IT安全规则，要的是落实而不是死守

admin

风险与合规是IT安全人常常挂在嘴边的热词，可是真正建立起了有效的安全策略的组织，访来问去，数来数去，不过三成而已。

技术高超的安全渗透攻击人员，只要进入到一家组织机构内部，便可以在几分钟内，轻松入侵一家组织的网络基础架构，而要有效防范这类入侵，却比徒步登天还难。保护网络信息安全是一个体系化的工作，这简单就是宇宙真理啊!如果我们有足够的物理安全防范措施，完全可以将安全渗透测试人员拒之门外，这样，入侵的难度也会成倍的增长。

说到底，保障IT安全，不能仅仅只依赖IT的手段，IT安全防护措施总是落后于入侵手段，这是一个不争的事实。但是在一个管理体系下，所有的玩法都要守规则，黑客江湖也是如此，更何况在这个文明的世代，在党所一统的江山之下呢!

说很多安全防范技术根本搞不定安全入侵者，也有些过，至少可能会很多安全技术高手不服。其实，即使您是黑客高手，您若不遵守业界普遍认可的规则，下场那是绝对逃不出技能远不如您的安全力量的惩戒，就如同孙悟空逃不出如来佛手掌一样。对一名IT安全技术热来讲，如何了解IT安全“行规”呢?其实，如同防范安全入侵一样的道理，补充好自己的短板–强化安全管理理论知识技能的学习。

您亦可能是组织机构内的IT安全管理从业人员，您讨厌那些人治的拍脑袋的安全做法，想通过一套IT安全规则来建立理想的信息(系统)使用秩序。这是多么明智的想法和做法!可是，发布一套IT安全规则容易，要让这套IT安全规则生效则很难。不是一般的难，而是阻力重重，办不了事儿常见，得罪人事小，影响士气事大。

不要怀疑自己!我们辛勤发布的IT安全规则不被遵守，并不是我们存有私心，想借此来搞办公室政治。相反，是因为我们的出发点太过于高尚和伟大，我们以为这是正确的方向和做法，大家应该会自觉的遵守。其实，我们把事情想像的太过简单和完美，在受众的眼中，IT安全规则，要么我不知道是什么;要么即使我知道了，也只是一纸文书，和我没有什么关系;哦，和我可能多少有点关系，那就是IT安全规则是整人的，没事儿找事儿!

现在您可能已经知晓了问题的核心所在，您并没有被这些话激怒，您可能开始彻悟。昆明亭长朗然科技有限公司信息安全顾问董志军表示:IT安全规则要深入人心，要获得有效的执行力，首先不能太过死板。有些IT安全专员可能会说:IT政策应该获得强制执行。我要说:“强制”一词虽然很好地强调了“效力”，但是有些高压强迫之意，有些不近人情的味道，在强调“创新为要”和“人文关怀”的年代，并不能很好地表达出“有效”。

所以，制定和发布IT安全规则，要懂得搞民主，懂得搞浪漫，营造全员参与的气氛，这时候，IT安全专业高手应该让位给沟通协调高手。有的人说:我们就搞白色恐怖，重惩戒，几次下来，安全好多了。这里面有一个假定的前提，就是默认员工们是不自觉的。如果员工们不自觉，那更多应该是组织文化管理的问题，而非仅仅是信息安全所面对的。我们不否认在白色恐怖下，人们对待安全的态度和做法会变得很谨慎。但是在白色恐怖气氛笼罩下，人员的士气和社会的生产力降低了多少!那是安全损失的多少倍!

