网络防护措施

去年十月，网络一位做外贸的防护朋友收到一封"客户"发来的合同附件。文件名正常，措施图标正常，网络双击打开后屏幕闪了一下，防护然后一切照旧。措施三天后，网络公司账户里少了十七万美金。防护那封邮件里的措施附件藏着一个宏病毒，专门窃取浏览器保存的网络密码。他说自己装了杀毒软件，防护也从来没关过防火墙。措施问题在于，网络他用的防护那套防护方案已经三年没更新过规则库。

这件事说明一个很朴素的措施道理：网络防护不是装个软件就完事了，它更像给房子换锁——锁会老化，开锁的手段却在天天翻新。

密码这件事，大多数人做得不及格

我查过自己团队二十几个人的密码习惯，结果不太好看。有人所有平台共用一个密码，有人用生日加名字拼音，还有人把密码写在便签纸上贴在显示器边框。共用密码的风险在于，任何一个平台发生数据泄露，攻击者会拿着这组账号密码去撞其他网站——这叫"撞库"，成功率比很多人想象的高得多。

正确的做法说起来不复杂：每个重要账户用独立密码，长度至少十二位，混合大小写字母、数字和符号。记不住怎么办？用密码管理器。Bitwarden、1Password、KeePass都行，选一个自己顺手的。你只需要记住一个主密码，其余的交给工具生成和填充。这一步做完，安全水平立刻甩开一大半人。

双重验证，多一道门就多一层命

密码泄露了怎么办？如果开了双重验证（2FA），攻击者光有密码也进不去。双重验证的逻辑是：登录时除了输密码，还需要第二个凭证——手机上的动态验证码、硬件密钥、或者指纹。

短信验证码是门槛最低的方案，但安全性一般，因为SIM卡可以被克隆。更好的选择是TOTP类应用，比如Google Authenticator或者Authy，验证码在本地生成，不走短信通道。最高级别是硬件密钥，像YubiKey那种U盘形状的东西，插上才能登录。谷歌从2017年给员工配了硬件密钥之后，再没发生过账号被钓鱼的事件。当然，普通人用TOTP应用就够了，关键是——去开。

软件更新不是骚扰，是补墙

系统弹窗提示更新，多数人的第一反应是点"稍后提醒"。这个动作等于把已知的漏洞敞着门。攻击工具在网上流传的速度极快，一个漏洞被公布后，几小时内就会有自动化扫描器开始寻找未修补的目标。

我的习惯是把操作系统和浏览器的更新设为自动，路由器固件每隔两三个月手动检查一次。路由器经常被忽略，但它恰恰是家庭网络的第一道关口。默认管理员密码不改、固件不更新，等于把大门钥匙插在锁孔上。

公共Wi-Fi：方便背后有代价

咖啡店、机场、酒店的免费Wi-Fi，我一般不用来处理敏感操作。开放网络里，同一网络下的其他人可以抓包分析流量。即便很多网站用了HTTPS加密，攻击者仍可以通过伪造热点的方式做中间人攻击。

如果非用不可，至少做到两点：确认热点名称是店家官方提供的（别连那种名字相似但多一个字母的假热点），以及全程开启VPN。VPN会把你的流量加密后转发，局域网里的人看到的是乱码。

备份，最后的底牌

勒索病毒这几年特别猖獗。它的逻辑很简单：加密你所有文件，交赎金才给解密。防护手段再严密，也不能保证百分之百不被入侵。这时候唯一能救命的就是备份。

备份有个"3-2-1"原则：至少三份数据，存在两种不同介质上，其中一份放在异地。我自己是一块移动硬盘做本地备份，加上云存储做异地备份，每周同步一次。听起来麻烦，但真出事的时候，这是唯一能让你不慌的东西。

网络防护没有一劳永逸的方案。它是一组习惯的集合——强密码、双重验证、及时更新、谨慎联网、定期备份。每一条单拎出来都不难做到，难的是持续做。攻击者不需要你犯大错，他们只需要你有一次偷懒。