Fahmida+Y.+Rashid+Serdar+Yegulalp

要想安全高效地上網(wǎng)需要明智的決策和適當(dāng)?shù)姆婪洞胧?，以?yīng)對您身邊的各種風(fēng)險(xiǎn)。

互聯(lián)網(wǎng)這個(gè)地方會(huì)不會(huì)很可怕？有各種各樣的威脅，潛伏在每個(gè)角落里。更糟糕的是，昨天人們還普遍認(rèn)為的一些能安全上網(wǎng)的建議現(xiàn)在已經(jīng)不管用了——不要上不良網(wǎng)站，不要買被盜的或者非法的商品，只和您認(rèn)識的人打交道。欺騙家庭成員的釣魚電子郵件、合法應(yīng)用程序被嵌入了間諜軟件、知名網(wǎng)站被惡意代碼劫持——數(shù)字安全領(lǐng)域顯然需要新規(guī)則來應(yīng)對當(dāng)今不斷變化的各種威脅。

想一想我們有多少數(shù)字生活都是在網(wǎng)上進(jìn)行的，舉幾個(gè)例子，通信、金融交易、娛樂、工作、教育，等等，因此，即使很少的一些安全瀏覽習(xí)慣也會(huì)讓您受益匪淺。這包括我們怎樣處理電子郵件消息，而電子郵件是利用攻擊工具和惡意軟件進(jìn)行網(wǎng)絡(luò)攻擊最流行的載體。

在這里，我們提供了關(guān)于安全上網(wǎng)的策略指南，簡要介紹了您應(yīng)該怎樣做才能保護(hù)您在網(wǎng)絡(luò)上的數(shù)據(jù)和隱私，同時(shí)還能保持高效的上網(wǎng)。

了解您所面對的威脅

現(xiàn)在有這么多的威脅向我們逼近，最嚴(yán)格的方法是把所有的東西都鎖起來，而難點(diǎn)是怎樣做好預(yù)防措施，同時(shí)還能高效地上網(wǎng)。例如，為避免惡意JavaScript，您只需關(guān)閉瀏覽器首選項(xiàng)中的JavaScript，但幾乎有一半的互聯(lián)網(wǎng)內(nèi)容將無法使用。如果不啟用JavaScript，Gmail還能用嗎？這不太好。

我們以各自的方式上網(wǎng)，我們面臨的風(fēng)險(xiǎn)也大不相同，這取決于我們在哪里、我們正在做什么、甚至是什么時(shí)候上網(wǎng)。安全研究人員的上網(wǎng)安全與我們普通人的完全不同，我們上網(wǎng)一般是收發(fā)電子郵件，使用社交網(wǎng)絡(luò)，或觀看網(wǎng)絡(luò)視頻。開發(fā)人員也不一樣，他們會(huì)下載新工具和頻繁訪問論壇，獲取建議。

基本上，您應(yīng)該定期更新所有應(yīng)用程序，而不僅僅是操作系統(tǒng)，而是每一個(gè)應(yīng)用程序，特別是您的Web瀏覽器。您還應(yīng)該將瀏覽器首選項(xiàng)切換到“點(diǎn)擊播放Flash”——如果您的瀏覽器沒有自動(dòng)設(shè)置好。您還應(yīng)該停用ActiveX，卸載機(jī)器上的Java客戶端。除非您使用非常需要Java的客戶端應(yīng)用程序，例如游戲或者某些教育類產(chǎn)品，否則沒必要啟用Java。即使是主流的視頻會(huì)議應(yīng)用也轉(zhuǎn)向了純HTML5。

你也應(yīng)該考慮把地點(diǎn)和活動(dòng)結(jié)合起來。例如，在公共無線網(wǎng)絡(luò)上進(jìn)行的敏感交易可能會(huì)給您帶來麻煩。您最喜歡的咖啡店的公共Wi-Fi也不適合訪問網(wǎng)上銀行。即使您使用的是SSL連接，中間人也可能通過SSL發(fā)起攻擊。

