护身符

admin

一、头脑风暴：想象两场信息安全“惊魂剧”

场景一：AI 代理的“失控”
在一家跨国金融机构的安全中心，负责身份管理的运维工程师小林正准备在 Azure 门户中为新上线的客服机器人分配“Agent ID Administrator”角色。谁知，角色权限的一个细微失误让这只本应温顺的 AI 代理，拥有了管理任意 Service Principal（服务主体）的超权，瞬间获得了公司内部所有关键云资源的钥匙。几分钟内，攻击者利用被劫持的服务主体，横向渗透到核心数据库，窃取了上万条客户的个人信息。事后调查发现，正是 Microsoft Entra ID 中“Agent ID Administrator”角色的设计缺陷，让这场灾难在毫秒之间完成。

场景二：Adaptix C2 与 VS Code 隧道的“双剑合璧”
在台湾某制造业企业的研发部门，工程师阿豪正在本地使用 VS Code 进行代码调试，顺手开启了远程 SSH 功能。与此同时，一支代号为 “Tropic Trooper” 的中国黑客组织借助 Adaptix C2 远控平台，将恶意隧道注入到阿豪的机器。凭借 VS Code 本身的插件系统，黑客在不被防病毒软件检测的情况下，悄然将企业内部网络映射到海外服务器，随后植入 ransomware，导致关键生产线的 PLC 控制系统全部停摆。事后审计显示，攻击链的每一步都因企业缺乏对开发工具与云端服务安全配置的基本认知而得以顺利执行。

这两幕“惊魂剧”看似天差地别，却有一个共同点：权限失控与对工具安全特性的盲目信任。当组织内部的安全意识不足，哪怕是最精细的技术防护，也会在瞬间被撕开缺口。

二、案例深度剖析：从漏洞到危害的完整链路

1. Microsoft Entra ID “Agent ID Administrator” 角色漏洞

（1）漏洞根源
– 角色定位错误：该角色本设计用于管理专属 AI 代理的 Service Principal，理应仅限于 “AI‑related” 范畴。
– 权限范围宽泛：实际权限包括 Read/Write 任意 Service Principal、修改拥有者、添加凭证、以及以该主体身份进行身份验证。
– 缺乏最小特权原则：未对角色进行细粒度划分，也未在 Azure RBAC 中引入 “仅限 AI 代理” 的条件限制。

（2）攻击路径
1. 获取角色：攻击者通过社交工程或内部泄露获得了低权限账号，并利用该账号请求提升至 “Agent ID Administrator”。
2. 滥用 Service Principal：使用该角色创建或接管一个拥有 Directory Reader 或 Global Administrator 权限的 Service Principal。
3. 横向渗透：凭借被劫持的 Service Principal，调用 Azure Graph API、Microsoft Graph，读取所有 Azure AD 对象，并对关键云资源（如 Key Vault、SQL Database、Logic Apps）进行权限提升。
4. 数据外泄或破坏：最终攻击者可以下载敏感文件、注入后门，甚至删除灾难性资源，导致业务中断。

（3）影响评估
– 业务层面：金融、医疗、政府等高价值行业的云租户极易成为目标，短时间内造成数十亿元的直接经济损失。
– 合规层面：涉及 GDPR、ISO 27001、CSP‑TLS 等标准的组织，将面临严厉的审计处罚与声誉危机。
– 技术层面：一旦 Service Principal 被完全控制，传统的基于用户的 MFA 与密码策略失效，导致“账号密码失效”这一防线失去作用。

（4）修补与防御
– Microsoft 官方修补：2026 年 4 月 9 日，已在全量租户中强制限制该角色只能管理 AI 相关 Service Principal。
– 组织自检：建议立即在 Azure AD 中审计所有拥有 “Agent ID Administrator” 权限的账号，撤销非必要授权，并启用 Privileged Identity Management (PIM) 进行即时授权并强制 MFA。
– 最小特权原则：对每一个角色进行细粒度划分，仅授予执行任务所需的最小权限。

2. Adaptix C2 + VS Code 隧道攻击链

（1）攻击工具概览
– Adaptix C2：一种基于云平台的远控框架，支持 HTTP/HTTPS 隧道、DNS 穿透以及多阶段 payload 投递。
– VS Code Remote SSH：官方插件允许开发者直接在本地编辑远程服务器上的文件，默认开启 自动保存 与 实时语法检查，但对 插件的安全审计 极少限制。

