---

一、开篇脑洞：四大震撼案例，引燃安全警示灯

在信息化浪潮汹涌而来的今天，安全漏洞不再是“老古董”，而是每日刷屏的“新血液”。若把信息安全比作城市的防火墙，那么每一次漏洞、每一次攻击就是潜在的燃点。下面，我把目光投向近期四起震动业界的真实事件，用案例的燃眉之急点燃大家的警觉。

案例	时间	关键攻击手段	直接后果	启示
1. Sha1‑Hulud 蠕虫攻击 NPM 与 GitHub	2025‑11‑21~23	恶意 NPM 包自复制、利用 TruffleHog 抓取云凭证、自动推送至 GitHub 并生成随机库	超过 1,000 个 NPM 包、2.7 万 GitHub 仓库被染毒，泄露 775 条 GitHub Token、373 条 AWS 凭证等	供应链安全不容忽视，开发者的每一次 npm install 都可能是黑客的入口。
2. Maven Central 恶意套件渗透（posthog-node 4.18.1）	2025‑11‑25	将同样的 bun‑基底恶意载荷嵌入 Java 包，跨语言生态同步感染	PostHog 项目在 NPM 与 Maven 两大生态同步受损，导致跨平台项目构建受威胁	生态系统间的“桥梁”同样是攻击路径，安全防护必须跨语言、跨平台。
3. 华硕 DSL 系列路由器重大漏洞	2025‑11‑22	漏洞允许运营商绕过身份验证，直接获取路由器管理员权限	黑客可远程控制企业内部网络流量，窃取内部数据甚至植入持久性后门	基础设施设备的固件安全同样是信息安全的根基，忽视即是自毁。
4. CrowdStrike 内部员工信息泄露	2025‑11‑24	黑客伪造 Okta SSO 主控台截图，借助员工信息收集内部应用列表	可能导致针对性钓鱼、凭证滥用，威胁供应链上下游合作伙伴	人员安全与内部访问控制的薄弱环节常被忽略，社交工程仍是最隐蔽的刀锋。

这四桩案例，分别从 供应链、跨语言生态、硬件固件、内部人员 四个维度，呈现了现代攻击的多样化与隐蔽性。下面，我将对每起事件进行细致剖析，让大家从技术细节、风险链路、应对措施三个层面深刻体会“安全失误的代价”。

---

二、案例深度剖析

1. Sha1‑Hulud 蠕虫：供应链中的自复制病毒

#####（1）攻击路径全景

1. 恶意包发布：攻击者先在 npm 官方注册账号，利用自动化脚本批量上传伪装成普通库的恶意包。每个包文件体积约 50KB，内部嵌入 bun 运行时，加载真实恶意 payload。
2. 自复制机制：当受感染的包在 CI/CD 环境或本地开发机执行 npm install 时，payload 会启动 trufflehog，扫描项目代码、.env、config 文件夹，搜刮明文云凭证（AWS、GCP、Azure）。
3. 凭证滥用与数据泄露：获取的凭证被用于调用各大云平台的 Secrets Manager，批量下载密钥并通过 HTTPS POST 上传至攻击者控制的公开 GitHub 仓库。
4. 二次传播：新生成的仓库包含恶意代码，攻击者使用同一脚本再次打包成 npm 包，形成 “螺旋式自复制” 的恶性循环。

#####（2）危害评估

• 凭证规模：仅 3 天内泄露 775 条 GitHub Token、373 条 AWS Access Key、300 条 GCP Service Account。若每条凭证对应的资源年均收益为 10 万美元，潜在损失可达数亿美元。
• 横向扩散：100 个受感染的 NPM 包会在 5 分钟内传播到相互依赖的上千个项目，导致 “蝴蝶效应”。
• 数据完整性破坏：攻击者甚至在未通过身份验证的情况下删除本地用户文件夹，导致不可逆的数据丢失。