一旦了解了這些基本常識，您應(yīng)考慮您最擔(dān)心的危險(xiǎn)是什么，您要保護(hù)哪些資產(chǎn)，您經(jīng)常與誰交流，您的數(shù)據(jù)存儲(chǔ)在哪里，等等。下面，我們將幫助您打破這些顧慮，使您能夠在一定程度的威脅下安全的地上網(wǎng)——您上網(wǎng)時(shí)可以容忍的威脅等級。

威脅等級1：確定沒有惡意軟件

大多數(shù)人，特別是企業(yè)，都會(huì)不惜一切代價(jià)避免惡意軟件。兩個(gè)最常見的攻擊手段是下載惡意軟件的鏈接以及網(wǎng)站掛馬攻擊，只要加載網(wǎng)頁，惡意軟件就會(huì)自動(dòng)下載?？梢栽诰W(wǎng)頁、電子郵件或者即時(shí)消息中找到危險(xiǎn)的鏈接。詐騙者經(jīng)常使用社交網(wǎng)絡(luò)和URL短地址來傳播偽裝好的惡意鏈接，希望有人會(huì)點(diǎn)擊這些鏈接。

首要措施：不要點(diǎn)擊鏈接。這需要社會(huì)性的培訓(xùn)，但是很難堅(jiān)持，特別是考慮到我們發(fā)送的所有鏈接既有專業(yè)的也有個(gè)人的。對于經(jīng)常和您聯(lián)系的人，如果他們打算向您發(fā)送鏈接，要求他們給您發(fā)送提醒通知——并且只有在得到肯定答復(fù)后才能向您發(fā)送鏈接?；蛘?，要求聯(lián)系人確認(rèn)他們實(shí)際上是通過不同的渠道發(fā)送了鏈接。例如，給您的哥哥發(fā)個(gè)短信，問問從他帳戶發(fā)送的鏈接真的是他發(fā)的嗎。這樣做好像有些過了，但最近的假谷歌文檔騙局之所以得手，就是因?yàn)槿藗冋`認(rèn)為惡意文件來自他們信任的人。一定要自己輸入鏈接，如果有人向您發(fā)送一個(gè)鏈接，看起來像很酷的白皮書，那么直接去文本源頭，自己在網(wǎng)站上找白皮書。

專業(yè)提示：設(shè)置您的瀏覽器，使其詢問把文檔保存在哪里，這樣您始終知道某些內(nèi)容被下載到哪里。掛馬式攻擊依賴于隱身，用戶甚至不知道發(fā)生了什么。配置您的安全軟件，在下載時(shí)掃描所有文件。

威脅等級2：我也不喜歡間諜軟件

攻擊者想方設(shè)法地破壞您的瀏覽器，找到各種信息。在這方面，不一定非要使用瀏覽器插件。謹(jǐn)慎地使用它們，因?yàn)樗鼈兛赡艹蔀閻阂廛浖妮d體。定期檢查瀏覽器的擴(kuò)展列表（Chrome的是chrome：//extensions，F(xiàn)irefox的是about：addons），以查看是否有任何不熟悉或莫名其妙的內(nèi)容。禁用那些看起來很可疑的東西，您就很少會(huì)出錯(cuò)。還要小心嘗試欺騙您安裝瀏覽器擴(kuò)展的網(wǎng)頁，例如“點(diǎn)擊‘添加以加速本網(wǎng)站”或者其他欺騙性的提示。

首要措施：要特別小心由個(gè)人開發(fā)的瀏覽器插件，因?yàn)檫@些插件可能會(huì)訪問沒有HTTPS的站點(diǎn)。專家也會(huì)遇到麻煩：LastPass是使用最廣泛的密碼管理器的創(chuàng)建者，最近也不得不修復(fù)其瀏覽器擴(kuò)展中一些嚴(yán)重的漏洞。想一想，使用插件讓自己更方便一些，還是風(fēng)險(xiǎn)更大一些，特別是如果您覺得短時(shí)間內(nèi)不會(huì)給自己帶來太大的好處。