（2）攻击路径
1. 初始植入：黑客通过钓鱼邮件或供应链漏洞，将恶意脚本植入目标机器的 VS Code 插件目录。
2. 隧道建立：利用 VS Code 的 Remote SSH 功能，将本地端口映射到攻击者控制的 C2 服务器，形成隐蔽的双向通信通道。
3. 横向渗透：通过该通道，黑客使用内部凭证访问企业内部 LDAP、文件服务器，甚至直接登录生产 PLC 控制系统。
4. 勒索或破坏：在取得足够控制后，部署 ransomware 加密关键文件，或通过 PLC 命令修改生产流程，导致产线停摆。

（3）危害评估
– 时间成本：从初始植入到系统彻底失控，往往只需数小时。
– 经济损失：制造业的生产线停工每分钟的损失可达数十万元，整体损失常在数千万元以上。
– 合规风险：涉及工业控制系统的安全事件在 IEC 62443、ISO 27019 等标准下，需要上报并接受监管审计。

（4）防御建议
– 限制开发工具权限：对 VS Code 等 IDE 实行 企业版安全加固，仅允许经授权的插件、强制签名验证。
– 网络分段：使用 Zero Trust 框架，将开发环境与生产网络严格隔离，防止隧道跨段渗透。
– 日志审计：开启 Audit Log 与 Conditional Access 策略，实时监控 Remote SSH 连接与异常 API 调用。
– 安全培训：针对开发团队进行 Secure Development Lifecycle (SDL) 培训，让每位工程师了解工具链潜在的安全风险。

三、信息化、智能化、具身智能的融合环境下的安全挑战

1. 具身智能（Embodied Intelligence）与物联网的融合

随着 工业机器人、智能工厂、智慧办公 的快速落地，物理世界 与 数字世界 的边界正在被打破。每一台机器人、每一块传感器背后，都有 身份认证 与 访问控制 的需求。若缺乏统一的 身份治理，恶意主体便能通过 IoT 设备 进行横向渗透，甚至直接控制生产设备。

2. 云原生与多租户的安全复杂度

多云、混合云环境导致 资源分散、权限交叉。如本案例中的 Entra ID，角色设计若不符合 最小特权 原则，极易成为“权限爆炸”的温床。云原生的 容器编排（Kubernetes）、服务网格（Service Mesh） 更是对 RBAC 与 网络策略 提出了更高要求。

3. 人工智能的双刃剑

AI 代理能够 自动化 身份验证、提升 运营效率，却也可能因 权限失衡 成为攻击者的 “后门”。AI 模型本身的 训练数据泄露、对抗样本攻击，都可能导致 身份误判，进一步放大风险。

4. 零信任（Zero Trust）是唯一的出路

在 “不可信任任何网络、任何设备、任何身份” 的理念下，组织必须：

  • 持续 身份验证（MFA、密码学凭证）

  • 动态 授权（基于风险的访问控制）
  • 实时 监控（行为分析、UEBA）
  • 快速 响应（自动化隔离、修补）

只有将 技术、流程、人员 三者紧密结合，才能在复杂的数字生态中保持安全。

四、呼吁：让信息安全意识成为每位员工的“必修课”

“安全不是 IT 的事，而是全员的事。”
—— 现代信息安全治理的基本共识

在企业的日常运营中，每一次点击、每一次代码提交、每一次身份切换，都是潜在的攻击向量。下面，我们从职工角度出发，列出三大必备安全素养，帮助大家在日常工作中自觉筑起防线。

1. 角色与权限的自我审视

  • 认知自己的权限范围：每位员工都应了解自己在系统中的角色，明白哪些资源是自己可以访问的，哪些是被禁止的。
  • 拒绝“一键提升”：对于任何需要提升权限的请求，都要核实业务需求、审批流程、以及最小特权原则的适用性。
  • 定期审计个人授权：利用公司提供的 权限查询工具，每季度自行检查一次拥有的权限是否仍然匹配当前岗位职责。

