- 综合排序
- 最热优先
- 最新优先
- 来自专栏RASP社区
RASP解决Java安全问题探讨
通过 RASP 技术，可以为包含漏洞的应用程序提供临时保护，为漏洞修复争取宝贵时间。 Java 应用程序实现 RASP 的主流方式是利用 JVM 虚拟机提供的标准接口 Instrumentation。 基于这种细粒度的控制可以延伸到运行时的各个方面，使得 RASP 能够阻止异常的操作，即使代码逻辑中本身没有进行足够的安全校验。 03虚拟补丁 RASP 的虚拟补丁是对代码函数级别进行的安全补丁热更新。 被“打补丁”的应用程序不需要修改代码或者重新编译，可以直接在运行状态实时下发，从而减少了因业务重启而带来的商业风险。 安全管理员可以在不重新启动或中断应用程序服务的情况下，对正在运行的应用程序添加新规则，从而使他们能够在发现新漏洞后立即阻止它，无需等待供应商提供的补丁。 另一个缺憾则是 RASP 在不同语言下的解决方案并不相同，本文主要介绍的是 RASP 在 Java 中的应用，当其出现在 PHP 或其他不同语言的开发框架下，则需要形成一套独立的 RASP 产品。
1.4K30编辑于 2023-04-17 - 来自专栏腾讯安全
腾讯安全正式发布RASP+方案——泰石引擎
泰石引擎是腾讯安全为应对频发的0Day、nDay漏洞而开发的一套基于虚拟补丁的漏洞防御系统。该系统融合了腾讯前沿的漏洞挖掘技术、实时高危漏洞预警技术，捕捉、分析0Day漏洞。 可以自动检测 Java 等应用服务进程、自动注入RASP 插件，通过插件管理、虚拟补丁部署，实现一键化漏洞主动防御，为企业带来无需重启、无感防护的升级体验。 不精准：高误报、漏报通用补丁方案无法针对特定漏洞的特征做精准捕捉，误报、漏报率高；流量层的虚拟补丁由于输入流量到业务具体漏洞函数时，路径比较长，经过各种变形、encoding，特征提取更难，存在一定的误报 RASP+方案，加在哪？相较于传统方案，腾讯安全RASP+方案泰石引擎具备以下优势：01: 0day原生免疫借助云上优势，自动化高效响应高危漏洞，做到一键防御，快人一步，有效避免给黑客可趁之机。 相比主流RASP方案需要手动安装、配置，RASP+方案可以一键启停漏洞防御能力，无需企业配置接入应用、修改应用启动参数或重启业务进程，将对企业业务的影响和投入成本降至最低。
2.3K31编辑于 2022-09-23 - 来自专栏腾讯安全
技术干货｜新型漏洞威胁攻防思路拆解
常规补丁尝试修复有问题的代码，虚拟补丁尝试拦截有问题的输入。虚拟补丁的防护策略则是根据位置的不同，分为以云防火墙、WAF为代表的网络侧的虚拟补丁，以及主机侧的虚拟补丁。 在这种情况下，主机侧的虚拟补丁作为网络侧虚拟补丁的一个补充，二者结合，可以让云原生漏洞防御体系更加完备。 07 腾讯新思路：RASP+泰石引擎方案RASP+泰石引擎方案将于9月21日正式对外发布，其具备“0day原生免疫”，“创新精准防御技术”，“创新免重启技术、即刻防御、业务不中断”，“1000万核历炼， RASP+泰石引擎方案产品架构以主机安全Agent方式，注入防御插件到业务进程，管理插件生命周期、部署虚拟补丁，实现漏洞防御效果。在防御能力方面，可针对常见攻击行为做拦截，也可针对特定漏洞做精准拦截。 腾讯安全RASP+泰石引擎方案将于明日正式发布，欢迎感兴趣的同学扫码关注最新动态。
1K20编辑于 2022-09-23 - 来自专栏安全攻防团队
【注意】Apache ActiveMQ漏洞已出现大量在野攻击
