这份 网络安全指南 的核心很简单：先保护账号，再保护设备，然后保护网络连接，最后准备好出事后的恢复路径。CISA 的个人安全建议也集中在四件事：强密码、MFA、识别钓鱼和更新软件。［1］

网络安全不是企业 IT 才需要。你的邮箱、手机、云盘、银行卡、社交账号和家庭 Wi-Fi，都是攻击者能利用的入口。

网络安全指南到底保护什么？

层级	保护对象	常见风险	关键动作
账号	邮箱、支付、社交	撞库、钓鱼、接管	唯一密码 + MFA
设备	手机、电脑、路由器	恶意软件、旧漏洞	更新 + 权限控制
网络	Wi-Fi、运营商、热点	监听、中间人	HTTPS + VPN
数据	照片、文件、身份信息	泄露、勒索	备份 + 加密
行为	点击、下载、付款	社工、诈骗	核验流程

这五层缺一不可。只装一个安全软件，不能替你修复弱密码；只用 VPN，也不能阻止你把验证码交给钓鱼网站。

第 1 步：账号安全怎么做？

先从主邮箱开始。给主邮箱、Apple ID / Google 账号、银行、支付、云盘和工作账号设置唯一强密码，并开启 MFA。

NIST 建议避免继续使用已泄露密码。［2］所以密码管理器里的泄露提醒很有价值：它能告诉你哪些账号该立刻改。

收到有人登录了我的账号的提醒时，应从官方服务核验并撤销无法确认的会话。重复使用凭据还会带来撞库攻击风险，即使目标服务并不是最初的泄露方。

第 2 步：如何识别钓鱼和社工？

钓鱼攻击的目标是让你主动交出密码、验证码、付款或远程控制权限。FTC 提醒用户警惕假冒机构、可疑链接、紧迫话术和索要敏感信息的消息。［3］

新攻击路径需要分别判断：Quishing把目标藏进二维码，OAuth 授权钓鱼索取持续应用权限，MFA 疲劳攻击逼迫用户批准真实提示，验证码骗局则诱导用户说出一次性代码。

遇到账号异常、付款变更、快递问题、发票下载和安全验证时，不要点消息里的链接。手动打开官网或 App，再查是否真的有通知。详细清单见2026 年最新钓鱼攻击手段：如何识别和防范。

陌生的招聘机会，以及声称能追回此前诈骗损失的联系人，也应通过独立渠道核验。

把日历邀请骗局和假浏览器更新当成未经核验的消息，再独立打开真实服务或更新入口。向平台卖家付款前，用网购平台骗局检查清单核对商品、收款人、交付和争议路径。

浏览器里的欺骗还要再分四类：浏览器嵌套式钓鱼在网页内绘制假登录窗口，错字域名仿冒利用近似拼写，恶意广告滥用广告投放链，浏览器通知骗局则依赖站点权限持续推送。登录、下载或允许通知前，同时核对可注册域和外层浏览器界面。

如果骗子已经看见或控制设备，可按暴露层级执行把屏幕共享给骗子后的处置步骤。

第 3 步：设备安全怎么做？

设备安全的优先级是更新、少装、少授权。保持系统和浏览器更新，删除不用的软件，关闭不必要的 App 权限，不安装来历不明的配置文件和扩展。

杀毒软件能帮助识别已知恶意软件，但不能替代系统更新、账号 MFA 和下载习惯。想看恶意软件基础，可以读什么是恶意软件？。

敏感资料还可能在本机被读取或替换。复制恢复资料、付款信息、长地址或命令前，应了解剪贴板劫持。

第 4 步：网络连接怎么保护？

优先使用 HTTPS 网站，不忽略证书警告。公共 Wi-Fi、酒店网络、机场网络和共享办公网络里，建议开启 VPN。

中间人攻击就是攻击者插在你和目标服务之间，观察、篡改或诱导你访问假页面。可读什么是中间人攻击？。

传输截获只是登录状态被盗的一条路径。防范会话劫持还需要处理令牌固定和终端窃取，并通过过期机制和明确撤销会话限制被盗令牌的可用时间。

第 5 步：数据泄露后怎么办？

数据泄露不是“等新闻过去”就结束。你需要确认泄露类型，优先修改重复密码，开启 MFA，检查银行和信用相关账户，并警惕二次钓鱼。

如果泄露的是身份证件、金融信息或医疗信息，处理优先级更高。完整步骤见你的数据被泄露了！该怎么办？。

第 6 步：家庭网络怎么加固？

家庭路由器是很多设备共同使用的入口。把路由器管理密码改成唯一强密码，使用 WPA2 或 WPA3，关闭 WPS，定期更新固件，并把访客设备和智能家居设备放到单独网络。

如果你怀疑邻居或陌生设备正在蹭网，可以查看路由器后台的已连接设备列表。更多做法可以读家庭 Wi-Fi 安全指南和如何防止邻居蹭 Wi-Fi？。

第 7 步：勒索软件怎么防？

勒索软件靠加密文件勒索付款。CISA 的 StopRansomware 指南强调备份、补丁、MFA、最小权限和员工/用户警觉。［4］

个人用户最该做的是 3-2-1 备份：3 份数据、2 种介质、1 份离线或异地。可以继续读勒索软件防范指南。

总结

网络安全不是单一工具，而是账号、设备、网络、数据和行为的组合。
主邮箱、密码管理器、MFA 和系统更新是最先做的基础项。
钓鱼、恶意软件、勒索软件和中间人攻击都需要独立防线。
备份和应急清单能决定事故后的恢复速度。

常见问题（FAQ）

普通人最该先做哪一步？

保护主邮箱：唯一强密码、MFA、恢复方式检查、登录设备检查。

VPN 是网络安全必需品吗？

它不是唯一防线，但在公共 Wi-Fi、旅行、酒店和不可信网络里非常有价值。

杀毒软件能挡住所有攻击吗？

不能。它主要处理恶意软件风险，挡不住你主动输入验证码或付款给骗子。

为什么备份也是网络安全？

因为勒索软件、误删、设备损坏和账号被盗都可能让你失去数据。备份是恢复能力。

家庭 Wi-Fi 要怎么加固？

使用强 Wi-Fi 密码、WPA2/WPA3、更新路由器固件、关闭 WPS，并把访客和 IoT 设备隔离。

免责声明：本文提供通用网络安全教育信息，不替代企业安全制度、法律意见或专业事件响应。

AethoVPN 是本文的出版方；“网络安全指南”涉及的操作不是 VPN 连接能够代办的。

来源

［1］CISA — Secure Our World: https://www.cisa.gov/secure-our-world ［2］NIST — Digital Identity Guidelines, SP 800-63B: https://pages.nist.gov/800-63-3/sp800-63b.html ［3］FTC — How to recognize and avoid phishing scams: https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams ［4］CISA — StopRansomware Guide: https://www.cisa.gov/stopransomware/ransomware-guide

Sources checked 2026 年 5 月 8 日。

延伸阅读：

网络安全指南：从账号、设备到 VPN 的完整防护框架