什么是零日漏洞？
零日漏洞 是指软件安全缺陷，供应商或开发者刚刚发现该缺陷，因此他们没有时间创建或发布补丁。由于尚无修复措施，网络犯罪分子可以利用这些缺陷发起难以发现和阻止的攻击。
例如，2017年5月的 WannaCry 勒索软件攻击 显示了零日漏洞可能造成的破坏性。这次全球攻击利用 Windows 漏洞，在许多组织能够更新其系统之前，袭击了150个国家的超过200,000台计算机。
零日漏洞的关键特征
- 供应商未知： 软件创建者在攻击发生或研究人员披露之前不知道该缺陷的存在。
- 无可用补丁： 在发现时没有官方的安全更新或“修复”。
- 高风险： 使用已知威胁签名的常规杀毒工具通常无法检测到零日漏洞利用，因为这些威胁是新的且未知的。
- 即时威胁： 在补丁发布和应用之前，攻击者具有明显的优势。
零日攻击如何运作
零日威胁通常遵循一个称为“漏洞窗口”的时间线。
- 漏洞引入： 开发人员无意中编写了包含安全漏洞的代码（例如，缓冲区溢出或SQL注入漏洞）。
- 漏洞利用创建： 攻击者在供应商或安全研究人员注意到之前发现了漏洞。然后，他们创建了一个“零日漏洞利用”，这是一种利用该弱点的代码。
- 攻击发起： 攻击者对特定目标或甚至整个互联网发起“零日攻击”。此时，标准安全扫描通常无法检测到攻击。
- 发现与披露： 供应商最终通过漏洞赏金计划、安全研究人员或检测到的活跃攻击了解到该漏洞。
- 补丁发布： 供应商开发并分发安全更新。一旦补丁可用，该漏洞不再是“零日漏洞”，而成为“已知漏洞”（通常分配一个CVE编号）。
为什么零日漏洞在网络安全中很重要
零日漏洞是组织面临的最严重风险之一，因为它们绕过了主要防御措施，即补丁管理。
- 绕过防御： 由于传统安全工具依赖已知威胁数据库，零日攻击可以在不被察觉的情况下穿过防火墙和终端保护。
- 高价值： 这些漏洞在暗网上非常有价值。国家级黑客和高级持续性威胁（APT）组织通常会保留它们，以用于攻击重要目标，如关键基础设施或政府网络。
- 操作影响： 修复零日漏洞通常意味着紧急停机，使用手动解决方案，甚至在补丁准备好之前将系统下线。
零日漏洞与已知漏洞
| 特征 | 零日漏洞 | 已知漏洞（N-Day） |
|---|---|---|
| 状态 | 未知于供应商/公众 | 公开披露 |
| 补丁可用性 | 无 | 补丁存在（但可能未应用） |
| 检测 | 困难（需要行为分析） | 容易（基于签名的检测） |
| 风险等级 | 严重 / 危急 | 可变（取决于补丁状态） |
相关术语
常见问题：零日漏洞
问：零日漏洞和零日攻击的区别是什么？
漏洞是软件代码本身的缺陷。攻击是攻击者用来利用缺陷并入侵系统的实际代码或技术。
问：如果没有补丁，我如何防范零日攻击？
因为无法修补未知的漏洞，保护依赖于使用多层防御：
- 使用**Web应用防火墙（WAF）**来阻止可疑的流量模式。
- 实施运行时应用自我保护（RASP）。
- 采用行为分析而不仅仅是基于签名的检测。
- 保持严格的事件响应计划，以便在零日漏洞被披露后快速反应。
问：杀毒软件能检测到零日攻击吗？
传统的仅使用“签名”（类似于已知恶意软件的指纹）的杀毒软件无法发现零日威胁。然而，现代的终端检测与响应（EDR）工具使用人工智能并监控异常行为，通常可以发现零日攻击，例如意外的文件加密或未经授权的数据传输。