專業(yè)提示：一定要考慮來源。如果您需要下載Flash或者Adobe Reader，請從Adobe網(wǎng)站上獲取。不要從非關(guān)聯(lián)網(wǎng)站上下載這些工具，因?yàn)殚g諜軟件、廣告軟件和其他惡意文件很容易混在下載中。不要搜索“免費(fèi)PDF轉(zhuǎn)換器”，也不要下載首先出現(xiàn)的內(nèi)容。（你真的需要一個(gè)嗎？現(xiàn)在，Chrome能自動(dòng)將頁面轉(zhuǎn)換為PDF，Office也會(huì)很好的支持PDF。）像PortableApps.com和Ninite這樣的項(xiàng)目提供了方便的方法，從信任的來源自動(dòng)獲取和更新常見的開源軟件和免費(fèi)的應(yīng)用程序。

威脅等級3：任何時(shí)候都不要被跟蹤

以下情況會(huì)發(fā)生在我們所有人身上：在HomeDepot.com上瀏覽查找地磚后，家庭裝修廣告就會(huì)在網(wǎng)上到處亂閃。廣告商通過Cookie跟蹤您上網(wǎng)，并根據(jù)您的活動(dòng)投放廣告。但不僅僅是廣告。網(wǎng)站使用Cookie記住您的帳戶、密碼和瀏覽記錄，并跟蹤您在網(wǎng)站上的活動(dòng)。當(dāng)您禁用和清除Cookie后，網(wǎng)絡(luò)犯罪分子就很難獲取您的個(gè)人數(shù)據(jù)。

首要措施：上網(wǎng)時(shí)使用私人瀏覽或者無痕模式。在此，當(dāng)您的會(huì)話結(jié)束時(shí)，Cookie和瀏覽記錄不會(huì)被保留。您可以啟動(dòng)無痕模式并粘貼到URL中（您確定不會(huì)提供給惡意軟件），導(dǎo)航到該頁面，確保您沒有被跟蹤。如果您想在Chrome上始終保持無痕瀏覽模式，請?jiān)贑hrome屬性中的目標(biāo)命令的最后添加-incognito，每次啟動(dòng)Chrome時(shí)，都將進(jìn)入無痕模式。您可以通過about：config對Firefox進(jìn)行同樣的配置。

專業(yè)提示：如果您想使用臉書、推特或者其他社交帳戶，但不希望每次都登錄，那么請?jiān)贑hrome、Firefox或者Safari中建立一個(gè)單獨(dú)的用戶配置文件，一個(gè)專為某社交網(wǎng)絡(luò)預(yù)留的用戶配置文件。在那里登錄，而且只在那里登錄，在那里使用它，也只有在那里。這將與該登錄相關(guān)聯(lián)的數(shù)據(jù)限制為只有登錄所必須的那些數(shù)據(jù)。有的網(wǎng)站把社交網(wǎng)絡(luò)作為單點(diǎn)登錄提供商，這種方法也能夠避免這些網(wǎng)站跟蹤您，例如Spotify。

如果您很在意被跟蹤，您應(yīng)該在您使用的每個(gè)瀏覽器上啟用“不要跟蹤（Do Not Track）”。DNT并不是強(qiáng)制執(zhí)行的，它只是告訴網(wǎng)站，不要跟蹤您。您的請求是否會(huì)被尊重，取決于您訪問的網(wǎng)站。很多網(wǎng)站并不嚴(yán)謹(jǐn)，不保證您訪問的網(wǎng)站會(huì)尊重您的請求，不過，提前明確您的偏好至少也不會(huì)有什么壞處。