根据业务类型可选择云防火墙虚拟补丁、主机安全/容器安全泰石引擎已经支持防护Apache ActiveMQ远程代码执行漏洞。 业务类型 防护产品 产品功能 公网IP业务 云防火墙 虚拟补丁 web应用 主机安全/容器安全 RASP虚拟补丁 4.2.1、公网IP业务防护：使用腾讯云防火墙(CFW)虚拟补丁 适用于绑定公网IP对外提供 http服务的业务类型，通过虚拟补丁功能，一键开启针对漏洞利用的检测与自动拦截，无需重启服务。 4.2.2、主机/容器防护：使用腾讯T-Sec主机安全（云镜）腾讯容器安全服务（TCSS）泰石引擎RASP+方案对主机/容器进行防御 泰石引擎RASP+方案支持精准防御，可自动注入RASP 插件， 通过插件管理、虚拟补丁部署，实现一键化漏洞主动防御。
2.8K31编辑于 2023-11-09 - 来自专栏RASP社区
攻防演练|RASP让WebShell攻击破防了
沙箱 & 蜜罐 通过攻守双方信息不对等的优势，预先埋好虚拟环境，让攻击者误以为进入了正常的业务系统，在发现攻击者上传 WebShell 或执行敏感操作时触发报警。 Spring 敏感注解 常见敏感类、包 Step 2 - 热门漏洞虚拟补丁和 SCA 分析 针对近几年常见的漏洞，提供虚拟补丁进行防护，相比云鲨缺省规则更精准、更高效： 提供运行时软件组成成分分析，能够快速梳理出业务系统正在使用的风险组件 ，并快速下发虚拟补丁，提供临时防护。 云鲨 RASP 通过对底层命令执行方法、I/O 等进插桩，只要触发了敏感行为探测逻辑，云鲨 RASP 均能在第一时间进行拦截并上报。 官网：https://rasp.xmirror.cn/
1.4K30编辑于 2023-04-17 - 来自专栏安全播报
Apache Solr代码执行漏洞自助处置手册
3、漏洞防御推荐配置根据业务类型可选择云防火墙虚拟补丁、Web应用防火墙基础安全进行防护，同时借助主机安全和容器安全泰石引擎RASP+解决方案对主机/容器进行防护：业务类型防护产品产品功能公网IP业务云防火墙虚拟补丁域名业务 Web应用防火墙基础安全（1）公网IP业务防护：使用腾讯腾讯T-Sec云防火墙(CFW)虚拟补丁适用于绑定公网IP对外提供服务的业务类型，通过虚拟补丁功能，一键开启针对漏洞利用的检测与自动拦截，无需重启服务 开启拦截模式即可拦截漏洞利用攻击流量；图片（2）域名业务防护：使用腾讯T-Sec Web应用防火墙（WAF）防御漏洞攻击适用于通过域名对外提供服务的业务类型，通过WAF可实现针对HTTP/HTTPS流量的漏洞防护与虚拟补丁 （3）主机/容器防护：使用腾讯T-Sec主机安全（云镜）腾讯容器安全服务（TCSS）泰石引擎RASP+方案对主机/容器进行防御泰石引擎RASP+方案支持java反序列化通用防御，可自动注入RASP 插件 ，通过插件管理、虚拟补丁部署，实现一键化漏洞主动防御。
2.4K40编辑于 2023-04-25 WAF和RASP技术，RASP与WAF的“相爱相杀”
WAF分为非嵌入型WAF和嵌入型WAF，非嵌入型指的是硬WAF、云WAF、虚拟机WAF之类的；嵌入型指的是web容器模块类型WAF、代码层WAF。 响应内容过规则：这一部分也叫做软补丁功能。为什么呢？如果webserver的应用服务抛异常了，并把异常信息显示在页面，这是一种常见的信息泄露。 如果需要研发团队来修改和测试，运维团队对该服务进行打补丁上线，整个过程可能持续几周，存在很大的风险窗口。如果在WAF上，对这些信息进行伪装或屏蔽，就可以极大降低安全风险。 例如对于应用在交付前来不及修补的漏洞，可以通过函数级别的虚拟补丁提供防护，保证应用按时交付。 极低的维护成本：除了根据需要配置虚拟补丁外，由于RASP从底层函数进行保护，所以基本上不需要对RASP的规则做任何调整即可实现应用的安全内建。
2.2K00编辑于 2024-04-09- 来自专栏RASP社区
RASP技术进阶系列（一）：与WAF的“相爱相杀”
