一年一度的实战攻防演练即将拉开帷幕，这对企业机构的安全体系建设无疑是一次“年度大考”。随着攻防演练的深度推进、攻防常态化，攻击方获得了更多针对高价值目标的机会。其中，0Day/NDay漏洞成为企业面临的主要安全挑战之一。
0Day漏洞，指的是那些尚未公开的、未知的且没有补丁的软件安全漏洞；NDay漏洞，指的是已公开但未及时修复的漏洞。攻击者可以利用这些漏洞发动突袭，给企业造成重大损失。特别是0Day漏洞总是防不胜防，在攻防战场上，0Day漏洞是公认的极具破坏力的“大杀器”。
6月26日，在腾讯云安全企业创新在线学堂举办的“攻防演练季应急自救指南”线上沙龙中，专家聚焦漏洞修复话题，从攻防视角出发，深入分析2025年热点漏洞及应对思路，并结合腾讯内部漏洞攻防最佳实践，为企业给出防御建议，助其破解“漏洞修复时效性”与“业务连续性”的两难困境。
2025年热点漏洞分析：漏洞利用趋势与攻击手法拆解
开源组件普及伴随而来的，是漏洞攻击手段的不断升级。漏洞响应的时效性、精准性和全面性要求陡增。腾讯云安全技术专家尹亮基于典型攻击案例，揭示了3类攻击者最常利用的漏洞类型及其绕防手法：
1、NacosDerby漏洞：作为去年爆出的次新漏洞，这颗“新星”正被攻击者高频利用，威胁迅速增长，企业需高度警惕。
2、Log4j漏洞：因其功能强大、应用极广，Log4j组件已成为攻击者的重要跳板，堪称“常青树”。攻击者利用的是Log4j对字符串特定符号的特殊处理逻辑，其访问业务的某个URL，在UserAgent中夹杂用于攻击的字符串，于是业务代码在处理这个请求时，就会通过调用Log4j内部相关的方法，尝试把这个夹杂攻击字符串的UserAgent内容打到日志当中，从而使Log4j自主运行恶意代码，进而控制企业的整个服务器，实现攻击目的。
3、表达式漏洞：一些热门的开源软件所使用的表达式功能非常强大，可调用Java类、可读写类的成员，应用也非常广泛。在提供便利的同时也暴露出不少的漏洞，是经久不衰的攻击入口。即使有WAF等工具的黑名单检查，攻击者仍可通过字符串拆分/拼接、动态方法调用等手段绕过静态检测，达成攻击目的。
尹亮表示，攻击者在暗处，常见或不常见、新发漏洞或“老调重弹”，都会被攻击者充分利用，并结合多种方式绕过安全防御机制来实施攻击，给企业的云上业务带来巨大的挑战。如何在不中断业务的情况下实现漏洞的精准防御，是企业安全的核心命题。
破局之道：腾讯云安全RASP2.0——全方位防护0Day/NDay攻击
维持业务稳定性是企业上云的第一要务，因此漏洞防护方案必须在不影响业务稳定性的情况下进行。
传统补丁方案更新慢、操作繁琐，无法及时响应防护需求，且通用补丁方案也无法针对特定漏洞的特征做精准捕捉，误报、漏报率高。甚至部分漏洞防护方案需要重启或修改服务进程配置，可能对业务造成影响。RASP（运行时应用自我保护）技术提供了新思路，如同为应用“接种疫苗”，将防护能力注入应用进程内部，赋予其内在防御力。
作为内生安全技术，RASP在应用内部监控上下文行为，天然具备拦截0day攻击、识别变形流量的能力。腾讯云鼎实验室融合腾讯前沿的漏洞挖掘技术、实时高危漏洞预警技术，并与腾讯云主机安全泰石引擎能力强强联合，共同打造了腾讯云安全RASP2.0版本，助力企业在0Day防护时化被动响应为主动防御。
腾讯云安全技术专家孙艺介绍，全新发布的腾讯云安全RASP2.0具备四大优势：
1、延迟低：腾讯云安全RASP2.0使用JAVA原生规则，不需要依赖额外的JS引擎，延迟更低；
2、内存占用小：最小化引入第三方库来减少内存占用，腾讯云安全RASP2.0对引入的第三方库都会进行重命名和包路径的方式来避免污染业务的Class空间，从而减少对应的业务风险，同时实现更快的加载速度；
3、业务稳定保障：多重机制，保障业务稳定，腾讯云安全RASP2.0进行了Agent代码层、检测超时、运行异常监控、业务可用性等多重保障，并提供多种可选防护模式，同时，模拟靶场全天候运行进行情报监控及新漏洞感知，持续验证提升RASP的能力及稳定性；
4、业务覆盖广：腾讯云安全RASP2.0支持JDK1.6及以上所有JAVA版本，并且对主流JAVA应用框架都做了测试，来保证对框架的兼容。
相较上一代，腾讯云安全RASP2.0实现三大升级：
1、新增33类常见通用攻击防御，0Day原生免疫：无需改代码/重启服务，便可将探针注入到应用内部，防御33类通用攻击行为。从底层函数进行保护，不依赖规则的运营，原生阻断0Day漏洞、内存马攻击。
2、专洞专防技术再升级，热点漏洞24小时支持精准防御：顶级实验室加持，支持200+热点漏洞精准防御，新爆热点漏洞24小时内支持专洞专防。穷举攻击特征，从应用内部拦截漏洞利用的关键动作，最大程度减少漏报、误报，准确度达99.999%。
3、百万主机验证，性能有保障：百万主机实战验证，RASP2.0内存额外占用<40MB，CPU占用＜1%，响应时间影响<1毫秒，业务0侵扰。
此前，腾讯云RASP技术已在多家头部企业成功应用：
● 某头部车企：百万级主机/容器漏洞治理压力巨大，部署RASP后，借助其自动修复和防御能力，运维工作量锐减80%。
● 某金融寿险公司：老旧Weblogic系统漏洞难以修复，借助RASP有效堵住攻击入口，保障了业务连续性。
● 某商业银行：攻防演练中遭遇Log4j反序列化攻击，传统WAF/IDS因无法解析加密流量失效，部署RASP后成功拦截三次内存马注入攻击。
未来，腾讯安全也将持续升级产品能力，护航企业平衡业务持续与安全保障，实现业务上云高质量发展。
腾讯云主机安全RASP 2.0现已支持免费体验（名额有限，仅限20席），扫描下方二维码立即申请～
