防毒軟件與安全瀏覽：建立多層安全防禦體系
沒有任何單一安全工具能防禦所有威脅。多層防禦——結合防毒軟件、安全瀏覽習慣、DNS過濾和備份——建立全面的安全態勢，在任一層防禦失效時能夠補位。
沒有任何單一安全工具能防禦所有威脅。多層防禦——結合防毒軟件、安全瀏覽習慣、DNS過濾和備份——建立全面的安全態勢，在任一層防禦失效時能夠補位。
縱深防禦是借鑑軍事戰略的安全原則：與其依賴單一強大屏障，不如部署多個獨立的保護層，使突破一層的攻擊者還要面對下一層。在網絡安全中，這意味著承認沒有任何單一控制措施是百分百有效的——防毒軟件會漏掉新型威脅、防火牆可以被繞過、修補程式有時會延遲，即使謹慎的用戶偶爾也會點擊令人信服的釣魚連結。當每個保護層應對其他層所忽略的威脅時，整體效果比任何單個組件都要大幅強韌。實際結果是，攻擊者必須同時攻破多個獨立的安全措施才能達成目標，大幅提高了成功攻擊的成本和複雜性。
對於香港的個人用戶和小型企業，一套實用的多層安全架構包含四個主要層次。預防層在大多數威脅到達裝置之前將其阻止：電郵過濾、DNS安全、具即時保護的防毒軟件，以及瀏覽器安全。偵測層識別突破預防層的威脅：防毒軟件行為監控、EDR遙測數據，以及瀏覽器安全警報 ↗。回應層在威脅成功突破預防和偵測層時允許恢復：數據備份、事件回應程序和帳戶恢復機制。教育層——安全意識——降低技術控制無法完全阻止的社交工程攻擊的效力。這些層次共同在整個攻擊生命週期提供全面覆蓋。
多層安全的成本與所獲保護成正比。第一層——防毒軟件和基本衛生習慣——以適中的成本提供大部分保護。每增加一層提供的增量保護邊際效益遞減，這適用於個人和中小企層面。分層深度應與被保護對象的價值及潛在攻擊者的精密程度相匹配。香港個人用戶主要面臨機會性犯罪威脅，主要受益於強大的預防層（良好的防毒軟件、安全瀏覽習慣、強密碼、2FA）。受監管的金融機構面臨精密的針對性威脅，需要四個層次都以高能力水平運作。根據風險校準投入是多層防禦原則的實際應用。
具有即時保護的優質防毒軟件是安全架構的基礎層。特徵偵測（針對已知惡意程式）、啟發式分析（針對惡意程式變體）、行為監控（針對新型威脅）與雲端威脅情報 ↗（針對新發現的威脅）的組合，在最常見的威脅類別中提供廣譜保護。對香港用戶而言，Bitdefender Total Security、Norton 360或ESET Internet Security在獨立測試 ↗性能方面代表強大的基礎選擇。關鍵配置要求是：始終啟用即時保護、保持自動定義更新活躍，以及為你使用的所有瀏覽器配置網絡保護。
安全瀏覽習慣是預防層中的人為因素，與防毒軟件在技術上的處理相輔相成。最有效的安全瀏覽習慣包括：點擊前驗證網址（尤其是電郵和訊息中的連結——將滑鼠懸停在連結上查看實際目的地，應與聲稱的發件人機構相符）；不從非官方來源下載軟件（盜版網站、非官方下載門戶，或提供付費軟件「免費」版本的網站）；保持瀏覽器和瀏覽器插件更新至最新版本；使用uBlock Origin等瀏覽器擴充功能封鎖散佈惡意廣告的廣告網絡；以及將任何聲稱你的電腦已受感染的意外彈出視窗視為可疑——合法的防毒警報來自已安裝的防毒產品，而非網絡瀏覽器彈出視窗。
瀏覽器擴充功能衛生是一個常被忽視但重要的安全實踐。瀏覽器擴充功能以重要特權運作——可以存取你訪問的所有頁面內容、讀取包括密碼在內的表單輸入，有時還能存取所有瀏覽歷史。惡意或受損的擴充功能曾被用於從受害者處竊取銀行憑證、會話Cookie和其他敏感數據，而受害者相信安裝的是合法的生產力工具。定期審查每個瀏覽器上已安裝的擴充功能：Chrome擴充功能（chrome://extensions）、Firefox附加元件（about:addons）、Edge擴充功能。移除任何你不積極使用的、從不熟悉來源安裝的，以及要求超出其聲稱功能所需權限的擴充功能。螢幕截圖擴充功能不需要存取所有瀏覽數據；天氣小工具不需要讀取你的瀏覽歷史。
