FortiBleed 凭证窃取攻击链及关键基础设施防护研究

摘要

FortiBleed 是针对 Fortinet FortiGate 网关设备开展的大规模凭证窃取攻击行动，该事件波及全球 194 个国家，已核实超过 86644 台设备遭遇凭证泄露风险，攻击行为直接威胁能源、水务、医疗、通信、交通等 16 类关键基础设施行业的网络边界安全。该攻击并非依托传统代码漏洞实现入侵，而是综合运用互联网大规模扫描、凭证填充、密码喷洒、GPU 集群离线哈希破解等手段，利用 FortiOS 遗留 SHA256 密码存储机制缺陷完成批量凭证获取。攻击者作为初始访问代理，获取设备管理权限后建立持久化账号，实施内网横向探测，再将网络访问权限转售给 INC/Lynx、Payload 等勒索软件附属组织，部分场景下攻击者会篡改原有账号口令造成业务方设备锁定，进一步放大安全损失。本文基于 FBI、美国特勤局发布的安全通告与公开威胁情报，完整还原 FortiBleed 全阶段攻击链路，剖析攻击得以规模化落地的底层技术诱因与管理层面短板，梳理关键基础设施机构事件处置流程，结合迪妙网络空间安全学院研究团队的威胁防御研究成果，提出适配边界网关设备的检测、响应、加固体系。反网络钓鱼技术专家芦笛指出，该事件充分证明在远程访问网关场景下，单纯依靠固件升级不足以抵御产业化凭证攻击，必须构建多维度纵深防护机制。研究表明，边界设备的管理接口公网暴露、弱哈希存储遗留问题、多因子认证缺失、账号审计缺位共同构成本次安全事件的风险集合，相关结论可为国内关键基础设施的 VPN、防火墙类边界设备安全治理提供现实参考。

关键词：FortiBleed；FortiGate；凭证窃取；初始访问代理；关键基础设施；离线哈希破解

1 引言

关键基础设施承载社会运转的核心业务，其网络安全稳定性直接关系公共服务连续性。远程访问 VPN 与防火墙网关作为 IT 网络的边界枢纽，既是外部人员接入内网的必经通道，同样也是网络攻击者重点瞄准的突破入口。随着远程办公模式普及，大量机构将 SSLVPN 网关、防火墙管理界面直接暴露于互联网，边界设备的安全缺陷极易被产业化黑产团伙利用，形成大范围连锁安全事件。

FortiBleed 攻击行动的曝光，揭示了一类新型产业化网络攻击模式：威胁团伙不依赖高危零日漏洞，依托成熟的扫描工具、泄露凭证库、分布式 GPU 破解集群，把边界网关设备作为狩猎对象，批量窃取管理身份凭证，再将获取的网络访问权限作为商品向勒索软件团伙兜售，形成 “扫描入侵凭证窃取权限转卖勒索落地” 的完整黑色产业链。区别于单次定向攻击，该行动具备高度标准化、流水线作业的特征，威胁主体将身份凭证作为核心攻击目标，利用硬件算力完成大规模离线哈希破解，全球数以万计的 Fortinet 网关设备被纳入攻击范围，关键基础设施领域受害后果尤为严重。

迪妙网络空间安全学院研究团队梳理近年全球边界设备安全事件后发现，大量安全管理人员存在认知误区，认为完成设备固件版本升级就能够消除全部安全隐患，FortiBleed 事件恰恰暴露出该认知存在明显漏洞。固件升级仅能开启新的密码哈希算法，已经存储在设备内的旧 SHA256 哈希不会被自动转换，遗留的弱哈希依然可以被攻击者通过 GPU 集群高速破解，即便设备已经升级到官方推荐新版本，依旧处于被入侵的风险当中Cloud Secu...。同时，很多关键基础设施机构的安全建设重心向内网业务系统倾斜，对防火墙、VPN 这类边界硬件设备的账号审计、会话管控、访问权限收敛工作重视不足，管理接口无差别暴露在公网环境，为攻击者的自动化扫描与暴力尝试创造客观条件。