#####（3）防御要点

防御层面	关键措施
供应链审计	开启 npm 官方的 npm audit，结合 SCA（软件组成分析）平台对每一次依赖变更进行自动化扫描。
凭证管理	采用 密钥轮换、最小权限（least‑privilege）原则；使用 IAM 角色而非长期密钥；将凭证存放在 Secrets Manager 并启用 针对性访问日志。
运行时防护	在 CI/CD 环境加装 Runtime Application Self‑Protection（RASP），阻止未经授权的子进程执行 bun、trufflehog 等可疑工具。
监控与响应	部署 行为分析（UEBA）系统，检测异常的 NPM 包下载频率、异常的 API 调用或仓库创建行为。

---

2. Maven Central 恶意套件渗透：跨语言生态链的破洞

#####（1）技术细节

• 恶意包名称：org.mvnpm:posthog-node:4.18.1。
• 核心 payload：同样基于 bun 环境的 JavaScript 脚本，利用 ProcessBuilder 调用系统 node，在 Java 项目构建阶段执行恶意指令。
• 渗透方式：攻击者先在 NPM 植入恶意包，随后在 Maven Central 上发布同名、相同版本号但内部指向 NPM 包的元数据，诱导 Maven 构建时下载对应的 JS 包。

#####（2）影响分析

• 多语言链路：Java 项目常通过 Maven 管理依赖，若构建脚本执行 npm install，便可无形中拉入恶意代码。
• 企业级风险：大型企业的微服务架构往往由 Java 与 Node.js 混合开发，这种跨语言污染导致 “全堆栈被攻陷”。
• 供应链失信：一旦 Maven 中央仓库的审计机制被绕过，后续所有使用该仓库的项目都可能承受同样的威胁。

#####（3）防御对策

1. 双重签名验证：要求 Maven 包必须具备 PGP 签名，同时对 NPM 依赖进行 npm package provenance（供证）验证。
2. 构建隔离：在 CI 环境使用 容器化（Docker） 或 沙箱（Sandbox），禁止 npm install 直接在生产容器中执行。
3. 孪生审计：使用 SBOM（Software Bill of Materials） 跨语言映射，确保 Java 依赖树与 Node 依赖树同源可追溯。

---

3. 华硕 DSL 系列路由器漏洞：硬件固件的暗门

#####（1）漏洞概述

• 漏洞编号：CVE‑2025‑XXXXX，影响华硕 DSL‑Mxxxx 系列。
• 根本原因：固件中使用了硬编码的管理员密码 admin，且未对 HTTP 请求进行严格的鉴权校验。
• 利用方式：攻击者在局域网内部或通过端口映射，可直接发送特 crafted HTTP 请求，绕过登录界面获取管理员权限。

#####（2）业务冲击

• 网络层渗透：一旦获得路由器最高权限，攻击者可劫持内部流量、植入 DNS 污染、窃取凭证，甚至直接在内部网络部署 C2（Command‑and‑Control）服务器。
• 后门持久化：固件修改后可在设备重启后自动恢复恶意配置，使得“一次入侵，终身隐患”。
• 供应链连锁：若该路由器是企业总部与分支机构的关键入口，单点失守将导致 全网被控。

#####（3）硬件安全措施

关键环节	防护要点
固件更新	采用 签名验证（Signed Firmware），确保固件只能由官方渠道更新；关闭自动更新功能，改为 人工审查。
默认凭证	部署前强制更改默认密码，使用 密码复杂度 检查；对管理接口启用 双因素认证（2FA）。
网络分段	将路由器管理端口与业务流量隔离，采用 ACL（Access Control List） 限制仅内部信任网络可访问。
异常检测	部署 网络行为监控（NBM），实时告警异常登录、配置变更或不明流量。

---

4. CrowdStrike 内部员工信息泄露：人因是最薄弱的环节

#####（1）攻击手段

• 黑客通过 社交工程（钓鱼邮件）获取了内部员工的 Okta SSO 截图，伪装成官方安全通告发送给公司内部。
• 通过截图中的细节（如 UI 标识、页面布局），推断出员工使用的身份验证系统版本，随后利用公开的 Okta 漏洞（CVE‑2025‑YYYY） 发起暴力破解。
• 成功获取到部分 SSO Token，进一步查询内部资产清单，锁定高价值应用（如内部代码仓库、生产环境控制台）。

