“防微杜渐，未雨绸缪”。
当我们在办公室敲击键盘、在生产线上调度机器、在云端部署应用时，信息安全的隐患同样潜伏在每一行代码、每一次网络交互、每一台联网设备的背后。2026 年 9 月，GitLab 公开的 CVSS 10 路径遍历漏洞（CVE‑2026‑85706）让我们再次感受到，“安全” 并不是可有可无的装饰，而是企业生存的根基。为此，昆明亭长朗然科技有限公司特推出信息安全意识培训，帮助全员筑牢防线、提升技能、实现安全与业务的协同增长。
一、案例导入：从真实攻击中汲取教训
为了让大家深刻体会信息安全漏洞的危害与防护要点，本文首先选取 三个典型且具有深刻教育意义的安全事件，通过细致剖析，让每位读者在“案例深潜”中获得警示与启示。
案例 1：GitLab CVSS 10 路径遍历（CVE‑2026‑85706）——“只要公开项目，一键读文件”
事件概述
2026 年 9 月 11 日，GitLab 官方披露了 CVE‑2026‑85706，一处影响 GitLab CE/EE 所有 18.7‑19.3.x 版本的路径遍历漏洞。攻击者无需登录，即可通过 /api/v4/projects/{id}/repository/commits/ 接口的 file.Path 参数，读取服务器上任意文件，包括 GitLab 配置文件、日志、甚至系统凭证。漏洞因 “路径限制不严”和 “缺失认证校验” 而产生，导致公开项目的存在成为 攻击的唯一前置条件。
攻击链分析
1. 探测公开项目：利用 GitLab API 列举公开仓库。
2. 构造恶意请求：在 file.Path 中注入 ../../../../etc/passwd 等路径。
3. 获取响应：服务器返回目标文件内容，攻击者便可收集 密码、SSH 私钥、CI/CD 秘密。
4. 后续利用：拿到 CI/CD 秘密后，可在 GitLab Runner 中执行任意代码，完成 代码注入、供应链植入，甚至横向渗透到企业内部系统。
危害评估
– 机密泄露：服务器上任何文件均有可能被窃取。
– 供应链风险：攻击者可在 CI/CD 流程植入恶意构建脚本，波及所有使用该仓库的下游项目。
– 业务中断：若泄露的凭证被用于进一步渗透，可能导致业务系统被植入后门、数据被篡改或勒索。
防御措施
– 及时打补丁：升级至 19.3.2、19.2.6、19.1.8 及以上版本。
– 限制公开仓库：仅对可信合作伙伴开放公开项目。
– 日志审计：监控 /api/v4/projects/.*/repository/commits/ 接口的 POST 请求，关注 file.Path 参数异常。
– 最小权限原则：对 CI/CD 令牌进行细粒度授权，避免一次泄露导致全局失控。
经验教训：“千里之堤，溃于蚁穴”。 只要一种细微的路径过滤失误，就可能酿成全局性的泄密危机。
案例 2：SolarWinds 供应链攻击（2020）——“黑暗中的供应链突刺”
事件概述
2020 年 12 月，安全研究机构 FireEye 公开披露了 SolarWinds Orion 供应链攻击。黑客通过在 SolarWinds 软件构建流程中植入恶意代码（SUNBURST），随后通过 合法的系统更新 将后门分发给全球约 18,000 家使用该产品的组织，包括美国政府部门、能源公司和大型企业。
攻击链分析
1. 获取源码/构建环境：攻击者渗透 SolarWinds 开发或构建服务器。
2. 植入后门：在 Orion 更新包中加入隐蔽的 C2（Command & Control）模块。
3. 合法签名发布：利用 SolarWinds 官方签名发布带有后门的更新。
4. 自动分发：受影响客户在正常升级过程中自动下载并执行恶意代码。
5. 内部横向：后门开启后，攻击者获取内部网络高权限凭证，进一步渗透到关键系统。
危害评估
– 难以检测：因为更新具备合法签名，安全产品难以区分。
– 广泛影响：一次成功的供应链攻击可波及成千上万的组织。
– 深度渗透：后门取得后，攻击者可在内部网络长期潜伏，进行情报收集或后续破坏。
防御措施
– 零信任原则：即使是内部系统，也要对每一次代码执行进行最小权限校验。
– 软件完整性监测：使用 SBOM（Software Bill of Materials） 与 代码签名验证 双重检查。
– 分层防御：将关键系统与外部网络隔离，采用网络分段、微分段技术。
– 供应链安全审计：对第三方软件进行 渗透测试 与 代码审计，必要时采用 二次签名。
