计算机终端用户使用手册-安全防护11招

●信息安全小常识

网络威胁真不少，安全警惕要提高；工作勿做无关事，软件安装有规定；

系统更新要及时，口令要强难猜出；防火墙来守大门，杀毒软件要配备；

临时离开要锁屏，文件传送要加密；不明邮件不要看，小心垃圾和欺骗；

恶意软件遍网页，切勿轻易装插件；网页挂马威胁多，不明网站莫访问；

口令和密码是通往计算机上宝贵财富的大门，它可能是计算机安全方案中最薄弱的环节。随着口令破解工具功能的不断增强，用来破解口令的计算机更加强大，设置难以猜测、难以破解的强口令就更重要了。

●背景知识：什么口令是强口令

一个足够强、足够好的口令应满足一下方面的要求，通常我们将这种口令称为强口令：

1.令长度至少8位字符长；

2.口令应混合字母、数字和符号；

●实用操作：如何设置一个好记的强口令

简单地说，一个好的强口令就是足够长、足够复杂、没有规律、难以猜测。但在现实生活中，好的强口令不仅仅是令黑客和别有用心的人难以猜测，在提供安全性的同时，由于其复杂性有时也会给我们带来麻烦，在计算机用户日常工作中最经常碰到的问题就是忘记口令。

使用8个字符以上不包含姓名、用户名、手机号码、生日等的强口令，不同资源应用使用不同口令，而且还需要定期更换，对于普通计算机用户来说，这是一件非常苦恼的事情。

下面，我们将介绍一些帮助大家创建记忆，但难以猜测的强口令的小技巧。

例子1：中国信息安全测评中心的缩写为cnitsec，很多人喜欢用它和一些数字混合来设置口令，比如cnitsec123，这是个不安全的口令。但如果取其中几个字母（通常有特殊意义且好记，尤其是对自己来讲，如ct、cn、it等）改成大写，把某个数字与它的对应的字符交换，如（2→@），其则中的变化为CniTsec1@3，这就符合强口令的要求。

例子2：可以找一个句子，然后由规律地从中选择出字符组成口令。“我是一名光荣的北京2008奥运会志愿者”，选择中文汉字的拼音首字母，并把zyz改成大写成“wsymgrdbj2008ZYZ”。这个口令就不错。再如，取古诗词“床前明月光，疑是地上霜”成“cqmyg,ysdss”。

●温馨提示：口令使用良好的习惯

不仅对于操作系统，对于其他所有需要口令访问的应用和资源来说，我们需要确保以下良好的口令使用习惯：

1.对不同资源使用不同口令；

2.为屏保程序设置口令，离开机器时要注销或切换用户（锁屏）；

3.不要把口令写在纸上或其他可能被他人容易得到的地方；

4.定期修改口令。

第2招：系统要更新

计算机安全问题的一个根本原因就是计算机系统上存在漏洞，苍蝇不叮无缝的蛋。漏洞的来源有很多，其中一个重要的来源就是系统没有及时安装最新的补丁和更新。很多病毒、蠕虫和黑客攻击，就是利用这一点攻击和破坏计算机系统。确保系统及时安装了最新的补丁和更新是计算机安全防护的一项重要保障。

第3招：防火墙要安装

在现实生活中，每家每户都需要装上各种各样的房门来保护我们的私有财产和隐私：在网络世界中，我们使用防火墙来作为我们信息系统和信息的房门。防火墙有很多分类方法，在这里，我们将防火墙分为网络防火墙和个人防火墙。通过网络防火墙和个人防火墙的协同保护，减少了大量的信息安全威胁和隐患。

第4招：防病毒软件要安装

恶意代码的号外已经发生了，病毒也确确实实在Internet上肆意造成破坏，甚至很可能我们自己也是其庞大受害者中的一员，为他们的传播和破坏做出了“贡献”。

●实用操作：保护计算机免受病毒攻击 

1.    安装可信的，知名的防病毒软件，并不断地更新它。

2.    下载最新的操作系统补丁、更新和服务包。

3.    启用Windows操作系统的自动更新功能，并尽可能快地安装Windows安全补丁。

4.    不要打开文件扩展名为.exe、.scr或.bvs的邮件附件，也不要打开双扩展名地文件。

5.    警惕来自陌生人的电子邮件附件和即时消息附件，要小心打开它们——即使这些文件没有危险的文件扩展名。

6.    不要打开垃圾邮件（推销产品；提供免费视频、图片或歌曲等）。

7.    在下载文件或者打开它们前做一下病毒扫描。

8.    对认为安全的电子邮件附件，在打开前要做一下病毒扫描。

9.    不要安装盗版软件，因为它们通常都包含病毒。

10.    不要下载盗版音乐或视频文件，因为它们也会包含病毒。

11.    不要点击通过即时消息传递连接。

第5招：不需要的要关闭

减少攻击面是信息安全的一项基本原则，对于操作系统和应用软件来说，所有不需要的服务和内容都应关闭。当使用了强口令，确保系统及时安装了左右更新，确认安装了防火墙、防病毒系统后，接下来要做的工作就是关闭不需要的服务和内容。

