网络安全从打补丁转向预防

打补丁的局限性

CISA 关于西门子 Desigo 和 Gridscale 的公告凸显了一个反复出现的挑战：广泛使用的软件组件（如 Node.js Brotli 解码器）中的关键漏洞可能波及工业控制系统。尽管西门子已发布更新，但该公告强调，在运营技术环境中，停机成本高昂且更新周期缓慢，仅靠打补丁往往是不够的。

该漏洞是一个越界写入，可能允许远程代码执行，这说明通用库中的缺陷如何演变为系统性风险。依赖此类组件的组织必须认识到，补丁管理虽然必要，但属于被动措施，无法跟上新漏洞发现的速度。

通过策略进行预防

Google Cloud 扩展组织策略服务反映了一种互补方法：在错误配置演变为事件之前加以预防。通过提供 100 多个预定义策略和自定义防护栏，该服务旨在减少因基本错误（仍占大多数违规事件）而产生的攻击面。

这种向策略即代码和智能治理的转变表明，云提供商正在投资于自动化预防控制。对企业的启示很明确：安全团队应像重视漏洞修补一样重视配置管理和策略执行。

从内核研究中学习

微软 FORGE 实验室对 Linux 内核漏洞的研究产生了 59 份错误报告和 33 个 CVE，证明了主动漏洞发现的价值。使用人工智能生成的发现虽然难以验证，但指向了一个未来：自动化工具可以在攻击者之前发现缺陷。

研究中发现的八个本地 root 权限提升漏洞强调，即使是成熟且经过广泛审查的代码库也存在重大弱点。这凸显了持续安全研究的必要性，以及将这些发现整合到上游修复中以惠及整个生态系统的重要性。

隔离作为一种控制手段

AWS Lambda MicroVMs 对 x86 架构的支持扩大了无服务器工作负载的虚拟机级隔离的使用范围。通过允许现有 x86 应用程序在隔离的 microVM 中运行而无需重新编译，AWS 降低了采用更强隔离边界的门槛。

这一发展对安全意义重大，因为隔离可以遏制入侵的影响。在运行不受信任或人工智能生成代码等场景中，microVM 提供了一种强大的控制手段，与其他预防措施相辅相成，减少了潜在漏洞的爆炸半径。

迈向预防性安全态势

综合来看，这些发展说明了一个更广泛的行业趋势：安全正在从被动的、以补丁为中心的模式演变为主动的、以预防为导向的方法。无论是通过策略防护栏、主动研究还是架构隔离，目标都是降低事件发生的可能性和影响。

对于风险管理者而言，这一转变意味着需要在预防、检测和响应之间平衡投资。虽然打补丁仍然必不可少，但它应成为分层策略的一部分，包括配置管理、持续漏洞发现和隔离技术。

组织面临的问题不是是否采用这些措施，而是如何根据其独特的风险状况和运营限制有效地整合这些措施。