攻防走向“自治互测”

导语：
11 月 11 日的安全圈被三件事震动：Fortinet 披露 FortiOS SSL-VPN 零日被用来部署多阶段植入；多家银行报告 AI 生成的高仿 BEC（商业邮件欺诈）已能实时操控视频会议；微软、Mandiant、Palo Alto 共同宣布“自治紫队（Purple Team）框架”，将攻防模拟与 AI Copilot 联动。传统 SOC 被迫转变为“自治互测 + 供应链问责”的模式。

1. FortiOS 零日：长尾设备成突破口

• CVE-2025-44701 允许攻击者在未经认证的情况下通过特制 TLS 握手触发堆溢出，随后上传 Webshell 并植入内存驻留模块“RogueBeacon”。
• 攻击链涉及恶意配置备份、凭证窃取、通过 AnyDesk/ScreenConnect 进行持久化，目标多为制造与能源企业的分支网络。
• Fortinet 发布补丁与 IPS 签名，但大量老旧设备难以及时升级，强调要启用客户端证书、多因素认证、地理访问控制。

2. AI BEC：实时深伪视频

• FBI IC3 汇总 2025 Q3 数据，AI 生成的 BEC 损失同比上涨 110%。最新手法是攻击者在 Teams/Zoom/Meet 中伪装 CFO，使用实时语音与面部驱动模型要求转账。
• 攻击者还将邮件、IM、语音脚本统一由 LLM 生成，结合自动化翻译，能够同时操纵多国分公司。
• 金融机构开始使用声纹识别、会议二次确认、智能合约锁定等手段抵御。

3. 自治紫队框架

• 微软 Security Copilot、Google Threat Intelligence（原 Mandiant）、Palo Alto Cortex 联合发布开放框架，允许企业用同一套测试用例驱动红队（攻击模拟）与蓝队（检测响应），并通过 Copilot/Chronicle 自动生成补救计划。
• 框架提供 MITRE ATT&CK / D3FEND 映射、IoC 即时下发、AI 生成的调试说明，旨在缩短“检测—修复”闭环。

4. 政策与供应链

• 欧盟委员会宣布 2026 年起关键供应商必须提交“安全能力声明”，包含补丁 SLA、遥测接口、SBOM；不满足的产品将无法参与公共采购。
• 美国 CISA 更新《Secure by Design》指南，要求厂商在默认配置中启用 MFA、日志、FIPS 级加密。

5. 企业策略

1. 资产最小化：对 VPN、防火墙、远程访问设备实施客户端证书、地理限制、闲置账号清理，并启用实时健康检查。
2. 多通道验证：对财务审批、供应链确认使用多通道身份验证（声纹 + 硬件密钥 + 第二责任人）。
3. 自治紫队：采用 Security Copilot、Cortex、Chronicle 等工具，将红蓝对抗、日志分析、补救自动化，形成持续互测。
4. 供应商问责：把补丁 SLA、遥测接口、SBOM 写入合同，并定期复核。

行动清单

• 立即评估 FortiOS 版本，计划分批升级，临时启用客户端证书与 IP 白名单。
• 为财务、法务、供应链团队部署会议回拨、声纹核验、延时支付机制。
• 搭建自治紫队流水线，选择关键攻击场景每周演练，记录检测和响应指标。
• 审核关键供应商的安全声明与 SBOM，触发整改或替换计划。

结语

“自治互测”时代已经到来：攻防双方都在使用 AI 与自动化，企业唯有将资产可视化、验证流程化、紫队常态化，并把供应链责任写进合同，才能在下一轮安全风暴中立于不败之地。