注意：说明：
注意：应用防护是在原 Java 内存马与漏洞防御能力基础上升级的新功能，当前灰度升级中，如你的主机安全控制台未展示高级防御 > 应用防护入口，可 联系我们 申请开通。
一、应用场景
| 场景 | 痛点 | 应用防护方案 | 核心优势 |
| 热点漏洞突发 | 应用漏洞暂无修复方案，期望应用防护作为缓解措施争取修复时间。 | 情报-引擎-产品打通，分钟/小时级识别漏洞是否可防御；支持检测后一键开启防御。 | 响应时效性强 |
| 常态化漏洞治理 | 应用漏洞多、修复链路长，因业务原因无法快速闭环，风险长期存在。 | 具备多维度漏洞防护与通用攻击防护能力，并标记漏洞是否支持防护，辅助推进闭环。 | 攻击覆盖面广 |
| 重保场景 0day 攻击 | 重保期高风险资产需应对未知 0day，需快速完成检测与防御。 | 支持 0day 漏洞防御与内存马检测，可快速开启拦截。 | 0day 兜底能力强 |
二、功能原理
应用防护部署在应用进程内部，核心目标是防御“已经进入应用执行链路”的攻击。应用防护插件在关键函数调用点执行运行时检测，结合请求参数、调用堆栈、触发函数等上下文识别风险，并按防护配置执行：仅告警不拦截、告警并拦截。相较仅依赖边界流量特征的方案，应用防护更关注真实执行行为，能够提升对攻击链路的识别准确度与处置及时性。
三、运营策略
以下是应用防护日常运营的关键动作，建议采用“先观察、后收敛、再加严”的渐进式策略，在保障业务稳定的前提下逐步提升拦截强度。
四、限制说明
| 限制类型 | 说明 |
| 系统要求 | Linux 系统主机（JDK 版本 ≥ 1.6.0），目标主机或容器节点已安装并正常运行 Agent。 |
| 开通条件 | 需同时满足以下条件：授权条件（满足任一项）：1）客户于 2026 年 1 月 28 日前购买容器安全专业版，且已获得应用防护赠送权益；2）客户已购买主机安全旗舰版，且与目标节点完成绑定；3）客户已购买重保防护包，且与目标节点完成绑定。开通条件：在应用防护 > 防护开关配置 中对目标节点开启防护开关。 |
注意：说明：
注意：为明确计费规则并保障能力长期稳定，容器安全专业版的应用防护赠送策略调整如下：
五、防护范围
应用防护包含三类能力：漏洞防御、内存马注入和内存马扫描。
·应用防护攻击：含漏洞防御与内存马注入。生成虚拟补丁，有效拦截黑客攻击行为与未知漏洞防御（详见下表）。
·内存马扫描：支持检测静态内存马风险。
| 能力类别 | 代表攻击类型 |
| 注入与执行类 | 内存马注入、表达式注入、反序列化、命令执行、JNDI 注入、JNI 注入、XXE、XPath 注入、SQL 注入、线程注入 |
| 文件与路径类 | 任意读取文件、遍历目录、JSTL 文件包含、恶意写文件、任意删除文件、恶意上传文件 |
| 协议与外联类 | AJP 协议、URL 重定向、恶意 DNS 查询、危险协议、SSRF、IP 阻断策略 |
| 组件与框架类 | 引擎注入、SpringBoot Actuator、恶意 Beans、JDBC 连接、高危方法调用、Unsafe |
| 对抗与后门类 | 恶意 Attach、恶意反射调用、恶意类加载、扫描器检测、WebShell 后门 |
注意：说明：
注意：应用防护不支持漏洞修复，需配合代码/组件修复闭环；也不支持边界防护，CC、Bot、访问控制等仍建议由 WAF/网关承担。
六、步骤一：安装 Agent
应用防护依托主机安全 Agent 提供能力，无需单独安装新的应用防护组件，轻量无负担。
·已安装并在线运行主机安全 Agent 的资产，可直接开启应用防护；
·尚未安装 Agent 的资产需先完成安装并确保在线后，再开启应用防护。
注意：说明：
七、步骤二：购买并绑定授权
在 应用防护 页面，查看当前主机安全旗舰版授权数和重保防护授权数，二者均支持应用防护能力，用户可根据自身情况按需选购，并绑定资产。
注意：说明：
八、步骤三：开启防护
注意：说明：
注意：开启防护时可能出现瞬时资源升高，通常会逐步回落，建议优先在业务低峰期执行。
九、手动开启防护
1. 在应用防护 > 防护开关配置 页面，选择目标资产，单击操作列的编辑防护配置。
2. 在编辑防护配置窗口中，按需进行配置，单击保存。
·防护项：应用防护攻击（含漏洞防御、内存马注入攻击）、内存马扫描。
·检测方式：
·标准模式：对高可信度风险进行告警，推荐日常运营场景。
·重保模式：在标准模式基础上增加泛化规则，存在一定误报率，推荐重保场景使用。
