超越补丁：迈向多层防御的网络安全

快速变化的威胁环境中补丁的局限性

NetScaler Gateway 最近的一个漏洞（CVE-2026-88771）允许攻击者在认证前执行命令，凸显了传统补丁管理的关键缺口。即使有补丁可用，运营限制也常常延迟部署，使系统暴露数周或数月。

认为打补丁就足够的假设越来越站不住脚。组织需要将安全决策移到易受攻击的代码之前，例如实施认证前控制，在恶意请求到达应用之前将其阻止。

这种转变要求重新思考网络架构。安全团队不应仅依赖边界防御，而应采用零信任原则，验证每个请求，无论其来源如何。

运行时监控：检测预防措施遗漏的内容

Amazon GuardDuty 新增的可选运行时监控规则体现了行业向检测作为关键层的转变。该服务拥有 50 多条规则，涵盖进程、文件和网络活动，可以识别在一个环境中常规但在另一个环境中可疑的行为。

例如，修改 sudoers 文件或禁用审计日志是常见的管理任务，但在错误的上下文中它们表明持久性或防御规避。通过将检测映射到 MITRE ATT&CK 战术，GuardDuty 帮助安全团队优先处理重要警报。

挑战在于调整这些规则以避免警报疲劳。组织必须平衡敏感性和特异性，确保合法活动不被过度标记，同时仍能捕获细微攻击。

更广泛的攻击面：超越 Web 网关

CISA 关于 Thermo Fisher Torrent Suite Software（CVE-2026-107777）的公告揭示了一个允许任意文件读取的漏洞，影响敏感研究环境中使用的系统。这凸显了关键基础设施和科学仪器并非对网络威胁免疫。

此类漏洞往往被忽视，因为它们存在于可能无法定期获得安全更新的专用软件中。组织必须清点所有连接的设备和软件，而不仅仅是主流 IT 资产，以了解其真实暴露情况。

全面的资产管理策略至关重要。如果不知道正在运行什么以及在哪里运行，安全团队就无法有效地优先处理补丁或实施补偿控制。

为量子威胁做好准备

Google Cloud 推出用于后量子密码学（PQC）的 Gemini Notebook，表明解决未来密码学风险的紧迫性日益增加。虽然能够破解当前加密的量子计算机可能还需要数年时间，但现在是准备的时候了。

该笔记本旨在帮助 CISO 和政策制定者理解向抗量子算法的过渡。这种教育方法至关重要，因为 PQC 迁移是一项复杂的多年工作，涉及依赖公钥密码学的每个系统。

组织应开始清点密码资产并评估其面对量子攻击的脆弱性。等到量子计算机实用化，可能会使敏感数据暴露于“现在收集，以后解密”的威胁。

整合防御层以实现韧性

这些发展共同表明需要集成的分层安全策略。没有任何单一控制——无论是补丁、运行时监控还是加密——能够提供完整的保护。相反，组织必须结合预防、检测和响应措施。

一种实用的方法是将安全控制映射到攻击生命周期。认证前控制阻止初始访问，运行时监控检测利用后活动，密码敏捷性为未来威胁做好准备。

此外，安全团队应促进跨孤岛的协作。保护 Web 网关的相同原则适用于科学仪器和云工作负载。共享威胁情报和最佳实践可以放大单个控制的有效性。

呼吁主动的安全治理

这些来源中反复出现的主题是需要主动治理。等待漏洞被利用后再采取行动是灾难的根源。相反，组织应持续评估其风险态势并相应调整防御。

这包括投资自动化以加快补丁部署，采用运行时检测以捕获未知威胁，以及规划量子安全密码学。还需要高管的支持，因为这些举措通常需要大量资源。

归根结底，网络安全不是产品而是过程。通过采用多层、前瞻性的方法，组织可以降低风险并在不断演变的威胁环境中建立韧性。