虚拟补丁是什么
虚拟补丁指在无法立即安装厂商修复时，用外部控制手段降低被利用的可能性：WAF 或 IPS 规则拦截特定请求特征、网络隔离切断可达路径、临时关闭受影响功能或端口、收紧权限限制被利用后的影响范围。它争取的是时间窗口，不是替代修复。判断它是否有效的关键在覆盖范围与绕过难度，而不是规则是否存在；因此每条补偿控制都必须登记到期时间与替代计划。
基本信息
| 适用时机 | 厂商补丁未发布、无维护窗口、兼容性冲突、停机成本过高 |
|---|---|
| 常见手段 | WAF/IPS 规则、网络隔离、关闭功能、最小权限 |
| 必填信息 | 关联漏洞编号、覆盖范围、生效时间、到期时间、责任人 |
| 失效条件 | 出现绕过方式、覆盖范围外的实例未纳入、规则被误关 |
补偿控制对照
| 控制 | 作用 | 边界 |
|---|---|---|
| WAF/IPS 规则 | 拦截特定利用路径的请求 | 存在绕过风险，也可能误拦正常流量 |
| 网络隔离 | 切断不可达路径 | 内网横向仍可能触及目标 |
| 关闭功能 | 停用受影响模块 | 业务功能损失需多方确认 |
| 最小权限 | 限制被利用后的影响 | 不能阻止入口被访问 |
典型使用场景
- 边界设备漏洞补丁需停机，先用访问控制把管理口收敛到运维网段
- 中间件漏洞无官方修复时，用 WAF 规则阻断已公开的利用路径
- 老旧工控系统无法打补丁，用网络分段与白名单将影响限制在单条产线
- 临时关闭受影响功能模块并公告业务方，等补丁窗口再恢复
- 季度复审补偿控制清单，逐条判断是否已可由正式修复替代
记录要求示例
记录要求示例
补偿控制记录 =
关联漏洞编号（CVE / 厂商公告号）
+ 控制措施类型与配置位置（哪台设备、哪条规则）
+ 覆盖范围（哪些资产被保护、哪些没覆盖）
+ 生效时间 / 到期时间
+ 替代计划（补丁编号或升级排期）
+ 责任人
# 到期前必须复审：延续并说明理由，或执行正式修复覆盖范围比规则本身更重要：一条只保护了公网入口的 WAF 规则，对内网实例毫无作用；记录时要写清哪些资产未纳入保护。
把补偿控制当永久方案是风险滞留的主要方式：规则加上以后无人复审，绕过方式出现后防护形同虚设却仍在台账里显示『已缓解』。