目前很多WAF产品都提供了“虚拟补丁”功能，可以用来修复应用程序的缺陷，而不需要修改源代码。 RASP真能取代WAF吗？就像WAF是防火墙的演进版本一样，大家喜欢把RASP称为下一代WAF。 例如对于应用在交付前来不及修补的漏洞，可以通过函数级别的虚拟补丁提供防护，保证应用按时交付。 （3）极低的维护成本：除了根据需要配置虚拟补丁外，由于RASP从底层函数进行保护，所以基本上不需要对RASP的规则做任何调整即可实现应用的安全内建。 总结RASP和WAF最大的区别是：WAF的目的是发现可疑的流量，RASP则是发现具有威胁的行为。由于近期几次大的0day漏洞事件，RASP因其特点，在防护未知攻击方面，发挥了重要的作用。
1.2K30编辑于 2023-04-19 与WAF的“相爱相杀”的RASP
目前很多WAF产品都提供了“虚拟补丁”功能，可以用来修复应用程序的缺陷，而不需要修改源代码。 RASP真能取代WAF吗？就像WAF是防火墙的演进版本一样，大家喜欢把RASP称为下一代WAF。 例如对于应用在交付前来不及修补的漏洞，可以通过函数级别的虚拟补丁提供防护，保证应用按时交付。 极低的维护成本：除了根据需要配置虚拟补丁外，由于RASP从底层函数进行保护，所以基本上不需要对RASP的规则做任何调整即可实现应用的安全内建。 核心架构总结RASP和WAF最大的区别是：WAF的目的是发现可疑的流量，RASP则是发现具有威胁的行为。由于近期几次大的0day漏洞事件，RASP因其特点，在防护未知攻击方面，发挥了重要的作用。
68900编辑于 2024-05-24- 来自专栏腾讯云安全的专栏
面对层出不穷的绕过手段，RASP如何构建有效运行时防御？
01背景在当今数字化时代，企业面临着日益严峻的网络安全挑战，尤其是高危紧急漏洞的出现，常常让企业常陷入三重困境：官方补丁滞后、影响范围难以及时评估、修复过程恐影响业务连续性。 这些传统漏洞防护的痛点，正是RASP技术发挥独特作用的典型场景。本文将从产品视角出发，分享腾讯云主机安全RASP（以下简称：RASP）的建设思路。 对于这类漏洞，我们对照官方提供的修复补丁，定位到漏洞的具体类和方法，有针对性地开发热补丁，在不重启业务的情况下，完成对漏洞的修复。 整个利用过程虽然会起进程，但是是在JNI代码中起的，脱离了Java虚拟机，使得rasp无法监控进程的启动。 对于这样的漏洞，我们根据官方官方发布的补丁，在漏洞触发的类和方法处做了热补丁，实现了和官方补丁同样的效果，有效地防御了这个漏洞。
54210编辑于 2026-02-28 腾讯专有云企业版：容器安全服务（TCSS）产品架构与能力概要
此外，产品首创免重启（即开即用）的 RASP+泰石虚拟补丁防御技术，能在极低资源消耗下实现针对 0Day/nDay 漏洞的免疫级防护，解决传统安全产品（如防火墙、传统漏扫、EDR）无法监测东西向微服务流量 高级防御（漏洞防御）：基于 RASP+泰石漏洞引擎提供针对 0Day/nDay 的虚拟补丁，有效拦截黑客攻击。 安全基线与集群安全：针对容器、镜像、主机、K8s 进行配置合规检查。 防御性能：RASP+泰石漏洞引擎精准防御率与稳定性均达到 99.999%；轻量框架相比主流方案性能提升 60倍。 首创免重启防御机制：业内首创 RASP 虚拟补丁免重启技术，即开即用，实现 0Day 原生免疫。 海量样本库支撑：依托腾讯云全网百亿级样本，实现高检出、低误报。 解决方案：客户启用了 TCSS 的“新版漏洞管理”与“一键自动防御”功能，利用 RASP+泰石漏洞引擎的虚拟补丁能力。
19900编辑于 2026-05-30应对监管常态化核查：构建云上“两高一弱”分钟级发现与自动化闭环体系
采用“黑盒（暴露面管理、渗透测试）+ 白盒（主机Agent、日志检测、漏洞情报、镜像扫描、代码审计、RASP）”双向匹配技术，精准定位风险。 对高危暴露端口执行一键封堵；对业务漏洞提供应用RASP补丁及网络虚拟补丁；结合堡垒机与远程运维实现配置自动化修复。 修复闭环指标： 针对关键漏洞，提供一键应用补丁（RASP/虚拟补丁）、一键封禁高危端口、一键修复弱口令功能，消除协作摩擦。