第6招：临时离开要注销或琐屏

细节决定成败，在计算机系统及网络的日常使用中，要时刻保持警惕，要注意细节，这样才能尽可能地减少信息安全的隐患。

只要离开计算机，请注销帐户或琐屏。

第7招：文件要加密

在日常工作中，无论通过电子邮件、U盘等方式存储、处理和传送电子文档，都应尽可能根据需要进行加密，以加强文件的保密性。

除使用相关专用加密工具外，在日常工作中，也应尽可能地利用各种应用的加密功能进行加密，以增强文件的保密性。在这里，我们将描述如何使用办公软件和压缩软件的加密功能来增强文件的保密性。

1.第一层加密（文档软件的加密功能）：使用Microsoft Office应用中自带的加密功能实现。在Microsoft Office中，可根据阅读方的权限要求（打开权限和修改权限）设置为打开文件加密和修改加密。

2.第二层加密（压缩软件的加密功能）：使用压缩软件自带的加密功能实现。例如，可以使用常用的WinRAR压缩软件中的加密功能，这样不仅通过压缩减少了储存大小、降低了传输带宽要求，而且还能进一步通过加密提高文件的保密性。

3.第三层加密（专用加密工具）：根据需要使用专用加密工具进行加密。

需要强调的是，不管使用Microsoft Office应用自带的加密功能还是压缩软件自带的加密功能，在加密口令设置时应使用强口令进行加密。在第一招中，详细描述了强口令的要求和操作。

第8招：电子邮件的安全

●温馨提示：电子邮件安全最佳实践

1.过滤电子邮件，尽可能地阻止垃圾邮件

正如以前所说的，无论使用哪种垃圾邮件过滤服务或工具，只要利用它们拒绝大量的电子邮件。

2.永远不要打开不期望的附件或陌生人发送的附件

即使是那些你认识并信任的人发送的电子邮件，也要相当小心！

3.从不回复垃圾邮件

当然，所出现的大量垃圾邮件中包括可以移除的链接，所以你可以告诉他们，让他们别再给你发送任何更多的垃圾邮件。但是当你点击些类链接时，你的电子邮件地址就回复过去了，你也就暴露了你的地址。你所做的这些反倒引来了更多的垃圾邮件，所以丢弃它，不要恢复它！

4.尽可能地保持你的主电子邮件地址私有

继续申请一个或多个更多的额外的免费电子邮件地址，可以是在MSN、Yahoo！或其他地方。当注册软件，签约邮件列表，在线购买材料或任何可以出售地址的地方都使用此类地址。很容易地就可以创造严格的白名单列表过滤邮件，使得只留下你所期待的授权用户的电子邮件。只向你的朋友、家人和同学公布你的电子邮件。

5.使用私有策略对你有利

不要接受所有的默认选择，无论是当你签约一个即时通信、加入一个新的成员网站或任何需要提供注册或联系信息的地方（特别是电子邮件地址）。选择真正需要的材料，选择任何所有的东西。发送你的意见或信息，寻求第三方或伙伴的帮忙。

6.不要继续哄骗

如果收到一系列的电子邮件，或各种哄骗信息，不要将它们发送给任何人（特别是哄骗中所报告的网站）

7.不要购买垃圾邮件中宣传的任何东西，否则更是鼓励垃圾邮件的发送者

如果买了，也就是为垃圾邮件的发送者付费了，或者如果确实需要买，从其他渠道购买，不要理这些主动发送的电子邮件！

8.从不通过电子邮件安装软件或升级

大多数著名的厂商不会通过电子邮件发布软件或进行升级，当这些事情出现在你的收件箱时，它所留下的资源是不可用的。不要安装它们，而是去厂商的网站上下载或安装软件，或者给厂商发送带有消息的附件点子邮件，咨询他们的意见。

9.不要通过电子邮件来回复对金钱或敏感信息的请求

如果必须提供敏感信息，信用卡数字或其他身份窃取可能使用的数据，打电话给相关的寄件人，并电话联系消息的提供者（需要确定使用一个著名的资源，如法案或声明或目录服务获取你所需要的数字）。如果他们需要，你可优先证明你的身份，然后再愉快地接受。

10.有怀疑时，不要冒险

有的时候，出现在你的收件箱里的东西相当令人烦恼，它看起来像来自于你的老板或家庭成员。但到现在为止，你意识中什么是真的什么是假的应当相当清楚了吧。如果某些看起来或感觉不对，你最好发送该信息给可信机构，如“你真的发送信息给我了吗？”但是要移除信息中所带的附件，特别是感染的附件。

