网络安全专题培训课件

CYBERSECURITY网络安全专题培训识威胁·防钓鱼·强密码·守规范2026年10月培训导览01威胁就在身边真实大案警示，建立风险共识02识破钓鱼陷阱拆解套路破绽，练就火眼金睛03筑牢密码防线告别弱口令，掌握强密码方法04警惕新型骗局认清AI伪造与公共网络风险05规范日常行为六条防护准则与合规底线THREATLANDSCAPE威胁就在身边最薄弱的环节，往往是人网络威胁已全面产业化，没有人能置身事外01网络威胁已全面产业化任何岗位的员工都可能成为攻击目标攻击门槛在降低，攻击频率在上升威胁全面产业化据Cloudflare《2026全球威胁形势报告》，网络威胁已全面产业化，不再是国家级攻击主体的专属手段关键行业接连受袭2026年前三季度，勒索软件攻击、大规模凭证泄露、AI系统被入侵等事件接连发生，波及医疗、金融、能源等关键行业新型常态攻击手段企业内部恶意员工、生成式AI驱动的SaaS供应链攻击、多太比特级DDoS僵尸网络，已成为新型常态攻击手段2026年真实大案敲响警钟以下均为2026年真实公开的安全事件，损失触目惊心事件影响美国电信运营商Brightspeed遭勒索攻击超

100万

用户个人数据被窃运动品牌Nike遭WorldLeaks攻击1.4TB、约

18.8万

个文件外泄1.49亿

条登录凭证数据库公开暴露含

4800万Gmail账户法国FICOBA银行账户数据库泄露波及

120万

账户甲骨文PeopleSoft遭零日漏洞攻击超

300台

服务器被攻破，覆盖

100多家

机构日本KDDI邮件系统被入侵超

1233万

邮箱地址被窃苹果供应商塔塔电子被入侵20万份、630GB

机密文件公开攻击目标正在扩大启示：安全风险不再遥远，就藏在日常使用的每一个系统和设备里攻击目标已从传统的网站、服务器，向协同办公、视频监控、电子邮件等业务系统延伸01真实案例某交通公司智慧停车小程序存在高危漏洞，停车数据未加密存储车牌号、停车场位置、进出场时间被窃取02真实案例某养老机构网络电话设备未采取防范网络攻击的技术措施设备被攻击侵入，沦为诈骗外呼工具最薄弱的环节是人最薄弱的环节，往往是人攻击者为何瞄准人技术手段筑起层层防线，人却始终是系统中最脆弱、最易被突破的一环。安全意识培训是投入产出比最高的防护手段，你的警惕就是企业的防火墙。01手段一欺骗、贿赂或胁迫让他人泄露访问凭证，比突破技术屏障容易得多。02手段二深度伪造一段高管语音，即可绕过人类防御获取权限。03手段三误点、弱口令、疏忽一次误点、一个弱口令、一次疏忽，都可能成为整条防线的突破口。THREATLANDSCAPE识破钓鱼陷阱一封邮件，可能掏空你的账户看穿伪装，从细节识别钓鱼邮件02钓鱼邮件最常见的攻击入口钓鱼邮件是当前最普遍、成功率最高的网络攻击手段之一钓鱼邮件是当前最普遍、成功率最高的网络攻击手段之一伪造发件人攻击者伪造发件人地址与邮箱账号，诱使目标点击恶意链接或下载恶意文件，进而窃取凭证、敏感资料，甚至入侵终端设备权威伪装加持政务机构伪装、企业系统通知伪装自带权威性，欺骗效果更强，成功率相对更高特别提醒合法政务系统本身就会推送邮件通知，单凭收到邮件无法分辨真伪，这种场景模糊性放大了风险三大真实案例钓鱼邮件套路多样，以下案例均来自真实公开报道案例攻击手法后果某高校助学金通知仿冒财务处邮件，索要银行卡号与验证码学生生活费被盗刷微软官方邮箱遭滥用劫持官方邮箱发送钓鱼通知，可通过全部身份验证传统网关全面失效，用户难辨真伪韩国政务伪装钓鱼伪造国税厅、警察厅邮件，跳转仿冒登录页用户平台账号密码被窃某高校复习资料附件压缩包内藏木马程序电脑被控制，多个账号被登录识别钓鱼邮件五看法收到可疑邮件时，按以下五个步骤逐一排查：收到可疑邮件时，按以下五个步骤逐一排查：看发件人地址：钓鱼邮件常伪造发件人地址，设置近似本单位名称或系统管理员的账号。看邮件标题：涉及“系统管理员”“通知”“发票”“会议日程”“参会名单”等关键词，需提高警惕。看正文措辞：对“亲爱的用户”“亲爱的同事”等泛化问候，以及任何制造紧急气氛的邮件保持警惕。看正文目的：正常邮件一般不会索要邮箱登录账号和密码等信息，收到此类要求务必留心。看正文内容：当心需要点击的链接，若包含“&redirect”字段，极可能是钓鱼链接。链接与附件里的陷阱不明链接不点，不明附件不开01附件套路压缩包内藏木马名为"复习资料.zip"的压缩包内藏"资料.exe"，运行后植入"银狐"木马。可控制电脑、窃取各类登录凭证，实现横向渗透。02链接套路仿冒登录页钓鱼点击后跳转至与真实登录页高度一致的仿冒页面。一旦输入账号密码，即被窃取。03退订陷阱退订按钮藏恶意代码部分邮件的退订按钮植入恶意代码。点击会收到更多垃圾邮件，或被植入木马程序。收到可疑邮件怎么办1第一步不点击不点链接不下载附件不回复，更不输入任何账号密码2第二步先核实通过官方渠道或电话向发件人本人核实切勿直接回复可疑邮件3第三步速上报关键立即报告单位IT或安全管理人员及时报告不是犯错，隐瞒不报才会扩大风险4第四步若已误点立即修改相关密码、断网并上报由专业人员处置，不要自行清理痕迹PASSWORDDEFENSE筑牢密码防线2秒破解的密码，等于没有密码从弱口令到强密码，只需掌握几个原则03弱口令2秒就能被破解央视实验显示，一个6位字母密码（名字拼音）仅用