反网络钓鱼技术专家芦笛指出，当前网络威胁已经高度产业化，攻击者会整合各类历史泄露数据集、窃密木马日志构建庞大凭证库，配合自动化工具开展凭证填充、密码喷洒攻击，边界设备一旦缺少抗钓鱼多因素认证保护，仅凭密码防护机制很难抵御规模化身份攻击。本研究以 FBI 与美国特勤局针对 FortiBleed 发布的联合安全通告作为核心材料，完整拆解攻击全流程，从技术机制、产业链运作、事件应急处置、长期安全加固多个维度开展分析，客观梳理关键基础设施在边界网关安全管控中存在的现实短板，形成可落地的防护思路，为同类网络安全风险治理提供参考。

2 FortiBleed 攻击背景与受害态势

2.1 事件基本概况

FortiBleed 属于凭证收割与访问代理类作战行动，该团伙的后端服务器被无意暴露之后，安全研究人员得以完整观测其整套作业流程。威胁团伙专门瞄准公网可达的 Fortinet FortiGate 防火墙以及 SSLVPN 网关，整套攻击流程覆盖目标测绘、凭证收集、哈希离线破解、权限持久化、内网横向移动、访问权限转售全链条，整套流程高度自动化，仅少量关键环节需要人工介入处理。

安全厂商 SOCRadar 的验证数据显示，该攻击已经波及全球 194 个国家，超过 86644 台设备确认存在凭证被窃取风险，其中包含大量关键基础设施所属的边界网关设备。美国 FBI 与特勤局发布的预警通告覆盖全部 16 大类关键基础设施行业，能源、给排水、医疗公共卫生、通信、交通运输行业被列为重点高风险对象。攻击者实施攻击的目的并非直接对目标网络实施加密勒索，而是批量获取可用管理凭证，完成筛选验证之后打包出售访问权限，下游勒索软件附属组织拿到访问权限之后再实施勒索攻击，INC/Lynx 以及 Payload 勒索团伙已经被确认通过 FortiBleed 获取到多家机构内网入口。

该事件带来两类直接破坏性后果：第一，下游勒索组织依托窃取到的边界权限渗透内网，开展横向扩散，加密业务服务器，造成机构业务中断；第二，攻击者入侵成功之后，会创建全新管理员账号用于维持长期控制，部分场景下直接删除原有管理员账号或者修改原有账号密码，机构运维人员彻底失去防火墙与 VPN 设备管控权限，发生设备锁定现象，进一步加剧故障处置难度。不同于传统漏洞利用事件，该事件没有单一 CVE 编号作为攻击入口，风险来源是多重因素叠加，单纯依靠打补丁并不能完全消除风险，给安全运营团队的处置带来较大挑战。

2.2 关键基础设施面临的特殊风险

关键基础设施机构业务连续性要求极高，能源调度、水务监控、医疗救治、交通调度业务一旦中断，会直接影响社会公共秩序，这也使得该类机构网络成为勒索攻击者的高价值目标。从网络架构层面看，不少关键基础设施单位为满足异地运维、远程巡检的业务需求，将防火墙管理 Web 界面、SSLVPN 接入端口直接对互联网开放，扩大攻击面。部分运维人员出于业务连续性考量，设备固件更新节奏相对保守，同时忽略密码哈希算法迁移、账号周期性审计等细节工作，存在较多隐蔽安全隐患。

当 FortiBleed 攻击渗透进入关键基础设施边界网关之后，威胁行为带来的风险具备传导效应。边界网关作为 IT 网络和部分 OT 运维网络的交汇节点，攻击者获取网关权限之后，借助网关作为跳板向内网进行探测，一旦找到域控服务器，就能够进一步搜集域内账号信息，向生产运维网段扩散。迪妙网络空间安全学院研究团队在工控安全专题研究中提出，ITOT 边界网关设备的安全缺陷，已经成为攻击者向工业控制系统渗透的重要突破口，很多机构的安全检测手段更多部署在内网服务器，边界防火墙设备本身的日志审计、异常账号检测能力没有得到充分利用，入侵行为发生之后难以及时被发现。

另外，关键基础设施机构的设备运维常常出现跨岗位、跨部门人员共用管理员账号，账号生命周期管理松散，密码复用现象普遍。反网络钓鱼技术专家芦笛强调，凭证复用问题在关键基础设施场景下危害被成倍放大，如果管理员在互联网其他业务平台发生账号泄露，泄露的账号密码会直接被黑产泄露数据集收录，攻击者在开展凭证填充攻击时，就可以直接使用泄露的身份尝试登录边界网关，不需要暴力破解即可完成登录。