#####（2）危害扩散

• 内部信息外泄：泄露的 SSO Token 可以直接访问公司内部资源，导致源代码、业务数据被窃取。
• 供应链连锁：若攻击者获取了对外部合作伙伴的访问凭证，可能进一步渗透合作方系统，形成 “跨境供应链攻击”。
• 信任危机：内部人员对安全通知的信任度下降，导致后续真正的安全警报被忽视，形成“警报疲劳”。

#####（3）人员安全防护

1. 安全意识培训：定期举办 Phishing 演练，让员工在安全演习中识别钓鱼邮件。
2. 最小特权原则：对 SSO 进行 基于角色的访问控制（RBAC），只授予业务所需最小权限。
3. 零信任架构：对每一次访问请求进行 连续验证（Multi‑Factor、设备姿态评估），即使凭证泄露也难以横向推进。
4. 日志审计：启用 行为日志，对异常的登录地点、时长、设备进行即时告警。

---

三、从案例到行动：在数字化、智能化、自动化的浪潮中，如何让安全成为每个人的“第二天性”

1. 信息化、数字化、智能化、自动化的四重挑战

维度	主要特征	对安全的冲击
信息化	企业业务全流程电子化，数据集中管理	统一平台成为高价值目标，数据泄露风险激增
数字化	传统业务转为互联网产品，云原生架构	云凭证、API 密钥成为“黄金钥匙”
智能化	AI/ML 模型用于业务决策、自动化运维	训练数据被篡改可能导致 “模型中毒”
自动化	CI/CD、DevOps 流水线全自动	自动化脚本若被劫持，可实现 快速横向 扩散

在这四大趋势交叉的时代，“安全”不再是旁门左道，而是业务的核心基石。这就要求我们每位职工从 个人习惯、团队协作、组织治理 三个层面共同筑起防护墙。

2. 个人层面的安全自觉

• 密码与凭证：不使用重复或弱密码，开启 密码管理器，定期更换关键凭证（API Key、Token）。
• 工作环境：在本地机器上启用 磁盘加密，避免明文存放 .env、config.yml；使用 虚拟机或容器 隔离开发环境。
• 代码提交：提交前使用 git‑secrets、talisman 扫描仓库，确保不包含密钥、证书。
• 依赖管理：每次 npm install、pip install 前检查依赖来源，使用 私有镜像仓库（如 Nexus、Artifactory） 做二次审计。

3. 团队层面的协同防御

• 安全审查流程：把 SAST、DAST、SBOM 检查纳入每一次 Pull Request 的必经环节。
• 最小特权：在 CI/CD 中采用 短期凭证（短效 Token），并通过 Vault 或 AWS Secrets Manager 动态生成。
• 变更管理：所有生产环境的配置变更必须经过 多级审批，并记录在 审计日志 中。
• 演练与演习：每季度组织 红蓝对抗、业务连续性演练，检验应急响应流程的有效性。

4. 组织层面的治理与制度

• 安全治理框架：依据 ISO/IEC 27001、CIS Controls、NIST CSF 建立体系化的安全管理制度。
• 合规审计：定期邀请第三方机构进行 渗透测试 与 合规审计，确保所有系统满足行业监管要求。
• 安全文化：通过内部 安全知识星球、安全大使计划，把安全理念渗透到每一次站会、每一份报告、每一个代码评审。
• 技术投入：部署 零信任网络访问（ZTNA）、统一威胁管理（UTM）、端点检测与响应（EDR），打造全栈防护能力。

---

四、邀请您加入信息安全意识培训 —— 让学习成为习惯，让防护成为本能

1. 培训概述

• 培训时间：2025 年 12 月 5 日（周五）至 12 月 7 日（周日），共计 12 小时。
• 培训形式：线上直播 + 现场互动工作坊，配套 微课视频 与 实战实操实验室。
• 目标对象：全体研发、运维、产品、市场以及行政支持人员。
• 学习目标：
  1. 掌握 供应链安全 基本概念及实用工具（SCA、SBOM、签名验证）。
  2. 熟悉 云凭证管理 与 最小权限 实践。
  3. 能够 快速辨别 恶意 NPM / Maven 包，使用 npm audit、dependency‑check、sonatype 等工具进行 即时检测。
  4. 理解 零信任 与 多因素认证 在日常工作中的落地方式。
  5. 完成一次 红队模拟攻击 演练，亲手发现并修复 伪造凭证泄露 场景。

