先算被攻击亏多少

被攻击的损失分显性和隐性。显性的：清理后门找人的费用、数据恢复费用、被搜索引擎封了的推广费打水漂。隐性的更贵：客人信息泄露的信任崩塌、订单停摆的生意损失。本地一个做预约服务的机构被勒索软件加密了数据库，交付赎金不算，停业一周损失了近三万，早花八百块打个补丁就没事。这笔账很好算：防一年的钱，往往不够亏一次的零头。

防护的三档投入

第一档，一年几百块：强密码、程序保持更新、每日备份、基础监控。这挡住了九成脚本小子的乱扫，多数六安中小企业做到这一档就够了。第二档，一年两千左右：加防火墙、定期漏洞扫描、有人帮你盯着日志。适合有在线交易、存客户资料的商城和预约系统。第三档，等保测评加专业加固，一年上万，政企和医疗教育机构按规定必须做。

花小钱的大头在哪

安全投入里性价比最高的三件事：改掉弱密码（零成本）、及时打补丁（零成本）、每日异地备份（一年百来块）。我经手的被黑案例，一大半是密码弱加系统老旧的组合。剩下的钱别乱花，什么"绝对防护""永不宕机"的宣传，听听就好，安全没有绝对，只有风险大小。

还有个观念要摆正：安全不是一次性工程，是持续的日常。装完防火墙就不管了，等于装了防盗门不锁。

年底和大促前要做的事

年货季、双节前是六安商家线上单量的高峰，也是服务器最容易出事的窗口。大促前两周做三件事：升一档配置、做一次全量备份、把监控报警 thresholds 调低一档，过了高峰再降回来，按天计费花不了几个钱。平时再懒，每月登一次后台看看CPU和流量曲线，曲线陡涨往往是攻击或程序出错的先兆，早看一天少亏一截。

总结

这笔账的结论：先算被攻击亏多少，再决定防多少；几百块的基础防护挡住九成风险，有交易的上第二档。六安的老板，今天先干三件零成本的事：改强密码、查系统版本、确认有备份，这三件比买什么产品都值。。六安皋城路一带的同行，还有大别山沿线的老板，聊起来都是这个体会。