引言：一场差之毫厘，差以至于灭顶的危机

1945年8月6日，阳光明媚的清晨，美国“小男孩”原子弹在广岛上空爆炸，瞬间将这座城市化为废墟。然而，你是否知道，在原子弹被投掷前，一次偶然事件差点引发全球核战争？那是发生在“伊诺拉盖伊”号轰炸机的武器官兵海军上尉帕金斯身上。如果他稍微犹豫一下，或者在飞机降落前没有完成关键步骤，一个巨大的灾难将降临到提尼安岛，甚至可能引发全球性的核战争！

这不仅仅是一个技术细节，它反映了早期核武器时代的极端危险性：缺乏完善的安全措施，以及过度依赖个人判断的潜在风险。从那次惊险的经历，到后来肯尼迪总统的战略变革，再到如今复杂而精密的核武器安全系统，一个深刻的教训不断提醒我们：信息安全意识和保密常识，不仅仅是国家安全的基础，也是人类文明存续的必要条件。

故事一：提尼安岛的惊魂夜——个人安全意识的重要性

上尉帕金斯，那个背负着毁灭世界力量的男人，他并非有意冒失，而是当时的程序充满了漏洞。他必须在飞机起飞后更换三个引爆器的“绿色假人”，换成真正的“红色引爆器”。如果飞机在起飞时坠毁，引爆器可能爆炸，毁灭提尼安岛。为了确保万无一失，他反复练习更换引爆器，这是生死攸关的个人责任。

这个故事的教训很简单：在任何涉及到高风险行为的场景中，个人的安全意识和责任感至关重要。即使是最高级的安全系统，也无法弥补个人疏忽造成的错误。信息安全亦然。你是否仔细检查邮件的发送对象？你是否在公共场合使用不安全的Wi-Fi？你是否随意点击不明链接？这些看似微不足道的行为，都可能成为信息泄露的突破口。

故事二：古巴导弹危机的幽灵——战略决策与信息保密

1962年，古巴导弹危机差点将世界推向核战争的边缘。苏联一艘“F级”柴电潜艇遭遇美国驱逐舰的深水炸弹攻击，潜艇长瓦伦丁·萨维茨基认为自己受到了攻击，准备发射核鱼雷。幸运的是，潜艇上的副司令瓦西里·阿尔季耶夫拒绝了发射命令，化解了一场灾难。

这次事件暴露了战略决策过程中信息泄露的危险性。如果潜艇长错误地理解了情况，或者没有得到准确的信息，一场核战争将不可避免。信息的准确性、及时性和保密性，直接关系到国家安全和世界和平。

故事三：肯尼迪的战略变革——制度化安全意识的必要性

肯尼迪总统深刻地认识到，个人的安全意识并不能完全消除风险。他颁布了国家安全行动备忘录160号，要求美国控制其在北约盟国部署的7000多枚核武器。这标志着从依赖个人判断到建立制度化安全意识的重大转变。

这次变革的核心是：将安全责任从个人转移到系统，将偶然的个人责任转化为可预测的制度规范。这反映出一种深刻的认识：任何系统，即使再精密的系统，都不可避免地存在漏洞，而制度化的安全意识能够最大限度地降低风险。

知识科普：信息安全意识与保密常识——构建安全屏障的基石

那么，信息安全意识和保密常识究竟是什么？它们与我们日常生活、工作有什么关系？

1. 信息安全意识：识别风险，筑牢安全防线

信息安全意识并非高深的理论，而是一种对潜在风险的识别和对安全行为的自觉。它包括以下几个方面：

• 了解常见威胁： 钓鱼邮件、恶意软件、勒索病毒、网络诈骗、数据泄露等。这些威胁无处不在，它们可能伪装成友好的邮件、诱人的链接，甚至是你熟人的信息。
• 识别可疑行为： 留意异常的网络活动，例如收到未经请求的邮件、发现文件被篡改、遇到陌生人索要个人信息等。
• 培养安全习惯： 定期更新软件，使用强密码，开启双因素认证，避免使用公共Wi-Fi，谨慎点击链接，不随意下载文件。
• 时刻保持警惕： 任何时候都不要放松警惕，即使你认为自己安全，也可能存在未知的风险。

2. 保密常识：守护秘密，维护信任

保密常识是指在处理敏感信息时所应遵循的原则和规范。它包括以下几个方面：

• 区分信息等级： 了解不同类型信息的敏感程度，例如国家机密、商业秘密、个人隐私等。
• 严格遵守保密协议： 在签署保密协议后，务必认真阅读并严格遵守其中的规定。
• 控制信息传播渠道： 避免通过不安全的渠道传播敏感信息，例如公共邮件、社交媒体、非加密的存储设备等。
• 保护物理载体： 妥善保管包含敏感信息的物理载体，例如纸质文件、U盘、硬盘等。
• 销毁不再需要的敏感信息： 采用安全的方法销毁不再需要的敏感信息，例如碎纸机、高压销毁设备等。