该如何让IT安全规则获得很好的执行?首先，IT安全规则需要被受众所理解，在规则的发布过程中，重要的是沟通，培训、宣讲、演示都是不错的沟通方法，而检查沟通效果的方法是访谈和考核。其次，是检查IT安全规则的实施效果，每项IT安全流程都有其输入和输出，也有其控制点。对这些地方进行检查，是了解IT安全规则执行力的不二方法。在这里，我们不能太过于死板，特别是当IT安全规则检查成了一项常规工作之后，我们可能会有完善的检查清单，但是却缺乏一颗熟知IT安全规则背景精神的善心。就如同很多街头执法人员死搬工作条文，而不具备人道主义和人文精神一样，粗暴执法的结果常常是激化出一起又一起社会矛盾和悲剧事件。

如何让IT安全规则检查人员拥有一颗熟知IT安全规则背景精神的善心呢?需要的仍然是IT安全规则的沟通，我们要让IT安全规则的目的和精神要义得到展示，它们本身就应该是来协助我们做好工作的，而非冷冰冰的来限制我们的条文。

说到这里，很多IT安全人没有太多的经验。在IT安全规则的沟通，特别是IT安全规则的背后精神要义的讲解方面，昆明亭长朗然科技有限公司有一整套的动画素材和互动式教程。欢迎各位IT安全人来与我们探讨、合作。当然，这些安全精神要义，也可以用在IT安全范围之外。

不要死板的守着那些冰冷无情的条文，开启您的IT安全善心，感化受众，才是获得IT安全落实的最高境界!点击如下的图示，在线体验一下我们的信息安全意识沟通课件吧!其实，您可能更对IT管理感兴趣，在我们的IT安全管理教程中，就包含了大量的IT安全规则要义呢!

Internet security online business concept pointing security services

欢迎联系我们，在线免费预览我们的各种课程内容。

电话：0871-67122372

微信：18206751343

邮件：info＠securemymind.com

QQ: 1767022898

信息安全在数字化时代的“护城河”：从真实案例看危机、从行动号召筑防线

admin

“宰相必起于州部，猛将必发于沙场。”——《史记·卷三十七·孟子传》
在信息安全的战场上，防御的第一步，是让每一位职工都成为“守城将”。今天，我们用三个血肉丰满、教训深刻的真实案例，开启一次头脑风暴；随后，结合当下企业正加速向 数据化、智能体化、数智化 融合的趋势，号召大家积极投身即将启动的信息安全意识培训，用知识和技能筑起坚不可摧的安全城垣。

第一章：三桩警世案例，点燃危机意识

案例一：DIVD 机构因 Zammad 零日漏洞被“AI 代理”劫持

事件概述
2026 年 9 月 21 日，荷兰 Dutch Institute for Vulnerability Disclosure (DIVD) 的内部系统被攻击者利用两个 Zammad 零日漏洞（CVE‑2026‑102489、CVE‑2026‑102490）实现了 远程代码执行 → 本地提权 → 获得根权限 的完整链路。更“神奇”的是，攻击过程被 DIVD 形容为“一场 agentic AI‑powered 的自动化攻击”，攻击脚本中甚至出现了 AI 代理自我解释的注释。

技术剖析
1. 漏洞链路：
– CVE‑2026‑102489（CVSS 8.7）是会话劫持漏洞，影响 Zammad 6.3.0‑6.5.4；攻击者通过精心构造的请求窃取合法用户的会话 Cookie。
– CVE‑2026‑102490（本地提权，CVSS 8.5）允许已登录的 Zammad 账号执行特权提升脚本，获取 root。
– 两者被 CVSS‑BT 9.4 的组合利用，使攻击者在数秒内完成从外部渗透到系统根权限的全链路。
2. AI 代理：攻击者借助 生成式 AI（如自研的大语言模型）自动生成、调试利用代码，并在成功后自行编写“解释性注释”。这体现了 AI 生成攻击 已从理论走向实战。
3. 防御失误：DIVD 虽然在 9 月 22 日发现异常并快速隔离了数据中心，但因 日志保留策略不完整，导致部分攻击痕迹难以溯源。

教训提炼
– 零日漏洞不可忽视：即使是开源软件，也可能隐藏未知的漏洞。坚持 及时升级、安全审计 是最基本的防线。
– AI 助攻的攻击手段 正在普及：传统的“人工编写 PoC”已被 自动化 AI 生成工具 替代，防御者必须提升 威胁情报分析 与 AI 识别 能力。
– 日志治理是关键：完整、可溯源的日志体系是事后取证的根本，切记 日志采集、加密、长期保存 必不可少。