威脅等級4：別動(dòng)我的信息

Cookie之所以是網(wǎng)絡(luò)犯罪分子的主要目標(biāo)，是因?yàn)樗鼈儼男畔?，特別是電子郵件、帳戶名稱和密碼信息。即使是被隱藏起來，這些信息也可能會(huì)被惡意使用?？缇W(wǎng)站腳本攻擊使用網(wǎng)頁上的JavaScript，從Cookie中提取用戶詳細(xì)信息和會(huì)話信息，利用這些信息在網(wǎng)上模仿您，跨網(wǎng)站請求偽造攻擊使用會(huì)話Cookie來偽造其他網(wǎng)站的請求。

首要措施：盡可能阻止Cookies。盡管阻止第一方和第三方Cookie，以及禁用會(huì)話Cookie也是不錯(cuò)的措施，但會(huì)使電子郵件和社交網(wǎng)絡(luò)等基本的網(wǎng)絡(luò)瀏覽幾乎無法使用。您應(yīng)該至少阻止第三方Cookie，您應(yīng)考慮定期刪除瀏覽器歷史記錄。

另外，不要讓瀏覽器存儲(chǔ)密碼。這雖然很方便，但是很難保證存儲(chǔ)密碼的安全性。使用單獨(dú)的密碼管理器，例如，1Password或者KeePass。

專業(yè)提示：對于搜索，請使用DuckDuckGo等安全搜索引擎，它不會(huì)自動(dòng)存儲(chǔ)計(jì)算機(jī)傳輸?shù)男畔?，例如您的IP地址和其他數(shù)字身份信息。DuckDuckGo不能根據(jù)以前的搜索或者位置自動(dòng)完成搜索查詢，但考慮到它也無法鏈接到您的搜索記錄，因此這也是值得的。

如果您不想把自己的信息泄露出去，那么私人瀏覽是您的朋友。如果沒有Cookie被保存，那也就沒什么可竊取的。每次瀏覽器會(huì)話后刪除所有的Cookie，這是個(gè)好主意。每次新會(huì)話時(shí)，您都不得不登錄網(wǎng)站，因?yàn)樗麄儾恢滥钦l。這是建立不同用戶會(huì)話的另一個(gè)應(yīng)用情形，您可以為特定登錄建立會(huì)話，并將該登錄的Cookie限制為僅在該用戶會(huì)話中。

雖然有些插件可能是危險(xiǎn)的，但其他插件還是好的，例如Disconnect，它會(huì)阻止第三方跟蹤C(jī)ookie。擴(kuò)展插件會(huì)阻止社交媒體帳戶跟蹤瀏覽歷史記錄，并使用戶能夠控制網(wǎng)站上的腳本。另一個(gè)值得擁有的擴(kuò)展是Ghostery，可以阻止常見的跟蹤腳本，如果需要的話，您的白名單網(wǎng)站可以參考這一擴(kuò)展。

威脅等級5：不要對我進(jìn)行網(wǎng)絡(luò)釣魚

網(wǎng)絡(luò)釣魚網(wǎng)站是設(shè)計(jì)用于竊取個(gè)人信息的欺詐性網(wǎng)站。這不限于電子郵件或者銀行網(wǎng)站的登錄憑據(jù)信息。網(wǎng)絡(luò)釣魚網(wǎng)站可以偽裝成比賽，并要求您提供SSN。網(wǎng)絡(luò)釣魚攻擊還能把受害者重定向到可下載惡意代碼的假冒網(wǎng)站，惡意軟件會(huì)收集您的敏感信息。我們看到潛在的網(wǎng)絡(luò)釣魚攻擊幾乎無處不在，因此，我們傾向于不要點(diǎn)擊任何鏈接。

首要措施：不要點(diǎn)擊在電子郵件中收到的鏈接，也不要打開附件，更不用說填寫您的敏感信息。聯(lián)邦快遞索賠表可能就是假的。拿起電話并致電聯(lián)邦快遞，以確定發(fā)生了什么。不要點(diǎn)擊電子郵件中的鏈接，例如，看起來好像是人力資源部門提醒您假期到期了。直接到人力資源網(wǎng)站看看出了什么問題。輸入U(xiǎn)RL有助于避免一些欺騙手段，例如使用0（零）而不是O（字母），或者nn而不是m，或者類似paypal.com.someothersite.com這樣的地址。在瀏覽器的地址欄中輸入公司網(wǎng)站受信任的URL，以避開電子郵件或者即時(shí)消息中的鏈接。

