补偿控制的思路
当漏洞既没有补丁也来不及改造设备时，剩下的空间在于改变攻击者到达与利用的条件。有效的补偿控制通常从三个方向入手：一是让不该到达的人不可达，包括区域隔离、前置过滤、访问来源限制；二是让到达的人能做更少的事，包括通信白名单、协议操作限制、账号权限收敛、只读访问；三是让做的事被看见，包括监测点覆盖、告警规则与操作留痕。这三个方向的成本依次上升、确定性依次下降，所以实践中的顺序是先做不可达，再做能力限制，最后补可见性。
基本信息
| 减少可达性 | 区域隔离、前置过滤设备、访问来源限制、按需开通远程通道 |
|---|---|
| 限制能力 | 通信白名单、协议操作级限制、账号权限收敛、只读访问、外设管控 |
| 提升可见性 | 监测点覆盖、异常操作告警、操作留痕与日志集中 |
| 流程约束 | 变更审批、供应商陪同、关键操作双人确认 |
| 有效性验证 | 每条补偿措施都要有明确的验证方法，而不是假设其生效 |
| 登记要求 | 写明补偿内容、责任人、有效期、残余风险与复审条件 |
常见补偿措施
- 前置过滤：在无法修补的老旧设备前加装过滤设备，只放行必要通信
- 来源限制：只允许特定管理主机访问设备，其余路径一律不可达
- 通信白名单：按登记关系放行，拒绝协议范围外的操作类型
- 账号与权限收敛：最小化可登录账号数量与权限，取消共享账号
- 外设管控：通过端口与介质策略切断移动介质带来的入侵路径
- 监测强化：为该设备所在链路增设监测与针对性告警规则
- 流程约束：涉及该设备的操作纳入审批与陪同机制，缩短暴露时间
类型与验证方式
| 类型 | 措施示例 | 验证方式 |
|---|---|---|
| 减少可达性 | 来源限制、前置过滤 | 从未授权位置尝试连接并确认不可达 |
| 限制能力 | 协议操作限制、权限收敛 | 抽样验证越权操作被拒绝并产生记录 |
| 提升可见性 | 监测覆盖与告警规则 | 构造已知异常流量确认告警产生 |
| 流程约束 | 审批与陪同机制 | 抽查操作记录与审批单是否对应 |
| 暴露时间控制 | 按需开通临时通道 | 核对通道开通记录与关闭时间 |
补偿控制与修复的差别要讲清楚：修复消除漏洞，补偿只是改变利用条件。因此补偿控制必须带有效期与复审条件，例如厂商发布补丁、设备完成改造或发生相关安全事件时必须重新评估，否则它会被当成永久方案一直挂着。