Cisco 谈 AI 加速漏洞发现下防御者的补丁时间困境：虚拟补丁与 Live Protect 屏蔽

Cisco 在博客中提出，Frontier AI 与 OpenWeight 模型让漏洞发现速度空前，所有厂商都在应对漏洞洪流。文中以微软 10 月 13 日发布的 1,411 个补丁为例，其中 70 个为严重漏洞、3 个为零日，包含 317 个远程代码执行漏洞、677 个权限提升漏洞和 40 个安全功能漏洞，而组织完成打补丁仍最长需要 43 天。 Cisco 给出的第一种补偿性控制是虚拟补丁：Talos 编写匹配利用流量的 Snort 规则，规则置于 Secure Firewall 的入侵策略中，经过防火墙的流量被检查，命中数据包被记录或丢弃。Secure Workload 可清点工作负载实际运行的软件，将过滤后的 CVE 映射推送到 FMC，Firepower Recommendations 只启用与特定主机相关的签名。其局限是只能看到经过防火墙的流量，新型变种可能绕过签名，CVE 仍留在磁盘上。 第二种是 Live Protect 屏蔽，属于临时运行时防护，首先落地在 Nexus 9000 的 NX-OS 上。PSIRT 披露漏洞后，Talos 与工程团队验证一条小型 eBPF（Tetragon）策略，可拦截特定系统调用、进程或文件访问；用户从 Nexus Dashboard 或 SD-WAN Manager 部署，先监控再执行，安装正式镜像后退役该屏蔽，无需镜像升级或重启。 Cisco 强调这些都不是真正的补丁，只是缩小暴露窗口的补偿性控制，可与 Isovalent 运行时防护配合覆盖容器等工作负载，二者互补构成纵深防御。