信息安全意识

赋能安全新生态：从真实案例到AI时代的全员防护

admin

前言：四桩警世案例的头脑风暴

在信息化、自动化、具身智能深度融合的今天，企业的安全防线不再是简简单单的防火墙、杀毒软件或口令管理，而是一条由人、机、数据共同编织的立体网。为了让大家感受到潜在风险的真实冲击，本文先用四个典型且富有教育意义的案例进行“头脑风暴”，让我们在案例的灯光下，看到平日里可能被忽视的安全裂缝。

案例 时间 简要概述 安全失误点
ASOS App 通知劫持 2026‑10‑02 黑客利用伪造的推送通知引导用户下载钓鱼链，随后盗取用户账户与支付信息。更惊人的是，黑客宣称已获取 Snowflake 数据平台的数十亿记录。 1）移动端推送未做好来源校验；2）对第三方数据平台的安全监管薄弱；3）缺乏对异常通知的实时监测。
FBI 移除 Accenture 承包商 2026‑09‑15 该承包商在 ShinyHunters 暗网交易平台泄露了数千条内部 API 密钥，导致美国联邦机关的云租户被未授权访问。 1）云租户凭证管理不规范；2）未对承包商的非人类身份（API Key）实行最小权限和定期轮换；3）缺少对第三方供应链的持续审计。
Everest 勒索病毒泄露 Coca‑Cola 员工数据 2026‑08‑28 勒索软件利用旧版 VPN 账户和未加密的备份文件，窃取并公开了超过 1,100 份 HR 与财务记录。 1）VPN 账户长期未注销；2）备份缺乏加密与访问审计；3）对内部非人身份（服务账号）缺乏生命周期管理。
Glupteba 复活的 Botnet 2021‑12‑—（截至 2026 仍活跃） 虽然 Google 2021 年曾声称遏制 Glupteba，但其背后的 C2 服务器使用了 AI 代理生成的动态域名与加密通道，至今仍在对全球企业进行横向渗透。 1）对 AI 代理生成的“隐形”通信未做流量行为分析；2）缺少对非人类身份（机器学习模型、容器密钥）的实时监控；3）未对异常 DNS 流量进行零信任检测。

以上案例不只是“新闻标题”，它们共同揭示了 “非人类身份（Non‑Human Identity）” 的盲点——API Key、服务账号、AI 代理凭证，这些身份往往在企业资产清单中被“遗漏”，却是黑客侵入的“后门”。正如 HackRead 报道中所指出的，2026 年 65% 的受访安全专业人士在过去一年里至少遭遇一次 AI 代理相关的安全事件，其中 61% 牵涉到数据泄露，43% 导致业务中断，35% 带来财务损失。

一、非人类身份的崛起：从概念到产业

在 Cisco 以约 4 亿美元收购 Astrix Security 后，业内对 非人类身份管理 的关注度骤然升温。Astrix 的创始人曾估算，企业内部的非人类身份数量可能高达 人类身份的 100 倍，而真正受到治理的比例不足 5%。这正是 Cloud Security Alliance 与 Token Security 2026 年调查的核心结论。

  • 市场规模：Meticulous Research 预估，非人类身份访问管理市场将从 2025 年的 113 亿美元 爆炸式增长至 388 亿美元（2036 年），年复合增长率超过 30%。
  • 技术路线：文章中评估的五大平台（Ory、Oasis Security、Teleport、SPIFFE/SPIRE、Entro/SailPoint）分别从 模块化 API、即席访问、短时证书、开放标准、全链路发现 五个维度提供解决方案，足以映射出当前企业面临的多样化需求。

启示：若不把非人类身份纳入统一治理，企业的安全防线将被“隐形的碎片”撕开——正是这些碎片，让上文的四桩案例得以发生。

二、案例深度剖析：安全漏洞的技术根因

（一）ASOS App 推送劫持 —— “信任链断裂”

