现代应用团队行动迅速。应用只有部署到生产环境中才能发挥作用！但任何应用都可能存在固有漏洞。如今的应用基于一系列开源库和代码构建，这几乎不可避免地会带来此类问题。
随着应用及其开源构建组件中的漏洞被发现、研究、测试并最终披露，这些漏洞需要修补，也必将得到修补。
但遗憾的是，补丁周期并非总能及时跟上，尤其是当漏洞出现在第三方组件、旧版应用或无法承受停机的关键业务系统中时。
“在针对任何现有或新发现的漏洞开发并测试永久解决方案、直至投入生产期间，虚拟补丁有助于立即在边缘降低风险。”
从“漏洞披露”到“修复部署”的时间间隔正在迅速缩短，如今已从一年前的数天缩短至数分钟。随着Claude Mythos及其他前沿AI漏洞发现工具的出现，对“补丁末日”的恐惧如同数字时代的达摩克利斯之剑，笼罩着所有企业。真正令人担忧的是，人们对补丁浪潮的预期，恐怕还远不及它必然来袭时的现实冲击。
鉴于这一现实即将到来，现在正是尽可能多地修复应用中的常见漏洞与披露（CVE）的好时机，务必赶在之前备受关注的补丁浪潮席卷整个应用环境。众所周知，“平均补丁时间”令人担忧，而如今从漏洞披露到遭到利用的时间窗口已大幅缩短。这意味着，即使只是修复现有的应用漏洞，随着零日窗口不断缩小，贵组织也可能陷入危险的空档期。
虚拟补丁的优势
这正是虚拟补丁发挥作用之处。在针对任何现有或新漏洞的永久解决方案完成开发和测试并投入生产之前，虚拟补丁有助于立即在边缘降低风险。
Web应用防火墙（WAF）是一种安全技术，无需更改存在漏洞的代码，即可减少或阻止漏洞利用。它可以检测并阻止针对应用漏洞的攻击模式，直至 软件补丁可用。虚拟补丁可减少暴露风险、集中控制，并缩短缓解时间。但需要明确的是，虚拟补丁并不能修复底层漏洞；如果规则不完整，也可能被绕过。因此，必须进行监控和调优，以避免误报和漏报。不过，当补丁无法立即获得或无法部署时，虚拟补丁可以为组织争取时间并降低风险。
F5提供的一种虚拟补丁解决方案
The F5 Application Delivery and Security Platform (ADSP)支持集成F5 Distributed Cloud Web App Scanning 与F5 BIG-IP Advanced WAF，从而提供可扩展的自动化漏洞检测和虚拟补丁功能。
BIG-IP Advanced WAF的核心能力是为Web应用和API提供深入且可感知上下文的防护。它不局限于基于特征码的防御，还利用行为分析、威胁情报和高级防护功能，应对OWASP Web应用十大威胁类别、机器人攻击和API滥用。但无论WAF多么先进，其防护效果都取决于可见性。对于不了解或无法发现的对象，便无法提供保护。
这正是Distributed Cloud Web App Scanning发挥作用之处。它可帮助了解应用中的薄弱环节，将扫描结果映射到已知漏洞类别，并指出应用中可能容易受到常见利用技术攻击的位置。扫描有助于回答防御人员最关心的问题：哪些方面存在漏洞、漏洞暴露在哪里，以及紧迫程度如何？这些情报将触发快速缓解措施。
部署在边缘的BIG-IP Advanced WAF可提供覆盖多种环境的集中式策略执行点。与Distributed Cloud Web App Scanning结合使用时，可提供持续发现和风险评估能力，帮助应对当今快速变化的威胁和漏洞利用形势。
在Distributed Cloud Web App Scanning控制面板中，可以查看按OWASP Top 10 2025 Web Application漏洞指数分类的漏洞，以及为其分配的CVE评分和严重性级别。此视图可下载为报告，并直接导入BIG-IP Advanced WAF。可以应用现有策略或新策略来处理发现的漏洞。还可以选择存在漏洞的域，通过虚拟补丁进行保护。
Distributed Cloud Web App Scanning识别出应用程序代码中的高风险问题后，BIG-IP Advanced WAF将成为虚拟补丁的控制点。无需等待应用程序变更，BIG-IP Advanced WAF的防护功能即可针对并阻止利用行为，包括
- 阻止恶意请求特征（例如注入和路径遍历尝试）。
- 强化容易被滥用的特定URL或参数。
- 加强输入验证，以阻止与该漏洞类别相关的有效载荷。
- 应用异常和行为防护措施，以检测已知攻击的变体。
这种“在边界处打补丁”的方法对于零日漏洞或新披露的CVE尤其有价值，因为官方补丁可能尚未发布，或者补丁安装需要安排维护窗口。
虚拟补丁并非一劳永逸。需要持续验证缓解措施能否在阻止攻击的同时尽量减少误报。BIG-IP Advanced WAF支持的日志记录和可见性可形成反馈闭环，显示被阻止的内容、需要调优的策略，并确认合法流量持续正常传输。同时，Distributed Cloud Web App Scanning的持续扫描有助于验证暴露风险是否已降低，并为治理提供支持。您可以跟踪是否已部署全面修复方案，以及何时可以放宽虚拟控制措施。
虚拟补丁为何重要
扫描与策略执行相结合，有助于弥合安全与运维实际需求之间的差距。
当补丁修复延迟时，贵组织可以防范漏洞遭到利用，并缩短缓解风险所需的时间。已知Web漏洞的影响范围也会缩小。现在，贵组织还拥有一套可重复执行的流程，能够确定关键应用的优先级，并保护这些应用免受已遭利用漏洞的影响。
这样，贵组织将能更从容地应对前沿AI下一批漏洞预计引发的大量补丁冲击。
请记住：虚拟补丁无法取代实际补丁，但它是不可或缺的一层防御措施，可在更持久的补丁可用、经过测试并完成部署之前，为您和开发团队安全地争取时间。
如需了解详情，请阅读我们的新闻稿。另请参阅以下解决方案页面：F5 WAF解决方案和F5 API security产品与服务。
关于作者
相关博客文章
三家企业如何借助AI驱动的WAF改进虚拟补丁和运行时安全
了解三家F5客户如何利用AI驱动的WAF加快虚拟补丁部署、将误报减少50%以上，并更有信心地启用阻断模式。
F5 BIG-IP v21.0增强S3工作流的AI数据交付与摄取能力
使用F5 BIG-IP 21.0版优化S3工作流：通过低接触式配置，为AI数据交付、对象存储和RAG管道提供可扩展的安全解决方案。
Everest Group报告：生成式AI行业应用的当前趋势与未来前景
我们很高兴能为全球知名研究机构Everest Group发布的一份重要新报告作出积极贡献。该报告题为《生成式AI应用：审视横向职能中的实际应用与未来展望》，深入分析了各行业对生成式AI（GenAI）的应用情况。报告指出，IT［……］