3. 深入解析：为什么“该怎么做”、“不该怎么做”？

• 密码安全： 为什么使用强密码至关重要？因为弱密码很容易被破解，导致个人信息泄露，甚至财产损失。应该如何设置强密码？应包含大小写字母、数字、特殊字符，且长度超过12位，避免使用生日、电话号码等容易被猜到的信息。
• 钓鱼邮件识别： 为什么不能随意点击邮件中的链接？因为钓鱼邮件通常伪装成可信的来源，诱骗你输入个人信息或下载恶意软件。应该如何识别钓鱼邮件？仔细检查发件人的地址，检查邮件的标题和内容，检查邮件中的链接是否可疑。
• 物理载体保护： 为什么U盘和硬盘容易丢失或被盗？因为它们体积小巧，容易丢失或被盗，一旦丢失，其中的数据就可能被泄露。应该如何保护物理载体？妥善保管物理载体，避免将其放置在不安全的地方。
• 信息销毁： 为什么不能简单地丢弃包含敏感信息的纸质文件？因为即使文件被撕碎，仍然可以拼凑起来。应该采用什么方法销毁纸质文件？应该使用碎纸机或高压销毁设备销毁纸质文件。
• 双因素认证： 为什么应该开启双因素认证？仅仅依靠密码是不够的，即使密码被盗，攻击者还需要获得第二种验证方式才能登录账户。

现代核武器安全系统：授权、环境、意图——多重安全保障

肯尼迪备忘录之后，美国的核武器安全系统发生了翻天覆地的变化。它不再仅仅依赖于个人的安全意识，而是建立了一个多层次、多重保障的体系，其中最核心的原则是“授权、环境、意图”。

• 授权（Authorization）： 必须得到国家指挥权（总统和他的合法继承人）的明确授权才能使用核武器。
• 环境（Environment）： 核武器必须感知到特定的环境因素才能引爆，例如导弹必须经历零重力环境，常规炸弹必须经历数千G的加速度。
• 意图（Intent）： 飞行员、舰长或操作员必须明确指示武器的使用。

这三道防线相互配合，构成了强大的安全屏障，最大程度地降低了核武器误用和滥用的风险。

结论：安全无小事，责任在肩

从“小男孩”原子弹的危险时刻，到古巴导弹危机的紧张氛围，再到肯尼迪总统的战略变革，每一个历史事件都告诉我们：信息安全意识和保密常识，不仅是国家安全的基础，也是人类文明存续的必要条件。

我们每个人都应该从自身做起，提高安全意识，养成良好的安全习惯，共同守护我们的安全，构建一个更加美好的未来。安全无小事，责任在肩！

昆明亭长朗然科技有限公司研发的安全意识宣传平台，为企业打造了一套可操作性强、效果显著的员工教育体系。我们的平台易于使用且高度个性化，能够快速提升团队对信息安全的关注度。如有需求，请不要犹豫地与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

一、头脑风暴：想象两幕“惊险剧”

在信息化浪潮的汹涌冲击下，组织的数字资产正被形形色色的攻击者悄然觊觎。下面，让我们先打开思维的闸门，设想两个典型且极具警示意义的安全事件，帮助大家感受“看不见的危机”究竟是如何悄无声息地潜入企业内部的。

案例一：跨境“幽灵登录”导致财务系统泄密

背景
某大型制造企业的财务部门使用 Microsoft Azure AD（现称 Microsoft Entra ID）进行身份认证并通过 Microsoft Graph 接口查询登录审计。该企业拥有基础 Entra 许可证，仅开启了 “IdentityRiskEvent.Read.All” 权限。

事件经过
2025 年 11 月的一天，财务主管在北京的办公电脑上，使用公司 VPN 登录 Azure AD。与此同时，系统后台出现了异常的登录记录：同一账号在同一时间段内，从 马来西亚吉隆坡 的一个未知 IP 地址尝试登录，登录尝试使用的设备标识为 “UnfamiliarDevice”，浏览器 User‑Agent 为 “Mozilla/5.0 (Windows NT 10.0; Win64; x64) Edge/150.0”。由于企业仅开启了基础的风险检测（Get-MgRiskDetection），且管理员对风险状态缺乏敏感度，该记录被误判为 “dismissed” 并未进一步调查。

