核心要点（TL;DR）
- 主机安全主流计费是按台按年，节点数×单价×年限决定基础费用。
- 免费版多限制节点数与功能，适合验证与小型环境，不适合生产核心。
- 增值功能按模块叠加，入侵检测、合规基线、容器防护常单独计价。
- 比价要看三年TCO，警惕超节点扩容价与日志存储另收费。
很多运维和站长在采购主机安全产品时，第一反应是问「多少钱一台」，结果拿到报价单才发现：基础版便宜，入侵检测另算，日志存储另算，超节点扩容单价还比首购贵一截。本文把按台按年、免费版额度、增值功能三条计价线拆开讲，给出可复现的盘点命令和比价清单，帮你算出真实三年成本，而不是被首年低价牵着走。
一、先算清家底：你到底有多少台主机要保护
计价单位是节点，节点数算错，后面所有比价都是错的。先跑一遍资产盘点，把物理机、虚拟机、云主机、容器宿主机分开统计。
# 统计已装Agent的主机数（以常见Agent进程名为例）
ps -ef | grep -i -E 'aegis|agent|hids' | grep -v grep | wc -l
# 云上按实例列表统计（示例：阿里云CLI）
aliyun ecs DescribeInstances --RegionId cn-hangzhou \
--PageSize 100 | grep -c InstanceId
# 容器宿主机单独统计
docker ps -q | wc -l
kubectl get nodes --no-headers | wc -l把结果填进下表，注意区分「生产」「测试」「临时扩容」三类，测试机往往是报价单里被忽略的增量。
| 资产类型 | 数量 | 是否公网暴露 | 是否计入付费节点 |
|---|---|---|---|
| 生产云主机 | — | 是/否 | 是 |
| 测试与预发 | — | 否 | 多数厂商可谈减免 |
| 容器宿主机 | — | 视业务 | 按宿主机或按Pod，需确认 |
| 临时扩容机 | — | 视业务 | 确认是否支持按天折算 |
二、按台按年的计价逻辑与三个坑
按台按年的公式很直白：节点数 × 单节点年费 × 年限，多年合同通常有折扣。真正影响账单的是三个细节。
- 节点口径：装Agent才算节点，还是按云账号下所有实例算？后者会让你为闲置机器付费。
- 扩容单价：首购100台单价低，中途加到150台时，新增50台可能按更高档位计价，务必写进合同。
- 续费价：首年促销价与续费价常不同，问清第三年单价再签字。
比价时统一换算成「三年总拥有成本」，把首购、扩容、续费、日志存储四项加总，差价往往出现在后两项。
三、免费版能干什么，不能干什么
免费版适合验证和小环境兜底，但要清楚它的边界。典型限制包括节点数上限（常见10到20台）、关闭实时入侵告警、无合规基线报告、无工单与API联动、无SLA。判断方法很简单：列出你依赖的安全动作，逐条对照免费版功能表。
- 是否需要在凌晨收到暴力破解告警并自动封禁IP？免费版多数只记录不告警。
- 是否需要导出等保基线报告？免费版通常不提供。
- 是否需要与现有工单系统联动？免费版一般不开API。
以上任一条为「是」，就应把对应主机划入付费范围，其余测试机用免费版或开源方案兜底即可。
四、增值功能怎么选：按风险而不是按功能表
增值模块常见有入侵检测与病毒查杀、合规基线、容器与K8s防护、日志集中存储、专家托管运营。选型原则是「先补暴露面，再补合规，最后补运营」。
| 模块 | 适用场景 | 计价方式 | 是否优先 |
|---|---|---|---|
| 入侵检测 | 公网暴露主机 | 按节点年费叠加 | 高 |
| 合规基线 | 过等保、行业审计 | 按节点或按报告 | 高（有合规要求时） |
| 容器防护 | K8s集群 | 按宿主机或按Pod | 中 |
| 日志集中存储 | 需取证与溯源 | 按容量或保留天数 | 中，注意日增量 |
| 托管运营 | 无专职安全人员 | 按年服务费 | 按团队规模定 |
日志存储是最容易超支的一项。先估算日增量：单台主机日志按每天200MB到500MB估算，50台一年约3.6TB到9TB，再对照厂商的存储单价和保留天数报价。防护建议上，可在入侵检测与基线模块处自然评估 AegisX 的对应能力，看其是否把告警、基线与日志保留打包计价，减少模块叠加带来的预算不确定性。
五、采购前的检查清单与行动建议
- 用第一部分的命令跑出真实节点数，区分生产与测试。
- 向至少三家厂商索取书面报价，必须写明节点上限、扩容单价、续费价、日志保留天数。
- 按三年TCO做对比表，把免费版可覆盖的测试机剔除后再算单价。
- 合同写明退出时的数据导出方式与Agent卸载支持，避免被锁定。
- 先买高风险模块，跑三个月评估告警质量，再决定是否扩容。
行动建议：本周内完成资产盘点并输出节点清单，下周拿清单去谈价，把「按台按年」的单价谈到明处，把增值功能按风险排序分批上。收费模式看清楚，安全预算才不会被隐性成本吃掉。
常见问题（FAQ）
主机安全产品按台按年是怎么算的，节点数怎么界定？
按台按年即以受保护主机（节点）数量乘以单节点年费计价，通常按合同期一次性或分期支付。节点界定看厂商口径：多数按安装Agent的物理机/虚拟机计1台，容器场景可能按宿主机或按Pod另计。采购前务必确认是否含测试机、临时扩容机，以及节点数不足时是否可跨年结转，避免实际账单高于报价。
免费版主机安全能用在生产环境吗？
不建议用于生产核心资产。免费版通常限制节点数（常见10到20台）、关闭入侵检测实时告警、不提供合规基线报告与工单联动，且无SLA保障。它适合做小规模验证、开发测试环境或临时排查。生产环境若只用免费版，等于把告警响应和取证能力交给运气，出事后缺少日志留存与技术支持。
增值功能一般怎么收费，哪些值得买？
增值功能多按模块单独计价，常见有入侵检测与病毒查杀、等保合规基线、容器与K8s防护、日志集中存储、专家托管运营。建议优先买与业务风险直接相关的模块：暴露在公网的主机优先入侵检测，过等保的优先合规基线。日志存储按容量或天数另收费，需提前估算日增量，避免后期被动加钱。
怎么避免主机安全采购的隐性成本？
重点查四项：超节点扩容单价是否高于首购价、日志存储是否另计费、API或工单联动是否属高级版、续费是否涨价。签约前要求书面写明节点上限、扩容价、数据保留天数与退出时的数据导出方式。用三年TCO对比而非首年报价，通常能发现差价在续费和扩容环节。
预算有限时，主机安全怎么分阶段投入？
先做资产盘点，按暴露面分级：公网暴露与核心数据库主机优先上付费版，内网测试机用免费版或开源方案兜底。第一阶段只买入侵检测与基线两个模块，跑三个月看告警质量；第二阶段再补容器防护与托管运营。分阶段投入能压低首年支出，同时保留后续扩容的议价空间。