经验教训：“防人之心不可无，防己之路更需坚”。 供应链安全是企业信息安全的底层基石，任何环节的疏漏都可能导致全局失守。
案例 3：MikroTik 路由器 SSH 无认证远程登录（2026）——“无人值守的门锁被撬开”
事件概述
2026 年 4 月，安全团队披露了 MikroTik RouterOS 中未授权的 SSH 访问漏洞（CVE‑2026‑XXXXX）。该漏洞导致 暴露在互联网的 MikroTik 路由器 可在 默认端口 22 上直接接受 SSH 登录请求，无需任何凭证，即可获得管理员权限。
攻击链分析
1. 扫描互联网：攻击者使用 Shodan、Censys 等搜索引擎定位暴露的 MikroTik 路由器。
2. 直接登录：通过默认的 SSH 端口向路由器发送登录请求，系统错误地返回管理员 shell。
3. 持久化植入：攻击者在路由器上植入后门脚本（如 cron 任务），实现长期控制。
4. 横向扩散：利用路由器的内部网络访问权限，渗透到企业内部服务器、IoT 设备等。
危害评估
– 网络中枢失守：路由器是企业网络的枢纽，一旦被控，可进行流量劫持、MITM 攻击。
– 数据泄露：攻击者可监控并截获内部业务系统的敏感通信。
– 业务中断：植入恶意脚本后，可随时触发网络瘫痪或勒索。
防御措施
– 关闭不必要的服务：默认关闭 SSH 登录或改用强认证（双因素）并更换端口。
– 固件及时更新：使用 MikroTik 官方提供的 最新安全补丁，启用自动升级。
– 访问控制列表（ACL）：仅允许可信 IP 段通过 VPN 访问路由器管理接口。
– 安全监测：部署 IDS/IPS 对异常的 SSH 登录进行实时告警。
经验教训：“门未上锁，盗贼自来”。 任何面向公网的设备，都应视为潜在的攻击入口，必须以最严格的身份验证与最小暴露面来加固。
二、信息化、智能化、无人化融合的新时代安全挑战
1. 信息化：数据驱动的业务模式
在过去的十年里，企业从 单体 ERP 向 云原生微服务 演进，业务数据、运营日志、用户行为全链路数字化。数据的 价值 与 风险 成正比，越是敏感的数据越是攻击者的肥肉。大数据分析、机器学习模型 的训练往往基于真实业务数据，一旦泄露，后果不堪设想。
2. 智能化：AI 与自动化的双刃剑
- AI 助力安全：威胁情报平台、异常检测系统、自动化响应（SOAR）正成为安全运营的核心。
- AI 成为攻击手段：攻击者利用 生成式 AI 编写针对性钓鱼邮件、自动化漏洞扫描脚本，甚至利用 模型注入 攻击企业内部的 LLM（大语言模型）服务。
古语云：“工欲善其事，必先利其器”。 我们在使用 AI 提升防御的同时，也必须防止 AI 变成攻击者的 “利器”。
3. 无人化：边缘设备的海量涌现
IoT、工业控制系统（ICS）以及 无人仓储、无人机巡检 等场景，让 数以万计的终端 通过 5G、LoRa、Wi‑Fi等方式接入企业网络。每一个设备都是 潜在的攻击面，而且往往缺乏传统的安全防护能力。
- 弱口令/默认凭证：大量设备使用默认密码，成为 “默认密码泄露” 的高危点。
- 固件漏洞：更新不及时、固件签名不严，导致 固件层面的后门。
- 供应链依赖：从芯片到系统软件的每一步都可能被植入后门。
综合来看，信息化、智能化、无人化的融合让攻击面指数级增长，而防御资源却相对固定， 这正是“以小博大”的攻击者乐此不疲的土壤。
三、信息安全意识培训的必要性与价值
1. 知识闭环：从“知”到“行”
信息安全不只是技术团队的专属，每一位职工都是防线的第一道关卡。通过系统化培训，我们希望实现以下闭环：
- 认知层：了解最新威胁（如 GitLab 路径遍历、供应链植入、IoT 设备暴露），掌握基本防护概念（最小权限、零信任、全链路监控）。
- 技能层：学习安全扫描工具（Nmap、Burp Suite、GitLab 安全仪表盘）的基础使用，掌握日志审计、异常行为识别的实操技能。
- 行为层：形成 安全操作流程（如不随意点击未知链接、使用密码管理器、定期更换密码、兑现多因素认证），让安全习惯渗透到每日工作。
2. 案例复盘：从真实教训中练就“拔剑出鞘”的本领
培训将围绕 GitLab 漏洞、SolarWinds 供应链、MikroTik 路由器 三大案例，设置 情景演练 与 红蓝对抗，让学员在模拟攻防环境中：
- 发现异常：通过日志筛查发现异常
file.Path参数请求、异常 SSH 登录。 - 快速响应：执行应急处置步骤（隔离受影响机器、回滚补丁、更新 ACL）。
- 复盘总结：撰写事件报告，提出改进措施（如完善 CI/CD 审计、引入 SBOM、加强路由器访问控制）。
