1. Software aktuell halten
(Die meisten 'grossflächigen' Angriffe tauchen für Sicherheitslücken auf, für die eigentlich schon Patches draussen sind und betreffen somit eben nur solche, die nicht gepatched haben.)
2. Hinter einem Router (NAT) hocken
(Damit fallen schonmal die meisten Angriffe der Kategorie 'User hat gar nichts gemacht' weg.)
3. Gehirn einschalten
(Und sich überlegen, wo man intelligenterweise vielleicht nicht draufklickt bzw. vor Allem, welche Dateien man nicht ausführen, welche PlugIns man nicht installieren und welchen Dingen man keine Zugriffsrechte gewähren soll.)
Wenn man mit diesen Punkten konsequent ist, sollte man schonmal ein beträchtliches Mass an Sicherheit erreicht haben.
Wer darüber hinaus noch einen Viren-Scanner will, sollte sich bewusst sein, dass dieser vermutlich mehr Geld, Ressourcen & Nerven kostet, als er Zugewinn an Sicherheit bringt.
Trotzdem kann es in gewissen Situationen hilfreich sein - beispielsweise um ausführbare Dateien aus nicht 100%ig Vertrauenswürdigen Quellen auf altbekannte Schädlinge zu testen (vielleicht will einem 'Schulkollege Script-Kiddie' ja mal einen Trojaner unterjubeln oder so

)
Etwas kostenloses wie Avira reicht allerding tendenziell aus - dann fällt wenigstens der Kostenfaktor geringer aus.
Wer darüber hinaus sogar noch eine Personal-Firewall will, der sollte sich bewusst sein, dass hier der Kostenfaktor (vor Allem im Bereich der Nerven) gegenüber dem Zugewinn an Sicherheit in einem nochmals grösseren Missverhältnis steht, als bei den Viren-Scannern.
Man kann Personal-Firewall dazu benutzen, gewisse Programme vom Internet abzuschneiden - aber darin sind sie erstens auch nicht völlig zuverlässig und zweitens gibts da auch andere Lösungen. Ansonsten bringen die Dinger nicht viel.