ESET以NOD32检测引擎为核心，在系统底层拦截恶意程序，后台资源占用长期偏低，玩游戏、剪视频时几乎感觉不到它的存在。银行支付模式为网银和支付页面创建隔离的浏览器环境，键盘输入和页面内容不被第三方窥探。勒索防护监控异常加密行为，重要文件夹加一道写保护。
四张卡片四种写法，不重复套路。每张讲清楚一件事。
想象这个画面：你正全屏打团战，队友等你的操作，突然杀毒软件弹个全屏警告——这局直接没了。ESET的做法是默认进游戏模式，任何通知和计划扫描全部静默，NOD32引擎在底层用文件信誉缓存先过滤已知安全文件，只把可疑样本送进多层检测管线。结果就是CPU占用长期趴在个位数，游戏帧率曲线比杀毒前还稳。
老式防御靠特征库认恶意软件脸面，勒索病毒换个壳就认不出来了。ESET把思路反过来：不认脸，认动作。Ransomware Shield盯着所有进程对文档目录的写操作，一旦某个程序在十秒内批量改了几百个文件的后缀名，立刻挂起它、隔离它、回滚被改的文件。两种思路摆在一起——认脸的漏网之鱼多，认动作的只要敢动手就被抓。用户感受到的就是"文件夹里突然多出来的.locked文件再也没出现过"。
我第一次用这个功能愣了一下：打开网银页面时，ESET默默把浏览器进程切进一个隔离的沙箱环境，地址栏旁边多了个小盾牌标记。那一刻起，键盘输入的每一个字符走的是加密通道，页面证书有任何异常会直接拦住不让我继续。我什么都没做，它就把防键盘记录、防中间人、防网页注入全安排上了。对财务和跨境电商收款来说，这个"多出来的安全感"是实打实的——付款前不用再反复检查网址是不是少个字母。
"防火墙不就是弹窗问我允许不允许吗？"——这是多数人的印象，也是最烦的地方。ESET的防火墙换个思路：默认学你的习惯。头几天它会观察哪些程序要联网、连去哪、用哪个端口，然后自动生成规则。一周之后它基本不吵你了，只有遇到真正反常的连接（比如某个程序突然尝试连境外未知IP、或者RDP端口被人从外网暴力猜密码）才会单独标红提醒。 inbound挡入站攻击，outbound管住恶意程序外联，双向都管，还顺带防ARP欺骗——家里IoT设备多的人会感谢这个功能。
不同处境下，防护的侧重点不一样。下面四张卡对应四种典型处境。
全屏时最怕被打断
杀毒弹窗是全屏应用的头号公敌。开启游戏模式后所有通知、更新、扫描计划全部让路，NOD32在后台静默跑，CPU占用低到性能监测软件都懒得画曲线。
输密码那一刻最关键
打开网银或支付页面自动切进隔离浏览器，键盘输入加密、页面证书实时校验、剪贴板监控防偷粘。付款流程走完自动解除隔离，日常浏览不受影响。
电脑暴露在外网
开RDP或VPN的电脑是攻击者的重点目标。防火墙拦截暴力破解密码的尝试，Network Inspector扫描家里路由器有没有弱密码和开放端口，横向传播被掐断。
源文件被加密等于白干
多年积累的设计稿和项目文件是勒索软件的最爱。把工作目录加进勒索防护清单，任何程序试图批量改写这些文件会被立即阻止并报警，源文件安然无恙。
四种身份，四种视角，没有套话。
之前用的防护软件一开，玩CS2帧率直接从144掉到90，团战卡得像PPT。换了ESET之后游戏模式默认开着，整局下来帧率曲线平稳，风扇都不怎么转。有次下了个来历不明的外挂检测工具，后台直接给我隔离了，我都没感知到它运行过。
最意外的发现是支付保护那个小盾牌。有天在网银转账时注意到地址栏旁边多了个ESET的标记，查了才知道它把浏览器进程隔离了。后来专门试了下，剪贴板里的银行卡号在隔离环境里外传不出去，这种设计比弹窗提醒实在多了。
公司配的笔记本装了ESET，我一开始嫌它占地方想卸掉。结果有次连酒店WiFi，它弹出来说检测到ARP欺骗攻击、已经自动阻断了。同一WiFi下隔壁同事的电脑没装防护，半小时之后QQ被盗号发了满群垃圾广告。从此我对"杀毒软件是不是多余"这个问题再无争议——你感觉不到它存在的时候，恰恰是它的价值最高的时候。
冷门细节：设备控制功能可以禁止特定类型的USB设备读写。我把U盘设为只读、手机设为禁止访问，公共打印店拷回来的文件必须先杀毒才能复制到硬盘。更细的是还能按设备VID/PID白名单，只有公司发的加密U盘才能写入，其他一律只读。
不堆参数，按"它做了什么动作→你感受到什么"来讲。
动作：扫描前先查本地LiveGrid缓存，命中已知安全哈希的文件直接放行，只把未知样本送进多层检测管线。感知：日常打开文档、运行软件几乎没有"正在扫描"的等待感，全盘扫描时间也比传统逐文件比对短很多，因为大头文件都走缓存免检了。
动作：把恶意代码的行为特征抽象成DNA定义（调用链、注册表操作序列、加密API使用模式），匹配的是行为指纹而非文件哈希。感知：同一个勒索家族换壳、加混淆、改图标，传统特征库要等更新才能认出来，DNA检测在它动手的那一刻就根据行为模式判定为恶意，不用等云端下发新规则。
动作：监控可疑进程的内存空间，检测到代码在运行时动态解密/脱壳后，对内存中的明文代码做扫描匹配。感知：很多高级恶意软件硬盘上看着人畜无害，运行时才解密出真身。内存扫描能在它脱壳露脸的瞬间识别并终止，用户看到的只是"某个后台进程被隔离了"，不用关心它藏了多少层。
动作：在Windows启动之前介入UEFI固件层，检查引导加载程序和固件组件是否被篡改，异常时报告并阻断启动。感知：普通杀毒软件进不了固件层，被植入Bootkit的机器它根本看不见。UEFI扫描在开机自检阶段就把底层威胁揪出来，用户看到的是"启动时报了个固件风险"而不是"进系统后怎么杀都杀不干净"。
动作：识别到网银/支付URL时把浏览器进程放进轻量沙箱，键盘输入走加密通道、剪贴板访问受限、页面证书实时校验。感知：打开支付页面时几乎感觉不到多了层隔离，只是地址栏旁多了个盾牌图标。输入密码时不用再担心被键盘记录器偷录，页面被劫持时直接拦住不让你继续操作。