文章总结： 2025年12月央企共产生20.5亿条安全告警，高危及以上占4.75%，漏洞利用、暴力破解、网络扫描居首；军工、电力、交通行业漏洞告警最多，新增5个严重漏洞需立即修复。钓鱼、弱口令、数据泄露分别达197万、609万、287万条，交通、通信电子、农林牧渔为高发行业。报告建议常态化防钓鱼培训、全面推行强口令与多因素认证、加强邮件与登录行为监测，并针对数据存储、ETL等112类应用展开泄露风险排查，以提升央企整体防护水平。 综合评分： 82 文章分类： 安全运营,漏洞预警,数据安全,安全意识,网络安全

中央企业网络安全态势月报 （2025年12月）

CACT

中资网安

2026年1月6日 17:50 北京

PART.1

整体情况

2025年12月，国资国企在线监管安全运营中心（以下简称安全运营中心）共监测到中央企业网络安全告警20.5亿条，环比上月增加5.89%，其中高危及以上告警1.0亿条，占比4.75%。

2025年12月，中央企业排名前三的告警类型分别为漏洞利用、暴力破解和网络扫描，告警占比如下图所示。

PART.2

安全态势

一、安全漏洞态势

2025年12月，安全运营中心依托国资国企网络信息安全在线监管平台，监测到漏洞利用告警8.7亿条，涉及771家中央企业，告警数量排名前三的行业为军工行业、电力行业和交通运输，告警数量分行业统计情况如下。本月，军工行业告警数量增长较多。

2025年12月，安全运营中心共收集安全漏洞87个，其中涉及面较广且较为严重的安全漏洞5个，如下表所示。

2025年12月，中央企业受攻击的主要信息系统及攻击次数如下表所示。

安全运营中心已向相关企业发布漏洞通告，敦促其立即修复漏洞，消除安全隐患。

二、钓鱼攻击态势

2025年12月，安全运营中心依托国资国企网络信息安全在线监管平台，共监测到网络钓鱼告警197.8万条，涉及154家中央企业。告警数量前三的行业为通信电子、交通运输和冶金化工，告警数量分行业统计情况如下。本月，交通运输网络钓鱼告警数量增长明显，建议相关中央企业提高警惕加强防范。

为有效防范网络钓鱼攻击，提升人员安全意识和企业整体防护水平，安全运营中心提出以下建议：

1. 常态化开展安全意识教育：定期组织防钓鱼专题培训与实战化模拟演练，帮助员工识别伪造发件人、诱导性话术、可疑链接及异常附件，养成“不轻信、不点击、不泄露”的安全行为习惯。
2. 强化账户安全管理：员工在访问企业邮箱和重要系统时，启用多因素认证（如认证器App、短信验证码或硬件令牌），禁止仅凭密码登录；同时，严禁在多个系统间复用相同账号口令，切实防范“一点突破、全线失守”的安全风险。
3. 提升邮件系统防护能力：部署专业安全防护措施，严格核验邮件来源，对来自外部域的邮件自动添加醒目标识，对邮件中的链接和附件实施自动化检测与风险分析，及时拦截钓鱼邮件及恶意文件，有效阻断攻击入口。

三、弱口令态势

口令破解是攻击者突破中央企业边界网络防护的主要手段之一，安全运营中心持续对中央企业弱口令使用情况进行监测并及时反馈。2025年12月共监测到弱口令告警609.9万条，涉及703家中央企业单位，告警数量前三的行业为通信电子、农林牧渔和交通运输，告警数量分行业统计情况如下。本月农林牧渔弱口令告警数量增长较多。

为切实降低弱口令带来的安全风险，杜绝因密码漏洞导致的系统失陷和数据泄露，安全运营中心建议提出以下治理措施：

1. 推行强密码策略：强制所有账户使用长度不少于8位、且包含大小写字母、数字及特殊字符的强密码，禁止使用常见弱口令、个人信息或连续/重复字符；系统在密码设置时自动比对内置弱口令库并拦截不合规密码，同时禁用默认账号和初始密码。
2. 完善密码全生命周期管理：合理设置密码有效期，记录历史密码版本，防止用户重复使用旧口令；在关键系统中启用登录失败锁定策略，有效防范暴力破解和撞库攻击；对高权限账户实施更严格的管控措施，包括更长密码长度、更短更换周期及受限访问环境。
3. 加强登录行为监测与异常响应：对重要系统全面记录账号登录及操作日志，实时监控高频失败登录、非常用设备接入、异地或非工作时段访问等异常行为；一旦发现疑似弱口令爆破或凭证泄露迹象，立即触发告警、临时锁定账户并启动核查处置流程，从行为层面主动阻断弱口令攻击风险。

四、数据安全态势

2025年12月，安全运营中心在常规网络流量监测之外，从可能发生数据泄露的场景出发，利用敏感系统特征、域名前缀特征、流量传输特征等信息，对包括数据存储类、ETL工具（即数据提取、转换、加载工具）、数据管理类、查询应用类、分析计算类、数据监控类等6大类共112种应用开展监测分析。本月共监测到数据泄露告警287.8万条，涉及398个应用、285家中央企业。告警数量前三的行业为通信电子、制造行业和军工行业，告警数量分行业统计情况如下。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：中资网安 CACT《中央企业网络安全态势月报 （2025年12月）》