  1. 技术路线：黑客伪造了 Firebase Cloud Messaging（FCM）服务器的签名，向用户设备发送了恶意推送。用户在通知中看到的 URL 实际指向钓鱼站点，站点会诱导用户输入账户密码与一次性验证码。
  2. 失误根源
    • 推送源校验弱：未在移动端实现 Google Play Integrity API 检测推送来源的真实性。
    • 第三方数据平台缺乏审计：Snowflake 数据库的访问凭证只是通过硬编码的 API Key 管理，缺少建议的 Just‑In‑Time (JIT) 访问模型。
    • 用户教育不足：用户对“App 通知”与“系统通知”的区别不清，未形成对可疑链接的防范意识。
  3. 对应对策（结合 Ory 与 Oasis 的优势）
    • 使用 Ory Oathkeeper 为推送服务增加 身份感知代理，对所有发送请求进行 JWT 签名校验。
    • 引入 Oasis Security 的 JIT 访问，动态生成短时凭证，仅在用户完成多因素验证后才授予 Snowflake 查询权限。
    • 在公司内部开展 移动安全微课堂，通过案例教学让每位员工了解“伪装通知”伎俩。

（二）FBI 移除 Accenture 承包商 —— “供应链裂痕”

  1. 技术路线：攻击者在 ShinyHunters 暗网平台公布了 2,378 条 OAuth Refresh Token，这些令牌具备对 AWS、Azure 多云资源的 读写 权限。
  2. 失误根源
    • 供应商凭证未实行最小权限：承包商拥有 全局管理员 角色，导致一次泄露即可横向渗透所有租户。
    • 缺少凭证轮换策略：泄露的 Token 失效期长达 2 年，未使用 自动化轮换。
    • 审计日志缺失：对第三方租户的访问行为未在 SIEM 中进行实时关联分析。
  3. 对应对策
    • 采用 Ory Hydra 为所有外部合作方颁发 短效 OAuth 2.0 访问令牌，并通过 Ory Keto 实时评估权限。
    • 引入 Entro（SailPoint） 的 NHIDR 引擎，对所有服务账号进行 异常使用检测，即时阻断异常 Token 的使用。
    • 在合同中明文要求 供应商凭证托管与审计，以 SPIFFE 为底层凭证发行标准，确保每一次机器对机器的调用都有可验证的身份链路。

（三）Everest 勒索病毒泄露 Coca‑Cola 数据 —— “备份盲区”

  1. 技术路线：攻击者利用过期的 PPTP VPN 账号渗透内网，随后通过 未加密的 NFS 共享 抓取包含员工个人信息的 HR 数据库备份。随后用 AES‑256 加密 把数据勒索并公开。
  2. 失误根源
    • VPN 账户生命周期管理缺失，老旧账户未及时关闭。
    • 备份存储缺少加密，且备份文件未使用 完整性校验（如 SHA‑256）进行定期验证。
    • 服务账号未实现最小权限，导致攻击者能直接读取敏感表。
  3. 对应对策

    • 部署 Teleport，将所有 VPN 与 SSH 登录统一替换为 SPIFFE‑compatible 证书，实现无密码、短时证书登录。
    • 使用 Ory Talos 对备份 API 进行 API‑Key 动态生成，并通过 Ory Oathkeeper 实行细粒度访问控制。
    • 引入 零信任 框架，对备份数据使用 端到端加密 与 审计日志，并在 SIEM 中设置 备份访问异常告警。

（四）Glupteba Botnet 复活 —— “AI 代理的隐形通道”

  1. 技术路线：黑客利用 生成式 AI 自动化创建 Domain Generation Algorithm (DGA)，每小时生成数十个域名并通过 TLS‑1.3 加密隧道 与受感染的容器通信。传统 DNS 监控难以捕捉其动态变化。
  2. 失误根源
    • 网络流量监控缺少机器学习模型，导致异常加密流量被误判为正常业务。

