重装系统之后有一段时间电脑实际上没有防护：库是镜像里那份旧的，更新还没跑，备份也没配。很多“刚重装就中毒”其实就发生在这两小时里。下面这个顺序的价值在于：每一步都在缩小下一步的风险。
第 0 步：先断掉一个常见错误
不要一上去就装驱动管理软件、装机工具箱、浏览器全家桶。它们会把大量推广组件写进启动项，而后面的防护建立在这些东西已经跑起来之后。驱动先从厂商官网或者 Windows Update 拿。
第 1 步：把系统补到无新更新
先手动跑两次 Windows Update，因为后面的全盘扫描建立在版本与定义库都新之上。这一步里重点看三个东西：安全滚动更新、定义库更新、可选里的网卡驱动。
命令行确认已经拉到了库：
Update-MpSignature
Get-MpComputerStatus | Select-Object AntivirusSignatureVersion, AntivirusSignatureLastUpdated库日期是今天，才进下一步。如果更新失败，先修更新而不是先装软件，因为失败原因往往是服务被优化掉了。
第 2 步：确认 Defender 真的在跑
不要只看图标，直接读状态：
Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AntivirusEnabled, BehaviorMonitorEnabled三项都为 True 才算接管。常见的例外情况是镜像里预装了某家杀软，它注册了安全中心却没在运行，导致 Defender 不接管。用上一节里那条查 AntiVirusProduct 的命令确认当前到底由谁提供防护。
第 3 步：先扫一次干净的盘
这一步反直觉，但很实用：在装任何第三方软件之前做一次全盘。此时盘上只有系统与驱动，扫得干净就能建立一个可信基准。
Start-MpScan -ScanType FullScan
Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 5扫出问题不要先慌，先想两个问题：镜像是不是下载的修改版，以及装机用的 U 盘是不是已经携带东西。后者尤其常见，一个用了多年的安装 U 盘本身就可能是带东西的。
第 4 步：开两个回滚与隔离开关
这两个开关在你装第一个软件之前一定要存在，否则后面出问题只能再一次重装。
# 系统还原：先把保护打开，再建一个基线还原点
Enable-ComputerRestore -Drive "C:\"
Checkpoint-Computer -Description "clean-base" -RestorePointType MODIFY_SETTINGS
# 勒索防护：限制只有信任程序能改文档目录
Set-MpPreference -EnableControlledFolderAccess Enabled受控文件夹访问开启后，下一个装的同步盘、开发工具都会被提示一次。这是正常的，逐个加信任而不是直接关掉它。
第 5 步：先配备份，再装软件
备份通道要在文件还很少的时候配，因为那时候你几乎不会发现它配错了。等积累了两年照片再配，一旦配置不对，就是真实损失。
- 一个本地目标：外接硬盘或者 NAS，定时同步文档与图片目录。
- 一个异地目标：网盘或者离线备份，至少覆盖文档。
- 一个验证动作：配完立即删一个测试文件，确认能从两个目标里各恢复一份。
第三项最重要。没验证过的备份不算备份。
第 6 步：浏览器与密码管理
只装一个浏览器，打开同步，把默认搜索引擎设好。然后装密码管理器，而不是先装一堆扩展。
一个容易忽略的细节：先导入密码再开同步，不要先开同步后再从旧设备拉密码，两边同时写入很容易造成部分密码丢失。浏览器扩展只装密码管理器一个，其余的“防护”“加速”类全部不要。
第 7 步：此时才轮到第三方安全软件
先问一句：需不需要？前面六步已经把实时防护、定义库、回滚、备份、勒索防护都到位了，剩下的只是附加能力。
- 需要弹窗拦截或者 U 盘防护：装一家轻量的，只开这两个模块。
- 不需要额外能力：就只留 Defender，不要为了“安心”多装一家。
- 需要应急工具：可以只装不上开机自启的独立工具，用到时再打开。
一个常见的错顺序
很多人的顺序是：装驱动包 → 装常用软件 → 装两三家安全软件 → 发现弹窗很多 → 去关设置 → 发现主页不对 → 去查劫持 → 最后重装。这个流程里每一步都在给下一步埋坑，而本文的第 1 到 4 步正好把它倒过来。
最后一句
重装后真正需要优先恢复的不是软件，而是定义库、回滚能力与备份通道。三样到位之后，盘上不多一个工具、少一个工具并不影响安全。先把防护恢复起来，再慢慢把环境搭回你想要的样子。