它们的用途是什么
当直接代码、云或运行时修复无法立即交付时，临时补偿控制可帮助团队降低实际风险。
跟踪什么
每个控制记录所有者、理由、批准状态、编排参考和 TTL，以便异常窗口保持明确且可审查。
审核如何运作
过期的控件会进入需要审查的状态，并通过警报工作流程显示出来，以便团队可以扩展、替换或撤销它们。
推荐操作流程
1. 选择干扰最小的控制
对公开的应用程序路径使用 WAF 规则，对主机/运行时风险使用 EDR 隔离，对降低可达性进行分段，并在可以临时收紧访问或配置时使用策略强化。
2. 保持较短的例外窗口
每个临时控制措施都应有指定的所有者、明确的原因以及与预期修复时间表相匹配的有限 TTL。
3. 过期前审核变成漂移
将过期的临时控制措施视为治理工作，而不是背景噪音。仅以新的理由延长期限，或在永久修复完成后撤销它们。
包括控制类型
- 针对暴露的应用程序路径的 WAF 虚拟修补
- EDR 遏制或隔离主机/运行时结果
- 网络分段以减少可达性
- 针对有风险的权限或配置的临时策略强化