EOL 组件是什么
EOL（End of Life）指组件已停止支持：操作系统、中间件、语言运行时或数据库引擎不再接收安全修复。这类资产的特点是问题不会再被公告，因为厂商已经不再维护，于是它们会从漏洞情报的雷达上消失，风险却依然存在。识别 EOL 需要主动查生命周期数据并与台账比对；处置则要在升级、替代、隔离加固与淘汰下线之间做出选择，并且为隔离类处置设定复审周期。
基本信息
| 涉及组件 | 操作系统、中间件、语言运行时、数据库引擎 |
|---|---|
| 识别方式 | 查询公开生命周期数据集并标注台账字段 |
| 处置选项 | 升级、迁移替代、隔离加补偿控制、淘汰下线 |
| 关键要求 | 隔离类处置必须设复审周期与替代计划 |
典型使用场景
- 年度资产复核时为每类组件标注支持状态，产出 EOL 清单
- 为接近 EOL 的组件提前启动升级评估，而不是等到期后被动应对
- 评估影响排序：按暴露面、业务关键度与替代难度排出处置先后
- 把无法立即升级的系统纳入隔离清单，并明确复审与替代计划
- 采购与立项时把生命周期要求写进技术规范，减少新增 EOL 资产
识别与处置流程
识别与处置流程
1. 生命周期查询：用公开数据集核对各组件支持截止日期
2. 台账标注：为每项资产添加支持状态字段
（支持中 / 接近 EOL / 已 EOL）
3. 影响排序：暴露面（公网或内部）× 业务关键度 × 替代难度
4. 路径选择：升级 / 迁移替代 / 隔离加补偿控制 / 淘汰下线
5. 跟踪：隔离类处置设复审周期，不得无限期挂『临时隔离』
6. 前置沟通：提前一个采购与研发周期启动，避免到期后被动处置路径对比
| 路径 | 适用情形 | 代价 |
|---|---|---|
| 升级 | 有可用的新版本且兼容 | 需要回归测试与停机窗口 |
| 迁移替代 | 原产品线已终止或替代更优 | 改造工作量与数据迁移风险 |
| 隔离加补偿控制 | 短期无法变更 | 需持续维护，且必须设到期日 |
| 淘汰下线 | 业务已无实际使用 | 需要确认依赖方并清理残留 |
EOL 清单要主动产出：等到厂商公告不再覆盖时，这些系统已经从情报视野里消失，靠订阅信息永远等不到提醒。
隔离类处置容易被当成免责手段：没有复审周期与替代计划的『临时隔离』，两三年后仍会出现在台账里且无人记得原因。