安全事故与漏洞
Capital One、Equifax、Log4Shell、Heartbleed、XZ——把公开披露的入侵与漏洞拆解为成因、影响、初步应对与防范，提炼出至今仍然适用的经验。
MOVEit 大规模数据泄露（2023）—— SQL 注入零日漏洞波及 2,700 多家组织的原因与防御
入口是面向互联网公开的文件传输产品 MOVEit Transfer 的 SQL 注入零日漏洞（CVE-2023-34362）。攻击者植入 Web shell（LEMURLOOT），从后端数据库批量窃取数据，致 2,700 多家组织、约 9,330 万人的数据外泄。许多受害者是因为外包方、合作方使用了 MOVEit 而被间接牵连。在你的环境中，可通过 KEV 即时打补丁、最小化暴露面、Web↔DB 的最小权限与隔离、外包方盘点与数据最小化来防范。
Capital One 数据泄露事件（2019）— SSRF 如何导致 1 亿人信息外泄及防御之道
入口只是一个 SSRF。攻击由此连锁：元数据服务端点 → 权限过大的 IAM 临时密钥 → S3 整体复制，最终约 1 亿 600 万人信息外泄。每一跳本可被拦下。在你的环境中，用 IMDSv2、IAM 最小权限和出站目标白名单来杜绝重演。
Codecov 篡改事件（2021）——CI 中『被信任的工具』被劫持导致机密信息外泄的原因与防御
根源在于『在 CI 中信任并执行的工具（curl|bash 的 Bash Uploader）在上游被篡改』。由于自己的代码毫发无损，约两个月都没能察觉，CI 的机密信息因此外泄。检测靠的是校验和比对。在你的 CI 中，可用取得物的完整性校验、机密的最小权限、轮换、egress 监控来防止重演。
Equifax 信息泄露事件（2017）——未打补丁的 Apache Struts 导致 1.47 亿人泄露的原因与防御
原因是『把已经发布修复补丁的已知 CVE（CVSS 10.0）没有应用到公开系统上』。监控设备因证书失效导致长达 76 天都没察觉数据外带，使损失扩大。在你的环境里，要用资产盘点、补丁 SLA、机器监控、检测健全性来防止重演。
Heartbleed（CVE-2014-0160）——加密通信的根基泄露了内存的事件
OpenSSL 的内存越界读取，可能泄露私钥乃至会话的事件。根源是返回的内存比请求长度更多的实现错误。教训是『按已泄露处理＝重新签发证书、彻底更换密钥与机密』，以及监控根基软件、重视内存安全的价值。
Log4Shell（CVE-2021-44228）——让全世界一夜之间为『不知道自己是否在用』的漏洞而战栗的一天
Log4j 的漏洞（CVSS 10.0）。本质在于『经由间接依赖（传递性依赖），在不知不觉中正在使用』的恐怖。日志输出这一被动处理成了攻击通道。SBOM 与依赖的机器化监控、迅速打补丁、对后续 CVE 的追踪，都是教训所在。
XZ Utils 后门（CVE-2024-3094）——『信任本身』被瞄准的供应链事件
压缩库 xz 中被一名赢得信任的维护者植入了后门的供应链攻击。在即将进入稳定版的前一刻，一名技术人员凭『慢』这一违和感把它拦下。被瞄准的不是代码，而是『人与信任』。教训是：把依赖最小化、固定版本、提高可复现性、追踪违和感、支援维护者。