    • 容器密钥管理未使用短时凭证，泄露后可长期维持 C2 通道。
    • 缺少对 AI 代理生成的域名的智能检测，未采用 AI‑Driven Threat Intelligence。
  3. 对应对策
    • 在 SPIFFE/SPIRE 基础上部署 SPIRE Agent，为每个容器分配 短效 X.509 SVID，并在 mTLS 握手时校验工作负载属性。
    • 引入 Ory Oathkeeper 与 Zanzibar‑style 权限引擎，对所有外部网络请求进行 身份感知过滤，阻断未授权的动态域名访问。
    • 使用 Oasis Security 的 AI‑Driven Policy Intelligence，对 DNS 请求进行行为画像，对异常 DGA 域名实现自动封禁。

三、从案例到全局：把“非人类身份”写进安全治理手册

  1. 身份模型统一
    • 采用 SPIFFE 标准，实现机器对机器的 证书式身份（SVID），从而在 Kubernetes、Serverless、Edge 环境统一身份根基。
    • 对 AI 代理（如 OpenAI、Claude、Gemini）使用 Ory Kratos 与 Ory Hydra 发行 OAuth 2.0 与 OIDC 令牌，实现 统一登录 与 细粒度授权。
  2. 凭证安全 – JIT 与短效凭证
    • 引入 Ory Talos 与 Oasis Security 的 just‑in‑time 访问，所有 API Key、服务账号在使用前即动态生成，使用完即销毁，降低静态凭证泄露风险。
    • 对关键系统（如 Snowflake、S3、GitHub）强制 短时访问令牌 与 多因素认证（MFA）。
  3. 策略执行 – 细粒度与实时撤销
    • 通过 Ory Keto 实现 Zanzibar 式权限模型，可对 AI 代理的每一次调用 进行细粒度授权，例如 只读、仅限特定数据集。
    • 使用 SPIRE 的 Node Attestation 配合 Telemetry，在异常行为出现时实现 即时撤销（Revocation）与 容器隔离。
  4. 审计可观测性
    • 所有身份验证、授权、凭证生命周期事件统一输出 OpenTelemetry，并推送至 ELK、Splunk 或国产SIEM。
    • 在 SailPoint（Entro） 平台上完成 身份资产清单 与 异常模式检测，实现 全链路审计。
  5. 部署灵活性
    • SaaS+Self‑Host 双模式：如 Ory Network 供快速上手，Ory Open‑Source 供二次开发；SPIRE 可在 裸金属、私有云、边缘 任意部署。
    • 多云混合：通过 统一的 SPIFFE Trust Domain 与 Oasis Security 的 跨云策略引擎，在 AWS、Azure、华为云、阿里云之间实现 一致的身份治理。

四、拥抱具身智能化、信息化、自动化的未来

在 AI 代理、机器人流程自动化（RPA）、数字孪生、边缘计算 与 物联网 交织的时代，安全的“人机协同”已不再是口号，而是 必然的业务形态。以下三点，是我们在即将开启的 信息安全意识培训 中必须重点覆盖的内容：

  1. “身份即信任”——每一个机器、每一个算法模型背后，都需要可靠的身份凭证。
    • 培训中将演示 SPIFFE 与 Ory 的身份发行流程，帮助大家理解 证书、令牌、OAuth 的区别与适用场景。
  2. “最小权限原则对机器同样重要”——无论是人还是机器，获得的权限都必须是完成任务的最小集合。
    • 通过 Ory Keto 的权限建模实战，让大家看到 一行代码的授权 如何在防止横向渗透上发挥决定性作用。
  3. “实时可观测、即时撤销”——安全事件不等人，只有把 审计、监控、告警 融入每一次 API 调用，才能在攻击萌芽时即刻扑灭。
    • 现场演练 OpenTelemetry 日志流向、异常检测阈值设置，以及 自动化撤销（如 Ory Oathkeeper 的动态策略更新） 的完整闭环。

