去年秋天，网络一个做电商的防护朋友半夜给我打电话，说店铺后台被人改了收款账户，措施半小时内损失了四万多。网络他服务器没打补丁，防护管理员密码是措施“admin123”。这件事让我意识到，网络网络防护不是防护大公司才需要操心的事，普通人、措施小团队照样会被盯上。网络下面这些措施，防护有些是措施基本操作，有些容易被忽略，网络但都管用。防护

先管住“门”：密码和身份验证

很多人觉得密码设成生日加名字缩写就够复杂了。措施实际上，暴力破解工具每秒能试几万次组合。我自己的习惯是：用密码管理器生成16位以上的随机字符串，每个重要账户都不一样。别嫌麻烦，你只需要记住一个主密码。另外，只要平台支持，双因素认证（2FA）一定要开。短信验证码虽然不算最安全，但比没有强太多。有条件的话，用身份验证器App或者硬件密钥，比如YubiKey。去年GitHub上有个开源项目维护者，因为没开2FA，仓库被恶意提交了挖矿代码，三天后才发觉。

网络边界：防火墙和路由器设置

家用路由器出厂默认密码往往就是“admin”，而且远程管理端口经常开着。我见过一个案例：攻击者扫到某小区大量路由器，用默认密码登录后修改DNS，把用户访问的银行网站指向钓鱼页面。所以，买回路由器第一件事——改管理员密码，关掉WPS和远程管理。企业网络里，防火墙规则别图省事设成“允许所有”。默认拒绝，只放行必要端口，比如只开443和80给Web服务。Windows自带的防火墙也别关，它至少能拦住一些局域网内的扫描。

终端防护：软件更新和杀毒

“更新重启好烦”——这大概是最大的安全漏洞。微软每个月的补丁日，修复的漏洞里有不少已经被实际利用。我自己的Windows机器设置了自动更新，但会推迟重启到半夜。杀毒软件现在不推荐装多个，Windows Defender足够日常使用，别去下载那些带广告的“安全卫士”。Mac用户也别大意，去年发现过针对macOS的恶意软件通过破解版设计工具传播。移动端同理，别随便侧载未知来源的App。

数据本身：备份和加密

勒索病毒最狠的地方不是加密你的文件，而是你没有备份。我认识一个摄影师，所有作品只存一块移动硬盘，结果中招后硬盘也被加密，哭都来不及。备份要遵循“3-2-1”原则：三份数据，两种不同介质，一份放在异地。比如电脑本地一份，NAS一份，云盘一份。重要文件用VeraCrypt或BitLocker加密，就算硬盘丢了，别人也读不出来。加密不是万能的，但不加密等于把日记本摊在桌上。

人的因素：别乱点，别乱插

技术措施再全，也架不住有人主动把门打开。钓鱼邮件现在做得极像真的——发件人显示成“财务部”，附件是“十月工资表.xlsx”，打开后宏病毒就跑了。我自己的判断习惯：任何带附件的邮件，先看发件人完整地址，再看附件后缀（.exe、.scr、.js直接删）。U盘也是重灾区，捡到的U盘千万别插电脑，好奇害死猫。公司里可以定期做模拟钓鱼演练，但别罚钱，罚钱只会让人隐瞒中招事实。

监控和响应：知道发生了什么

很多人直到钱没了才发现被入侵。其实系统日志里早有痕迹——比如半夜三点有陌生IP登录成功，或者某个进程突然往外发大量数据。个人用户至少开启登录失败提醒，企业可以部署简单的SIEM或者用开源工具如Wazuh。我自己的服务器上跑了fail2ban，自动封禁多次尝试SSH失败的IP，半年下来封了上千个地址。发现异常后，第一件事是断网，第二是改密码，第三是查后门。别急着格式化重装，那样会丢掉证据。

网络防护没有一劳永逸。今天管用的措施，明天可能就被绕过。但把上面这几层叠起来——强密码、防火墙、及时更新、备份、加密、不瞎点、看日志——能挡住九成以上的常见攻击。剩下的那一成，拼的是反应速度。别等出事才后悔，现在就去改掉那个用了五年的旧密码吧。

(责任编辑：焦点)