在网络攻防对抗中，看不见的危险，才是最致命的危险。

比如只掌握在少数人手里的0day漏洞，就是最有效的网站攻击手段之一。

攻击者利用操作系统、中间件、应用、安全设备等软硬件的0day漏洞，能够无视现有基于规则的防护技术，长驱直入获取服务器权限。有数据显示，80%的成功入侵都与0day漏洞有直接或间接关系。

理论上，每个应用组件都难免存在漏洞。而Web应用及其相关组件由于其开放性，互联网用户都可以进行访问或攻击，因此更为攻击者所“青睐”，成为0day威胁的重灾区。近半年爆出的Apache Log4j2漏洞、Spring框架远程代码执行漏洞等“大杀器”，都来自于Web中间件。

如同一种新型烈性传染病，在病原体不明、没有疫苗也没有特效药的“窗口期”，最令人束手无策、闻风丧胆。0day攻击，打的就是时间差和信息差——趁虚而入，唯快不破。

那么0day威胁除了等待官方修复漏洞，真就“无解”吗？

当然不是。抓住发起漏洞攻击的关键环节，布下纵深防御“守株待兔”，层层阻击，也可以对0day 攻击实现实时主动防御。

01 釜底抽薪，隐藏网站结构

通过网宿全站隔离平台，隐藏网站源代码，网站框架、活动脚本、API等全部内容均不可见，使攻击者难以直达漏洞组件进行利用，迫使攻击者要先通过自动化扫描工具探查网站系统中是否存在可利用的漏洞。

02 回归本质，阻截漏洞探测

在全站结构不可见的情况下，攻击者需要通过自动化扫描工具，摸清网站的设备和系统使用情况，如端口状态、系统版本信息等，方能判定是否存在可利用的漏洞。也就是说，漏洞利用方式千千万，但第一步都要从扫描探测开始。

网宿基于攻击行为的发生途径，以BotGuard爬虫管理技术，AI建模智能识别bots自动化扫描行为，实现在无规则升级的情况下对0day漏洞探测行为进行精准阻断，主动将攻击扼杀在摇篮里。

03 应急响应，小时级升级安全规则

0day漏洞之所以高危，就是因为没有“对症”的安全规则。因此，Web应用防火墙（WAF）能否抢在攻击到来之前上线有效的防护规则，就是重要的胜负手。

网宿安全实验室针对0day漏洞构建了全网7*24小时漏洞情报监测+主动挖洞机制，确保第一时间发现漏洞。全天候驻守的攻防专家依据漏洞特征，以小时级的时效上线防护规则，毫秒级全网下发，自动防御，无需人工更新规则库。

网宿云WAF还支持智能规则托管，自动分析企业误报情况，一旦发现防护规则与企业业务不匹配的情况，及时由攻防专家介入调整，最大程度上实现业务和安全防护之间的平衡。

04 终极防线，拦截主机入侵

0day漏洞攻击最终的目标是获取目标服务器权限，从而进行数据窃取、内网渗透、长期控制等不法行为以牟取利益。

因此，在上述3层作用于流量侧的防线之后，网宿在主机侧还筑有一道最终防线，对入侵行为进行多锚点监测拦截，进一步阻止攻击者利用0day漏洞获取服务器权限。

你有最快的刀，我有最厚的盾。

0day攻击并非无解，网宿安全从流量层到主机层的层层纵深防御，从封堵漏洞利用方式的角度+主动拦截入侵行为的角度，为网宿安全平台千余家客户成功粉碎大多数0day攻击。

当然，对0day攻击的防御也不可能“毕其功于一役”。近日美国网络安全审查委员会发布首份报告指出，去年年底曝光的Log4j漏洞将在未来十年甚至更长时间持续引发风险。对于已有官方补丁的Nday漏洞，网宿安全实验室也在持续监测其新的利用方式，完善防护策略。