我是贺景，一个被网络安全行业“困住”十年的安全顾问。
平时的工作，说好听点是做安全咨询，说直白一点，就是在各种企业“翻垃圾”：翻他们的系统漏洞、翻他们的错误配置、翻他们那些“应该改却一直拖”的安全隐患。
接触得多了，我越来越有一个强烈的感觉——大多数人以为自己“还算安全”，其实只是暂时没被捅破窗户纸而已。
你今天点开的这个话题——“网络安全防护措施有哪些”——在会议室里是一个很硬的技术议题，在你我这种日常使用者眼里，其实就是一句话：{image}我到底要做些什么，才能不那么容易被黑、被盗、被坑？
我打算不跟你绕弯子，不堆术语，就用一个安全顾问的视角，把我自己在企业、个人案例里总结出来的那几件“必须做”的事，摊开给你看。你看完，可以挑自己做得到的去用，不需要一次全做完，但只要动起来，你的风险就已经和周围大多数人不在一个水平线上了。
很有意思的一点是，大多数严重的网络安全事故，都不是从“高大上的黑客对决”开始的，而是从一些极其日常的小动作里延伸出来。
我在一个互联网公司做安全评估时，遇到过这样一个真实的情况：
公司某个产品经理，技术不算差，自认为“安全意识挺高”。他的习惯是所有账号都用不同密码，还会定期更换。听起来非常标准对不对？
结果公司被攻击后，我们逆向排查发现，攻击路线非常“平民化”：
- 他在一个小众的网盘网站注册过账号，为了图方便，用了一个和自己常用邮箱类似但不完全一样的密码；
- 这个小众网站数据库泄露，被人打包拿到黑市出售；
- 攻击者拿到泄露的邮箱和密码后，用脚本在各大平台“撞库”，稍微改一改组合；
- 成功登录了他的一封长期不用、却还在接收很多系统通知的旧邮箱；
- 通过这封旧邮箱的“找回密码”，一步步攻进了公司内部系统。
“网络安全防护措施有哪些？”在我看来，有一个很残忍的前提——你不是在防一个“超级黑客”，你是在防一群流水线化、脚本化、盯着你犯懒的“半自动攻击者”。
有了这个前提，后面所有措施才好理解，也更容易坚持做下去。
密码，是每个安全顾问讲烂了的主题，但我还是要用一点点篇幅单独说，因为太多人“懂道理，却做不到”。
我自己给非技术朋友的密码“简易版指南”只有三句话：
- 所有重要账号都要有“独一份”的密码
- 用密码管理器，不要靠记忆和小本子
- 能开二次验证就一定打开
聊开一点，会更清楚。
很多人以为：“我密码挺复杂，字母加数字还带符号，应该没问题。”遗憾的是，如果你在多个网站用同一个密码，这个复杂密码的作用，远远不如你想象中大。
原因很直接：今天一个中小网站被攻破，数据库被打包卖掉，你的邮箱+密码就已经是公开商品，价格甚至可以低到几块钱几百条。攻击者拿这份数据，到各大平台轮番“撞库”，你的银行、邮箱、社交账号，都是下一个目标。
所以我会建议你做两件“立刻可执行”的改变：
把你能想到的“最重要的那几个账号”列出来：比如微信、支付宝、常用邮箱、网银、Apple ID / Google账号、常用购物平台。这些账号的密码，必须互不相同，哪怕你其他地方还没来得及改，也先把这几类保护好。
使用一款正规的密码管理器：不用记住每一个复杂密码，只需要记住一个总密码。很多国外知名的密码管理器会做数据加密，而且安全事故发生时会公开透明披露（可以简单查一下相关新闻，比什么宣传都实在）。
再说说二次验证。
你可能已经有过类似体验：登录某个账号时，需要输入手机收到的验证码；或者扫码确认登录。这些就是二次验证。在我接触的企业案例里，那些没有开启二次验证的关键账号，被盗的概率要比开启的高出一大截。国外一些调查也给过类似的数据，例如微软在公开分享中提到，开启多重身份验证后，可阻挡超过 99% 的自动化账号攻击。
所以我的个人建议是：看到“开启二步验证、多重验证”的选项，不要犹豫，直接打开。你会发现，自己能被攻击的路径，一下少了一大半。
我有个习惯：只要在咖啡馆坐得够久，总能看到有人连着店里的免费Wi-Fi，开始登录公司后台、传文件、网上转账。
每次我看见都会有点紧张——不是替他们紧张，而是替我自己紧张：如果攻击者在附近做了一个钓鱼热点，把店里的Wi-Fi名字照抄一份，连我都有可能一不留神连错。
围绕“网络安全防护措施有哪些”，有一个容易被忽略的现实：攻击者并不总是在远处，他们可以离你只有一张桌子的距离。
你可以记住几个实用的“小习惯”，成本不高，防护效果却很明显：
公共Wi-Fi环境下，避免做重要操作比如登录公司VPN、管理后台、网银，大额转账。实在要做，尽量使用手机流量，哪怕多花一点钱，远比出事之后省心得多。
