防御软件
杀毒软件弹窗跳出来的防御软件那一刻，老陈正把一叠报销单往财务室送。防御软件屏幕右下角，防御软件红色盾牌闪了两下，防御软件提示他U盘里有个叫“发票模板.exe”的防御软件文件被隔离了。他愣了一下——那是防御软件昨天供应商发来的，说是防御软件新版的电子发票生成器。要不是防御软件电脑上装着那套防御软件，这个伪装成工具的防御软件木马大概已经把他电脑里三年的合同扫描件全加密了。
很多人觉得防御软件就是防御软件装个样子。系统自带的防御软件防火墙常年弹提示，第三方杀软一开机就拖慢速度，防御软件弹窗广告比病毒还烦。防御软件可真正被黑过一次的防御软件人不会这么想。去年我帮一个做跨境电商的防御软件朋友处理勒索病毒，他图省事把公司所有电脑的实时防护全关了，理由是做设计渲染时太卡。结果某个下午，财务的电脑突然弹出个txt文档，里面用俄语写着要0.3个比特币。三天后他们发现，连三年前离职员工的工资表都被加密了。恢复数据花了四万多，比买十套企业版防御软件贵得多。
防御软件的核心其实就两件事：认得出坏人，拦得住动作。认人靠的是特征库——每个病毒都有个类似指纹的哈希值，杀软厂商收集到样本就更新数据库。但这招越来越不好使了。现在稍微像样的恶意程序都会加壳、混淆，每次生成的文件哈希都不一样。所以行为监控变得更重要。比如某个进程突然开始批量修改文档后缀名，或者试图关闭系统还原点，防御软件就该直接掐断它。这跟小区保安的逻辑一样：光看脸未必认得出贼，但有人半夜挨个拉车门，那必须上去问一句。
普通用户最容易忽略的是防御软件的“误报”。前年有个做视频剪辑的客户抱怨，说他的杀软把Adobe的某个插件当病毒删了。我远程一看，那插件确实在往注册表里写启动项——但那是正版软件的正常行为。防御软件为了安全，宁可错杀一千。这时候需要手动加白名单，而不是直接卸载杀软。很多人一遇到误报就骂软件垃圾，转头去装个来路不明的“纯净版”，结果中的招比误报严重一百倍。
企业环境更复杂。光在每台电脑上装客户端没用，得有个控制台统一管策略。比如禁止员工私自安装软件、限制U盘只读、强制每周全盘扫描。我见过一家三十人的小公司，IT兼职人员给每台机器装了不同品牌的杀软，结果病毒从一台没更新的机器溜进来，通过共享文件夹传遍全公司。后来他们换了带集中管理的防御系统，虽然每年多花几千块，但再没出过事。这笔账其实好算：一次数据泄露的损失，够买十年授权。
说回老陈。他后来把那个U盘插到虚拟机里跑了一遍，发现木马会伪装成PDF图标，双击后释放一个键盘记录器。防御软件拦下它的时候，木马已经尝试连接了三个境外IP。老陈把这事发到公司群里，行政当天就发了通知：所有外来U盘必须先插前台那台装了防御软件的隔离机。你看，安全习惯往往是被吓出来的。但好的防御软件应该让你感觉不到它的存在——就像你家的防盗门，平时不会盯着它看，但半夜听到撬锁声，你知道它能顶住。