如何在长期使用情况下保证 PC 的安全性

[lyc8503]

保障个人的设备安全 /数据安全算是个老生常谈的话题 但真正要做到位并不容易

比如我个人目前的主力设备是 Windows 笔记本 默认打开了 WindowsDefender ，坚持只使用可信来源的软件，打开了防火墙，使用 vps 自建代理+dot 访问互联网 使用 Bitwarden 管理个人密码，重要的账号用手机保存了 2FA TOTP

但在长时间使用中难免会遇到笔记本电脑防线被突破，执行恶意代码的情况 比如用的软件出现 0day 漏洞，node/py 依赖被投毒，或类似用了 npp 之类的软件被投毒，或自己百密一疏在特殊情况下误判，执行了恶意软件

无论是 Windows 还是 Linux ，得到 Admin/root 权限后都可以记录键盘 /读取大部分文件(包括 ssh 密钥)/截取屏幕，可以窃取 cookie 中的登录状态，甚至是直接加密文件勒索，后果还是比较严重的

不知道大家对于这种情况有什么好的应对方法吗？ (如何防止电脑中出现可能的恶意软件?/如果真的出现了有什么良好的准备措施减少可能的数据泄露 /损失?)

[Pil0tXia]

@mikeluckybiy 安全没有绝对，只有相对。攻防是双方你来我往、层层加码的过程，你的价值也与攻击者愿意花出的精力成正比。当攻击难度超出你的价值时，就更容易在威胁中幸存下来。不能因为考虑不全面就不去做，正是因为考虑不全面，才能在加固后发现纰漏的地方，逐步完善。

[Pil0tXia]

@Bingchunmoli 可以参考#18 和#32 ，我找到了一些链接供你参考：
https://learn.microsoft.com/zh-cn/microsoft-365/security/defender-endpoint/enable-controlled-folders?view=o365-worldwide
https://www.solarwinds.com/zh/access-rights-manager/use-cases/file-server-auditing

[realpg]

不瞎 J8 装来路不明的软件，就没有安全问题

[karatsuba]

正常使用的情况下会被攻击才是比较奇怪的事情吧

[YsHaNg]

@Pil0tXia chrome109 没有这两个文件夹

[Pil0tXia]

@YsHaNg 实测 110 有的，Login Data 和 Local State 路径没变，可执行程序在 C:\Program Files\Google\Chrome\Application\chrome.exe ，软件路径找不到了可以试试 Listary ，一搜就找到了

[loginv2]

建立自己的常用软件库，不要轻易更新。 火绒规则限制敏感文件被读取，增量备份重要文件目录

[jeesk]

sandbox

[documentzhangx66]

某些大厂甚至直接把数据库端口与 RDP 端口开在公网上。

为什么敢？

因为他们设置了 IP 白名单。

[DeltaC]

https://github.com/moonD4rk/HackBrowserData

可以在 windows 上试试，chrome 的一切一览无余，绕过了系统的 PIN 码。

因为这个特意用火绒设置了规则。
https://github.com/JerryLinLinLin/Huorong-ATP-Rules

[H0H]

看了下上面所有人的答案，发现都没领悟防御的精髓，思路完全局限在单机上，最终得出搞不定、还是躺平吧的结论。

实际上个人就能完全解决，方案就是冗余主机 /app/数据方案。也就是在家里放多台电脑，安装不同的操作系统（ windows 、macOS 、Linux 、群晖、威联通），操作系统互访只开只读权限，操作系统密码采用强密码，且各不相同。个人文件通过定时任务在各操作系统间同步、备份。

这样理论上来说，无论哪个操作系统的漏洞、或不小心安装的恶意软件，都无法同时攻破所以平台，所以个人数据不可能丢失，勒索软件的各种加密文件攻击对你完全无效。当然，这个依然不能防止个人文件被恶意传出去，要搞定这个也行，就是文件加密，跨操作系统解密，可以自己写工具，不过一般没必要搞这么麻烦。

我家里就这样建了一套，Windows 、macOS 、群晖、威联通系统我都有，而且每种还不止一套。当你玩到这一步，也就打开了新的天地。为什么只有小公司能删库跑路、而大公司根本无法这么做？实际上是一样的原理。