Verizon 数据泄露报告在这里很有用 ( http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2012_en_xg.pdf )

我现在无法查看它，但我似乎记得最热门的路线是社交工程、flash、文档宏和 pdf 功能。

这些天很少在操作系统中。

我将从我的网站DecentSecurity.com复制我对这个问题的回答

你被骗了

“但我太聪明了，不会被骗。” - 你

被欺骗与智力并不严格相关。大多数感染是由人们自己下载和运行病毒造成的。我见过非常聪明、经验丰富的人会为各种计划而堕落。例如：

• 在说它们是发票、停车罚单或法律判决的电子邮件附件中
• 网站会说您需要更新软件才能使用它
• 您从信誉不佳的网站下载和运行的其他程序的一部分
• 你被告知你感染了，你需要做一些事情来修复它
• 试图使用被盗软件。这是人们被感染的一种巨大方式，因为犯罪分子知道这是让人们运行不可信软件的一种超级简单的方法
• 某些病毒在感染计算机后，会通过电子邮件将自己发送给某人地址列表中的每个人。你甚至不能相信你从朋友那里得到的文件，除非你期待他们并且电子邮件是有意义的。随时回复并询问

第一条规则是您不要下载文件或运行不是您专门寻找的软件。
您获得的软件必须来自原始公司网站上的链接，您搜索并验证为真实。
当您安装软件时，请确保您阅读了它为您提供的每个选项。

您的防病毒软件说某事不是病毒并没有任何意义。

你得到装备

有专门设计的网页可以测试您的计算机是否有许多过时的软件，如果发现一些，它会使用这些程序中的已知编程错误来感染您的计算机 - 通常在几秒钟内，而您无需做任何事情。这些被称为漏洞利用工具包，它们是大生意。

犯罪分子入侵其他网站或使用恶意广告将您的浏览器重定向到它们。这种情况甚至发生在被称为恶意广告的大型网站上。你不必去寻找，这些感染会来找你。

他们还在社交网站上通过电子邮件和消息发送这些链接。

通常，如果您使软件保持最新状态，您就会受到保护。

你得到0day'd

黑客有时会发现一个编程缺陷，而不是向程序的开发者报告，而是利用它来对付人。这种缺陷被称为“零日”，因为受影响程序的用户在被感染之前有零日来部署修复程序。

这些很少见，但这是犯罪分子可以进入的一种方式。这就是为什么您不打开您没有特别要求的电子邮件附件或办公文件的原因。不要点击短信或消息程序中的链接。

企业还是私人？

在企业中，一件常见的事情是在恕我直言。

对于私人用户、恶意软件和未签名的 javascripts。

从 0 的角度来看，如果你想渗透一个网络，你会从哪里开始，我们必须从某个地方开始。

事件趋势报告（2018 年 10 月 - 2019 年 4 月）将主要攻击媒介列为

1. Office365
2. 勒索软件
3. 网络钓鱼
4. 漏洞扫描
5. 供应链攻击