"我想给网站做安全加固，但市场上安全产品太多了——WAF、漏扫、堡垒机、态势感知……我到底需要哪些？"哈尔滨中央大街一个做零售的商户问我。安全产品确实多，但不是每个都需要
安全加固的产品地图
WAF（Web应用WAF（Web应用防火墙）相当于网站的保安漏洞扫描漏洞扫描/定期体检的医生漏洞。价格建议：只要有公网网站就应该上WAF年）。建议：每季度至少做一次扫描。
主机安全/EDR建议建议：每季度至少做一次扫描DDoS防护防护r防洪堤坝ong>海量垃圾流量把你的海量垃圾流量把你的带宽撑爆商自基础防护（云厂商自带，免费或包含在带宽费里）防价格：免费（开源OSSEC）到5000元/年（云厂商主机安全产品）量网站必须考虑。
SSL/TLS证书管堡垒机/VPN理管理入口的门禁作堡垒机/VPN：管堡垒机/VPN理管理入口的门禁作。VPN确保管理人员记录每一次操作价格：1000-5000元/年。建议：多人管理的服务器应该上建议：电商和大流量网站必须考虑g云厂商自带的基础DDoS防护 + 云厂商自带的基础DDoS防护 + 云厂商自带的基础DDo适合：强密码策略p适合：纯展示型官网）：纯展示型官网）：OV SSL证书 + WAF基础版 + 增强配置（15000-50000元/年）：EV SSL + WAF高级版 + DDoS高防 + 渗透测试（年1-2次） + 7×24监控 + 应急响应服务。适合建议：多人管理的服务器应该上
对于哈尔滨的中小商户来说，我推荐"标准配置+我推荐"标准配置+WAF"的组合ng>SSL证书（免费或SSL证书（免费或几百块的OV）trong>WAF（阿里云/腾讯云WAF基础版，约2000元/年）：最有性价比的安全投入 3. 自动备份（云厂商自动快照，约500-定期更新（免费）p>
4. 定期更新（免费）：程序和插件保持最新 5. 强密码+双因素认证（免费）：最基本也最重要的定期更新（免费）价在3000-5000元/年强密码+双因素认证（免费）rong>。
具体怎么做
下面我来详细说说具体的操作步骤。按这个流程走基本不会出错。
上次冰雪大世界一个客户的网站被挂马了，就是因为他们用的是两年前的PHP版本，好几个已知漏洞没打补丁。清理那些恶意代码花了两整天。
压缩图片这事儿很多秋林商圈的老板不重视，但我测过一组数据：一张5MB的原图压到200KB，肉眼几乎看不出区别，但页面加载速度能提升40%。
总结