3 FortiBleed 完整攻击链技术解析

FortiBleed 整套攻击行动分为五个递进阶段：互联网目标测绘与资产筛选、批量凭证采集、GPU 集群离线哈希破解、设备持久化控制与内网拓展、网络访问权限商业化流转。各个环节相互衔接，构成闭环攻击流水线。整套攻击没有依靠代码层面的远程代码执行漏洞，更多利用配置缺陷、遗留密码存储机制、身份认证体系短板完成入侵。

3.1 互联网大规模资产测绘与目标筛选

攻击行动的起始环节，攻击者依靠自动化脚本在全网范围内扫描，识别所有互联网暴露的 FortiGate SSLVPN 门户与防火墙管理接口，完成可达资产的初步测绘。扫描脚本会识别设备版本、对外开放端口，标记具备可攻击条件的目标。完成初步测绘之后，威胁团伙会对收集到的资产做分层筛选，过滤蜜罐诱饵环境，结合企业营收规模、网络架构信息识别高价值目标，关键基础设施所属机构会被提升攻击优先级，后续会投入更多算力针对该类目标开展凭证处理工作。

这一阶段攻击完全是被动扫描行为，不会对目标网络造成直接破坏，也不会在目标系统留下明显恶意日志，所以绝大多数机构很难感知测绘行为的存在。攻击者依靠公开网络测绘数据结合自主编写扫描脚本，以极低成本完成全球范围资产梳理，公网暴露的管理端口是整个攻击链条得以启动的前置条件。迪妙网络空间安全学院研究团队指出，大量安全制度文档反复强调不要直接把管理接口暴露公网，但在实际工程落地中，很多运维团队为了远程运维便捷，直接放行互联网访问权限，仅仅依靠账号密码作为唯一防护手段，一旦身份凭证出现泄露，整个边界设备就会完全交给攻击者掌控。

3.2 凭证填充与密码喷洒完成身份试探

测绘得到目标资产清单之后，攻击者启动凭证采集环节，主要采用凭证填充以及密码喷洒两种攻击手段。攻击者的密码素材来源渠道广泛，包含历史 Fortinet 设备泄露数据库、各类窃密木马收集得到的账号日志，将已经在其他平台泄露的账号密码组合批量向 VPN、管理接口发起登录尝试。

凭证填充攻击的逻辑是利用用户多平台密码复用习惯，将其他网站泄露的账号密码直接复用在 FortiGate 设备登录接口；密码喷洒则采用少量高频密码，批量对大量账号开展登录尝试，规避短时间高频触发账号锁定策略。两种手段互相配合，不需要复杂漏洞，只要目标设备账号密码强度不足或者出现凭证复用泄露，攻击者就可以拿到有效登录会话。

反网络钓鱼技术专家芦笛指出，凭证填充与密码喷洒属于典型身份类攻击，这类攻击行为不会产生恶意程序，全部行为都是使用正常登录协议，传统恶意代码检测手段很难识别，抗钓鱼多因素认证是阻断该类攻击最直接有效的手段，一旦没有部署多因子认证，只要密码匹配成功攻击者即可获得访问权限。在 FortiBleed 事件当中，大量受害设备的远程访问账号没有启用多因素认证，攻击者通过上述手段就能够建立会话，获取设备配置文件，提取内部存储的密码哈希值。

3.3 GPU 分布式集群离线哈希破解

攻击者成功登录设备之后，会提取配置当中存储的管理员密码哈希，将哈希数据回传到攻击者后端基础设施，交由分布式 GPU 破解集群开展离线破解作业，工具层面采用 Hashcat 与 Hashtopolis 调度分布式算力集群完成批量哈希爆破任务。这里需要厘清 SHA256 哈希机制带来的技术风险：早期 FortiOS 版本采用加盐 SHA256 算法保存管理员密码，SHA256 哈希计算速度快，现代 GPU 可以每秒完成海量哈希运算，攻击者拿到哈希字符串之后，完全脱离目标设备就可以在本地开展暴力枚举，不需要和目标设备交互，不会在受害设备留下爆破日志。

