导语：
11 月 9 日，全球安全社区聚焦两个事件：Okta 披露旧版会话令牌遭到批量盗用，涉及 40 余家下游 SaaS；微软、CrowdStrike 联合通报 Octo Tempest 利用生成式 AI 自动化钓鱼流程；多国监管者借 Snowflake 客户数据泄漏继续追问“谁在承担供应链风险”。攻防已经彻底供应链化，安全团队必须超越“边界防护”，转向身份、日志、合同三位一体的治理。
1. Okta 会话令牌事件
- Okta 发现 2023 年前创建的 Support Portal 会话在部分客户浏览器中被长时间保留，攻击者通过浏览器扩展窃取后，可在 2024-2025 年间重放访问案例、下载 SAML 元数据。
- 受影响的包括 GitHub、ServiceNow、Miro 等 SaaS。Okta 已强制失效旧令牌、升级 Session Binding，并建议客户开启“设备指纹 + FIDO”双重保护。
- 启示：身份是一切通往 SaaS 的钥匙，必须实施 Session 最短化、实时风险评估与浏览器完整性检测。
2. Octo Tempest：AI 驱动的社会工程
- 新报告显示该组织使用自训练的大语言模型来生成高仿客服对话、语音克隆，结合 SIM 交换、语音网关，实现自动化钓鱼。
- 其攻击链包括：获取员工目录 → AI 生成钓鱼脚本 → 语音机器人拨打电话 → 诱导重置 MFA → 控制财务系统。
- 防御方需要将 AI 也纳入检测：对异常对话、语音指纹、自动拨号速率进行监测，并加强 MFA 绑定。
3. Snowflake 余震与监管态度
- 澳大利亚 OAIC、英国 ICO、美国 FTC 要求受害企业披露“与 Snowflake 合同中的安全责任划分”，推动供应商在 SLA 中加入更严格的日志保留、访问最小化条款。
- ENISA 建议所有托管服务提供商提供 SBOM/KBOM、客户可访问的审计日志，以及安全更新的服务级目标。
4. 防御策略
- 身份与会话治理：实施浏览器完整性检测（如 CrowdStrike Charlotte、Cloudflare Zero Trust）、缩短会话有效期、绑定设备指纹；对敏感操作要求硬件密钥。
- 供应链透明：与 SaaS/云供应商签订数据、日志、事件通知的 SLA，要求提供 SBOM、渗透测试结果、SOAR 接口。
- AI 钓鱼防御：部署语音/文本欺诈检测、对客服流程加入“回拨确认”“安全字”等制度；训练员工识别 AI 生成提示。
- 事件协同：与法务、合规、PR 建立“供应链事件”预案，确保第一时间对客户与监管回应。
行动清单
- 清理所有旧版 Okta 会话令牌，启用 Token Binding 与风险分级登录。
- 对核心 SaaS 账户启用硬件密钥、细粒度 RBAC、实时提示；整合日志到 SIEM。
- 审核供应商合同，加入日志访问、SBOM、漏洞通知、赔付条款。
- 针对 AI 钓鱼组织开展红队演练，完善客服、财务、IT 响应流程。
结语
供应链已成为攻击者最廉价的突破口。只有把身份、会话、合同、日志、教育全部串联起来，企业才能在“串联式攻击”中守住关键数据与信任基线。