2. 开发与运维工具的安全使用

  • 插件审计：仅使用公司批准的 VS Code 插件，禁止自行下载未签名的扩展。
  • 安全配置：开启 Remote SSH 的 IP 白名单、日志审计，并使用 硬件安全模块（HSM） 存储私钥。
  • 代码审计：在提交代码前，使用 静态代码分析（SAST） 工具检查潜在的安全漏洞；对涉及凭证的代码，必须使用 密钥管理系统（KMS） 动态注入。

3. 云资源与 AI 代理的合规管理

  • AI 代理角色审查：凡涉及 AI 代理的租户，必须使用 Microsoft Entra ID 的 Privileged Identity Management 进行即时授权，并强制 多因素认证（MFA）。
  • 密钥轮换：对所有 Service Principal 的凭证执行 90 天轮换，并使用 证书 而非 密码 进行身份验证。
  • 异常行为监控：开启 Azure Sentinel 或 Microsoft Defender for Cloud 的 行为分析，对异常角色提升、跨租户访问等行为触发警报。

4. 个人行为习惯的安全化

  • 防钓鱼：陌生邮件、未知链接不随意点击；对来源不明的附件进行 沙箱分析。
  • 密码管理：使用公司统一的 密码保险箱，避免密码重用；开启 密码短期失效 机制。
  • 桌面安全：锁屏、离岗时关闭工作站；使用 硬件加密盘 存储敏感文件。

五、即将开启的安全意识培训——让学习变得有趣而有价值

培训主题：“从云端到物联：全链路安全防护实战演练”
时间：2026 5 15 （周二）上午 9:00 – 12:00
地点：公司多功能会议室（亦提供线上直播）

培训亮点：

  1. 案例驱动：通过本次文章中两大真实案例，全程模拟攻击与防御过程，让大家在“现场”感受风险逼真度。
  2. 互动实验室：使用 Azure Sandbox 与 Kubernetes Playground，让每位学员亲手配置最小特权角色、部署安全监控。
  3. 角色扮演：分为“攻击者”“防御者”“审计员”三组，进行 Capture‑the‑Flag（CTF）竞赛，巩固理论与实践。
  4. 知识积分系统：完成培训后，可获得 安全积分，用于公司内部的 福利兑换（如健康体检、培训补贴等）。
  5. 专家面对面：邀请 Microsoft 安全架构师、银狐安全（Silverfort） 高级研究员进行现场答疑，解答大家在日常工作中遇到的安全难题。

“学习不应该是枯燥的背诵，而是一次次的‘破冰’体验。”
—— 让安全意识从“口号”转化为“能力”，是我们共同的目标。

报名方式：请登录公司内部 e‑Learning 平台，在“安全培训”栏目下自行登记。为确保培训质量，名额有限，先报先得。

六、结束语：安全是每个人的“护身符”，让我们一起佩戴

在信息化、智能化、具身智能交织的新时代，安全不再是技术部门的专属，而是每一位员工的必备素养。正如古人云：“千里之堤，溃于蚁穴”。一次细小的权限失误、一段不经意的插件安装，都可能在瞬间掀起巨浪，冲垮整座信息防御大坝。

让我们在即将到来的培训中，摒弃“安全是 IT 的事”的旧观念，主动学习、积极实践，用 最小特权、零信任思维、持续监控 这三把钥匙，打开安全防御的每一道门。只有全员参与、持续监督，才能在云端风暴、物联网暗流中，稳固企业的数字根基，护航业务的高质量发展。

“信息安全，是企业的第一竞争力。”
—— 把它写进每一天的工作清单，让安全成为我们共同的习惯。

在昆明亭长朗然科技有限公司，信息保护和合规意识是同等重要的两个方面。我们通过提供一站式服务来帮助客户在这两方面取得平衡并实现最优化表现。如果您需要相关培训或咨询，欢迎与我们联系。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

守护数字防线——从案例看信息安全的自我革命

admin

前言：脑洞大开，筑起防御的四道“城墙”

在信息化浪潮汹涌而至的今天，安全事件往往像不速之客，在我们不经意的瞬间撕开一道口子。为了让大家在阅读中感受到“危机感”，不妨先来一场头脑风暴——设想四个典型且富有教育意义的安全案例，看看它们是如何从“微光”变成“烈焰”，再从中提炼出我们必须铭记的经验与教训。

