0day 与 n-day 是什么
0day 指厂商尚未发布补丁、或补丁发布前就已被利用的漏洞；n-day 指补丁早已发布但资产未及时修补的漏洞。两者防御难度差别很大：0day 阶段只能靠缓解措施、检测能力与收窄暴露面顶住，而 n-day 完全取决于资产覆盖与更新速度。多数公开入侵分析都表明，被利用的漏洞以已有补丁的 n-day 为主。
基本概念对照
| 0day | 无补丁阶段，依靠缓解、检测与限制暴露面 |
|---|---|
| n-day | 已有补丁，依靠资产覆盖与及时更新 |
| 1day | 广义指补丁刚发布、修复覆盖不足的窗口期 |
| 利用窗口 | 从补丁/细节公开到本单位完成修复的时间差 |
两类漏洞的处置差异
| 维度 | 0day | n-day |
|---|---|---|
| 首选动作 | 缓解与限制暴露 | 按窗口排期打补丁 |
| 判断依据 | 威胁情报、利用迹象 | 资产台账 + 版本比对 |
| 难点 | 无官方修复，措施可能影响业务 | 资产不全、覆盖不到 |
| 验证方式 | 检测规则是否生效、暴露面是否收敛 | 复测版本与功能验证 |
n-day 处置动作
n-day 处置动作
1. 建立受影响版本清单（扫描结果 + 组件台账交叉比对）
2. 评估互联网暴露与利用情报（KEV/EPSS 等优先级信号）
3. 按窗口执行补丁；无法即时的先上缓解措施并记录例外
4. 补丁后复测与抽样验证，确认版本与功能都正常
5. 回写台账，关闭工单时附验证证据典型使用场景
- 补丁窗口排序：用 EPSS、KEV 与暴露面共同排序，而不是只看 CVSS 分值
- 应急响应初期判断：确认攻击者用的是 0day 还是公开漏洞，决定后续排查范围
- 管理层汇报：解释为什么要为「已知漏洞」投入资源，而不是只追 0day 新闻
- 例外审批：无法立即修补的系统必须给出缓解措施与复审时间
- 供应商沟通：要求对方说明所报漏洞处于哪个阶段及修复计划
把「有没有公开利用」当作定优先级的硬条件更接近实战：能自动化批量利用的 n-day，往往比暂时没有利用代码的高分 0day 更该先修。
0day 阶段的临时缓解（关闭功能、加访问控制、上 WAF 规则）必须写清失效条件与复查时间，否则很容易长期挂着变成永久配置。