Norton在系统底层接入文件系统和网络栈，实时监控程序行为和流量特征。已知威胁特征库每日更新，未知程序通过行为分析判定意图。勒索软件试图加密文件时被拦截，恶意网站在加载前被阻断，后台运行不打断正常工作。
不堆参数，只讲真功夫。每一处都解决实实在在的麻烦。
文件系统过滤驱动在文件打开、创建、写入时介入扫描，网络层驱动在TCP/IP栈中检查数据包特征。旧方案靠定时全盘扫描，等扫出来病毒已经跑起来了；Norton的实时防护在程序执行前完成判定，恶意代码还没来得及跑就被拦在门外。
基于规则引擎监控进出站连接，结合应用程序身份和网络目的地做决策，未知程序首次联网时弹出询问。旧方案要么全放行要么全拦截，正常软件被误拦还得手动加例外；Norton的防火墙学习模式记录用户选择，熟悉使用习惯后自动放行可信程序的正常连接，只在遇到异常行为时提醒。
监控文件系统调用栈，检测批量文件加密行为模式，一旦发现程序在短时间内尝试修改大量文档后缀名立即挂起进程。旧方案等文件被加密完才报毒，解密只能靠交赎金；Norton的勒索防护在加密行为刚开始时就介入，被篡改的文件从备份区自动恢复，用户甚至感觉不到发生了攻击。
浏览器扩展注入域名信誉检查和页面特征分析，访问疑似仿冒银行或支付页面的站点时在页面加载前弹出警告。旧方案靠用户自己分辨网址拼写是否正确，骗子把字母l换成数字1根本看不出来；Norton的钓鱼拦截对比已知欺诈站点数据库，同时分析页面布局和表单请求目标，假登录页在输入密码前就被挡住。
有些麻烦，换个工具就没了。
网上搜资料点进来的链接五花八门。恶意站点在页面加载前被拦截，下载的软件安装包自动扫描，正常浏览不用时刻担心点到陷阱。
付款页面最怕被劫持。支付时自动启用安全键盘防止击键被记录，页面证书异常时立即阻断，交易过程多一层保护。
U盘插进来不知道有没有毒。外接存储挂载时自动触发扫描，Autorun.inf之类可疑文件被隔离，拷贝资料不用担心带进木马。
老电脑没法升级系统补丁。漏洞扫描检测未修复的安全缺陷，给出修复建议或者在网络层拦截针对该漏洞的攻击流量。
都是真实体验，没有套话。
之前电脑中了勒索病毒，毕业论文全被加密，最后花钱找人解密也没完全恢复。装了Norton之后有次下了个破解软件被直接拦了，隔离区里看到一堆试图修改docx的可疑行为，想想就后怕。
最意外的是性能占用。以前用的防护软件一开电脑就卡，开机要好几分钟。Norton后台几乎感觉不到存在，风扇不狂转，打游戏也没出现过帧率掉得厉害的情况。
爸妈用的电脑总乱点弹窗，装了Norton之后半年多了没再中过招。浏览器扩展把钓鱼网站拦得很准，有次老爸差点在一个仿冒的"养老金登录"页面输密码，页面直接被挡住了，省了我一趟远程协助的功夫。
冷门细节：智能防火墙有个"隐身模式"，开启后设备在网络上不响应ping请求，端口扫描工具扫不到开放的服务。连公共WiFi的时候开着，周围人看不到你的设备，蹭网的人也找不到攻击入口。
不吹牛，只讲原理和体验。
技术动作：在Windows内核中注册文件系统过滤回调函数，IRP_MJ_CREATE和IRP_MJ_WRITE等I/O请求包到达文件系统前先经过过滤层，驱动根据策略决定是否允许操作继续。用户感知：打开文件时不会有明显的卡顿感，扫描在毫秒级内完成，只有遇到可疑文件时才会弹出通知，日常使用几乎感觉不到防护层的存在。
技术动作：监控进程创建的调用栈和API序列，将观察到的行为模式与已知攻击手法做相似度匹配，结合机器学习模型输出威胁评分。用户感知：从未见过的程序也能被判定为可疑，不需要等特征库更新。正常软件偶尔触发异常行为会被放入沙箱观察而不是直接被杀掉，减少误报带来的困扰。
技术动作：在NDIS或WFP层注册网络过滤器，检查TCP握手包和HTTP请求头中的域名信息，匹配到黑名单或异常特征时直接丢弃数据包或重置连接。用户感知：访问恶意站点时浏览器显示"无法连接"而非加载出一个挂着骗子的页面，下载恶意文件时连接在几KB内就被切断，文件根本来不及写到磁盘上。
技术动作：记录每个进程的IO模式和文件修改频率，短时间内对同一目录下大量文件进行写操作且伴随后缀名变更时触发告警阈值。用户感知：正当的批量重命名操作不会被误伤，只有同时具备加密算法特征和破坏性写入模式的程序才会被挂起，误报率控制在极低的水平。
技术动作：本地提取文件特征哈希后仅上传哈希值而非完整文件，云端数据库匹配后返回判定结果，未知样本才会上传完整副本供分析。用户感知：查杀速度比纯本地扫描快很多，因为大部分已知威胁在哈希比对阶段就完成了判定。上传的哈希值不可逆推原始文件内容，隐私数据不会泄露到云端。