  1. Vimeo 数据泄露——“第三方平台”成了攻击的入口
    当大家沉浸在视频创作的快感时，Vimeo 却因其使用的分析平台 Anodot 被黑客利用，导致用户技术资料、影片标题及部分客户邮箱被未授权访问。此事直接提醒我们：供应链安全不容忽视。

  2. Rockstar Games 资料外泄——AI 绩效分析平台的“暗门”
    Rockstar Games 的一场数据泄漏，源于黑客从同样的 Anodot 平台抓取绩效数据后进行横向渗透。即使是顶级游戏厂商，也难以抵御供应链中的“一脚踏空”。这里折射出 AI/机器学习平台的安全治理 仍是薄弱环节。

  3. ShinyHunters 勒索敲诈——“Pay‑or‑Leak”奏响黑金序曲
    黑客组织 ShinyHunters 将 Vimeo 列入受害名单，声称已侵入其 Snowflake 与 BigQuery 实例，并以“付费换不泄露”为要挟。虽然最终未公开大量敏感信息，但事件敲响了 云数据仓库安全 的警钟。

  4. Microsoft 更新延期的“特例”——人性化操作背后潜藏风险
    微软推出的“无限期推迟 Windows 更新”功能，表面是对用户体验的体贴，却可能导致系统长期停留在已知漏洞状态，成为 补丁管理失效 的典型案例。此情此景让我们深思：安全与便利的平衡 如何把握？

这四个案例从不同维度揭示了信息安全的共性难题：供应链安全、云平台防护、勒索敲诈以及补丁管理。接下来，让我们逐一剖析，抽丝剥茧，提炼出可操作的防御思路。

案例一：Vimeo 数据泄露——供应链安全的警钟

背景回顾

2026 年 4 月 27 日，全球知名影音平台 Vimeo 公布，一场波及 Anodot 数据分析平台的事故导致部分用户与客户的技术资料、影片标题及元数据被未授权访问。Vimeo 明确表示，影片内容、登录凭证及支付信息并未受影响，系统服务无中断。

攻击链解析

  1. 供应商漏洞：Anodot 作为第三方数据分析服务，其内部数据库（Snowflake、BigQuery）对外提供 API 接口。黑客通过泄露的 API 密钥或弱口令渗透进入，获得对数据仓库的只读权限。
  2. 横向渗透：凭借已取得的 Anodot 数据，攻击者逆向推断出 Vimeo 与 Anodot 之间的 OAuth 授权关系，进而对 Vimeo 主系统发起钓鱼式请求。
  3. 信息采集：读取到的元数据并未包含用户凭证，却足以让攻击者构建用户画像、进行社交工程或进一步攻击其他业务系统。
  4. 泄露与威胁：黑客未立即公开数据，而是将部分信息在暗网出售，增加了商业竞争对手获取情报的可能性。

教训与启示

  • 供应链安全评估必须常态化：企业在选用 SaaS、PaaS、IaaS 等外部服务时，需要对供应商的安全合规、渗透测试报告以及安全事件响应流程进行审计。
  • 最小权限原则（Principle of Least Privilege）不可或缺：对 API 授权、数据访问进行细粒度的权限划分，避免“一把钥匙开所有门”。
  • 实时监控与异常检测：采用行为分析（UEBA）及零信任架构，在异常 API 调用（如跨区域、频率异常）时即时触发告警。
  • 第三方安全共享机制：与合作伙伴建立安全事件联动机制，确保一方发现漏洞时能够快速通报并协同修复。

案例二：Rockstar Games 资料外泄——AI 平台的暗门

事件概述

2026 年 4 月上旬，知名游戏开发巨头 Rockstar Games 被曝出一场大规模资料外泄。黑客组织 ShinyHunters 疑似通过 AI 绩效分析平台 Anodot 突破防线，获取到内部开发进度、代码片段以及用户行为数据。

攻击路径

  1. AI 平台的高价值：Anodot 通过收集 Rockstar Games 的业务指标、玩家活跃度、收入模型等数据，为公司提供 AI 驱动的业务洞察。
  2. 模型投毒（Model Poisoning）：攻击者向平台提交精心构造的恶意数据，使得 AI 模型产生异常输出，从而泄露底层的数据结构和接口信息。
  3. 凭证窃取：利用模型返回的错误信息，黑客成功推断出内部 API 的签名算法与密钥，进而拿到访问权限。
  4. 横向渗透：凭借获得的 API Token，攻击者进入 Rockstar Games 的内部服务网络，下载源代码和测试数据，导致巨大商业损失。