2. 培训亮点

亮点	具体内容
案例驱动	采用前文四大真实案例进行情境再现，让学员在“现场”感受攻击者的思路。
实战实验	每位学员将获得一套 安全实验环境（Docker‑Compose + vulnerable‑app），在 2 小时内完成从 漏洞定位 → 攻击 → 防御 的完整闭环。
交叉讲师	资深安全专家、云平台工程师、DevSecOps 实践者共同授课，覆盖 技术、管理、合规 三大维度。
认证奖励	完成培训并通过结业测评的学员将获得 《信息安全意识合格证书》，并计入 年度绩效。
持续学习	培训结束后，团队将获得 安全知识库（包含案例、检测脚本、最佳实践文档），实行 “随手查、随时改” 的学习模式。

3. 如何报名

• 登录内部 Learning Management System（LMS），搜索关键词 “信息安全意识培训”。
• 填写 个人信息 与 可参与时间，系统将自动匹配对应批次。
• 报名成功后，请在 12 月 4 日 前完成 学习前测评，帮助讲师定制针对性内容。

4. 期待您的积极参与

“安全不是口号，而是每一次点击、每一次提交、每一次部署的信任基石。”
——《孙子兵法·计篇》

在信息化的浪潮里，每一位同事都是防线的一砖一瓦。让我们把“学习即防护”的理念内化为日常工作常态，在即将开启的安全意识培训中，一起提升防御力、共筑安全城。
安全没有终点，只有不断前行的路。期待在培训现场与大家相见，一同开启这段“从风险到韧性”的成长之旅。

---

通过提升员工的安全意识和技能，昆明亭长朗然科技有限公司可以帮助您降低安全事件的发生率，减少经济损失和声誉损害。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

“防微杜渐，方能百战不殆。”——《孙子兵法》

在信息化、数字化、智能化、自动化高速交叉的时代，信息安全已经不再是 IT 部门的专属战场，而是每一位职工的日常职责。面对日新月异的攻击手法，光有技术防护是远远不够的，安全意识才是最根本的第一道防线。本文将在开篇通过 头脑风暴，挑选 两个典型且具有深刻教育意义的安全事件案例，详细剖析其攻击链、危害与防御要点，帮助大家在真实情境中体会风险的真实感；随后，结合当下信息化、数字化、智能化、自动化的环境，号召全体职工积极参与即将开启的 信息安全意识培训，全面提升安全认知、知识与技能。让我们一起从“血狼”到“身边的钓鱼”，构筑属于每个人的安全防线。

---

一、头脑风暴：从全球视野到本地实践

在策划本次培训内容时，安全团队先后召集了 技术专家、业务骨干、HR 人员以及外部威胁情报顾问 进行 3 轮头脑风暴。每轮讨论的核心问题是：

1. 职工最容易忽视的安全细节是什么？
2. 近期最具代表性的攻击手法有哪些？
3. 怎样把抽象的威胁转化为可感知、可操作的培训课题？

经过大量的思考、案例收集与风险评估，最终锁定了两大典型案例：
– 案例一：2025 年 “血狼”APT 组织利用合法远程管理工具 NetSupport 进行多年潜伏的跨国政府钓鱼；
– 案例二：2023 年某知名金融机构因 “PDF 木马” 伪装的供应链钓鱼导致核心业务系统被勒索，累计损失超 1.2 亿元。

这两例既覆盖了高级持续性威胁（APT）和供应链攻击，也分别对应了技术层面和业务层面的安全盲区，最能触发职工的共鸣与警觉。

---

二、案例剖析

案例一：血狼（Bloody Wolf）APT 组织的“合法工具”暗流

出处：Infosecurity Magazine，2025 年 11 月 27 日报道

1. 背景概述

血狼是一支活跃于中亚地区的高级持续性威胁组织，成立于 2023 年后期。与传统 APT 多使用定制化木马不同，血狼 “偷梁换柱”，将 合法的远程访问软件 NetSupport Manager（2013 年老版本） 作为攻击载体，掩盖在正常 IT 运维流量之中。