DNS過濾在建立連接之前添加一個預連接保護層，在任何連接建立前封鎖對已知惡意、釣魚和散佈惡意程式域名的訪問。Cloudflare的1.1.1.1 DNS解析器（家庭過濾版）、Quad9（9.9.9.9）和NextDNS提供免費或低成本的DNS過濾。當你的裝置嘗試連接到封鎖列表上的域名時，DNS解析器返回不存在域名的回應，而非惡意IP，在任何惡意內容到達你的裝置之前阻止連接。DNS過濾對已感染裝置上惡意程式的指揮控制通訊特別有效——即使在安裝後，封鎖C2域名通訊也能限制活躍惡意程式的行動。
透過強而獨特的密碼和雙重認證保護帳戶安全，在整體安全架構中與防毒軟件同等重要。裝置入侵後最糟糕的結果——金融詐騙、電郵帳戶被接管進而發動進一步攻擊、身份盜竊——都是透過帳戶憑證來實現的。密碼管理器（1Password、Bitwarden或Dashlane）讓每個服務都能使用真正獨特的複雜密碼，而無需承受導致用戶重複使用密碼的記憶負擔。密碼重複使用是帳戶遭入侵最常見的途徑之一——任何你重複使用密碼的服務發生數據洩露，都會立即暴露使用同一密碼的所有其他服務的帳戶。雙重認證增加了一層可以抵禦憑證竊取的保護：即使密碼被盜，單憑密碼也無法訪問啟用了2FA的帳戶。
家庭和小型辦公室的網絡安全提供額外的防禦層。使用最新固件（定期更新——許多家用路由器會收到用戶從未應用的固件安全更新）並更改默認管理員憑證的路由器是最低基準。在路由器層面應用DNS過濾（將路由器的DNS解析器配置為過濾服務）可同時保護網絡上的所有裝置，包括無法安裝防毒軟件的智能電視、遊戲主機和物聯網裝置。透過訪客網絡進行網絡分隔——將物聯網裝置與電腦和手機保持在不同網絡——限制了智能裝置遭入侵時的波及範圍。對於使用服務提供商路由器的香港居民，請確認路由器是否接收來自提供商的自動固件更新，並考慮提供商的DNS是否適合安全過濾。
備份和恢復層接受某些攻擊將會成功的現實，並確保能夠以最少的數據損失和停機時間進行恢復。對於最依賴缺乏備份的勒索程式攻擊，一套完善的3-2-1備份策略能使攻擊對數據完整性實際上不構成威脅：三個副本、兩種不同的媒體類型、一個異地或離線的副本。對香港個人用戶而言，一個實際的實施方案是：自動持續同步至OneDrive或iCloud（副本1），輔以定期備份至外置硬碟（副本2），並在不主動備份時將外置硬碟從電腦斷開或分開存放（離線部分）。離線分隔至關重要——已連接的外置硬碟會隨電腦一同被勒索程式加密。
具有版本歷史的雲端備份服務為個人和小型企業提供最方便的抗勒索程式異地副本。Backblaze個人備份（無限存儲，每月9美元）和IDrive（涵蓋多台裝置）自動持續備份所有檔案，並保留版本歷史，允許恢復至攻擊前的檔案版本。Microsoft OneDrive配合365個人版/家庭版，透過OneDrive的勒索程式偵測和恢復功能，提供最長一年的版本歷史——當OneDrive偵測到異常的檔案修改模式時，它會警告用戶並提供恢復至攻擊前狀態的選項。對企業而言，具有不可變備份策略的Azure備份提供企業級備份，保護數據不被勒索程式操作者刪除。
香港個人用戶的完整多層防禦總結：安裝優質付費防毒軟件（Bitdefender/Norton/ESET），啟用即時和網絡保護。使用密碼管理器，為每個帳戶設置獨特密碼。在電郵和金融帳戶上啟用2FA。在路由器上配置DNS過濾（Quad9或Cloudflare家庭版）。啟用作業系統和軟件自動更新。將重要數據備份至具有版本歷史的雲存儲以及一個斷開的外置硬碟。在點擊訊息中的連結前養成驗證URL的習慣。避免從非官方來源安裝軟件。定期審查瀏覽器擴充功能和應用程式權限。這些措施共同應對香港個人面臨的絕大多數威脅，無需安全專業知識或大量持續的時間投入。
