什么是虚拟补丁
对暂时打不上补丁的系统——老旧业务、不能停机的平台、厂商已停止支持的组件——可以在检测设备上增加针对该漏洞利用路径的规则，把攻击挡在门外，这就是虚拟补丁。它争取的是时间窗口，不是修复本身：漏洞依然存在，绕过型的利用方式出现后规则可能失效。
必须有修复计划并行
虚拟补丁很容易被当成永久方案：规则部署完、告警不响了，修复这件事就被搁置。正确做法是把它登记成带到期日的临时措施，与系统补丁或版本升级计划绑定，补丁完成后评估规则是否可以下线。
基本信息
| 适用对象 | 老旧系统、不能停机维护的业务、已停止支持的组件 |
|---|---|
| 本质 | 缓解措施而非根治，漏洞本身依然存在 |
| 硬性要求 | 修复计划必须并行推进，不可长期依赖 |
| 登记内容 | 漏洞编号、覆盖的利用方式、上线日期、到期日 |
典型使用场景
- 重大漏洞公告后业务系统无法立即打补丁
- 老旧系统供应商已不提供补丁
- 变更窗口受限，需要先挡住攻击再排期修复
- 多台系统补丁进度不一致，先统一防护
- 审计要求说明临时措施的覆盖范围与到期安排
实施要点
实施要点
# 1. 确认虚拟补丁覆盖的具体漏洞编号与利用方式
# 2. 以阻断动作上线，并验证业务功能正常
# 3. 同步推进系统补丁或版本升级计划，明确责任人与期限
# 4. 补丁完成并验证后，评估虚拟规则是否下线
# 5. 规则上线与下线都写进变更记录，避免长期遗忘实施要素
| 要素 | 要点 |
|---|---|
| 覆盖范围 | 确认规则覆盖的利用方式，明确未覆盖的部分 |
| 动作选择 | 关键业务先告警验证，确认无误再切阻断 |
| 修复绑定 | 与补丁或升级计划绑定，设置到期日 |
| 下线评估 | 补丁完成后评估规则下线，避免误报累积 |
虚拟补丁覆盖的流量特征有限，绕过方式出现后防护会失效，不能替代修补。
把虚拟补丁写进变更台账并设置到期提醒，比靠人记住哪个漏洞还没修更可靠。
如果业务系统本身支持更新，优先评估升级：临时规则越多，后续调优与误报处理的负担越重。