2. 外发场景概述：邮件、IM、网页、FTP、云盘
说到数据防泄漏，真正让安全团队头疼的，其实是外部发送这个环节。内部流转还好说，数据一出了边界，你就很难再控制它了。我记得刚接手第一个大型DLP项目时，客户问了我一句话：“我们公司员工每天发出去的邮件、微信文件、上传到客户FTP的资料，到底有多少是敏感数据？”当时我答不上来，因为那时各个通道的数据监控是割裂的。
所以我们需要先搞清楚一件事——哪些通道是数据外流的主战场？我个人习惯把它们归为五大类：邮件、即时通讯（IM）、网页上传、FTP/SFTP协作、云盘同步。下面我一个一个拆开讲。
2.1 邮件：老牌通道，防不胜防
邮件仍然是企业数据外泄的第一大渠道。为什么？因为它“合法”。你把一份含客户手机号的Excel当成附件发出去，系统不会拦你，因为发邮件本身就是员工日常工作的一部分。我见过最夸张的项目——某金融公司通过邮件外发的敏感字段，一个月竟超过20万条。
邮件场景的特点：
- 附件是重灾区：Excel、PDF、Word、压缩包，你能想到的格式都有人发。
- 正文也能带数据：有些员工直接把身份证号写在邮件正文里。
- 转发和抄送失控：本来只发给A，顺手抄送了B，再往前翻还有离职人员。
2.2 即时通讯：高频低感知，最被低估
IM工具（微信、钉钉、飞书、企业微信、Slack等）现在是上班族的主力沟通工具。你想想看，大部分员工觉得“发个截图过去”不算泄密，可那张截图里可能包含核心系统的登录凭证。
IM外发的难点在于：内容碎片化、加密严重、无法做深度内容检测。微信的文件传输默认是端到端加密，很多DLP设备根本解不开。
我建议的策略思路：
- 端点DLP优先：在员工电脑上装终端代理，敏感内容往外复制或拖拽时直接拦截。
- 网络DPI为辅：对未加密的HTTP/HTTPS IM上传做流量解码，识别文件特征。
- 行为基线加白：比如财务人员发财务报表给第三方审计公司，就可以加白名单，避免误报。
2.3 网页上传：表单、附件、POST请求
网页上传看起来很不起眼，其实是一个容易被忽略的泄漏点。员工登录公司的Web邮箱，把附件上传到网页版的Outlook或Gmail——这时候走的是HTTPS，传统的网络DLP很难做全文检测。还有上传到第三方协作平台（如百度网盘网页版、腾讯文档）的情况。
对于网页上传场景，我个人喜欢用“URL分类 + 内容深度扫描”的组合拳：
| 行为 | 安全等级 | 推荐策略 |
|---|---|---|
| 上传附件到企业邮箱 | 中 | 检查附件类型与内容，关键字命中告警 |
| 上传附件到个人邮箱 | 高 | 触发二次审批或直接拦截 |
| 上传文件到云盘/社交网站 | 高 | 内容指纹 + 行为画像，高敏感数据自动阻止 |
| 网页表单提交数据 | 高 | 正则匹配身份证、银行卡等信息，后台审计记录 |
这里有个容易被忽略的点——网页表单提交。有些员工在网页上填写的“备注”或“留言”里嵌入了敏感的内容，浏览器会直接POST出去，而两端都没有文件扫描的习惯。我们之前就用定制的内容检测网关专门抓这些POST body，查出来不少财务信息外流。
2.4 FTP/SFTP：传统但大量的批量泄漏
FTP和SFTP在研发、外包、尤其是制造业里大量使用。你有没有想过，为什么很多厂商的FTP服务器不需要登录就能访问？其实不是不需要，是账户密码太简单了，或者共享目录的权限放得太开。
我遇到过一家客户的数据，他们的研发工程师每天都用SFTP把代码包上传到甲方服务器。但某天发现该工程师同时用了lftp脚本把整个代码库同步到了个人海外VPS——当时FTP通道上的DLP策略只管了文件名关键词，没做频率和连接数量的基线。结果丢了一批核心算法。
FTP场景的联动配置建议：
- 不要只盯着文件内容，要同时监控连接频率、目的IP、端口和协议版本。
- 对SFTP要做“文件列表 + 内容指纹”双重校验。
- 敏感目录下的文件外传，自动触发管理员确认。
2.5 云盘（企业云盘/个人云盘）：同步即泄漏
云盘场景这两年增长很快，因为大家都在用。企业内部的云盘（如SharePoint、企业网盘）本意是协作，但它和外部云盘（如百度云盘、阿里云盘、Google Drive）存在一个“同步边界”问题。员工电脑上装了企业云盘客户端，同时也装了个人云盘客户端——只要把文件从企业云盘文件夹拖到个人云盘文件夹，数据就出去了。端点上的动作通常不会产生网络流量，传统的网络DLP根本看不到。
我看过一份统计，云盘相关的事件中，大约70%是通过同步文件夹拖拽完成的，而不是通过网页上传。
所以云盘的联动策略要分两层：
- 端点层：监控文件系统层面的复制、移动、新建操作，尤其是跨云盘同步的动作。
- 网络层：对云盘同步工具的专有协议（如Google Drive的HTTP/2、百度云盘的私有TCP协议）做流量指纹识别，未知流量直接告警。
2.6 一张图看懂外发场景的DLP战局
上面讲的这五个场景，你看它们的共性是什么？我总结了一下——数据至少经过一次“编码/封装/变换”才能走出去。邮件走SMTP，IM走私有协议，网页走HTTP POST，FTP走TCP 21/22，云盘走HTTPS或REST API。每种协议的解析方式不同，检测点也不同。下面这张图可以帮你快速建立全局视角：
2.7 站在联动角度再看这五个场景
你可能已经发现了——上面每个场景单独看都有一堆策略，但放在一起就需要做一件事情：统一策略编排。换句话说，你不能为邮件通道写一套词库，为IM通道再写另一套，为FTP再来一套——那样后期运维会崩溃的。
我个人习惯的做法是：
- 共用内容指纹库：无论走哪个通道，敏感分词、正则、文档指纹都调同一份。
- 差异化动作规则：邮件通道可以拦截+告警，IM通道因为实时要求高，可以告警+终端弹窗，FTP通道可以延迟放行并记录。
- 统一审计平台：所有通道的事件集中到同一个SOC/SIEM系统里，方便做关联分析。
举个例子你就明白了——某员工把客户名单Excel用微信发给朋友，同时又把同一个文件通过邮箱发到了个人邮箱。如果两套策略是分开的，你会收到两条独立的告警。但如果统一了，SOC平台自动关联出“同一人、同一文件、两通道同时外发”，那就可以直接判定为严重泄漏事件，自动触发应急处置。
好了，这五个场景的宏观认知就讲到这里。你用这张图去跟业务部门沟通时，他们至少能明白：数据不是只有邮件一条路，DLP也不是堵一个口子就够了。后面我们会逐一深入每个通道的策略联动细节，包括规则怎么写、性能怎么调、误报怎么压。先把地图画清楚，路才好走。