專業(yè)提示：僅在使用HTTPS的網(wǎng)站上提供個(gè)人信息。請記住，采用“讓我們加密”和其他免費(fèi)SSL證書來源，僅采用掛鎖圖標(biāo)已經(jīng)不夠了。查找EV證書，那么實(shí)體名稱應(yīng)顯示在瀏覽器欄中。電子前沿基金會(huì)的HTTPS Everywhere擴(kuò)展也是一個(gè)很好的選擇，因?yàn)樗鼜?qiáng)制網(wǎng)站通過HTTPS傳輸數(shù)據(jù)流。

如果您收到商家的電子郵件，例如特價(jià)或者折扣，請查看是否有以文本方式而不是HTML方式發(fā)送電子郵件的選項(xiàng)。這樣更容易看出所給的鏈接中有什么內(nèi)容。

很難檢測出所有的網(wǎng)絡(luò)釣魚攻擊嘗試——有一些是非常高明的。確保您所有帳戶不會(huì)使用一個(gè)相同的密碼，這樣，即使一個(gè)賬戶被盜，其他賬戶也不會(huì)受損。使用密碼管理器為每個(gè)網(wǎng)站帳戶生成不同的密碼。把個(gè)人互聯(lián)網(wǎng)與工作互聯(lián)網(wǎng)分開，并且永遠(yuǎn)不要使用工作地址來注冊網(wǎng)站。如果該帳戶被攻擊，您當(dāng)然不希望這會(huì)引發(fā)對您工作地址的網(wǎng)絡(luò)釣魚攻擊。如果網(wǎng)站支持，則啟用雙重身份驗(yàn)證，這樣，攻擊者很難使用盜取的憑據(jù)，特別是如果該網(wǎng)站是金融機(jī)構(gòu)。

威脅等級6：核保護(hù)

如果您希望最大限度地保護(hù)自己，則需要建立有多個(gè)瀏覽器和操作系統(tǒng)的系統(tǒng)，以便分開上網(wǎng)。您甚至可以考慮一系列的虛擬機(jī)來隔離威脅。

首要措施：使用不同的Web瀏覽器進(jìn)行不同的上網(wǎng)活動(dòng)：有進(jìn)行金融交易的瀏覽器，而另一個(gè)用于通信，還有一個(gè)用于瀏覽上網(wǎng)。這樣一來，如果攻擊者頻繁地在一個(gè)網(wǎng)絡(luò)論壇上攻擊您，他或者她就不能使用跨網(wǎng)站腳本來訪問網(wǎng)上銀行，因?yàn)椴豢赡芴^瀏覽器進(jìn)行攻擊。臉書上的欺詐無法跳過去訪問亞馬遜。

對于非常敏感的網(wǎng)站——您帳戶的“皇冠寶石”，那么該網(wǎng)站應(yīng)采用專門的網(wǎng)絡(luò)瀏覽器，并嚴(yán)格限制其配置。例如，只有使用專用瀏覽器才能訪問您的亞馬遜網(wǎng)絡(luò)服務(wù)控制面板，意味著不會(huì)“意外”地瀏覽其他網(wǎng)站（白名單僅限AWS，而阻止其他站點(diǎn)），也不會(huì)暴露您企業(yè)的整個(gè)云基礎(chǔ)架構(gòu)。打開所有安全選項(xiàng)以鎖定瀏覽器。