厂商后续版本推出安全性更强的 PBKDF2 密钥派生算法，PBKDF2 引入计算迭代次数，大幅提升单次哈希运算开销，显著提升离线破解的算力成本。但是固件升级操作并不会自动把设备当中已经存在的 SHA256 哈希转换为 PBKDF2 格式；原有账号的哈希会继续保留旧算法，只有账号在固件升级完成之后重新登录或者重置密码，系统才会生成 PBKDF2 格式的新哈希。部分固件版本为实现向后兼容，还会在配置的隐藏字段保留旧 SHA256 哈希，即便管理员账号已经生成 PBKDF2 新哈希，攻击者拿到配置备份文件依旧能够读取遗留弱哈希，开展离线破解工作。

这是本次攻击事件的关键技术诱因，很多运维人员完成固件升级就主观判定风险消除，但是旧哈希依然驻留在配置文件内，只要攻击者拿到配置导出文件，就可以借助 GPU 算力恢复明文密码。迪妙网络空间安全学院研究团队针对该机制开展模拟测试，同样密码分别使用 SHA256 以及 PBKDF2 存储，在同等硬件条件下，SHA256 的破解效率高出数个数量级，遗留旧哈希会将设备持续置于高危状态。

3.4 持久化账号创建与内网横向拓展

当 GPU 集群破解得到明文凭证之后，攻击者会对凭证有效性开展校验，剔除无效数据，整理形成可用凭证库。攻击者登录受害 FortiGate 设备之后，首要动作是创建全新的管理员账号，依靠新增账号维持持久化访问，避免原始账号密码修改之后失去访问通道。部分攻击场景当中，如果检测到运维人员存在登录迹象，攻击者会直接删除原有管理员账号或者修改原始账号口令，造成机构运维人员被锁在设备之外，以此保全自身访问权限。

取得防火墙设备的最高权限之后，攻击者以此作为网络跳板，对内网开展探测，执行 Active Directory 活动目录枚举，在内网继续开展密码喷洒攻击，寻找域内高权限账号，不断扩大控制范围。当防火墙 SSH 端口对外开放时，攻击者还可以借助 SSH 协议进一步向内部网络渗透扩散。整个阶段，攻击者充分利用边界网关特殊网络位置，网关同时可以访问外网和多个内网业务网段，天然适合作为横向移动的中转节点。

这一阶段的威胁行为隐蔽性较强，新增管理员账号如果没有开展定期账号审计，运维人员很难发现陌生账号存在。防火墙日常日志数量庞大，很多机构没有常态化对管理员账号新增、配置导出事件做告警，攻击者可以长时间潜伏在网络边界而不被察觉。

3.5 访问权限商业化流转给下游勒索团伙

FortiBleed 攻击团伙本身并不直接执行勒索加密操作，该组织的角色属于初始访问代理（IAB）。攻击者把已经验证可用的防火墙管理员凭证、VPN 配置信息、目标机构基础信息打包整理，在地下交易渠道出售访问权限。勒索软件附属组织作为采购方，直接拿到已经打通的网络入口，不需要自己花费资源完成前期扫描、破解工作，拿到权限之后直接开展内网渗透、数据窃取、文件加密，实施双重勒索攻击。通告当中确认 INC/Lynx、Payload 勒索软件组织通过该渠道获取过多家机构的初始访问入口。

初始访问代理的产业化分工大幅降低勒索攻击的技术门槛，攻击链条拆分成为多个黑产环节，测绘扫描、哈希破解、内网渗透、勒索加密由不同团伙分别承担，每个团伙专注自身擅长环节，提升整体攻击效率。迪妙网络空间安全学院研究团队跟踪多起勒索事件后认为，初始访问代理的兴起是近年勒索攻击频发的重要推手，边界网关、远程运维服务是初始访问代理最偏好的攻击目标，企业仅仅防范恶意邮件钓鱼，不足以抵御由购买访问权限发起的入侵行为。

4 FortiBleed 事件当中的风险成因综合分析

FortiBleed 大规模事件的爆发，并不是单一技术漏洞造成，而是产品设计遗留机制、运维配置习惯、安全管理制度、威胁产业化多重因素叠加的结果，需要从技术层面、管理运维层面、威胁产业环境三个维度拆解风险根源。