2秒

即被破解2秒破解时间央视实验验证密码脆弱性，一个6位字母密码（名字拼音）仅需2秒即被破解2秒弱口令最快被破解的耗时攻常见攻击手法暴力破解逐一尝试所有组合，穷举直至命中。字典攻击快速匹配生日、手机号等常见密码。撞库攻击风险撞库用一处泄露的密码尝试登录其他平台1.49亿条登录凭证库是撞库攻击的核心工具，只要存在密码复用习惯，账户被盗风险就大幅升高这些弱口令你中招了吗数字与键盘型顺序或重复数字123456、654321、888888键盘顺序qwerty、asdfgh单词与信息型简单英文单词password、admin、welcome个人信息型生日、手机号、身份证后六位、姓名拼音、宠物名场景与默认型场景专属型公司名加年份、系统默认密码如root、admin123“特别提醒：Admin@123这类大写首字母加常见词加数字的组合，仍属中弱口令，应强制修改”强密码的黄金标准三大核心要素：长度足够、复杂度高、具备随机性长度足够核心要素密码越长，破解所需时间呈指数级增长，现代建议最短

12位，推荐

15位

以上。复杂度高核心要素同时包含大写字母、小写字母、数字、特殊符号四类字符，大幅增加暴力破解的组合空间。具备随机性核心要素不能基于常用词典或个人信息，保证黑客无法通过字典猜测。量化验证维护建议强密码三段式记忆法目标：对机器而言复杂，对人类而言有意义“用三段式记忆法，对机器复杂、对人类有意义，让强密码可记可用。”1STEP01选短语选择只有自己知道的句子例如：“我最喜欢的电影是肖申克的救赎1994”2STEP02做变形用符号、数字替换部分字符“我”→“5”