一句话点题：从 “人是黄墙” 到 “机器是金钥” 的转变，安全的核心始终是 “识别—授权—审计”。只有把这三环都装进每位职工的大脑，才能在 AI 代理横行的时代保持“防线不倒”。

五、培训行动计划：让安全从“口号”变为“日常”

时间 内容 目标受众 关键成果
第1周 安全意识入门（案例复盘、社会工程学） 全体员工 认识常见钓鱼、伪装通知、内部泄露的危害
第2周 非人类身份概念与治理（SPIFFE、Ory、Oasis） 开发、运维、AI 研发团队 能够在代码库中实现短时凭证生成
第3周 零信任微服务实践（Ory Oathkeeper、Teleport） 云原生平台、容器安全团队 实施 mTLS、身份感知代理，完成一次“授权即审计”
第4周 审计可观测与 Incident Response（OpenTelemetry、SIEM） 安全运营中心（SOC） 建立全链路追踪、快速响应机制
第5周 综合演练 & 红蓝对抗 全体安全相关岗位 通过模拟攻击（如 AI 代理 DGA）检验防护效果
第6周 培训评估与改进 HR 与管理层 完成培训满意度、知识测评，形成制度化报告

培训亮点：
– 案例驱动：每场培训均以真实案例（如上文四桩）切入。
– 实操演练：使用 Ory Playground 与 SPIFFE Demo，让大家在几分钟内完成身份发行到访问控制的完整闭环。
– 跨部门协同：AI 研发、运维、审计、合规一次性聚合，形成 安全生态闭环。

六、号召全员参与：从“我”到“我们”的安全文化

“安全是每个人的事”，这句话听起来陈旧，却是最真实的写照。没有哪个部门可以单凭技术壁垒独善其身；没有哪个个人可以凭记忆抵御 AI 代理的高速渗透。我们需要：

  1. 主动学习：不把培训当作“必修”，而是把每一次案例分析当作“头脑风暴”。
  2. 及时报告：一旦发现异常推送、异常 API 调用或不明凭证，立刻在 安全平台 中提交工单。
  3. 共享经验：在内部 Wiki、Slack、钉钉等渠道分享自己的防护小技巧，让安全经验在组织内部“病毒式”传播。

在具身智能化、信息化、自动化高速迭代的今天，“人机共生的安全” 已成为企业可持续发展的根基。让我们携手把 “非人类身份治理” 落到实处，把 “安全意识培训” 变成 “每周必修课”，共同守护企业的数字未来。

结语：当 AI 代理在代码中自如穿梭，当机器学习模型在边缘设备上实时决策，我们的防护必须同样“智能”。只要每一位同事都在自己的岗位上点亮安全的灯塔，任何潜在的攻击都只能在光芒之下黯然失色。让我们在即将启动的培训中，携手迈向 “安全·可信·共赢” 的新纪元！

昆明亭长朗然科技有限公司致力于让信息安全管理成为企业文化的一部分。我们提供从员工入职到退休期间持续的保密意识培养服务，欢迎合作伙伴了解更多。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

浅谈信息安全文化建设

admin

近几年，网络安全成为国家的一个热点话题，网络安全文化建设也成为意识形态宣传部门的一个重要课题。从国家安全角度不难理解，一个热点事件通过网络的引爆和发酵，可能颠覆一个政权，更不用说影响总统朴槿惠和总统候选人希拉里的政治生命了。

放眼全球，政权可以轮换，领袖可以出局，世界秩序不可以乱，这就是如今典型的国际政治思维。同样，对于一家公司来讲，只要不是老板私有的，那么，主席可以换，总裁可以走，员工也都可以来去自由。“铁打的营盘流水的兵。”工作几年，除了干活赚钱，对于职业化的信息安全从业人员来讲，能给公司留下的是什么呢？昆明亭长朗然科技有限公司信息安全文化部主任董志军说：除了赚钱，获得晋升、积累经验、结交人脉等等也都是信息安全职场人士应该考虑的。不过，话说回来，获得晋升和结交人脉的前提也是自己够厉害才行，否则，谁去提拔一个碌碌无为之辈，谁又愿意结交给自己带不来什么好处的庸人呢？