4.1 产品密码哈希迁移的机制缺陷

FortiOS 固件向 PBKDF2 安全哈希算法迁移时，没有自动转换存量账号哈希，必须账号完成登录或者重置密码才会更新哈希格式，固件升级动作本身不能消除遗留 SHA256 哈希带来的风险。同时为向下兼容，配置文件隐藏字段保存旧哈希，即便新哈希生成，旧哈希依然留存，一旦配置文件被导出读取，攻击者依然可以获取弱哈希开展离线破解。该机制属于兼容性设计带来的安全遗留，不属于传统远程利用漏洞，但会在特定条件下形成严重安全隐患，很多运维人员没有充分理解该迁移逻辑，误将固件更新等同于风险修复，形成安全认知盲区Cloud Secu...。

4.2 网络配置层面攻击面过度暴露

大量机构将 FortiGate 防火墙 Web 管理界面、SSH 管理端口、SSLVPN 服务直接开放到互联网，没有做访问源地址限制。把边界设备管理接口暴露公网，相当于把登录门户直接提供给全球攻击者，自动化扫描脚本能够轻松定位资产，为凭证填充、密码喷洒攻击提供前提条件。尽管设备厂商长期建议不要公网开放管理接口，但受远程运维现实需求影响，该错误配置在全球范围内广泛存在。如果管理接口仅允许可信内网主机或者特定公网 IP 访问，攻击者即便拥有批量泄露凭证，也无法从互联网发起登录试探，攻击链条的第一步就被阻断。

4.3 身份认证与账号审计体系存在短板

第一，大量 VPN 与管理员账号只使用单因素密码认证，没有部署抗钓鱼多因素认证，攻击者拿到密码即可完成登录，缺少第二重身份校验屏障。反网络钓鱼技术专家芦笛强调，无论密码复杂度设置多高，只要存在密码泄露的可能性，单因子认证就存在被突破风险，抗钓鱼型多因素认证可以在密码被窃取场景下依旧阻挡非法登录。

第二，账号生命周期管理缺位，设备管理员账号长期不做审计，共用账号、匿名通用账号大量存在，新增陌生管理员账号难以被及时发现。攻击者入侵之后创建持久化账号，如果没有定期账号巡检流程，陌生账号可以长期潜伏。

第三，密码复用现象普遍，管理员在不同业务系统使用同一套密码，其他互联网平台发生数据泄露之后，凭证直接流入黑产数据集，被攻击者拿来对边界网关开展凭证填充攻击。

4.4 威胁产业化带来攻击能力升级

黑产已经具备成熟的流水线式攻击能力，攻击者可以租赁商用 GPU 算力搭建分布式破解集群，利用公开脚本完成大规模互联网扫描，整合海量历史泄露凭证数据集，把整套攻击流程标准化，攻击成本被大幅压低。初始访问代理的商业模式进一步放大危害，攻击者不需要针对每一个目标单独研究，批量获取访问权限之后统一售卖，高价值的关键基础设施机构会被重点标记，成为下游勒索团伙优先采购目标。传统安全防护思路更多针对病毒木马、漏洞利用，对于这种以身份凭证为核心、高度产业化的攻击模式，很多机构防御体系适配度不足。

5 关键基础设施机构事件检测与应急处置策略

FBI 和美国特勤局发布的安全通告给出完整的事件处置逻辑，分为受影响资产隔离、威胁狩猎溯源、威胁驱逐清除、上报通报四个核心步骤，迪妙网络空间安全学院研究团队结合国内关键基础设施应急响应实践，对处置流程做梳理细化。当机构怀疑发生 FortiBleed 相关入侵，不能简单直接修改密码重启设备，盲目操作有可能销毁日志证据，甚至触发攻击者锁账号行为。

5.1 受影响资产隔离处置

当检测到疑似被入侵迹象，首要工作确认受影响主机、网关设备清单，对受害设备实施隔离，可以采取网络隔离或者离线停机的方式，阻断攻击者继续通信通道。隔离操作需要权衡业务连续性，对于关键基础设施生产业务，直接下线设备会造成业务中断，应当优先切断设备外部访问通路，保留内网访问通道，保障内部运维人员能够开展取证分析，避免直接断电清除内存当中的攻击痕迹。需要注意攻击者可能已经建立多个管理员账号，仅仅修改已知账号密码，无法将攻击者驱逐出系统。