后果
攻击者利用盗取的凭证成功突破多因素认证（MFA）后，窃取了公司内部的财务报表和供应链合同，导致企业在一次公开招投标中泄露了关键商业信息，直接造成 800 万元人民币的经济损失，并对品牌声誉造成长期负面影响。

警示
– 地理异常 与 设备异常 的组合是高危信号；
– 仅依赖默认的风险状态过滤（如 riskState ne 'dismissed'）极易导致警报被“沉默”。
– 对风险登录的细粒度分析至关重要，尤其是对 “riskReasons” 的实时抽取与关联。

案例二：内部人员误操作导致的“链式泄露”

背景
一家创新型 SaaS 初创公司在 Azure AD 中启用了 “Persistent Risk User” 高级许可证，能够使用 Get-MgRiskyUser、Confirm-MgRiskyUserCompromised 等高级接口。该公司实现了自动化的 PowerShell 脚本，用于每日拉取风险用户列表并发送邮件通知安全团队。

事件经过
2026 年 3 月10日，安全运营中心（SOC）收到一封自动化邮件，邮件标题为 “Risky User Detected – 李明 – RiskState: atRisk”。邮件正文显示风险原因包括 “UnfamiliarTenantIPsubnet” 与 “UnfamiliarEASId”。SOC 按照 SOP 对该用户进行“确认妥协”（Confirm-MgRiskyUserCompromised）并锁定账户。

然而，后续排查发现：该用户实际是一名刚加入的研发工程师，因 VPN 线路更换导致 IP 子网异常，且其使用的企业移动管理（EAS）标识在公司内部尚未登记。这是一场误报。锁定账户后，研发流程被迫中断，导致关键产品功能的上线延期，直接影响了本季度 1.2 亿元的收入预期。

后果
– 误报 与 误操作 同样会给业务带来沉重代价；
– 自动化脚本在缺乏“人工复核”机制时，可能放大错误影响；
– 需要在风险检测与响应之间建立精准的风险评分与分级响应机制。

警示
– 高级风险检测功能虽强大，但必须配合业务场景进行细致校准；
– 自动化是双刃剑，“人机协同” 才是安全运维的最佳实践。

引经据典：古人云“防患于未然”，在数字世界里，未然即是实时洞察与主动响应。以上两幕剧目提醒我们：风险登录不只是一条记录，而是一场隐蔽的斗争。只有把握每一次异常的蛛丝马迹，才能真正守住企业的数字防线。

二、风险登录背后的技术原理——从 Graph API 到 PowerShell 实战

在上述案例中，风险登录（Risky Sign‑in） 是 Microsoft Entra ID 的关键安全特性之一。它通过多维度的信号（设备、IP、子网、ASN、地理位置、User‑Agent 等）来评估登录行为的异常程度，并将结果映射为 riskState（如 atRisk、dismissed、remediated）以及 riskReasons（风险原因列表）。

1. 基础许可证的可行路径：Get-MgRiskDetection

• 所需权限：IdentityRiskyUser.Read.All、IdentityRiskEvent.Read.All

• 核心命令：

  Connect-MgGraph -Scopes "IdentityRiskyUser.Read.All","IdentityRiskEvent.Read.All"$riskyLogins = Get-MgRiskDetection -All

• 过滤已处理事件：

  $riskyLogins = Get-MgRiskDetection -All -Filter "riskState ne 'dismissed' and riskState ne 'remediated'"

2. 高级许可证的深度洞察：Get-MgRiskyUser 系列

• 高级功能：直接查询 “Persistent Risk User”，支持标记已妥协（Confirm-MgRiskyUserCompromised）并查看历史（Get-MgRiskyUserHistory），适合需要对风险用户进行全生命周期管理的组织。

3. 从 JSON 到可读报表的“一行代码”

风险事件的 additionalInfo 字段存储为 JSON，内部包含 riskReasons、userAgent、mitreTechniques 等键值。通过 PowerShell 的 ConvertFrom-Json 与 计算属性（Calculated Property），可以快速抽取所需信息：

$riskyLogins |  Select-Object userDisplayName,                activityDateTime,                ipAddress,                @{N='Country';E={($_.location.countryOrRegion)}},                @{N='Reason';E={ ((($_.additionalInfo | ConvertFrom-Json) |                                   Where-Object {$_.Key -eq 'riskReasons'}).value) -join '; '}}  | Out-GridView

• 关键点：
  • location.countryOrRegion 提供 国家/地区 信息。
  • riskReasons 直接映射为 风险原因列表，可自定义分隔符（;）便于阅读。
  • Out-GridView 可视化展示，亦可改为 Format-Table、Export-Csv 实现跨平台共享。