说到底，借助职场平台，历练出一身真本事，才是腾飞的前提，也是职场发展的硬道理。您可能想说：老子要出来单干，自己创业。我不给您泼凉水，您也别觉得我接下来的话难听，靠您那点蹩脚的知识技能储备，支撑不了您那还在异想天开的发财梦，离开了平台，您屁都不是一个，没人鸟您。纵使您有黑客般超神的技艺，客户不敢用您；纵使您有能解决某个问题的人工智能和大数据驱动的网络安全产品或服务，您也找不到有需求的客户；纵使您有一大堆客户资源，也没有可以给客户的东西。再说，世上能人强人多的是了，比您努力的也大把，您能想到的，人家早都尝试过甚至做得很好了。

信息安全职场的年轻人，请听我的话，乖乖地积累工作经验吧！这个行当不大，也不小，足够您专研好几年的。永远不要自大，干上两三年就不知道天高地厚，这各个细分领域水都深得很哪！淹死的都是那些会游泳的。

在您摆正了态度之后，您可能会虚心的问：该怎么积累信息安全领域的工作经验？昆明亭长朗然公司董志军说：您可以不忠于雇主与公司，甚至不忠于职业，但必须忠于专业。举例说，您可以在适当的时候，跳槽到另一家公司，您也不见得一直要搞安全技术或安全产品销售，尝试一下信息安全管理岗位也不错。但是请切记，保持专注，不要轻易换大行业，比如干了五年安全产品技术开发，成了骨干力量时，却突然转而搞进口木材或卖石油的生意。

这就是我们常说的“专业主义”，在信息安全领域，专业主义的体现就在您的贡献。人过留名，雁过留声。专业的信息安全从业人员若能在企业信息安全文化建设方面发力，才不枉在职场上混这么一招，不愧对天地良心和那点人民币。因为贡献的过程，同时也是经验积累的过程。

为什么说信息安全文化如此重要呢？从国家宏观层面上来讲，要推行网络安全的框架，必须将公众和用户的信息安全意识作为关键要素之一，除非人们大力关注信息安全，否则安全机制将不会得到充分发展，大安全概念更是纸上谈兵。

从个人层面上讲，推动信息安全文化建设，是我们在与文明世界互动，我们的任何作为，都会影响到小至一个小组或部门，中至一家公司，大至整个国家和全世界。对此，董志军表示：通过推动信息安全文化建设，来改变世界的信息安全态势，这是很有意义的工作，虽然比不上孔夫子和马克思对世界的影响，但至少在这个相对和平的时期，是我们专业人士能做的最好的事情了。

说到这里，您是不是跃跃欲试，想大展身手呢？莫急，说到文化建设，那可不是短期可以达成的。搞信息安全文化建设必定是长期的活动，不要那么急于大张旗鼓，要重塑企业信息安全文化，或者来一场信息安全文化大革命……咱们几斤几两，得心里有数。采用科学的方法，一步一步，稳扎稳打，当一个一个的小改变积累起来，量变引起质变之时，才是我们取得阶段性成功可以庆祝的时候。

当然，建设信息安全文化，需要沉浸式的教育，需要全员身体力行，经常开展此类信息安全相关的宣教活动是必须的。而要开展信息安全宣教活动，必须得高层领导的赞助和支持才行，专业人员需要向领导强调提高网络风险意识具有重要意义，进而制定并实行针对网络风险的信息安全宣教活动。不要轻易和高层领导谈文化建设，除非了解到高层领导对文化建设有偏好，否则可能碰壁。当您有能力搞定高层领导的时候，您离职位的晋升已经不远了。

在针对网络风险的信息安全宣教活动的设计、制定及实施方面，有很多可以参考的方法，以及业界最佳操作实践。需要注意的是仅增加理论意识是不够的，也需要提供一些有用的、可用于实现网络安全的软件、硬件或基于业务的解决方案。这样做同时又团结了公司内外部相关人员，为活动的实施提供人和因素。多团结人，您的人脉资源会越来越广。

