超级管理员
楼主
FBI 与美国特勤局联合警告：针对 Fortinet FortiGate 防火墙的 FortiBleed 攻击活动仍然活跃。
规模
- 超过 86,644 台设备确认失陷。
- 覆盖 194 个国家。
- 被盗凭证正在支撑多个勒索团伙，包括 INC/Lynx 和 Payload，属于初始访问代理（IAB）运作的一部分。
攻击手法在升级
早期阶段主要是窃取认证数据。现在的报告显示，攻击者已经开始通过删除或更改合法管理员密码，把组织锁在自己的设备外面。
这一步的意义在于：即使你发现了入侵，也失去了设备管理入口，恢复难度陡增。
攻击入口不是零日
值得强调的是，这个活动用的是被盗或重用的密码，不是某个高深的技术漏洞。目标是对外暴露的 FortiGate 防火墙和 SSL VPN 网关。
换句话说，这是一次大规模的凭据滥用，防护手段是现成的。
必须立刻做的五件事
- 限制外部管理访问——管理口不该暴露在公网。
- 终止所有活动会话。
- 重置凭据。
- 强制启用抗钓鱼的多因素认证。
- 审计未授权的管理员账号，攻击者常会创建后门账号维持访问。
为什么第 5 条最容易漏
重置密码之后很多人就认为结束了。但如果攻击者已经建了自己的管理员账号，重置原密码毫无作用。账号清单必须逐个核对。
检查要点
- 查看管理员账号列表，逐个确认归属。
- 检查配置变更历史，寻找异常时间点。
- 检查是否有异常的 VPN 账号或策略。
- 审计日志要外发保存，本地日志可能被清理。
更长期的建议
第一，网络设备管理面与业务面分离，管理口只走内网或专线。
第二，把网络设备纳入统一的身份体系，启用强 MFA，杜绝单独口令。
第三，建立设备配置的基线比对机制，异常变更要能自动告警。
一句话
这次事件里最刺眼的不是技术复杂度，而是规模——一个靠弱口令和暴露面就能做大的攻击活动，横跨 194 个国家。基础防护做到位，能挡掉其中绝大多数。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。