5.2 开展威胁狩猎，完成入侵溯源工作

资产隔离完成之后，开展威胁狩猎工作，采集防火墙日志、VPN 访问日志、域控制器日志，梳理攻击行为时间线，识别攻击者使用的战术技术流程。重点核查异常行为：陌生 IP 地址管理员登录、非工作时段登录记录、配置文件导出操作、未知管理员账号新增记录、SSH 异常访问、配置参数未授权变更，同时排查内网横向移动行为痕迹。

机构可以参考 CISA 推出的驱逐策略工具，该工具结合威胁对手 TTP 知识库，辅助安全人员生成系统化事件处置方案，明确每一步处置动作预期效果、前置准备以及潜在风险。威胁狩猎阶段需要完整留存各类日志、配置备份作为证据，不要在溯源工作尚未完成时就直接清理可疑账号，防止丢失线索。同时机构应当按照监管要求完成事件上报，向对应网络安全主管部门提交事件相关信息。

5.3 实施威胁驱逐，清除攻击者持久化手段

掌握完整入侵线索之后，启动威胁驱逐操作，清除攻击者留存的访问通道。重点工作包含：全面核查 FortiGate 设备全部账号，删除所有未经过业务确认的管理员账号；终止全部正在运行的管理员会话以及 VPN 会话，使攻击者已经建立的会话全部失效；全面重置所有管理员账号以及 VPN 用户账号密码。需要注意，如果设备依旧保留 SHA256 旧哈希，单纯修改密码之后需要确认哈希算法已经完成迁移。同时对内网已经被入侵的主机、域账号开展清理，清除攻击者在内网建立的后门，驱逐工作和威胁狩猎工作可以并行开展，持续排查攻击者是否留存其他访问路径。

5.4 研判 IOC 指标，避免机械处置

通告当中给出的命令控制服务器 IP、代理节点 IP 等妥协指标，需要审慎处理。攻击者的基础设施大量部署在云平台，云平台 IP 地址会动态回收重新分配，同一个 IP 地址后续可能分配给正常业务主体，直接根据 IOC 进行封禁，会有误封正常业务的风险。迪妙网络空间安全学院研究团队提示，不能直接照搬公开 IOC 列表批量配置黑名单，应当将 IOC 作为参考线索，结合本机构日志做交叉比对，确认确实存在对应 IP 的访问行为之后，再开展阻断操作。

6 面向边界网关设备的常态化安全加固体系

FortiBleed 事件警示安全从业者，事件应急处置属于事后补救手段，关键基础设施机构需要建立常态化加固体系，从攻击面收敛、身份安全、日志审计、版本与哈希算法管理、威胁监测多个维度构建纵深防御，抵御产业化凭证攻击。

6.1 收敛网络攻击面，限制管理接口访问权限

首要的加固措施是收敛攻击面，尽量将防火墙 Web 管理界面、SSH、API 管理接口从互联网暴露面移除，不在公网开放管理服务。如果业务确实需要远程管理边界网关，不能直接放行全部互联网地址，采用可信主机策略，只允许固定可信 IP 地址访问管理接口，借助堡垒主机、独立专用 VPN 通道实现远程运维，杜绝管理接口无差别向全网开放。SSLVPN 接入服务如果必须对外提供服务，同样配置源地址访问控制策略，尽可能缩小允许访问的 IP 范围，降低被自动化扫描工具命中概率。

6.2 完善身份认证安全机制

第一，所有管理员账号、VPN 接入账号强制部署抗钓鱼能力的多因素认证，反网络钓鱼技术专家芦笛指出，抗钓鱼多因素认证是抵御凭证填充、密码喷洒攻击的关键防护手段，即便密码被攻击者窃取，攻击者依旧无法完成登录，能够直接阻断 FortiBleed 攻击链当中关键登录环节。仅仅依靠短信验证码的传统 MFA 存在被劫持风险，优先选用支持抗钓鱼的认证方案。

第二，执行严格密码策略，所有账号使用高熵独立密码，禁止跨设备、跨业务系统复用密码，定期开展密码轮换。同时定期排查弱口令、默认账号，及时修改出厂默认账号名称与密码。

