防御措施（defensive control）是预防、检测或限制系统受损害的手段。你要能说出一种措施的名称，指出它检查或做了什么，以及它防范什么。这一课看两种：防火墙和双因素认证。
防火墙有什么作用？
防火墙位于网络和互联网之间。每个数据包都要与规则比对，例如允许哪些端口或地址。符合允许规则的数据包可以通过。违反规则的数据包会被阻挡，并且可以被记录。
防火墙防范的是未经授权的外来连接。它不会读懂你的想法：如果你允许一个有害的程序运行，防火墙可能并不知道。
什么是双因素认证（2FA）？
认证是证明你是谁。因素分几类：
- 你知道的东西：密码、PIN
- 你拥有的东西：手机、安全令牌
- 你本身的特征：指纹、面部
2FA 需要两种不同类型。密码加上发到已登记手机的验证码，是两个因素。密码加第二个密码则不是，因为两者都是你知道的东西。
例题
一所学校的学生门户目前只需要用户名和密码。学校加入了 2FA。解释这如何提高安全性。
第 1 步，原有的弱点： 如果密码泄露，例如被钓鱼消息骗走，任何拿到密码的人都能登录。
第 2 步，改变： 输入密码后，门户会把六位数验证码发到学生已登记的手机，并在短时间内有效。
第 3 步，效果： 只有密码而没有手机的人，无法完成登录。
第 4 步，局限： 如果学生被骗，把验证码输入假页面，这个措施就被绕过了。用户的警觉仍然需要。
满分风格的答案：「2FA 要求第二种类型的证明，所以仅凭被盗的密码不足以访问账户。」
要避开的错误
错误答案：「防火墙能阻止病毒。」
学生只给出结果，没有说明防火墙做了什么。
防火墙按规则检查网络流量，并阻挡违反规则的流量。检测并清除恶意文件是反恶意软件（anti-malware）的工作。把每种措施和它的动作配对：防火墙检查流量，反恶意软件扫描文件，更新修补已知漏洞，2FA 增加第二重证明。
自测
1. 「密码加安全问题」算双因素认证吗？请解释。
Show answer
不算。 两者都是你知道的东西，属于同一类因素。双因素需要两种不同类型，例如密码加上发到手机的验证码。
2. 描述防火墙对违反其规则的数据包会怎么处理。
Show answer
它会阻挡该数据包，使其无法进入网络或计算机，并可能记录这次尝试，供管理员查看。
3. 说出一种能防范软件已知漏洞的措施，并说明它的作用。
Show answer
软件更新（补丁，patch）。它修复程序中已知的弱点，让它们不能再被利用。保持操作系统和浏览器为最新版本是常见的答案。
接下来学什么？
用综合练习把整个模块串起来，并通过浏览器与服务器的课复习用户如何到达网站。用错题记录与重测队列跟进薄弱点。下一个主题见自动化与新兴系统。
如果你希望老师对照评分者的要求检查你的安全类书面答案，这是线上一对一 Computer Science 补习的一部分。