第9招：浏览网页的安全

我们已经在前面章节中了解到，当前信息网络安全的一个重要攻击方式就是通过网页“挂马”等方式，在用户浏览网页时，不知不觉中中毒，成为黑客攻击的受害者。

为此，作为网页浏览的用户，除不访问非法网站等之外，还应该同时通过增强浏览器安全设置等方式，增强自身的安全防护能力。

第10招：警惕欺骗

●背景知识：社会工程的基本概念

社会工程威胁是一种最古老，并且也是最有效的信息安全威胁方式。无论你使用了什么样的技术，无论你是在信息技术和安全上投资了多少金钱，最终维护和使用信息系统的都有一个对象——人，现在最热门的网络钓鱼（phishing）威胁中很大一部分就是属于社会工程威胁。

社会工程中所应用的技术可分为两类。

1.基于人的攻击：基于人的攻击使用内部沟通技巧，关系和轨迹获取信息。这种类型的攻击在某种方面是对工程师在如何奉承，威胁等的一种测试。例如，一个攻击者扮演成一个银行顾客打电话给银行员工；入侵者编造一个故事，并最终获取相关账户和口令。员工无意识地泄露了信息还以为入侵者是一个真正的顾客。只能在合法顾客发现并报告了自己的资金被挪用了，员工才会发现自己犯了错误。

2.    基于计算机的攻击是基本技术的，通过一些阴谋诡计从他人那获取信息。例如，用户输入口令，信息就会被发送到入侵者的电子邮件里。

●实用操作：社会工程的预防

1.    不要轻易相信有可疑迹象的邮件。

2.    在向他人提供信息时，核查对方的身份，不要随意泄露消息。

3.    向有关部门报告可疑电话和事件。

●实用操作：处理网络钓鱼的电子邮件

如果收到一封用来网络钓鱼的电子邮件：

1.    不要随意地点击任意链接。大多数情况下，这样做会导致许多恶意软件下载到计算机上。

2.    永远不要打开不信任的人发送的电子邮件。

3.    不要做邮件的传创者，不要在任何地方透露个人信息。

除了这些涉及技术手段的“网络钓鱼”，还有许多接近社会工程学手段，如利用QQ骗取信任、发送假冒中奖资讯、买空卖空骗钱术等，骗子们处心积虑用尽一切方法，就是为了你口袋里的钱!

第11招：U盘、手机和笔记本的安全

前面已经讨论了计算机安全防护的11招，在这里特别讨论移动介质、手机和笔记本安全问题，是因为同常用的台式计算机相比，所有的移动设备都存在一个最大的威胁——丢失。当数据落入他人之手后可以进行的操作就很多了，例如，针对未加密的数据，可以任意读取、篡改、复制等；而对于加密的数据也有相当大的威胁，对方可以采取各种破解手段进行信息的提取。

●温馨提示：移动介质防护最佳实践

在信息飞速发展的今天，存储技术的发展异军突起，存储容量的不断提高、价格不断降低，移动介质以其方便性、高价性比，逐渐成为人们日常必备的电子设备。

在移动介质为我们带来便利性的同时，它也带来了大量常见的安全隐患。今天，移动介质的管理和安全问题已经成为组织机构日常运行的最常见的问题之一。移动介质的主要威胁包括:

1.    恶意软件与病毒传播。

2.    秘密数据泄漏。

3.    因为介质的质量问题造成的数据丢失。

作为用户，使用移动设备时要注意如下事项：

1.    提高安全意识，严格划分移动介质的使用范围（内网、等分开使用），不要公私不分、内外不分。如拿到移动介质，一会将个人电脑资料复制到公司，一会又将公司电脑资料复制到个人电脑上等。

2.    根据要求，使用加密移动设备或者使用加密软件加密移动设备，对敏感数据进行加密存储。

3.    在使用移动介质前，首先要进行杀毒，杀毒后才能进行使用，以避免通过移动介质传播恶意代码。

●温馨提示：手机安全按防护最佳实践

随着技术进步，现在手机也面临着数据窃取、监听、病毒等威胁。下面是你需要采取的行动：

1.    管住你的嘴：如果你需要电话交换关键信息——如身份证号码、信用卡号码或密码等——最好使用老式的有绳电话。

2.    关闭蓝牙：如果你使用的手机具有蓝牙功能，而你又不使用它，最好关掉它。开启的蓝牙可能给你带来垃圾攻击。

3.    使用手机反病毒软件：如果你拥有奇特的同时具备电脑和手机功能的设备，你很可能被新的手机病毒所攻击。只要有可能，安装手机反病毒软件。

●温馨提示：手机安全防护最佳实践

笔记本防护最佳实践：

1.关闭所有无线设备（包括无线局域网和蓝牙）

2.口令保护

✧创建BIOS口令；

✧创建一个windows口令；

✧使用复杂口令

3.数据保护

✧备份你的数据库；

✧加密数据；

✧尽可能不要把笔记本作为机密数据的存储介质。

4.保持警觉

✧不要使用特别显眼的电脑包；

✧让笔记本在你手中；

✧不要打盹；

✧不要在公共场合当众输入登录内部网络的用户名和口令。

信息安全防护“十二招”自查表见表18-1。