·拦截设置：仅告警不拦截、全量拦截、仅拦截标准模式告警
·按需勾选更多保护、性能阈值并针对所选资产开启防护开关。
3. 如需了解更多手动开启防护方式，请参阅以下内容。
热点漏洞突发场景下开启常态化治理场景下开启1. 获取热点漏洞信息：在 漏洞管理 页中的漏洞概览模块，可以查看新披露漏洞信息，并告知当前是否支持对该漏洞的检测和防御。2. 热点漏洞自查：单击立即扫描，针对该漏洞选择主机范围进行扫描。3. 热点漏洞应对措施：针对已检出漏洞的资产进行漏洞修复或单击开启防御，以实现应用防护-漏洞防御。1. 获取漏洞可防御信息：在 漏洞管理 / 网络攻击 页面，处理告警时，查看已检出的漏洞或漏洞利用攻击是否支持防御。2. 开启应用防护：单击开启防御即可。
十、自动开启防护
在 应用防护 页面，开启自动绑定重保包授权，可自动绑定未授权的节点；默认不开启自动防护，用户需手动打开才会自动生效。
注意：说明：
注意：对已使用漏洞防御的存量客户，若在原漏洞防御功能中，设置了防御主机范围是全部旗舰版主机，应用防护会自动沿用该策略，即默认开启新增资产自动开启防护。
十一、步骤四：查看告警
1. 在应用防护 > 告警详情页面，选择告警，单击详情。
2. 在详情页面中查看告警详情，判定是否为误判。
十二、步骤五：误报加白
1. 在应用防护 > 告警白名单页面，单击添加白名单，或单击目标规则操作列中的编辑，对白名单规则进行编辑。
2. 在添加白名单规则页面，按误报类型选择模块：漏洞防御、内存马扫描、内存马注入。
3. 配置加白内容与生效资产范围，单击保存，等待规则生效（通常约 5 分钟）。
十三、应用防护与 WAF 有什么区别？
WAF 侧重边界流量防护，应用防护侧重应用内部运行时行为防护，两者能力互补，建议二者同时使用。
| 对比项 | WAF | 应用防护 |
| 防护位置 | 网络边界（七层流量） | 应用进程内部（运行时层） |
| 检测原理 | 基于流量特征匹配与过滤 | 基于函数 Hook + 运行时调用上下文识别真实执行行为 |
| 擅长场景 | CC、Bot/爬虫、扫描器、访问控制、API 安全等流量型攻击 | 0day、内存马、复杂/加密流量、非 HTTP 协议、内网横向移动 |
| 0day 防御 | 依赖规则更新，存在滞后性 | 默认支持，无需额外规则即可识别 |
| 加密流量 | 需先解密才能分析 | 进程内天然可见，无解密压力 |
| 虚拟补丁 | 基于流量特征，难精确定位漏洞代码 | 可精确定位漏洞利用的执行代码 |
| 性能影响 | 对应用与业务基本无直接影响 | 运行于应用进程内，有轻量性能开销 |
十四、应用防护与旧版漏洞防御的区别？
相较旧版漏洞防御，新版应用防护在计费模式、防护能力、应急响应、稳定性与运维管控等多个维度全面升级，老客户可平滑切换至新能力。
| 优化点 | 变化 |
| 计费模式 | 应用防护支持独立计费（无需购买主机安全防护授权，仅 购买重保防护包 即可）。应用防护支持主机与容器视角，采用节点级计费方式，同一节点只收取一次费用。 |
| 防护能力 | 增强漏洞防护与通用攻击防护能力，扩大对常见高风险漏洞及攻击场景（如内存马、漏洞利用）的覆盖，提升整体安全防护与运营闭环能力。 |
| 内存马检测 | 由仅支持精准 Java 类扫描，升级为通用 Java 内存马检测，覆盖静态检测 + 注入防御。 |
| 主机/容器一致性 | 由能力不对齐（容器仅支持精准漏洞防御），升级为主机与容器能力完全对齐。 |
| 应急响应 | 情报-引擎-产品打通，在热点漏洞爆发后 24 小时内即可确认是否可防御。 |
| 稳定性 | 解决注入时 CPU 短时资源升高问题，设立动态监控体系，进一步提升稳定性与兼容性。 |
| 运维管控 | 由基础开关配置，升级为细粒度灰度管控、自定义资源 bypass、细粒度加白、日常/重保场景分离。 |
十五、应用防护和重保防护包是什么关系？
·应用防护：是主机安全提供的功能能力，整合了原 Java 内存马检测与漏洞防御。
·重保防护包：是应用防护的计费载体，一个防护包内包含多个授权（如：小型防护包含150个授权），支持通过扩展防护按需增加。
·重保防护包-授权：1授权等于1节点的应用防护能力。
注意：说明：
十六、如何判断已成功接入？
在应用防护 > 防护开关配置中查看目标资产插件状态，确认插件状态为使用正常。
十七、为什么看不到告警数据？
·插件注入异常或防护未开启；
·时间窗口内无有效攻击行为；
·查询筛选条件（资产/时间/类型）不匹配。