“的”→“$”3STEP03加专属结尾加上只属于该平台的标识保证每个平台密码都不相同密码管理器与多因素认证两种关键加固工具：密码管理器与多因素认证·其他措施：设置登录失败锁定机制，如5分钟内失败5次则临时封禁IP。·配置建议：优先为网银、支付、邮箱、办公系统等重要账户开启双重验证。密码管理器生成并存储高强度随机密码，无需记忆，从根本上避免密码复用。多因素认证在密码之外增加手机验证码、指纹、人脸等第二重验证，即使密码泄露，二次验证也能有效阻挡入侵。THREATLANDSCAPE警惕新型骗局眼见未必为实，耳听未必为真AI深度伪造与公共网络，正成为新的攻击入口04AI深度伪造眼见未必为实眼见不一定为实，声音也可被伪造风险场景4项攻击手法窃取会议录音和语音数据，发起实时深度伪造通话技术细节实时生成渲染+情绪匹配模型，模拟高管声音，连呼吸节奏都惟妙惟肖高发时机交易审批、危机应对等来不及反复核实的时刻真实案例员工接到伪装成老板的诈骗电话，被骗转账巨额资金01应对方法挂断后回拨核实凡涉及转账、授权、共享权限，务必挂断后通过已知号码回拨核实。回拨核实：通过已知号码回拨，验证通话对方身份。授权保护：转账、授权、共享权限，均需二次确认。3类敏感操作挂断+回拨二次确认AI驱动的社会工程攻击以机器速度实施的社会工程攻击，正绕过传统的常规检测模式心理画像先行生成式AI在联系目标前，先构建其心理画像并“亲自”编写诈骗脚本语气时机贴合撰写钓鱼邮件时，AI会调整语气和发送时机，以贴合组织的内部文化长线潜伏渗透部分系统被整合进聊天机器人或虚假帮助台，持续活跃数周以获取信任产业化与个性化“钓鱼即服务”模式普及加上AI个性化，使威胁更可信、更针对、更高效公共Wi-Fi与移动设备风险公共Wi-Fi：随时随地的便利，也藏着身份窃取的陷阱风险认知中间人攻击：攻击者在通信双方之间插入自己，窃听或篡改数据常见场景：不安全的公共Wi-Fi、被劫持的路由器、伪造的基站防护行动防护方法：仅访问HTTPS网站、不连接无密码Wi-Fi、使用VPN建立安全连接移动设备：谨慎授予应用权限，妥善保管设备，避免在公共设备上处理涉密工作底线要求：公共Wi-Fi上绝不进行网银、支付等敏感操作其他值得警惕的新型威胁应对措施及时打补丁·定期备份数据·遭遇勒索不轻易转账零日漏洞2026年甲骨文PeopleSoft漏洞危险评分

9.8，无需认证即可远程执行代码，13天内攻破

300多台服务器隐蔽性来源漏洞被发现时厂商尚不知情，没有补丁，防守方毫无准备智能体攻击AI智能体可自主探测防御系统漏洞，并发起不断演变的社会工程攻击勒索软件升级“勒索软件服务”工具日益普及，不具备专业技术能力的犯罪分子也能发起攻击SECURITYGUIDELINES规范日常行为安全无侥幸，细节定成败六条防护准则，守住合规底线05六条防护准则牢记于心密码强设复杂密码加定期更换，开启双重验证，不共用账号壹邮件慎点可疑邮件先核实，拒绝陌生链接与附件贰网络合规只用单位正规网络，拒绝陌生公共Wi-Fi叁文件严控涉密资料不外传，废弃文件妥善处理肆设备规范不装非法软件，及时更新防护系统，离开即锁屏伍异常速报发现账号异常、网络问题，立即上报处理陆五个高危行为千万别做五个高危行为千万别做轻信陌生信息随意点击不明链接、下载附件公共网络裸奔连接无密码Wi-Fi，用私人设备处理涉密工作密码形同虚设简单易猜、长期不换，账号密码随意告知他人离岗不锁屏涉密文件乱发、随意共享设备疏于防护安装不明软件，接入陌生U盘，不更新安全补丁守住法规底线关键要求：按照规定留存不少于六个月的网络日志，加强电信网络诈骗活动的监测识别和处置网络安全不只是技术问题，更是法律责任《网络安全法》任何个人和组织不得从事危害网络安全的活动，网络运营者须履行安全保护义务《数据安全法》对数据采取加密等保护措施，建立健全全流程数据安全管理制度《个人信息保护法》处理个人信息应遵循合法、正当、必要原则，采取加密、去标识化等安全措施真实处罚案例警示案例主要问题处理结果某运维公司未加密人员数据，违规部署远程连接工具行政处罚并责令限期改正某酒店未加密住宿人员信息，非法提供给第三方行政处罚并责令限期改正某交通公司智慧停车小程序存在高危漏洞行政处罚，嫌疑人另案处理某养老机构网络电话设备被侵入，未留存满6个月日志行政处罚并责令限期改正某科技公司论坛涉赌信息