什么是 DLP

数据丢失防护（DLP）是一组用于检测并阻止敏感数据未经授权离开组织的技术和政策。其目标是防止数据外泄，无论外泄是意外还是恶意行为造成的。

DLP 保护三种状态的数据：

• 静态数据：存储在磁盘、数据库和文件共享中的数据。
• 传输中数据：通过网络、电子邮件和网页传输的数据。
• 使用中数据：在终端上处于活动状态的数据（剪贴板、屏幕、USB）。

数据丢失通常是无意造成的：

• 员工将电子表格发送到了错误的地址。
• 文件被放入了公开的云存储桶。
• 敏感数据被复制到 USB 驱动器。

另一类情况则是恶意内部人员和外部攻击者外泄数据。

通常受保护的数据类型包括：

• 个人数据（PII），例如姓名、标识符和地址。
• 支付数据（PCI），例如卡号。
• 健康记录（PHI）。
• 知识产权和源代码。

DLP 引擎通过多种技术识别敏感内容：

• 针对卡号等结构化数据进行模式匹配（正则表达式）。
• 关键词和词典。
• 对已知文件进行指纹识别/精确数据匹配。
• 应用于文件的分类标签。

控制措施部署在不同层级：

• 终端 DLP：在笔记本电脑上运行代理程序，控制 USB、剪贴板和打印。
• 网络 DLP：检查电子邮件和网页流量。
• 云 DLP/CASB：监控软件即服务和云存储。

DLP 政策将检测结果与响应措施关联起来。常见操作包括：

• 仅监控/记录日志。
• 向用户或安全团队发出警报。
• 阻止传输。
• 隔离或加密数据。

立即启用阻止功能会导致误报和工作流程中断。大多数部署会先从监控（审计）模式开始，了解正常行为并调整规则，然后再对高置信度规则启用阻止功能。

过于宽泛的规则会标记无害活动并使用户感到困扰。规则调优是持续进行的：

• 改进模式并增加上下文（例如要求达到一定数量阈值）。
• 将已知的合法流转加入允许列表。
• 审查警报并进行调整。

DLP 和加密可以相互补充。加密保护数据机密性；DLP 控制数据流动。请注意，用户使用的强加密可能使 DLP 失去可见性，因此政策可能要求使用由组织管理的加密渠道。

DLP 功能强大，但并非绝对可靠：

• 无法检查不能解密的内容。
• 拍摄屏幕照片可以绕过 DLP。
• 分类错误的数据可能会被放行。

DLP 是纵深防御策略中的一个层次，需要与访问控制和监控配合使用。

回忆 DLP 保护的三种数据状态。

DLP 可以检测并阻止未经授权的数据外泄：

• 保护静态数据、传输中数据和使用中数据。
• 通过模式、关键词、指纹和标签进行检测。
• 部署在终端、网络和云层级。
• 从监控模式开始，调整误报，然后再启用阻止功能。