零日漏洞是一种软件缺陷，防御者在其被利用或披露时尚未获得补丁。这句话很重要，因为它描述了一个时间问题，而不仅仅是一个错误：在威胁变得活跃之前，供应商有零天时间来发布修复程序。
这使得零日漏洞在真实环境中特别危险。即使是成熟的安全团队也可能会暴露，因为通常的修复周期还不存在。
“零日”实际上意味着什么
人们经常将三个相关术语混在一起：
- 漏洞：潜在缺陷
- 利用：用于滥用它的代码或技术
- 零日漏洞：在有效补丁广泛可用之前缺陷被利用或披露的时期
因此，“零日漏洞”就是缺陷，“零日漏洞利用”就是针对它的武器化方法。
为什么零日漏洞比普通漏洞更严重
正常的漏洞通常遵循熟悉的模式：
- 研究人员发现错误
- 供应商确认
- 补丁发布
- 防御者部署更新
- 攻击者试图滥用未打补丁的系统
零日漏洞更糟糕，因为顺序颠倒了：
- 缺陷悄然存在
- 有人发现了
- 剥削或公开披露开始
- 防守者在没有成熟补丁路径的情况下争夺
- 紧急缓解措施出现在最终修复之前或同时出现
这种差距使得事件响应在活跃的零日事件期间压力如此之大。
零日漏洞利用通常是如何发生的
现实世界的链通常是这样的：
- 攻击者或研究人员发现缺陷
- 对缺陷进行可靠性和影响测试
- 开发了一个可行的漏洞利用程序
- 该漏洞被选择性使用或出售
- 防御者注意到可疑行为、恶意软件、崩溃或流量模式
- 供应商调查并发布指南
- 修补开始，随后是大规模扫描和模仿利用
最后一步很重要。一旦零日漏洞公开，许多不太成熟的攻击者就会在组织完成修补之前加入进来。
常见类型的零日目标
零日漏洞出现在许多类别中：
- 网络浏览器
- VPN 网关
- 电子邮件服务器
- 移动操作系统
- 虚拟机管理程序
- 办公软件
- 防火墙设备
- 远程管理工具
攻击者喜欢能够为他们提供以下三种功能之一的产品：
- 初始访问
- 权限提升
- 大型企业环境中的持久性
为什么零日漏洞很有价值
可靠的零日漏洞可能会带来极高的利润或具有战略价值，因为它可能会在一段时间内绕过完全修补的防御。
该价值吸引：
- 网络犯罪集团
- 勒索软件关联公司
- 利用经纪人
- 国家资助的运营商
- 监控厂商
目标产品部署得越广泛，漏洞利用通常变得越有价值。
迹象可能涉及零日漏洞
您通常不会立即证明存在零日漏洞，但某些信号会引起怀疑：
- 补丁存在之前的广泛利用 2024 年与德勤合作
- 主要产品中出现可疑崩溃，且根本原因不明
- 异常身份验证绕过或远程代码执行路径
- 供应商紧急建议，首先采取临时缓解措施
- 尚未完全映射到已知 CVE 的检测
在实践中，事件响应人员通常从“可能的未知漏洞利用活动”开始，直到后来才知道这是一个零日漏洞。
组织如何降低零日风险
你无法修补尚不知道的缺陷，但你可以减少爆炸半径。
减少接触
禁用或删除您不需要的面向互联网的服务。每一个额外的暴露服务都是零日漏洞发挥作用的另一个机会。
细分关键系统
如果边缘设备受到威胁，良好的分段可以阻止攻击者自由进入域控制器、备份和管理网络。
使用纵深防御
即使没有确切的漏洞利用签名，端点保护、EDR、应用程序控制、沙箱和行为检测仍然可以捕获恶意活动。
一旦指导存在就快速修补
当供应商发布紧急修复或缓解措施时，延迟的代价是昂贵的。零日漏洞通常会在数小时或数天内成为大规模利用事件。
监控供应商建议和遥测
安全新闻很有用，但直接的供应商建议和您自己的日志更具有可操作性。留意崩溃、身份验证异常、可疑子进程和出站流量的峰值。
零日漏洞与 N 日漏洞
这是一个重要的区别：
- 零日漏洞：发生利用或泄露时没有可用补丁
- n 天：有补丁，但有些组织尚未安装
很大一部分“高级”攻击实际上依赖于 n 天，因为未修补的系统仍然很常见。这并不会让零日漏洞变得不那么严重，但它有助于保持这个概念的基础。
影响示例
零日漏洞已用于：
- 在外围设备上远程执行代码
- 访问恶意页面后浏览器受损
- 移动设备上的间谍软件安装
- 域入侵
技术细节有所不同，但业务结果是相同的：防御者在正常补丁周期能够保护他们之前被迫进入紧急模式。
底线
零日漏洞是攻击者在防御者没有成熟的修复程序之前就可以利用的缺陷。使其危险的不仅是错误本身，还在于它为攻击者带来的时机优势。
您无法完全消除零日风险。你能做的就是减少暴露、积极细分、仔细监控，并在可靠的指导出现时快速修补或缓解。