官方补丁还没发出来，空窗期怎么熬：补丁还没发出来期间怎么办

摘要：从漏洞披露到补丁发布，攻击窗口已经打开。收缩暴露面、上临时防护、加密监测、备好预案，空窗期的缓解动作清单。

漏洞披露之后、官方补丁发布之前，是攻防悬殊的一段时间：攻击者已经拿到细节，防守方却无补丁可用。补丁还没发出来期间怎么办？别干等，缓解动作能做不少。

动作一：收缩暴露面。受影响的服务能暂时下线的先下线，不能下线的收紧访问来源，公网入口能关就关，攻击面小一分，被扫中的概率就低一分。

动作二：上临时防护。WAF规则、虚拟补丁、入侵检测特征先配上，挡住常见利用手法，为正式修复争取时间。

动作三：加密监测。关注相关利用代码的动态，日志里盯受影响服务的异常访问，出现利用特征立即转入应急流程。

动作四：备好预案。补丁发布后什么时候上、先上哪些系统、回滚方案是什么，提前定好，发布当天不至于手忙脚乱。

空窗期的动作还要留痕。临时下线了哪个服务、配了什么规则、谁批准的，记录在案；补丁到位之后，这些临时措施何时撤、怎么撤，也要有安排——临时规则忘了撤，后续业务报障查半天，是应急之后常见的二次麻烦。应急的价值在恢复秩序，不在堆动作。

还有一条要提醒：空窗期长短不由我们决定，但"知道自己在暴露、并且管住了能管的"，和"不知道自己暴露"，是两种完全不同的处境。前者出事是事件，后者出事是事故。

补一句关于谁来做：空窗期的缓解动作横跨运维、网络、应用三个组，建议由安全负责人统一调度，动作清单逐项到人、到时限。没有明确的调度人，各组的动作容易互相等，空窗期就这么浪费掉。应急组织平时就要定好，事到临头才点名，节奏一定乱。

安言咨询提供漏洞应急响应与临时缓解方案服务，欢迎交流。

数字安全 关注安言