15300编辑于 2026-05-30腾讯专有云企业版容器安全服务（TCSS）技术概要
高级防御：集成RASP漏洞防御引擎。 2. 硬核指标 性能指标：Agent平均CPU占用<1%，内存占用30MB（来源：腾讯云公有云数据）。 漏洞防御创新：采用RASP+泰石引擎，实现0Day漏洞虚拟补丁防护，拦截事件关联CVE编号。 解决方案：启用TCSSRASP虚拟补丁功能，自动拦截JNDI注入攻击。 成效：实现免重启防护，攻击拦截率99.999%（来源：腾讯安全攻防测试）。
16400编辑于 2026-05-30- 来自专栏RASP社区
好文赏析：一文读懂运行时应用程序自我保护（RASP）
RASP作为一种新型的、有效的、实时的应用保护手段，正被越来越多的企业使用，本文用浅显易懂的文字讲解了RASP技术、RASP与WAF的关系，并提供了应用解决方案，快来阅读吧~DevSecOps流程与RASP Web和非Web应用程序都可以受到RASP的保护。因为RASP的检测和保护功能运行在应用程序上，所以这项技术并不影响应用程序的设计。运行时应用程序自我保护（RASP）如何工作？ 运行时应用程序自我保护与应用程序运行时环境集成，无论它位于或在何处创建，例如服务器、虚拟机、容器，或者无服务器功能，都能与应用程序的运行时环境一起工作。 传统的安全工具，如虚拟专用网络(VPN)、WEB 应用防火墙和网络访问控制(NAC)，配置起来非常耗时，并且，通常情况下，开发人员都不参与这些配置。 RASP 可以更好地防止零日攻击(软件漏洞被发现当天发生的网络攻击)，也可以在应用程序的补丁长时间不可用时提供短期修复。RASP 提供更低的资本支出和运营成本。
2.6K30编辑于 2023-04-23 2026年网络入侵防护产品盘点：哪些支持虚拟补丁？
据统计，漏洞被发现后，企业平均需要38天才能完成补丁修复，而攻击者最快只需几分钟即可发起入侵。在这种背景下，“虚拟补丁”技术成为企业安全防御体系中至关重要的应急防线。 根据2026年最新市场信息，我们梳理了以下几款代表性产品： 产品名称 厂商 虚拟补丁支持情况 核心特点 适用场景 腾讯云网络入侵防护系统（NIPS，腾讯天幕） 腾讯云 明确支持，其“应用场景”中包含“虚拟补丁防护 腾讯云Web应用防火墙（WAF） 腾讯云 明确支持，提供“0day漏洞虚拟补丁”功能。 腾讯安全团队7*24小时监测，通常在漏洞披露后24小时内下发虚拟补丁规则，用户无需操作即可获得防护。 虚拟补丁作为其重要的应用场景之一，能够有效应对攻防演练、等保测评中发现的漏洞，在无法立即安装官方补丁时，提供关键的时间缓冲和防护屏障。 结语 虚拟补丁已不再是高端安全产品的专属功能，它正成为现代网络入侵防护产品的“标配”。企业在选择产品时，除了关注是否支持虚拟补丁，更应考量其部署方式、性能影响、阻断效率以及与现有体系的融合度。
35510编辑于 2026-03-04腾讯专有云企业版容器安全服务 (TCSS) 产品概要
核心差异化卖点： 技术架构： 采用超融合架构，支持免重启的 RASP 虚拟补丁技术，实现 0Day 漏洞的原生免疫。 高级防御： 基于 RASP 技术的漏洞防御系统（泰石引擎）。 2. 创新 RASP 防御： 首创免重启技术，即开即用；支持0Day 原生免疫，一键防御覆盖 TOP 高危应急漏洞（如 Log4j）。 解决方案： 利用 TCSS 集成的 RASP+泰石漏洞引擎，开启一键防御功能。无需重启业务容器，通过虚拟补丁技术在运行时拦截攻击。 成效： 实现了 0Day 原生免疫，快速响应高危应急漏洞。
23310编辑于 2026-05-30- 来自专栏FreeBuf
OpenRASP梳理总结
