这次讨论的重点是企业版。

假如有人问我阿里云上什么安全产品最值得买，我的回答通常都是WEB应用防火墙高级版，因为借助于云防火墙访问控制策略以及免费的安全组规则，云服务器的受攻击面一般只剩下WEB服务端口，攻击者就只能在WEB应用层面下功夫，由此诞生出了五花八门的攻击手段：SQL注入、XSS（跨站脚本）、CSRF（跨站请求伪造）、CC攻击，被攻陷的服务器中十之八九是通过WEB端口被攻入的。和之前介绍的阿里云的云防火墙一样，阿里云的WEB应用防火墙最大的优势是基于云和大数据的快速迭代和升级能力，对比传统硬件盒子WEB应用防火墙，阿里云的WEB应用防火墙在提供一流防护效果的同时，还能保证接近零误杀。

阿里云的WEB应用防火墙支持CNAME别名接入，不仅支持阿里云服务器，还支持对IDC或者其他云服务器提供防护支持。WEB应用防火墙目前最低的版本是高级版，能够防护绝大多数常见的WEB攻击手段，说高级版的WEB应用防火墙值得买应该不会有太多的争议。

这个企业版WEB应用防火墙比高级版贵了一倍还多，并且粗看上去也没多出什么功能来，因此非常容易招致差评进而被忽略。其实在有的人看来，就算是高级版的WEB应用防火墙也未必值得买，就在前两天我在和一个用户推荐WEB应用防火墙（当然是高级版）时，得知这位大神竟然计划自己写一个WEB应用防火墙……我竟无言以对。

“彼之蜜糖,吾之毒药”，所以讨论一个产品值不值得买，一个非常重要的因素就是看购买者或者用户自身的情况。

在我的印象中，购买阿里云WEB应用防火墙的用户大致有三类：

• 一类是机构客户，包括*、大企业、公共事业单位等，这一类客户通常不太差钱，购买WEB应用防火墙一般基于合规考虑。
• 第二类是互联网金融客户，这些用户虽然有的也差钱，但面临的监管压力巨大。
• 第三类是高增长的互联网行业客户，竞争和增长压力大，服务中断是这些用户所无法承受的。

首先，针对第二类的互联网金融客户，有的地区在进行等保测评时就会直接要求部署企业版的WEB应用防火墙，否则会有无法通过等保测评的风险，进而影响获得市场准入资格，所以针对这一类客户，企业版的WEB应用防火墙才是最值得买的。

其次，针对第一类的机构客户，国资委近期下了一个文，要求机构的网站在年底前要实现IPv6访问，通过阿里云的IPv6转换服务和云解析DNS服务可以很容易的满足国资委的有关要求。尴尬的是标准版的WEB应用防火墙不支持对IPv6网站提供防护，这也就意味着攻击者可以通过IPv6
客户端绕过WEB应用防火墙。

这让相关负责人如何去和领导解释……
高级版不支持IPv6，企业版支持，所以针对第二类客户，企业版的WEB应用防火墙也是最值得买的。

最后，针对第三类的高增长客户，同行之间的激烈竞争常导致相互之间的恶意攻击，面对长期的且更有针对性的CC攻击，高级版WEB应用防火墙所提供的默认CC攻击防护就不足以应对了，攻击者从而可以通过CC攻击大量消耗被攻击服务器的资源，进而影响其客户体验，企业版WEB应用防火墙提供的自定义CC攻击则能很好的应对这种威胁。在激烈竞争的市场中起步阶段一点点的优势将导致后期巨大的差异，因此针对这一类的客户，能够提供更好业务连续性保障的企业版WEB应用防火墙也是最值得买的。

假如您属于上面三类客户，企业版WEB应用防火墙值得买，值得用！