3. 软硬结合：技术防护与人文防线
- 技术层：部署 WAF、EDR、云原生安全平台；引入 AI 威胁检测 与 自动化响应。
- 人文层：开展 安全文化建设（安全海报、每周安全提示、内部安全大赛），让安全意识渗透到企业 DNA。
“防不胜防，防之有道”。 只有技术与文化、硬件与软实力同步提升，才能形成 多层次、立体化 的安全防护体系。
四、即将开启的安全意识培训活动概览
| 项目 | 时间 | 形式 | 目标受众 | 主要内容 |
|---|---|---|---|---|
| 安全基础大讲堂 | 2026‑10‑05（周三） 18:00 | 线上直播 + PPT | 全体员工 | 信息安全概念、常见威胁、个人安全防护 |
| 案例实战工作坊 | 2026‑10‑12（周三） 14:00 | 线上沙盘 + Lab 环境 | 开发、运维、产品 | 深度剖析 GitLab CVE、SolarWinds、MikroTik 案例，现场演练 |
| 红蓝对抗赛 | 2026‑10‑19（周三） 09:00‑17:00 | 线下/线上混合 | 安全、研发、运维 | 红队模拟攻击、蓝队应急响应、现场点评 |
| 安全工具速成营 | 2026‑10‑26（周三） 13:00 | 线上实操 | 开发、运维、测试 | Nmap、Burp Suite、GitLab 安全仪表盘、日志审计工具 |
| AI 安全前瞻论坛 | 2026‑11‑02（周三） 16:00 | 线上圆桌 | 全体员工 | AI 攻防趋势、模型安全、生成式 AI 风险 |
| 安全文化周 | 2026‑11‑07~11 | 全员参与 | 全体员工 | 安全趣味问答、密码强度挑战、海报征文、抽奖激励 |
培训亮点：
- 全链路覆盖：从网络、系统、应用到 AI、IoT，涵盖企业数字化全景。
- 互动式学习：案例复盘、实战演练、红蓝对抗，让学员在“做中学”。
- 认证与激励：完成全部模块可获得 《信息安全合规员》 电子证书，并有机会参与公司 CTF 赛事。
- 持续更新：培训内容将随最新威胁情报周期性迭代，保证学习不落后。
“欲穷千里目，更上一层楼”。 通过系统的安全培训，帮助每位同事在职业道路上实现 技术与安全双提升，为企业的数字化转型保驾护航。
五、行动指南：如何快速加入安全培训
- 登录企业学习平台（地址：
https://learn.lanran.com），使用企业邮箱凭证登录。 - 查看培训日程，点击想参加的课程，填入 “报名理由”。（系统将自动匹配适合的时段）
- 完成前置阅读：平台已提供 《信息安全基础手册》、《GitLab 安全最佳实践》 PDF，建议提前阅读。
- 参加线上直播：登录会议链接，打开摄像头、麦克风，积极互动。
- 完成课后测验：每节课结束后有 10 道选择题，答对率 80% 以上即算通过。
- 领取证书：系统自动生成电子证书，可下载打印或绑定 LinkedIn 个人档案。
温馨提示：若在报名或学习过程中遇到技术问题，可联系 IT 支持（内部工单系统） 或 安全部小赵（微信：sec_zhao），我们将第一时间提供帮助。
六、结语：安全是全员的“共同语言”
从 GitLab 的 10 级路径遍历、SolarWinds 的供应链后门 到 MikroTik 的无认证 SSH，每一次攻击都告诉我们：“技术漏洞无情，防御失误致命”。 在信息化、智能化、无人化迅速交织的今天，“安全” 已不再是 IT 部门的专属词汇，而是每一位职工的 日常语言。
让我们以 “未雨绸缪、守土有责” 的姿态，积极参与即将开启的信息安全意识培训，用知识武装头脑、用技能守护系统、用文化浸润行为。在每一次点击、每一次配置、每一次代码提交之中，都留下一道安全的防线。
守住数字疆土，方能让业务腾飞。
让安全成为我们共同的价值观，让每一次防护都成为组织竞争力的加分项。
“千里之堤，溃于蚁穴；千钧之盾，必由众力”。 让我们一起，汇聚每一份力量，筑起坚不可摧的安全长城。
信息安全意识培训，等你来加油！
关键词
在昆明亭长朗然科技有限公司，我们不仅提供标准教程，还根据客户需求量身定制信息安全培训课程。通过互动和实践的方式，我们帮助员工快速掌握信息安全知识，增强应对各类网络威胁的能力。如果您需要定制化服务，请随时联系我们。让我们为您提供最贴心的安全解决方案。
- 电话：0871-67122372
- 微信、手机：18206751343
- 邮件：info＠securemymind.com
- QQ: 1767022898