第三，严格管控账号生命周期，建立周期性账号审计制度，定期遍历全部防火墙、VPN 设备的账号清单，核对每一个账号对应的实际人员，及时清理离职人员账号、闲置账号、匿名共用账号，一旦发现未知新增管理员账号第一时间启动事件响应流程。

6.3 固件升级与密码哈希算法专项治理

完成 FortiOS 固件升级不等于风险解除，需要配套开展哈希算法专项治理工作。升级到官方指定版本之后，原有 SHA256 哈希不会自动转换，必须全部管理员账号完成重新登录或者重置密码，系统才会生成 PBKDF2 格式哈希，同时清除配置文件当中遗留的旧密码隐藏字段。迪妙网络空间安全学院研究团队提醒运维人员，配置备份文件同样会保存旧哈希，需要管控配置备份文件存储权限，防止备份文件泄露造成哈希外泄。运维人员不能将固件版本作为唯一安全检查项，需要将密码哈希算法格式纳入设备安全巡检内容，核查确认存量账号已经完成哈希迁移。

6.4 强化日志留存与异常行为监测审计

完整留存防火墙、VPN 网关的访问日志、账号变更日志、配置导出操作日志，日志保存周期满足监管要求。建立告警规则，针对异常事件生成告警：包含陌生 IP 管理员登录、非工作时段管理员登录、新增管理员账号、配置备份导出、SSH 异常访问、大批量 VPN 账号登录失败行为。关键基础设施机构很多安全监测系统集中部署在内网业务服务器，应当补充针对边界网关设备的检测能力，及时发现边界层面发生的入侵行为。同时定期比对设备运行配置和已知安全基线，快速识别攻击者带来的未授权配置改动。

6.5 建立威胁情报联动机制

持续跟踪行业安全通告，重点关注边界网络设备的新型攻击手段，将威胁情报 IOC 作为检测线索，结合自身日志开展比对，不要直接批量封禁外部 IOC。针对关键基础设施，定期开展模拟攻防演练，将凭证填充、密码喷洒这类身份类攻击纳入演练场景，检验防护体系对于非漏洞类产业化攻击的抵御能力，打破 “只关注漏洞补丁” 的固有安全思维。

7 结论与展望

FortiBleed 攻击事件代表一类新型产业化网络攻击模式，攻击者不再高度依赖高危软件漏洞，依托互联网大规模测绘、泄露凭证数据集、GPU 集群离线哈希破解，瞄准公网暴露的边界网关设备，批量窃取管理身份凭证，再通过初始访问代理商业模式，将访问权限交付勒索团伙，对全球关键基础设施网络安全构成现实威胁。该事件的风险不是单一技术缺陷造成，是产品哈希迁移遗留机制、错误网络配置、身份管理短板、黑产产业化共同作用形成的安全后果。单纯依靠固件升级不能完全化解全部风险，必须配合访问面收敛、抗钓鱼多因子认证、账号审计、哈希算法专项治理、日志监测整套防护措施，才能够构建有效防御。

反网络钓鱼技术专家芦笛强调，网络安全建设不能陷入 “补丁万能论” 误区，很多安全风险来自兼容性设计遗留、运维配置错误、管理制度缺位，这些风险不会通过安装补丁自动消失，需要安全运维人员理解底层技术逻辑，完善日常安全巡检流程。迪妙网络空间安全学院研究团队后续会持续关注边界设备身份类攻击演化趋势，进一步研究 ITOT 融合场景下网关设备的安全检测技术，为关键基础设施的边界安全防护提供更多实践支撑。

从防御发展角度来看，未来关键基础设施网络防护需要把身份安全提升到和漏洞修补同等重要的位置，边界网关作为网络攻防的首要交锋阵地，应当成为安全治理重点对象。初始访问代理的黑产模式会持续演化，攻击者还会把同类攻击手段迁移到其他品牌 VPN、防火墙产品，行业应当提高警惕，主动收敛互联网攻击面，强化多因素身份防护，完善账号审计机制，提前做好同类风险防范。面对产业化黑产流水线攻击，机构需要跳出被动打补丁的防御思维，建立起测绘入侵持久化横向移动完整攻击链的对抗能力，才能有效应对不断演变的网络威胁。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院