公司电脑装了杀毒还中招，我把三家的日志翻出来对账才找着原因

先说个糟心事。上个月我们分公司那边有三台电脑同时弹出个“税务稽查通知”的压缩包，财务小姑娘手一抖就解压了，结果后台被塞了个挖矿程序，风扇呼啦呼啦转了一下午没人发现。

我这边赶紧远程连过去看，装了某数字杀毒，实时防护开着，版本也是最新的，按理说不该中招。但事实就是中了。我没急着骂软件，先把它自己的拦截日志导出来，又去翻另外两台装了别家杀毒的机器日志，三家一对比，问题就露出来了：那个压缩包用的是自解压格式，双击之后先释放一个白名单里的安装程序，再从这个程序里落地恶意文件。杀毒软件对“白名单程序释放文件”这个动作基本是放行的，等于门卫认得那张脸，就不查他包里揣的啥。

这让我想起二十年前刚入行那会儿，师傅说杀毒软件就是个门卫，你指望他连熟人兜里有啥都翻，不现实。现在这话一点不过时。

那怎么办？我这边摸索出来三条，都是拿样机跑过才敢推的：

第一，别迷信“装了杀毒就万事大吉”。 我把公司所有机器的解压软件统一换成了无广告的版本，重点不是功能多，是它解压前会弹一个来源和文件类型的提醒。别小看这一下，财务那姑娘说当时要是弹个框问她“此文件来自聊天软件，是否继续”，她多半会愣一下。

第二，邮件和聊天软件收到的压缩包，一律先存到指定目录再解。 我让各科室在D盘建了个“待检压缩包”文件夹，杀毒软件对这个目录设成高敏感级别扫描。这一步不花哨，但把“双击就开”的习惯给掰过来了。

第三，也是最土的一招，我拿三台样机各跑了三天，记录风扇转速和CPU占用。 挖矿程序藏得再深，跑起来总要吃电。我让网管每周五下午远程抽查一遍全公司机器的CPU占用曲线，谁那台突然冒高又降不下来，第一个查。这个法子笨，但上个月真靠它逮住一台漏网的。

说到底，杀毒软件是道防线，不是保险箱。真正管用的还是把人的习惯和机器的异常都盯住。

对了，我想问问各位：你们单位收进来的压缩包，是直接双击解压，还是先挪到固定目录扫一遍？有没有人试过把解压软件的来源提醒和杀毒的白名单对着调，调出一个既能拦又不误伤打单软件的法子？我这边打单软件被误杀过两回，现在白名单加得有点心虚，想听听别家怎么弄的。