4. 将 IP 与地理情报结合——“再多一步”，让信息更完整

foreach ($login in $riskyLogins) {    $ip = $login.ipAddress    $geo = Invoke-RestMethod -Uri "https://ipinfo.io/$ip/json"    $login | Add-Member -MemberType NoteProperty -Name CountryCode -Value $geo.country}

• 利用公开的 IPInfo API 或商业 MaxMind GeoIP，将 IP 快速映射为国家、城市、运营商等信息，实现 “IP → 地理 → 风险” 的闭环。

三、智能·自动化·智能体：当安全与技术深度融合

智慧的火花往往在碰撞中迸发。在 5G、AI、云原生技术交织的当下，信息安全已不再是孤立的“防火墙”，而是 智能体（Security Agent） 与 自动化（Automation） 的协同网络。

1. AI 驱动的风险评分

• 机器学习模型：通过历史登录日志训练模型，预测“异常概率”。
• 实时评分 API：Microsoft Graph 已将 Risk Score 暴露，可直接在 PowerShell 中调用 riskScore 字段，实现自动化分级（如 >80 为高危，需强制 MFA）。

2. 自动化响应脚本的“人机协同”

# 自动化示例：高危登录触发即时 MFA 重置$riskyLogins | Where-Object { $_.riskScore -ge 80 } | ForEach-Object {    # 发送自助 MFA 重新注册邮件    Send-MgUserNotification -UserId $_.userId -TemplateId "MFA_Reset"    # 同步记录到 SIEM    Write-EventLog -LogName "Application" -Source "RiskyLoginAutomation" -EventId 2001 -Message "High risk login detected for $($_.userDisplayName) from $($_.ipAddress)"}

• 优势：快速响应，降低人工误判；



• 风险：如案例二所示，必须加入 人工审核阈值（如 riskScore > 95 才自动锁定）或 延迟窗口（5 分钟内观察是否有补偿操作）。

3. 安全知识图谱（Knowledge Graph）与 “安全体”

• 将 风险登录、资产标签、业务重要度 等数据整合进 知识图谱，实现 跨域关联（如同一 IP 同时出现在 Web 防火墙和 CloudTrail 中），帮助 SOC 进行 根因分析。

四、从技术到文化：全员信息安全意识培训的必要性

1. 培训的核心目标

2. 课程结构概览（建议时长 4 小时）

小贴士：培训中可穿插“安全脑洞炸弹”——如让学员猜测某条风险登录背后最可能的攻击手法，既活跃氛围，又加深记忆。

3. 激励机制：让学习变得“有价值”

• 积分制：完成每个实验任务给予积分，可兑换公司内部福利（如电子书、午餐券）。
• 安全英雄榜：每月评选“最佳风险发现者”，公开表彰，提升安全氛围。
• 微证书：完成培训后颁发 “Microsoft Graph 风险分析实战证书”，写入个人职业档案。

五、行动号召：与时俱进，迈向“安全自驱”

各位同事，信息安全不再是少数人的任务，而是全体员工共同守护组织数字命脉的使命。我们正站在 智能化、自动化、智能体化 的交叉点上，面对的是一个 “AI+人类+云” 的新安全格局。

格言：“防御如同棋局，先手才能赢得全局。”——让我们在即将开启的安全意识培训中，抢占先手，用技术与智慧筑起坚不可摧的数字城墙。

请大家在 2026 年 9 月 5 日 前完成报名，届时我们将通过线上平台进行同步直播，配合实操实验室，让每位同事都能在 “看得见、摸得着” 的风险场景中，练就一身 “风险检视、快速响应、持续改进” 的硬核能力。

让我们一起：

1. 打开风险检测的“望远镜”， 及时捕捉异常登录的每一丝光点；
2. 打造自动化的“防火墙”， 让脚本为我们抢占先机；
3. 培养安全的“体感”， 让每一次点击都充满安全感。

安全，是每一次登录背后默默的守护；安全，是我们每个人的职责。 请牢记——“天网恢恢，疏而不漏”。让我们共同踏上这段信息安全的“升级之旅”，让企业在智能化的浪潮中稳健前行。

—— 本文作者：信息安全意识培训部

关键词 风险登录 信息安全意识 自动化 防御

昆明亭长朗然科技有限公司深知信息安全的重要性。我们专注于提供信息安全意识培训产品和服务，帮助企业有效应对各种安全威胁。我们的培训课程内容涵盖最新的安全漏洞、攻击手段以及防范措施，并结合实际案例进行演练，确保员工能够掌握实用的安全技能。如果您希望提升员工的安全意识和技能，欢迎联系我们，我们将为您提供专业的咨询和培训服务。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898