关键教训

  • AI/ML 平台的安全设计同样重要：模型训练数据的完整性、模型推理过程的隔离以及对输出的审计必须纳入安全风险评估。
  • 防止模型投毒：对外部上传的数据实行严格验证，使用数据溯源（Data Lineage）和异常检测来识别恶意注入。
  • 密钥管理与轮转：对 API Token、签名密钥进行周期性轮换，使用硬件安全模块（HSM）存储关键材料。
  • 安全审计与溯源：记录每一次模型调用的上下文信息，包括调用方、时间戳、输入输出，以便在发生事故时快速定位。

案例三：ShinyHunters 勒索敲诈——云数据仓库的“软肋”

事发经过

ShinyHunters 在 2026 年 4 月 30 日前向 Vimeo 索要巨额赎金，声称已侵入其 Snowflake 与 BigQuery 实例，并将对外泄露所窃取的数据。Vimeo 随后发布公告，证实部分元数据被未授权访问，但坚称未涉及用户凭证与支付信息。

攻击手段

  1. 凭证泄露：攻击者通过钓鱼邮件或内部人员失误获取了云服务的访问密钥（Access Key & Secret Key）。
  2. 云资源横向移动：利用获取的密钥，直接登录 Snowflake 控制台，导出数据仓库的查询结果与元数据。

  3. 数据加密勒索：对导出的数据进行加密后，以“付费不泄露”为要挟，发送勒索信件。
  4. 心理恐吓：勒索信中附带了部分数据的截图，以制造紧迫感，迫使受害方在不充分评估的情况下作出支付决策。

防御要点

  • 云身份与访问管理（IAM）：严格限制云服务密钥的分配范围，采用基于角色的访问控制（RBAC），并定期审计未使用或过期的密钥。
  • 多因素认证（MFA）：对管理员及高权限账户强制使用 MFA，降低凭证被盗后直接登录的风险。
  • 行为审计与异常检测：使用 CloudTrail、Audit Logs 等日志服务，对异常导出、异常 IP 登录使用机器学习检测模型进行实时报警。
  • 备份与灾难恢复：保持离线、不可篡改的备份副本，确保在遭遇勒索时能够通过恢复而非支付赎金解决问题。

案例四：Microsoft 更新延期——补丁管理的“懒散症”

背景说明

2026 年 4 月 27 日，微软正式推出“无限制推迟 Windows 更新”功能，允许用户在不进行更新的情况下继续使用系统，并通过关闭电源的方式规避强制重启。虽然此举满足了某些企业对业务连续性的需求，但也让系统长期处于已知漏洞未修补的状态。

安全隐患

  1. 已知漏洞的持续暴露：攻击者可以针对公开的 CVE 漏洞（如 PrintNightmare、ZeroLogon）进行针对性攻击。
  2. 补丁滞后导致的“安全债务”：企业 IT 部门若长期依赖延期功能，补丁管理成本会随时间累积而急速上升。
  3. 攻击面扩大：在企业网络中，未更新的工作站往往充当“垂直跳板”，帮助攻击者横向渗透至关键服务器。
  4. 合规风险：许多行业监管（如 GDPR、PCI‑DSS）要求及时修补安全漏洞，长期推迟更新可能导致合规审计不合格。

对策建议

  • 制定补丁管理策略：根据业务系统的重要性划分不同的更新窗口，关键系统采用“快速通道”，普通系统采用“常规通道”。
  • 自动化补丁部署：利用 WSUS、SCCM、Intune 等工具实现补丁的自动下载、测试与分发，降低人为失误。
  • 漏洞风险评估：对每一个公开 CVE 进行危害评估（CVSS + 业务影响），决定是否立即修补或制定临时缓解措施。
  • 终端检测与响应（EDR）：在未打补丁的终端上部署 EDR，实时检测漏洞利用行为，及时阻断攻击链。