案例二：全球 36.7 万艘船只的 GPS 欺骗 —— 海上“假象”背后的数据安全漏洞

事件概述
《HackRead》披露的调研报告显示，研究团队对 全球 36.7 万艘商船 的 AIS（自动识别系统）数据进行深度分析，发现 大规模 GPS 欺骗（Spoofing） 行为频繁出现，尤其在 红海 区域的船只在触礁前出现异常轨迹。

技术剖析
1. GPS Spoofing：攻击者通过 软件定义无线电（SDR） 发送伪造的 GPS 信号，使受害船只的导航系统误判位置。
2. 数据链路缺失：多数船只的 AIS 数据 仅通过卫星转发，缺乏 端到端加密，导致攻击者可以 篡改、注入 虚假位置信息。
3. 后果放大：错误的航线信息导致船只误入危险水域，或被迫 临时改变航线，进而影响全球供应链。

教训提炼
– 关键基础设施的定位数据必须防篡改：采用 GNSS 多源冗余（如结合北斗、GLONASS）并实现 加密签名，才能抵御单一路径欺骗。
– 数据完整性检测：在海事信息系统中引入 实时异常检测模型，对比历史轨迹、航速、航向等特征，快速识别异常。
– 跨域协同：海事监管部门、船东公司与 网络安全供应商 必须建立 信息共享平台，共同构建 “海上安全情报库”。

案例三：KillSec 勒索软件团伙被摧毁，未成年“管理员”被捕

事件概述
2026 年 9 月底，欧洲警方联手 Merlon Security 等多家网络安全公司，成功摧毁了 KillSec 勒索软件团伙。行动中揭露了一名 16 岁的“管理员”，其负责维护 C2（Command & Control）服务器并协助加密受害者文件。

技术剖析
1. 攻击链：KillSec 采用 双重加密（AES + RSA）方式锁定目标文件，并通过 暗网支付 要求比特币赎金。
2. 人员结构：团伙内部出现 未成年人 承担关键技术岗位的现象，凸显 网络犯罪的“低门槛化”。
3. 追踪手段：执法机构借助 区块链分析工具（如 Chainalysis）追溯比特币流向，最终锁定 C2 服务器 IP 并进行跨境抓捕。

教训提炼
– 企业内部防御必须覆盖“全链路”：从端点防护、网络流量监控到 文件行为分析，缺一不可。
– 青少年网络安全教育势在必行：未成年人若缺乏正向的 信息安全伦理，极易被不法分子“洗脑”。
– 加密货币监管与追踪技术 正在成熟，企业在遭勒索时应第一时间 报警并配合追踪，而非盲目支付。

第二章：数智化浪潮下的安全挑战——从“数据化”到“智能体化”

在过去十年里，企业的 信息系统 已从单一的 IT 基础设施，演进为 数据平台 → AI 平台 → 智能体（Agent）系统 的完整闭环。我们可以用三层划分来概括：

层级 名称 主要特征 典型威胁
1 数据化（Data‑centric） 大数据采集、湖仓建设、BI 报表 数据泄露、未授权访问
2 智能体化（Agent‑centric） 大模型、自动化运维机器人、AI 助手 AI 生成攻击、模型投毒
3 数智化（Intelligent‑integrated） AI 与业务深度融合、智能决策、自动化闭环 业务逻辑被篡改、系统失控

案例一 中的 AI 代理 正是 智能体化 的最早雏形；案例二 展示了 数据化 环节的定位信息缺乏完整防护导致的连锁反应；案例三 则提醒我们：在 数智化 的业务流程（如自动化备份、远程加密）中，若缺乏细粒度的访问控制，百密不如一失。

因此，信息安全的防线必须在每一层都设置“深度防御”。 只要哪一层出现缺口，攻击者就可能像 “穿针引线” 般，从最脆弱的点一路爬升。

第三章：呼吁全员参与信息安全意识培训——从“知”到“行”

1. 培训的意义：从“知识”到“能力”

  • 知识层面：了解最新的 零日漏洞、AI 生成攻击、供应链攻击 等前沿威胁。
  • 能力层面：掌握 安全日志分析、异常行为检测、安全加固（如系统补丁、最小权限原则）等实战技巧。
  • 心态层面：树立 “安全是每个人的事” 的责任感，形成 “发现‑报告‑处置” 的闭环流程。