專業(yè)提示：對于非常危險(xiǎn)的、潛在有危險(xiǎn)的或者非常敏感的站點(diǎn)，請考慮在多個(gè)虛擬機(jī)上分開上網(wǎng)活動(dòng)。使用鎖定（最新）的瀏覽器，在專用虛擬機(jī)上進(jìn)行所有銀行業(yè)務(wù)。這避免了所有以銀行為目標(biāo)的網(wǎng)絡(luò)攻擊，攻擊者會(huì)很難獲取您的銀行信息。

Linux Live CD是運(yùn)行虛擬機(jī)的理想選擇——您甚至可以在虛擬機(jī)中運(yùn)行Live CD，盡可能提高安全性。Tails是非常精簡的Linux，它從USB上運(yùn)行，可用于隱藏?cái)?shù)字痕跡，因?yàn)樗粫?huì)永久保存什么。

收到的電子郵件的附件看起來有些可疑？那么在虛擬機(jī)中打開它。如果它是惡意軟件，它只會(huì)感染一個(gè)空虛擬機(jī)。當(dāng)然，只是因?yàn)閂M中沒有發(fā)生任何事情，就認(rèn)為以為一切正常？——惡意軟件可能被設(shè)計(jì)為不在虛擬機(jī)內(nèi)執(zhí)行。將該文件始終保留在虛擬機(jī)中，而不要放到主計(jì)算機(jī)中。

如果您想隱藏您的上網(wǎng)活動(dòng)，請考慮Tor，它通過加密來隱藏您的身份，對傳輸數(shù)據(jù)進(jìn)行加擾，在多個(gè)Tor節(jié)點(diǎn)之間路由數(shù)據(jù)流以掩蓋原始站點(diǎn)。由于您的數(shù)據(jù)流通過Tor隨機(jī)服務(wù)器進(jìn)行傳輸，那么，數(shù)據(jù)不會(huì)與您的個(gè)人IP地址相綁定。

使用NoScript禁用Java、JavaScript、Flash和其他動(dòng)態(tài)內(nèi)容。這個(gè)選項(xiàng)會(huì)影響很多網(wǎng)站，但是它支持您手動(dòng)授權(quán)內(nèi)容，所以要仔細(xì)注意，確保惡意代碼不會(huì)被意外地批準(zhǔn)運(yùn)行。Adblock Plus阻止已知廣告和間諜軟件網(wǎng)站的彈出式窗口和其他內(nèi)容。Adblock Plus創(chuàng)建阻止列表的方式是有問題的，因?yàn)閺V告客戶可以付費(fèi)被列入平臺白名單，但如果目標(biāo)是關(guān)閉彈出式廣告并阻止?jié)撛诘墓簦@樣做就可以了。

另一種方法是禁用JavaScript并阻止瀏覽器本身的彈出窗口。默認(rèn)情況下，大多數(shù)瀏覽器會(huì)自動(dòng)阻止彈出窗口，但默認(rèn)情況下會(huì)啟用JavaScript，因?yàn)樗褂玫姆浅V泛。

注意安全

要想安全上網(wǎng)，既要有技術(shù)和安全意識，還要愿意經(jīng)受磨煉?，F(xiàn)在的瀏覽器提供了很多保護(hù)措施，包括能夠禁用插件和打開反網(wǎng)絡(luò)釣魚機(jī)制等。只要啟用這些功能，保證基本的安全環(huán)境，例如更新所有軟件等，基本的上網(wǎng)安全就能夠唾手可得。

但是，現(xiàn)在比以往更容易感染惡意軟件或者被網(wǎng)絡(luò)釣魚攻擊。有時(shí)只是因?yàn)樵阱e(cuò)誤的時(shí)間去了錯(cuò)誤的地方。但是，一旦您知道最擔(dān)心的是什么，知道自己對風(fēng)險(xiǎn)的承受能力，那么就可以設(shè)定一個(gè)合理的安全方案來滿足需要，讓自己安全高效地上網(wǎng)。

原文網(wǎng)址：

http：//www.csoonline.com/article/3197684/internet/the-modern-guide-to-staying-safe-online.html