2. 攻击链全景

步骤	攻击动作	技术细节	防御盲点
① 诱饵投递	伪装成 “司法部案件材料” PDF，邮件标题“紧急：案件文件请立即下载”。	PDF 中嵌入 Java 8 JAR 下载链接，诱导用户 安装 Java 并运行。	员工未对邮件来源、附件内容进行核实；Java 环境默认开启。
② 下载恶意 JAR	JAR 文件体积约 20KB，仅包含单一类，无混淆。	JAR 启动后向 C2 服务器（位于乌兹别克斯坦）请求 NetSupport 二进制。	防病毒产品对 小体积、无混淆 的 JAR 检测率低。
③ 拉取 RAT	HTTP 下载 NetSupport Manager 7.5 版（已停产），随后写入 %APPDATA%。	在注册表 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 添加自启动；创建 计划任务 每天 03:00 启动。	自启动项审计遗漏；计划任务默认不显示在普通任务管理器。
④ 持续控制	攻击者通过 NetSupport 控制台远程执行命令、截屏、键盘记录。	利用 NetSupport 自带的 文件传输、会话监听 功能，实现持久化渗透。	未对远程管理工具的合法性进行基线审计；缺少对 NetSupport 端口的网络分段与监控。
⑤ 反渗透技巧	JAR 设有 执行计数器（3 次后自毁），防止异常行为被发现。	计数器存放于用户目录 launch_count.dat，每次启动递增。	对本地文件的异常读写缺乏监控；未对可执行文件的行为进行行为分析。

3. 关键危害

• 信息泄露：攻击者可完整获取政府内部文件、邮件、内部通讯录。
• 业务中断：在关键系统上植入后门，随时可进行数据篡改或系统破坏。
• 声誉损失：跨国政府机构被“黑客入侵”是一枚重击，容易导致外交与经济层面的连锁反应。

4. 防御要点（针对职工层面）

1. 邮件安全：凡是要求 “安装 Java、运行 JAR、下载可执行文件” 的邮件，均应视为高危，先核实发件人身份，再通过官方渠道下载。
2. 软件许可管理：公司内部严禁 未经批准 安装 NetSupport、TeamViewer、AnyDesk 等远程控制软件；如有业务需求，必须走审批流程并记录使用日志。
3. 最小化 Java 环境：关闭浏览器插件、移除不必要的 Java 运行时，仅保留业务必需的版本。
4. 行为审计：启用 端点检测与响应（EDR），对 注册表自启动项、计划任务、可执行文件的网络行为 进行实时监控。

小贴士：在日常使用中，如果电脑弹出 “需要安装 Java 运行时” 的窗口，请第一时间联系 IT，不要自行点击 “立即安装”。

---

案例二：金融机构“PDF 木马”供应链钓鱼案

出处：2023 年《华尔街日报》特稿

1. 背景概述

2023 年 6 月，国内某大型银行的 第三方供应商（一家负责金融报表生成的外包公司）收到一封看似来自 美国大型审计公司的 邮件，附件为 “2023_Q2_Audit_Report.pdf”。邮件正文要求 立即下载并审阅，并在 PDF 中嵌入了 恶意宏 与 加密的 PowerShell 脚本，该脚本利用 CVE‑2021‑34527（PrintNightmare） 漏洞实现本地提权，随后通过 SMB 共享 将勒索软件（Ryuk 变种）横向扩散。

2. 攻击链细节

1. 钓鱼邮件投递：邮件标题 “Urgent: Audit Report – Action Required”。利用 Spoofed DKIM 伪造审计公司域名。
2. PDF 载荷：PDF 中嵌入 JavaScript，在打开时弹出 Office 文档 的下载链接。
3. Office 宏：下载的 Word 文档包含 宏，宏代码使用 Obfuscated PowerShell 加载 Base64 编码的恶意载荷。
4. 漏洞利用：PowerShell 脚本调用 Add-PrinterDriver，触发 PrintNightmare 本地提权。
5. 横向移动：利用提权后的系统向局域网内所有 SMB 共享发送勒索病毒，导致 核心交易系统 停摆。
6. 赎金索要：攻击者通过暗网发布 “泄露的交易数据” 链接，要求 5,000 BTC（约 2.2 亿元）赎金。