RASP的诞生 RASP英文为 Runtime application self-protection，即运行时应用程序自我保护。 漏洞依然存在 使用 RASP 并不是真正建立一个安全的应用，系统中存在的漏洞还是存在。应用RASP，只是临时提供一个虚拟补丁修补上已知漏洞，如果不用RASP，这些漏洞还是存在。 另外RASP也不能修复所有的漏洞，漏洞时刻在更新。因此，将RASP和扫描工具结合起来将会更有价值。 tar -xzvf /rasp-cloud.tar.gz 2.启动管理后台 （1）进入解压缩后的rasp-cloud文件夹（以解压缩后的名字为准） . tar -xzvf rasp-java.tar.gz 2.安装探针 （1）进入解压缩后的rasp文件夹（以解压缩后的名字为准） cd rasp-2019-07-11 （2）安装rasp java -jar
1.9K30发布于 2019-11-06 - 来自专栏RASP社区
GOTC演讲回顾|基于代码疫苗技术的开源软件供应链安全治理
每个应用程序开发项目平均有49个漏洞和80个直接依赖项，而修复开源漏洞所需的时间也在逐年增加：2018年，修复安全漏洞平均需要49天；但在2021年，开发一个补丁大约需要110天。 再演进到当下更加注重自动化的DevOps；应用架构方面，从单体应用巨石架构到SOA（面向服务的架构），再迭代到如今盛行的微服务架构；基础设施方面，从数据中心到托管服务器，再到云基础设施；运行环境方面，从物理机到虚拟化 出厂免疫：针对今后随时可能爆发的未知0DAY漏洞，使用RASP应用自防御能力，针对该类漏洞的攻击利用方式进行精准有效的防护，并通过应用的函数行为分析、上下文情境感知及热补丁技术有效阻断绝大部分RCE类未知漏洞攻击 SBOM能够列出管理这些组件的许可证、代码库中使用的组件的版本及其补丁程序状态。 详情欢迎访问云鲨RASP官网https://rasp.xmirror.cn/
59410编辑于 2023-06-25 - 来自专栏RASP社区
RASP技术进阶系列（二）：东西向Web流量智能检测防御
如果是0day漏洞，可能官方还未提供更新版本或者补丁；如果是老旧系统，存在版本已经停止维护的情况。2）使用漏洞情报中的临时修复方案。 ，覆盖中间件、单应用、微服务等；5）敏感数据审查：基于可获取应用内部数据输入、操作、内容的先天技术优势，可针对业务侧关注的个人信息、业务数据等敏感信息进行合规审查，必要时进行输出阻断和过滤；6）应用热补丁 ：对已上线的重要应用系统，当出现重大漏洞短时间难以修复时，可以动态下发热补丁进行修复，在不中断业务的同时为应用系统提供临时防护，为漏洞修复争取宝贵的时间；7）东西向流量分析：以微服务架构作为基础，除了对应用间流量和东西向流量描绘 因而可以认为，主机层EDR技术和应用层RASP技术并不存在应用场景的冲突。 云鲨RASP 点击使用
1.4K30编辑于 2023-04-23 - 来自专栏绿盟科技研究通讯
RSA 创新沙盒盘点| Sqreen—WAF和RASP综合解决方案
Sqreen为企业提供应用程序安全服务，通过一个微代理（Microagent），以模块化的方式提供In-App WAF、RASP、虚拟补丁等安全防护能力，并可进行自动化监控，并通过安全管理平台可管理的应用程序安全 三、产品介绍 Sqreen产品平台主要包括应用程序运行时自我保护（RASP）以及In-App Web应用防护系统（In-App WAF）。 01 Sqreen RASP Sqreen的RASP防护模块可防护OWASP Top 10漏洞（例如SQL注入，XSS攻击，代码注入等），从而降低数据泄漏带来的风险。 该RASP架构可以在传统的HTTP层防护外，有更深入的可视度和防护能力。 五、总结 WAF和RASP已经是当前Web安全防护的重要产品，特别是WAF，已成为大部分企业部署Web安全机制时都会用到的安全防护产品。
1.5K10发布于 2020-02-25
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号