網(wǎng)絡安全等級保護基本要求安全計算環(huán)境之入侵防范測評項下的測評控制點要求“應能發(fā)現(xiàn)可能存在的已知漏洞，并在經過充分測試評估后，及時修復漏洞”，修復漏洞的程序，我們基本上可以稱之為補丁。　

　　在《網(wǎng)絡安全等級保護高風險判定指引》 TISEAA 001-2020中明確應用系統(tǒng)存在可被利用的高危漏洞為高風險項，其適用范圍是第二級以上系統(tǒng)，在這個設計應用系統(tǒng)所使用的環(huán)境、框架、組件或業(yè)務功能等。當然，修補漏洞需要連接的互聯(lián)網(wǎng)，其漏洞不修復遠程攻擊風險也高，但是內網(wǎng)系統(tǒng)則可以根據(jù)具體情況分析，酌情判定風險等級。所以，在判定高危風險過程中，也是需要綜合分析，既不要過度解讀，也不要太過機械，但是這個度掌握需要較全面的知識做支撐。

　　什么是補??？

　　補丁是軟件和操作系統(tǒng)（OS）更新，用于解決程序或產品中的安全漏洞。軟件供應商可能會選擇發(fā)布更新來修復性能錯誤，以及提供增強的安全功能。

　　如何找出需要安裝的軟件更新？

　　當軟件更新可用時，供應商通常會將它們放在他們的網(wǎng)站上供用戶下載。盡快安裝更新以保護我們的的計算機、電話或其他數(shù)字設備免受利用系統(tǒng)漏洞的攻擊者的侵害。攻擊者可能會在更新可用后數(shù)月甚至數(shù)年針對漏洞進行攻擊。一些軟件會自動檢查更新，許多供應商為用戶提供自動接收更新的選項。如果它們不可用，請定期檢查供應商的網(wǎng)站以獲取更新。

　　確保我們只從受信任的供應商網(wǎng)站下載軟件更新。

　　不要相信電子郵件中的鏈接——攻擊者使用電子郵件將用戶引導至托管偽裝成合法更新的惡意文件的網(wǎng)站。用戶還應該警惕聲稱附加了軟件更新文件的電子郵件——這些附件可能包含惡意軟件。

　　如果可能，僅應用來自受信任網(wǎng)絡位置（例如，家庭、工作）的自動更新。避免在連接到不受信任的網(wǎng)絡（例如，機場、酒店、咖啡店）時更新軟件（自動或手動）。如果必須通過不受信任的網(wǎng)絡安裝更新，請使用與受信任網(wǎng)絡的虛擬專用網(wǎng)絡連接并應用更新。

　　手動更新和自動更新有什么區(qū)別？

　　用戶可以手動安裝更新或選擇讓他們的軟件程序自動更新。

　　手動更新需要用戶或管理員訪問供應商的網(wǎng)站以下載和安裝軟件文件。

　　在安裝或配置軟件時，自動更新需要用戶或管理員的同意。一旦我們同意自動更新，軟件更新就會自動“推送”（或安裝）到我們的系統(tǒng)。

　　什么是報廢軟件？

　　有時，供應商會停止對軟件程序的支持或為其發(fā)布軟件更新（也稱為生命周期終止[EOL]軟件）。繼續(xù)使用EOL軟件會給我們的系統(tǒng)帶來相應的風險，從而允許攻擊者利用安全漏洞。使用不受支持的軟件還會導致軟件兼容性問題以及降低系統(tǒng)性能和生產力。

　　建議用戶和管理員停用所有 EOL 產品。

　　軟件更新的最佳實踐

　　盡可能啟用自動軟件更新。這將確保盡快安裝軟件更新。

　　不要使用不受支持的EOL軟件。

　　始終直接訪問供應商網(wǎng)站，而不是點擊廣告或電子郵件鏈接。

　　在使用不受信任的網(wǎng)絡時避免軟件更新。

　　新漏洞不斷出現(xiàn)，但針對利用修補漏洞的攻擊者的最佳防御方法很簡單：使我們的軟件保持最新。這是我們可以采取的最有效的措施來保護我們的計算機、電話和其他數(shù)字設備。