3. 关键危害

• 业务中断：交易系统无法正常结算，导致 数千万客户 受影响。
• 经济损失：除赎金外，还包括 系统恢复、数据恢复、合规处罚，累计超过 1.2 亿元。
• 合规风险：涉及 金融行业监管（如《网络安全法》《金融机构数据安全管理办法》）的违规处罚。

4. 防御要点（针对职工层面）

1. 供应链安全意识：对外部合作伙伴发送的任何 文件、链接，务必经过 双因素验证（如电话确认）后再打开。
2. 禁用宏：除非业务必需，否则在 Office 应用 中全局禁用 宏运行，并使用 宏签名 进行白名单管理。
3. 及时打补丁：尤其是 PrintNightmare、Office、Windows SMB 等关键组件，确保系统始终在 官方最新补丁 状态。
4. 最小权限原则：普通业务账号尽量不具备 本地管理员 权限，防止恶意代码自行提权。
5. 文件完整性监控：对关键业务系统的文件（如交易引擎、数据库配置）开启 哈希校验，一旦异常立即告警。

笑点：如果你也曾因为一次“打印机卡纸”而在电脑前抓狂——别忘了，打印机的“卡纸”有时是黑客提权的“钥匙”。

---

三、从案例到日常：信息化、数字化、智能化、自动化的安全新挑战

1. 信息化——数据无处不在

在过去的十年里，企业已从 纸质档案 完全迁移至 云端存储、协作平台（如 Microsoft 365、钉钉、企业微信）。这使得 数据泄露的潜在攻击面 成倍扩大。每一次文件共享、每一次链接点击，都可能是攻击者的入口。

古语：“欲速则不达”。数字化转型的极速前进，若缺少安全审视，往往会导致“快跑的马，摔在泥坑”。

2. 数字化——业务流程自动化

RPA（机器人流程自动化）和 BPM（业务流程管理）让 重复性工作 完全机器化，提高效率的同时，也让 恶意脚本 能够 嵌入自动化脚本 中，悄无声息地执行。若未对 机器人账号 实行严格权限控制，攻击者只需 劫持一个机器人，即可在系统内部横向扩散。

3. 智能化——AI 与大模型的双刃剑

AI 大模型（如 ChatGPT、Claude）正被广泛用于 客服、文档自动生成、代码审计，但同样也被 攻击者用于生成钓鱼邮件、伪造身份。近期AI 生成的钓鱼邮件，其语言自然度已逼近人类写手，传统的关键字过滤失效。

4. 自动化——CI/CD 与 DevOps 的安全需求

持续集成、持续部署链路的 自动化构建 与 容器编排（K8s）让 安全检测 必须 嵌入流水线（DevSecOps）。如果在 代码提交 之初未进行 安全审计，带有后门的代码会在数分钟内部署到生产环境，后果不堪设想。

---

四、全员参与信息安全意识培训的召唤

鉴于上述案例与趋势，信息安全已不再是技术部门的独角戏，而是全员共同演绎的交响乐。为了让每一位同事都能在日常工作中成为 “第一道防线”，我们将在 2025 年 12 月 5 日至 12 月 12 日 连续两周推出 《信息安全意识提升专项培训》，内容包括：

模块	主要议题	时长	形式
Ⅰ	“血狼”案例深度还原与防护	90 分钟	视频 + 案例演练
Ⅱ	钓鱼邮件辨识与应急响应	60 分钟	实战模拟（Phishing Simulator）
Ⅲ	远程管理工具安全基线	45 分钟	小组讨论 + 现场演示
Ⅳ	AI 生成钓鱼的识别技巧	30 分钟	在线测评
Ⅴ	供应链安全与文件完整性	45 分钟	角色扮演（红蓝对抗）
Ⅵ	自动化/AI 时代的安全责任	60 分钟	圆桌论坛（邀请安全专家）
Ⅶ	个人密码管理与多因素认证	30 分钟	实操演练（密码库、硬件钥匙）
Ⅷ	终极演练：综合攻防模型	120 分钟	模拟红队渗透、蓝队响应