2. 培训模块概览（建议时长共 12 小时）

模块 内容 关键产出
A. 信息安全基础与政策 信息安全基本概念、企业安全政策、合规要求（GDPR、ISO 27001） 编写 个人安全操作清单
B. 常见攻击手法与案例复盘 钓鱼邮件、勒索软件、零日利用、AI 生成攻击 完成 案例分析报告
C. 终端安全与网络防御 端点防护、VPN、零信任访问、分段网络 配置 个人设备的安全基线
D. 云安全与数据保护 公有云 IAM、加密技术、数据脱敏、备份恢复 完成 数据加密实战
E. AI 与智能体安全 大模型安全、模型投毒检测、AI 代码审计 编写 AI 安全检查清单
F. 应急响应与演练 事故报告流程、取证、法务配合、演练 参与 红蓝对抗演练
G. 法律与伦理 网络犯罪法、隐私权法、信息伦理 撰写 合规自查表

3. 参与方式与激励机制

方式 说明 奖励
线上自学+线下研讨 通过公司内部 LMS 完成模块学习，周五线下共创讨论 获得 “信息安全护城将” 电子徽章
情景推演赛 以真实案例为背景进行攻防推演，团队 PK 前三名团队赢取 技术培训券 与 公司内部曝光
安全建言箱 提交改进建议，优秀提案进入年度安全改进计划 最高提案者获 年终额外奖金

4. 培训的时间表

日期 时间 内容
2026‑10‑15 09:00‑12:00 A+B 模块（基础 & 案例）
2026‑10‑16 14:00‑17:00 C+D 模块（终端 & 云）
2026‑10‑22 09:00‑12:00 E+F 模块（AI & 应急）
2026‑10‑23 14:00‑17:00 G 模块（法律）+ 总结与颁奖

一句话总结：“不怕黑客攻来，只怕自己把门忘了锁。” 让我们在培训中把每一把“门”都锁好，让安全成为公司业务的加速器，而非绊脚石。

第四章：从个人到组织，筑起信息安全的底层逻辑

  1. 最小权限原则——每个人只拥有完成工作所需的最小权限。
  2. 多因素认证（MFA）——密码 + 动态验证码（或硬件令牌）是阻断暴力破解的第一道防线。
  3. 安全意识常态化——不只是一次培训，而是 每日一贴、每周安全小测 的长期机制。
  4. 零信任架构——从网络边界到内部资源，都通过“身份验证+授权+持续监控”实现信任的动态评估。
  5. 安全运营中心（SOC）——建立实时监测、快速响应的团队，形成 “发现‑响应‑恢复” 的闭环。

古语有云： “防微杜渐，防患未然”。当我们把 防护思维 融入到每一次登录、每一次文件传输、每一次代码提交中，安全便不再是“一次灌输”，而是 一项日常习惯。

第五章：结语——让安全成为每个人的自豪

在 数据化、智能体化、数智化 的浪潮中，信息安全不再是 IT 部门的专属任务，而是 全员共同的使命。我们从三起三落的真实案例中看到，技术漏洞、AI 赋能的攻击、供应链的薄弱环节 都可能在不经意间撕开企业的防线。唯一可以把握的，是 我们每个人的防御姿态。

“行百里者半九十。”——《战国策》
让我们从 “认识风险” 开始，从 “掌握工具” 出发，最终在 “持续演练” 中实现 “人人都是信息安全的守护者”。期待在即将开启的信息安全意识培训中，看到每一位同事的积极身影；期待在未来的日子里，我们的组织能在任何风浪中保持航向、稳健前行。

加入我们，让 安全成为自豪，让防御成为习惯！

信息安全 尽责 明辨 共享

昆明亭长朗然科技有限公司提供一站式信息安全服务，包括培训设计、制作和技术支持。我们的目标是帮助客户成功开展安全意识宣教活动，从而为组织创造一个有利于安全运营的环境。如果您需要更多信息或合作机会，请联系我们。我们期待与您携手共进，实现安全目标。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898