不随便点“免费电影、免费破解软件、免费课件”这类链接很多挂着“免费”旗号的下载站，其实充斥着捆绑软件、恶意插件、挖矿程序。你以为只是电脑有点卡，却不知道在后台已经默默被植入了一堆东西。
碰到浏览器突然弹出的“你中病毒了，请立刻扫描”的页面关掉浏览器就行，不需要去点“立即扫描”，更不要下载它推荐的软件。真正负责的杀毒软件不会这么戏剧化登场。
你可以不记一大堆术语，但可以记一句简单的自己的原则：凡是特别主动来“帮你省事、帮你修复”的东西，都多加一个问号。
你有没有这样的习惯：手机一有系统更新，就弹窗提醒；你点“稍后”，然后一拖再拖，拖到有一天储存空间爆了，或者手机卡得不行，才勉强更新一次。
对普通用户来说，这只是“懒”和“嫌麻烦”；对一个安全顾问来说，我看见的却是：一个个已经公开的漏洞，迟迟没有被修补的设备。
全球范围内的很多勒索病毒、蠕虫式攻击，其实都是利用了系统早已发布补丁的老漏洞。比如那几年闹得沸沸扬扬的 WannaCry 勒索事件，波及了全球几十万台设备，后来分析发现，其中不少受害者其实只要提前更新系统补丁，就能直接挡住那一波攻击。
在“网络安全防护措施有哪些”的清单上，我会郑重地写上这一条：
养成“见更新就处理”的习惯不论是手机系统、电脑系统，还是常用浏览器、办公软件、杀毒软件，只要是来自正规渠道的更新，能更新就更新。它不只是修Bug、提升体验，更重要的是——在悄悄给你打补丁，堵枪眼。
对那些已经停止维护的老软件，尽量学会“说再见”比如某些年久失修的输入法、播放器、盗版软件。越老、越没人维护、越离奇难找的资源，安全风险往往越高。
我经常对朋友讲一句略带调侃的话：你不更新系统，是在跟攻击者做时间的朋友。拖得越久，所谓“零日攻击”就越不需要，他们只要利用旧漏洞，就足够了。
接触过太多社工类攻击之后，我很难再轻描淡写地说“隐私保护”这个词。
在真正的攻击场景里，隐私信息不是一个高大上的概念，而是攻击者手里最顺手的“工具箱”：地址、手机号、身份证号、家人姓名、常用昵称、工作单位……这些信息一旦被拼在一起，你在网络上的“人设”就被勾勒出来了。
从一个安全顾问的视角来看，个人在网络安全防护这块，可以做的动作，其实朴素到有点“土”：
填表时，问自己一句：这个信息真有必要提供吗？不是所有注册都要身份证号，不是所有活动都要真实家庭住址。能少给一点，就少给一点，尤其是一些你并不完全信任的平台。
公开发照片、视频时，稍微看一眼背景车牌、门牌、工牌、孩子就读学校的校服，这些东西的曝光，意味着你的真实生活在慢慢“被拼图”。攻击者做社工时不用多，只要掌握几个关键点，就有机会绕过一部分验证。
那些“帮你查信用”“帮你测匹配度”“帮你看谁暗恋你”的小程序真正值得信任的服务，会很严谨地说明数据用途、授权范围。纯靠“好玩”“娱乐”的东西，却让你输入大量个人信息，这种行为本身就已经有点不对劲。
在很多诈骗案件的前半段，攻击者并没有用到什么高超技术，只是通过各种渠道，慢慢把一个人的信息拼完整。当他们拿着这些信息，冒充客服、冒充快递、冒充银行员工，打给你的时候，你会发现自己本能地就开始信任了。
从防护角度来说，你不需要做到绝对“隐身”，那不现实。更实用的做法是：减少不必要的暴露，延缓对方“拼图完成”的速度。
如果你看到这里，大概已经发现，我并没有罗列一个特别“专业”的、长长的目录，来回答“网络安全防护措施有哪些”。
从一个一线安全顾问的视角看过去，我更相信这几件事的累积效果：
- 不再用同一个密码走遍天下；
- 重要账号开启二次验证；
- 对“免费”“破解”“突然弹出的安全提醒”保持一点点怀疑；
- 系统和软件的更新不再无休止拖延；
- 在网络世界里，对自己的信息稍微多一分“吝啬”。
如果你愿意在接下来的就挑一件能做到的事情去改一下，比如：现在就去修改你最重要三个账号的密码；或者，马上把常用手机系统和浏览器更新完；又或者，删掉几个你不再使用、却还在收集你权限的奇怪APP。
那这篇文章对你来说，就已经不仅仅是“看完就忘的安全科普”，而是你和过去那个“觉得自己暂时没事”的自己，划出的一条细细的界线。
安全从来不是绝对的，连我自己也不能说“万无一失”。但我很确定的一件事是：在风险面前，主动一点的人，总是走得更远一点。
如果有机会，我们可以再慢慢聊聊那些更进阶的东西，比如家庭路由器的安全配置，公司内部权限的划分，或者如何给孩子做网络安全教育。可那都是后话了。
此刻最重要的，是你愿不愿意从这一刻起，对“网络安全防护”这四个字，认真一点。不是为了别的，就为了有一天，再遇上那些漂亮又危险的陷阱时，你能轻描淡写地说一句：
“谢谢，我知道这种套路，我已经有自己的防护措施了。”