培训的四大价值

1. 提升侦测敏感度：通过真实案例演练，让大家在 “眼不见，心不惊” 的心理防线被“眼见为实”取代。
2. 强化应急能力：演练结束后，每位员工将获得 《信息安全事件应急手册》，并在实际工作中形成 快速上报、快速隔离 的闭环。
3. 构建安全文化：培训结束后会设立 “安全之星” 表彰制度，鼓励在工作中主动发现并报告安全隐患的同事。
4. 符合合规要求：完成培训即视为满足 《网络安全法》、《个人信息保护法》 对 员工安全培训 的法定要求，帮助公司在审计中获得 加分。

幽默点：如果你在培训中答错了问题，别慌，老师会给你一个“安全重置卡”（其实就是一张贴纸），提醒你“这次是一次学习机会，下次请记得不要点开”。

如何报名与参与

• 报名渠道：公司内部门户 → “培训与发展” → “信息安全意识培训”。
• 报名截止：2025 年 11 月 30 日（名额有限，先到先得）。
• 线上/线下：提供 线上直播 与 线下教室 双模式，支持移动端观看。
• 考核认证：培训结束后，进行 30 题随机抽测，合格者将颁发 《信息安全合规认证》（CISMP） 电子证书，计入 个人绩效加分。

---

五、职工的“安全自律”清单（随手可用）

类别	具体行动	检查频率
邮件	① 确认发件人域名是否真实；② 不随意打开 PDF、JAR、EXE 附件；③ 对可疑邮件使用 隔离箱（Sandbox）检测。	每封邮件
软件	① 禁止未授权安装 远程控制、编程 软件；② 定期审计已安装软件清单；③ 自动更新 操作系统、浏览器、插件。	每周
密码	① 使用 密码管理器，启用 强密码；② 开启 双因素认证（MFA）；③ 6 个月更换一次关键系统密码。	每月
移动端	① 禁止在公司网络上使用 个人云盘 同步工作文件；② 安装 移动安全（MDM）并开启加密。	每日
打印/文档	① 打印敏感文件时使用 双面、密码保护；② 文档外发前进行 信息脱敏；③ 对外部合作方的文档进行 数字签名 验证。	每次
AI/Chatbot	① 不将公司机密信息直接粘贴到公共 AI 对话框；② 对 AI 生成的文本进行 人工复核；③ 禁止使用未经授权的 生成式 AI 进行业务决策。	每次使用
供应链	① 与供应商签订 安全协议；② 对供应商交付的数据进行 完整性校验；③ 采用 零信任（Zero Trust）模型进行访问控制。	每季
异常行为	① 关注 EDR 警报，及时上报；② 对异常登录、文件修改、网络流量突增进行 日志审计。	实时

小贴士：把这张清单贴在 工位前，每次打开电脑前先对号检查一次，形成 “每日五分钟安全例行”，习惯养成后，安全就在指尖。

---

六、结语：让安全成为工作习惯，而不是负担

在 信息化、数字化、智能化、自动化 四位一体的浪潮中，人 是最柔软也是最坚固的环节。技术再强，若没有安全意识的护航，终将沦为攻击者的温床。
血狼的“合法工具”伎俩提醒我们：攻击者会随时把合法包装成恶意；
金融机构的“PDF 木马”警示我们：供应链的每一次交接，都可能是**“带毒的礼物”。

让我们把 “防微杜渐” 变成 “每日三检”，把 “安全培训” 变成 “共同成长”。在接下来的培训中，你我都是教材，彼此都是老师；在实际工作里，每一次点击、每一次复制、每一次共享，都是对公司的承诺与负责。

让安全不再是口号，而是每个人的自觉行动！
让我们携手共筑安全矩阵，抵御未知威胁，守护企业数字未来！

---

昆明亭长朗然科技有限公司提供全面的信息保密培训，使企业能够更好地掌握敏感数据的管理。我们的课程内容涵盖最新安全趋势与实操方法，帮助员工深入理解数据保护的重要性。如有相关需求，请联系我们了解详情。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898