PaloAlto_7 PA 授權採購大補帖：從肉體到靈魂的全面「課金」紀錄

 

一、 前言：關於那張「讓財務部集體血壓高」的清單

身為一名資安工程師，我常覺得買 Palo Alto Networks（以下簡稱 PA）的過程，非常像是在買一輛德系豪華超跑。

廠商會先給你一個還算合理的「空車價」（硬體），當你正準備簽字時，業務會優雅地遞上另一張清單說：「工程師，您應該不希望您的超跑沒裝大燈、沒灌機油、而且只能在早上九點到下午五點發動吧？」

這就是 PA 的授權世界：硬體是肉體，軟體訂閱是靈魂，維護合約是保險，而 Log 則是你的行車紀錄器。 為了不讓你在老闆問「為什麼還要付錢」時無話可說，這份筆記請收好。

二、 軟體訂閱：這是一場「訂閱制」的軍備競賽

PA 的軟體授權（Subscriptions）是這台機器的精華，不買授權的 PA 跟一台家用的 TP-Link 其實差不了多少。

1. Advanced Threat Prevention (ATP)：資安界的「基本人權」

這包含了防病毒、IPS（入侵防禦）和惡意連線攔截。

• 幽默點： 這是你的「防彈衣」。不買這個，你就像是穿著比基尼去打仗，雖然感覺很涼爽（效能很高），但隨便一顆子彈（漏洞）就能讓你下線。

2. Advanced WildFire：雲端沙箱，你的「試毒官」

針對那些「出生不到一秒」的新病毒，PA 會丟到雲端去跑跑看。

• 工程師觀點： 在這個勒索軟體橫行的時代，WildFire 是唯一能讓你安心睡覺的功能。它讓你的防火牆擁有「集體智慧」。

3. Advanced URL Filtering：別讓員工成為破口

阻擋釣魚網站和惡意下載。

• 筆記： 這裡有個「進階（Advanced）」二字，代表它能即時分析網頁內容，而不是只看黑名單。

三、 維護合約（Support）：救命電話撥給誰？

這是關於「你週末想不想被電話吵醒」的抉擇。

1. 8*5 Standard Support：適合「心臟很大」的環境

• 定義： 週一到週五，上班時間有人理你。

• 慘況模擬： 根據莫非定律，防火牆最愛在 週五晚上 11 點 或 大年初一 冒煙。如果你買 8*5那你這幾天只能對著那台閃紅燈的鐵盒子唸《大悲咒》，等到週一早上九點才能叫修。

2. 7*24 Premium Support：工程師的「安眠藥」

• 定義： 一年 365 天，天天有人陪你通靈。硬體壞了，通常有 隔日到府換修 (NBD)。

• 價值所在： 當全公司網路斷線，老闆站在你背後「關心」進度時，你能戴上耳機跟原廠工程師討論 Debug。這種「我不是一個人在戰鬥」的氛圍，是無價的。

四、 Log 存檔：你的防火牆有「健忘症」嗎？

這是新手最容易漏掉的隱形成本。PA 處理流量很快，但產生 Log 的速度快得像噴泉。

• 本機存檔 (Local)： 如果你買的是 PA-410 這種沒硬碟的「小清新」，Log 就像煙火，閃過就沒了。

• 雲端存檔 (Cortex Data Lake, CDL)： 這是按容量 (TB) 算錢的。

• 工程師提醒： 如果公司有法規遵循（要存一年紀錄），請務必把這條預算列進去。否則被駭後，你想查三個月前的連線紀錄，只會看到一片空白。

五、 Panorama：你的「控制狂」大管家

如果你公司只有一台 PA，買 Panorama 是錢多；但如果你有三台以上，不買 Panorama 是在自虐。

• 功能： 一次管理所有防火牆的設定與 Log。

• 幽默點： 它是「蜂群意識」。你在中央點一下，全台灣分公司的規則同步生效。但請小心，「一鍵拯救世界」的同時，也具備「一鍵毀滅全公司」的威力。 點下 Commit 之前，請先深呼吸。

六、 SD-WAN 與 SSL-VPN：功能與權利的邊界

這兩項最容易讓採購搞混。

1. SD-WAN 授權

• 迷思： 「我有兩條線，為什麼不能直接做備援？」

• 真相： 簡單的線路切換不要錢（策略路由），但如果你要自動監測線路品質（延遲、抖動）、自動選取最快路徑，那就得買 SD-WAN 訂閱授權。

2. GlobalProtect (SSL-VPN)

• 免費版： 電腦版（Win/Mac）連線不要錢。

• 收費版 (Gateway License)： 手機、平板連線要錢！ 檢查電腦有沒有更新 Patch 要錢！

• 話術： 如果老闆想用 iPad 在高爾夫球場連回公司看報表，這筆「行動辦公稅」你絕對省不了。

七、 結論：採購決策的黃金三角形

在評估這些授權時，我通常會畫一個三角形，三個頂點分別是：「老闆的錢包」、「公司的資安」 與 「我的睡眠品質」。

1. 如果你想省錢： 買 8*5，不買 Panorama，Log 存本機。但代價是你會老得很快。

2. 如果你想資安： 三大軟體訂閱（ATP/WF/URL）買好買滿，SSL 解密一定要開。

3. 如果你想睡覺：7*24 Premium Support 是唯一的救贖。

工程師的最後碎碎念：

買 PA 就像是加入了一個高級俱樂部，會費（授權費）很貴，但當你看到那些針對 0-Day 漏洞的防禦成功日誌時，你會覺得這一切都很值得。至少，你不用在半夜三點回公司掃病毒。

採購評估懶人包

項目	建議方案	理由 (說服老闆的話術)
維護合約	7*24	「資安威脅是不放假的，我們不能讓防火牆休假。」
Log 存檔	CDL 或 Panorama	「沒有紀錄，我們被駭了也找不到兇手。」
SSL-VPN	視需求 (手機版要錢)	「讓您隨時隨地，連手機都能安全辦公。」
軟體授權	Core Bundle	「這是防火牆的靈魂，不買就只是個鐵盒子。」