我在每台 Windows 电脑上安装这三款必备的开源安全工具

多年来，Windows 的安全性得到了提升。Microsoft Defender 很可靠，SmartScreen 在后台发挥实际作用，而且大多数现代威胁不像以前那样轻易漏过防护。即便如此，我仍然不认为一台 Windows 安装在设置完成后就算“完成”了。无论是我自己的机器，还是我为家人管理的电脑，都不会这样认为。安全性，至少按照我的方法，并不是一个可以勾选的项目。它是你需要建立的一个基础。我以前写过为什么不能仅仅安装一个密码管理器就认为自己安全。这只是一个层面，而且是重要的层面，但它并不是全部。

我还讲过如何收紧 Windows 的隐私设置以及更安全的安装习惯，并且我在各处都会应用这些方法。在这个基础之上，我总是安装三个开源工具，它们能更进一步。在我自己的台式机、测试装备以及交到我手中的机器之间，这些工具帮助我锁定数据、控制出站流量，并清理随着时间积累的数字杂乱。

在做其他事情之前先锁定你的文件

加密您的数据，以防丢失或被盗的硬件成为负担

我把 VeraCrypt 放在这个列表的最前面，因为加密才是真正重要的防线。如果有人获得了我的硬盘的物理访问权限，我的其他安全选择几乎没有意义。VeraCrypt 是一个开源的磁盘加密工具，它允许你创建加密容器、锁定整个分区，甚至加密整个系统驱动器。一旦挂载，加密容器在你的电脑上表现得就像任何其他驱动器一样。未挂载时，它只是无法读取的数据。

我使用它是因为 Windows 的加密功能并非在每个版本上都可用，即使可用，我也喜欢拥有一个透明且跨平台的工具。我有外接 SSD 用于备份、存档项目以及一些不想以明文保存的随机测试数据。VeraCrypt 让我在任何文件存入之前就加密这些驱动器。如果笔记本丢失，如果我淘汰一台旧机器，或者如果我交出一个备份驱动器，我不用希望里面没有敏感信息。我知道它是受到保护的。这就是它排在首位的原因。它保护静态数据，这是其他一切的基础。

把你的出站流量拴起来

查看您的电脑发送的内容，并决定允许哪些

如果 VeraCrypt 保护静态数据，那么 Portmaster 则保护离开计算机的数据。它是一款开源的网络监控和应用防火墙，可以让你了解你的电脑所建立的每一个出站连接。与其因为 Windows Defender 没有发出警报就以为一切正常，Portmaster 会向你展示网络上真实发生的情况。你可以查看哪些应用程序正在与哪些服务器通信，阻止单个进程，强制使用加密 DNS，并关闭你未明确批准的后台通信。

我喜欢 Portmaster 的地方是可视化。它把网络流量变成我真正可以理解的东西，而不是一个黑箱。这对于捕捉那些比应该的频率更多向外联络的应用程序尤其有用。它也比传统防火墙工具更容易上手。我得说，一开始它感觉有些嘈杂。如果你启用严格的控制，你会收到需要做出决策的提示和阻止。这也是它的意义所在，但除非你调低设置，否则它不是那种可以安装好就忘记的工具。

在开源核心之上，还有一个付费层。免费版本已经提供按应用防火墙控制和网络监控，这正是我最关心的。付费计划增加了全系统的广告和跟踪阻止、可靠的 DNS 基础设施，以及减少手动调整的自动规则管理。对于那些希望获得更强隐私默认设置而无需自己管理每条规则的人来说，这种升级可能是合理的。我坚持核心功能，因为我首先需要可见性和控制，而 Portmaster 在不替代 Windows 内置防火墙的情况下就能提供这些。

清理不需要的数据和杂物

保持系统精简并减少暴露

如果 VeraCrypt 负责锁定文件，Portmaster 控制网络通信，BleachBit 则处理残留物。它是一个开源的系统清理工具，可以删除临时文件、缓存的安装程序、残留的更新垃圾、浏览器痕迹，以及 Windows 随时间积累的一般数字残留。即使在相对干净的系统上，这种积累也会很快开始。在旧机器上，它可能会变得出乎意料地多。

我以前没有在我的旧 Windows 7 模拟机上运行过 BleachBit，因为我不知道有可用的兼容版本。一旦我安装了它并让它扫描系统，我真的很惊讶它回收了多少空间。多年的临时文件、日志和更新残留物就在那里堆积着。那台机器并不是关键任务计算机，但我使用它足够频繁，不想让不必要的杂乱留在那里。

我欣赏 BleachBit 的地方在于它简单明了且透明。它会明确告诉你它正在删除什么，而且不会安装后台服务或尝试优化我没有要求的东西。我用它来清理软件测试后的残留，清除浏览器痕迹，以及在需要时擦除空闲空间。它应该出现在这个列表中，因为安全不仅仅关乎加密和防火墙，还关乎减少暴露。系统上不必要的数据越少，之后被恢复、泄露或滥用的可能性就越低。

将新的 Windows 安装变得安全

Windows 开箱即用就做了很多正确的事情，但我不依赖默认设置。无论是在配置我自己的电脑时，还是在为其他人负责时，我都不会这样做。加密可以在硬件丢失的情况下保护我的数据。网络控制可以限制系统中最初外泄的信息。清理可以减少随着时间悄悄积累的内容。这些都不复杂，也不需要昂贵的安全套件。这只是一个建立在我信任的工具之上的分层基础。