数字化、智能体化、无人化时代的安全新常态

1. 数字化：数据即血液，安全即血管

在企业转型的浪潮中，业务流程、客户关系、供应链管理全都搬到了云端、数据湖与实时分析平台。数据的价值与风险成正比，任何一次泄露都可能导致商业竞争力的崩塌。我们必须从 数据本体 入手，对数据生命周期（收集、存储、传输、处理、销毁）进行全程加密与审计。

2. 智能体化：AI/ML 不是万能药，也是攻击面

AI 正在为我们提供自动化的威胁检测、漏洞修复与业务洞察，但它本身亦可能成为攻击者的武器——如模型投毒、对抗样本、数据中毒等。企业在部署 AI 时，必须遵循 安全‑AI 生命周期：
– 安全需求定义 → 模型训练安全 → 模型部署硬化 → 持续监控与可解释性审计。
只有把安全“嵌入”到模型的每一步，才能让智能体真正成为防御的“盟友”。

3. 无人化：自动化运维的双刃剑

自动化脚本、容器编排（K8s）、无服务器（Serverless）让运维成本骤降，却也让攻击者拥有了“一键式”横向渗透的渠道。零信任（Zero Trust） 与 最小暴露面（Attack Surface Reduction） 成为无人化环境的核心原则。具体做法包括：
– 对 API 网关实行细粒度访问控制；
– 对容器镜像进行签名与防篡改检查；
– 对 Serverless 函数执行环境进行行为白名单限制。

号召：加入信息安全意识培训，共筑数字长城

亲爱的同事们，面对上述案例所揭示的风险，我们不能仅凭“运气”或“临时抱佛脚”来保命。信息安全是一场 全员、全时、全链 的系统工程。为此，公司即将启动为期 四周、线上+线下 相结合的信息安全意识培训，内容涵盖：

  1. 供应链安全实战演练：学习如何审计第三方 SaaS、识别 API 漏洞。
  2. AI/ML 安全工作坊：从模型投毒到对抗样本，掌握安全开发生命周期（Secure ML）的方法。
  3. 云平台防护实验室：实战演练 IAM 权限最小化、密钥轮转与异常检测。
  4. 补丁管理与自动化运维：通过案例分析，建立完善的补丁评估、测试与批量部署流程。

培训目标：

  • 提升安全感知：让每位员工在日常工作中能够主动识别钓鱼邮件、异常登录行为以及潜在的供应链风险。
  • 强化技能：通过动手实验，掌握基本的加密、身份验证、日志审计和风险评估技巧。
  • 培养安全文化：形成“安全第一、共享防御、持续改进”的团队氛围，让信息安全成为组织的核心竞争力。

正如《孙子兵法·计篇》所言：“兵者，诡道也。” 在网络空间，防御同样需要巧思与策略。只有把安全思维深植于每一次点击、每一次部署、每一次沟通之中，才能让我们在日益智能化的战场上占据主动。

行动召唤：

  • 请登录公司内部学习平台 [安全培训专区]，完成个人信息登记。
  • 在 5 月 5 日 前完成 《信息安全基础》 在线测评，合格者将获得公司提供的安全防护实用工具包。
  • 关注公司内部公众号，获取最新培训时间、讲师介绍以及抽奖福利信息。

让我们从“防患于未然”转向“防御于未尝”，用学到的知识和技能为自己、为团队、为企业筑起一道坚不可摧的数字防线！

结语

信息安全不再是 IT 部门的独角戏，而是全员参与的 “公共安全”。从 Vimeo 的供应链漏洞，到 Rockstar 的 AI 误区，再到 ShinyHunters 的勒索敲诈，以及 Microsoft 的补丁延期，每一起事件都在提醒我们：技术的进步必须匹配安全的进化。只有在数字化、智能体化、无人化的浪潮中保持清醒、不断学习、勇于实践，才能让企业在竞争激烈的时代保持“安全即竞争力”的优势。

让我们行动起来，加入即将开启的信息安全意识培训，用知识点亮防御之灯，用行动守护数字资产的每一寸疆土。

我们的产品包括在线培训平台、定制化教材以及互动式安全演示。这些工具旨在提升企业员工的信息保护意识，形成强有力的防范网络攻击和数据泄露的第一道防线。对于感兴趣的客户，我们随时欢迎您进行产品体验。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898