互联网 / SaaS · 某成长期 SaaS 企业（典型场景）
SaaS 企业从免费 WAF 起步，随业务增长升级企业版
早期团队精力有限，先用 WAF 免费版快速为产品站点加上防护；随着客户增多、办公网与运维体系扩大，平滑升级到企业版，并通过 API 与 MCP 接入自动化运维。
挑战
- 产品上线初期没有专职安全人员，站点频繁遭受扫描、撞库和注入尝试。
- 客户数量增长后，客户安全问卷和合同中开始提出 Web 防护、日志留存等要求。
- 办公网扩大、远程办公增多，研发和运维人员访问生产环境的方式缺少统一管控。
- 工程团队希望安全策略能和现有发布流程、运维工具链打通，而不是在界面里手工维护。
方案
- 第一阶段：在云主机上以 Docker 方式部署 WAF 免费版，为产品站点和管理后台加上 Web 防护，并限制源站只接受 WAF 回源。
- 第二阶段：业务扩大后升级到 NGFW One 企业版，在办公网出口统一提供 VPN、访问控制和域名过滤，研发人员经 VPN 访问运维入口。
- 启用蜜罐 → 审计 → 封停闭环，对持续攻击的外部来源和内网异常探测进行自动或一键处置。
- 通过 REST API 将站点上线、IP 封禁等操作接入发布流程与工单系统；运维人员通过 MCP 让 AI 助手查询告警与流量，写操作默认需人工确认。
效果
- 在没有专职安全人员的阶段，以很低的成本为对外站点建立了基础防护。
- 面对客户安全问卷时，能够说明 Web 防护、访问控制和日志审计的具体做法。
- 研发与运维人员访问生产环境的路径统一收敛，操作可审计。
- 安全策略变更纳入工程流程，日常查询可以用自然语言完成，减少了重复的手工操作。
升级路径
| 阶段 | 典型信号 | 建议 |
|---|---|---|
| 起步期 | 只有对外站点，团队人数少 | WAF 免费版，Docker 或云市场镜像部署 |
| 成长期 | 办公网扩大、远程办公、客户提出合规要求 | 企业版，统一出口、VPN 与闭环处置 |
| 规模期 | 多地域、多环境，安全需要融入工程流程 | 启用 REST API 与 MCP 实现自动化 |
用到的产品与功能
本文为典型场景示例，具体部署方案需结合实际网络环境评估。