补偿控制对照
| 控制 | 作用 | 边界 |
|---|---|---|
| WAF/IPS 规则 | 拦截特定利用路径的请求 | 绕过风险与误拦截，需回归验证 |
| 网络隔离 | 切断不可达路径 | 内网横向仍可能触及 |
| 关闭功能 | 停用受影响模块 | 业务功能损失需多方确认 |
| 最小权限 | 限制被利用后的影响 | 不阻止入口进入 |
记录要求示例
记录要求示例
补偿控制记录 = 关联漏洞编号 + 控制措施 + 覆盖范围 + 生效时间 + 到期时间 + 替代计划(补丁/升级排期) + 责任人
# 到期前必须复审：延续或执行正式修复虚拟补丁的价值在争取时间，不在替代修复：把补偿控制当永久方案是常见的风险滞留方式。