关于信息安全意识宣传计划的最佳做法，虽然每个公司就网络安全威胁和保护有着独特的要求，面临着不同的挑战，但仍然有些共通的地方，一些最佳做法可资借鉴，进而帮助开展信息安全宣教活动。

首先，要制定明确目标、确定主要目标受众的宣传计划。开展网络安全宣教活动的第一步是确定该活动的具体目的和目标以及主要目标受众。开发有针对性的沟通策略和资源，以便触及具体受众。人们各不相同，都有着不同的信息安全需要。例如，普通职员需要了解电信诈骗和网络钓鱼，而IT专家需要对黑客技术有所了解。我们要开发或选择不同的课程材料，以符合所有受众的需要、知识和能力水平。

其次，需要一些信息安全意识宣教内容工具包，工具包含有多种宣传教育材料。海报、贴画、条幅等物件上面有简单的提醒标语，可帮助人们持续重视信息安全。动画视频、电子课件和互动游戏更有趣味，更能吸引人们对信息安全的好感。借助工具包，也可以策划一些丰富多彩的宣传活动，借助业界流行的娱乐节目手法，是接地气，获得受众认可的妙招。

再者，需要多渠道进行信息安全意识推广，我们说文化教育要沉浸式的，我们可以通过公司内外部网站、企业社交网络、公司通讯刊物、宣传邮件、线上学习等渠道来推广。当然，在社会层面，则可以使用户外广告、广播电视、报纸杂志、网络媒体等渠道进行。

最后，需要我们建立及保持广泛的人脉关系，借助各方面的合作伙伴，比如政府机构的网络安全周宣传活动，公安、金融、电信等机构的网络安全宣传部门，非营利性的网络安全活动会议，公司的安全应急响应小组、首席信息安全官和首席信息官等。

补充，不要忘记，我们说的信息安全意识宣传计划，并不是一次性或短期的，是需要不断进行，并定期衡量和持续改进的。

总结，在信息安全文化建设的推动过程中，您获得了个人的成长，开阔了眼界，积累了实战工作经验，必然带来职位上的晋升，同时令您结交大量的人脉资源。

北京邮电大学网络空间安全学院教授杨义先说过：从物质层面看，不管什么人，就那百来斤的肉身，值不了什么。然而，我们却可以在精神、思想和文化方面创造无限的价值。杨教授身体力行，在文化教育方面颇有建树。在企业层面，公司就是我们众多信息安全专业人员的舞台，选择碌碌无为，还是创造不同，就在一念间。在此，昆明亭长朗然科技有限公司董志军倡议道：请立即行动起来吧，为改善网络安全整体社会态势，采取必要的网络安全意识推广活动！拒绝行尸走肉地混迹于网络安全行业，要努力让自己的信息安全思想信念改变世界，并永驻未来。

的确，人生短短几十年，物质财富就那百斤肉身，房子车子票子都是身外俗物，只有精神文化可以长存。在职场中游走，您可以换多个工作，即使离开了一家公司，您的安全影响力也将持续发力，这就是无形的生命力。即使百年后离开了人世，躯体不在了，信息安全思想灵魂还在造福着人类。信息安全从业者们不难明白这个道理，如果您看到了这里，而不觉得枯燥乏味，说明您不是碌碌无为之辈，至少不是凡人呀。不管您是否同意我们的观点，您有任何信息安全文化建议方面的需求，或者想索取些信息安全意识宣教内容素材，都请您不要犹豫，立即联系我们，与我们建立人脉连接。昆明亭长朗然科技有限公司，专注于信息安全意识宣教领域，我们开发了海量的素材，可以帮助您在信息安全文化建设方面大展身手！

电话：0871-67122372

手机：18206751343

微信：18206751343

邮箱：[email protected]

QQ：1767022898