伪心灵鸡汤肆虐朋友圈，烂安全建议也天花乱坠迷人眼，反而将人的注意力从真正的安全威胁上分散开。以下才是你真正应该知道的：
绝大多数计算机安全建议纯属浪费时间，根本没用。
许多所谓的安全专家滔滔不绝念叨的，诸如使用长复杂密码或加固计算机系统之类的言论，其实也都是废话。禁用弱密码哈希？15年前倒是个不错的主意。使用最新的杀毒软件？如果这有用的话，问题早几十年前就解决了。
当论及那些大企业如何被入侵的资料时，以上建议没一条有效揭示了令恶意黑客们成功入侵的攻击手法。在这儿也就不再给大家灌输几十甚至上百条完全没用的建议了。在此，我给您来点儿干货，真正有用的基本防御策略。
先忘掉以前被灌输的那些计算机安全建议吧，下面的才是玩真的：
银行劫匪抢劫银行，因为钱在银行里。恶意黑客和恶意软件瞄准最流行的程序，因为最流行的程序最有可能安装在他们想入侵的电脑里。
只要看看大多数电脑是怎样被黑的就会知道，没打补丁的软件就是祸源。通常，被黑客利用的未打补丁的软件正是大家都在用的流行软件。时至今日，客户端里Oracle Java独占鳌头，Adobe Flash和Acrobat 阅读器紧跟其后。服务器端则是没打补丁的管理软件和远程登录工具雄霸天下。最流行的程序随时间在变，唯一不变的是这些程序一直是最常被黑客利用的。
完美修补那些最常被利用的程序远比草草糊弄电脑上的所有程序来得经济实惠事半功倍（可惜大多数企业就爱用那种出力不讨好的浪费方式）。如果不能修补最常被黑的程序或缓解其被黑后果，那你所做的其他努力都只能是打水漂。
社会工程学不过是诈骗的雅号，是通过电话、电子邮件或网页行骗的方式。社会工程骗子从网上抽取受害者关键信息或诱骗受害者安装恶意软件。防范社会工程学行骗的唯一方法是保持用户接受最新培训以对抗广为流行的威胁，而这一点，多数公司同样没能做到。
测试你的雇员，如果你能成功渗透他们，那就努力在培训上做到更好吧。如果你已经有了很棒的培训课程却依然在雇员测试中惨遭滑铁卢，再加倍努力！
必须确保培训材料告诉受训人员，他们更易遭到受信任网站而非陌生网站的利用。警告用户别被诱骗上当安装新程序。要让他们知道流行的免费软件往往充斥着你不想要的程序和恶意软件（你甚至不能信任CNET的下载站）。
尽管双因子身份验证的安全性常被过分吹嘘，它的有效性通常取决于你想缓解的风险类型。比如说，2FA并不能阻止当今大多数高级持续性威胁（APT），一旦他们已获取你电脑的完全控制权，但却在防范网络钓鱼攻击上非常有效（网络钓鱼通常是最终攻击的前奏）。
如果你足够严格到登录公司资源时只允许双因子验证，那将不再会有登录名和密码对可供盗取。当钓鱼邮件询问用户登录凭证时——对不起，坏蛋，你运气够差。这招只在一种情况下好用——公司网络的所有地方都只用2FA，而你不需要登录名和密码访问某些网站。
除了网络钓鱼，黑客最常用来获取密码的手段就是从其他系统和站点了。很多用户都被网络钓鱼搞到了脸谱和推特账号，攻击者们又用这些相同的密码登陆用户的公司网络。而且，这一招屡试不爽。
要保证你的公司密码从不与公司网络以外的任何密码相同——也别在不同的网站使用相同的密码。即使在公司网络，本地管理员账号和服务/精灵账号也千万别在不同的系统上共享相同的密码——这会导致凭证窃取攻击者在数分钟内由攻破一台电脑扩大到攻破整个公司网络。不共享本地密码是你所能采取的拖慢攻击者脚步和最小化损失的最佳方法之一。
恶意黑客总会提升自身权限以获取网络中最高安全凭证。一旦被他们拿到，你也就玩完了。想让黑客们铩羽而归？那就别在高级群组里留下任何一个固定成员，并对非预期的成员添加行为加以监视和报警。也有方法可以绕过这一防御措施，但大多数黑客在这一常规攻击方法失败之后也就被拦在门外了。现在就让黑客尝尝失败的滋味吧！
如果你每天收集数不胜数的事件，那你就错了。与之相反，你只需集中精力在定义昭示恶意行为的事件上，也只需要针对此类事件报警。其他多余的事件监视不过是在大海捞针而已。
当今黑客，获取到常规用户凭证之后就会开始在网络中嗅探，利用用户凭证登录可登录的服务器和站点。或者，他们利用很难被发现的驻留内存软件逡巡公司网络。不过，无论他们使用哪种方法，坏蛋们都是非法在网络里来回转。使用网络流量分析工具，定义正常流量，然后对不正常的拉响警报吧！
如果每个人都使用白名单应用软件控制程序，那大家的生活就会更容易了。白名单程序可以预防未被定义的进程执行。这是个绝妙的阻止未知恶意软件的办法。即使你不能以强制执行模式采用它，也可以审计模式开启应用软件控制程序。然后，你就可以保持对新型可疑程序的警醒和响应而又不干扰正常操作了。
最后，认清坏家伙闯入你网络的方法而非关注他们的名称。恶意软件名称根本不及他们进入你网络的方式有用（比如：通过未打补丁的软件，社会工程，等等）。找出这些模式，专注于削减此类威胁；然后你就会有一套行之有效的计算机安全防御方案了。
每次公开的重大黑客攻击事件之后，都能看到连篇累牍的无用建议。这些作者无一是精英才俊，他们不过是在鹦鹉学舌那些他们读到的非原创、未经证实的教条而已。他们并没有花费数年分析资料，与受害客户一个个互动交流。但是这篇文章有用，上面的建议才是干货。
不信？那就来试试吧。
