📚 课程目录第3章 DLP策略基础

3. DLP策略基础：策略要素

咱们做数据防泄漏，说白了就是回答五个问题：谁、什么、何时、何处、如何。这五个要素拼起来，才是一条能落地、不误报、不遗漏的策略。

我见过太多团队上来就写规则：文件大小 > 10MB 就告警。结果呢？全公司每天几千条假告警，安全团队直接躺平。嗯，这就是缺了策略要素的惨痛教训。

  核心观点： DLP 策略 = 谁 + 什么 + 何时 + 何处 + 如何。缺任何一个，策略要么漏报，要么误报。

3.1 谁 —— 策略的触发主体

“谁” 就是数据动作的执行者。可以是个人、部门、AD组、角色，甚至 IP/MAC 地址。我个人习惯先用“用户组”来建模，而不是逐个人添加。为什么呢？你想，如果今天张三离职了、明天李四入职了，策略规则总不能天天改吧。

类型	粒度	典型示例
单个用户	最细，但维护成本高	`user:zhangsan@company.com`
AD组	推荐，与组织架构对齐	`group:RD_Engineers`
角色	抽象，适合 RBAC	`role:data_owner`
IP 段	适合网络层策略	`ip:10.0.0.0/8`

注意： 我曾经见过一个项目，把全公司 5000 人的用户名一条条写在策略里，然后每周手动维护。那个 DLP 项目上线半年就没人管了。一定要用组、用角色、用组织结构来设计“谁”。

3.2 什么 —— 需要保护的数据对象

“什么” 就是你要抓的数据内容。我常用的三招：

关键字匹配： 简单粗暴，比如匹配“机密”、“内部资料”。但误报率很高——你想想，合同里到处都是“机密”二字，全部告警就废了。
正则表达式： 身份证号、银行卡、手机号。需要写准确的正则，否则要么漏报要么误报。我一般先在小范围试跑一周，看命中结果再微调。
数据指纹（EDM）： 这是大杀器。把敏感数据源（数据库表、文件共享）抽取指纹，然后精确匹配。比如客户表里的真实身份证号，指纹后只有 256 位哈希，即使被修改一个字符也匹配不上。

我个人偏爱“指纹 + 关键字”的组合：指纹保证准确率，关键字保证覆盖率。嗯，这也是很多商业化 DLP 产品的默认模式。

避坑指南： 千万别只依赖正则。我曾经处理过一个项目，正则匹配了 1 万条告警，人工分析后发现 90% 是“模拟测试数据”。后来改指纹，误报率降到 2%。

3.3 何时 —— 时间与频率控制

“何时” 解决的是“什么时候触发”、“多长时间内触发几次”的问题。有些数据泄漏行为是持续的、低频的，也有突发的、高频的。

时间窗口： 比如只监控工作日的 9:00-18:00。非工作时间的外部传输通常更可疑。
频率阈值： 比如 1 小时内同一个用户往外部邮箱发送超过 3 次含敏感数据的邮件，就触发告警或阻断。
延迟策略： 有些场景需要“事后审查”而不是“实时阻断”。比如邮件先放行、再归档，审计团队第二天分析。

这里有个经验：频率阈值能有效减少重复告警。我见过一个客户，没开频率限制，一个用户误操作连续发了 200 封同样的邮件，系统就产生了 200 条告警。安全运营人员直接疯了。

3.4 何处 —— 监控的通道与位置

“何处” 指 DLP 部署的点。传统的 DLP 分三块：

位置	监控范围	典型场景
网络 DLP	HTTP、SMTP、FTP 等流量	邮件外发、网页上传
端点 DLP	本地文件操作、USB、打印	U盘拷贝、打印敏感文件
云/API DLP	SaaS 应用、云存储	上传到 OneDrive、发送到微信

很多新人上来就“全开网络 DLP”，但忘了员工用公司微信把文件发出去了。你想想，微信流量走的是 TLS 加密，纯网络 DLP 根本看不到内容。这时候就需要端点 DLP 或者 API DLP 来补位。

  我的习惯： 先盘点数据流转路径，然后按“数据必经之处”部署 DLP 探针。通常网络 + 端点就够了，但如果员工大量用云办公就要加云 DLP。

3.5 如何 —— 策略的响应动作

“如何” 是最终落地动作。常见的选项：

阻断（Block）： 直接阻止操作。比如不让发含“机密”字样的附件。
审计（Monitor）： 允许操作，但记录日志。适合试探性策略。
告警（Alert）： 通知安全团队或当事人。
加密（Encrypt）： 自动加密文件后放行，适用于邮件外发场景。
隔离（Quarantine）： 把文件移动到安全沙箱分析。

我建议：新上线的策略先走“审计 + 告警”，持续 1~2 周后再慢慢加入“阻断”。这样能摸清真实的数据流动模式，避免直接阻断业务。

特别提醒： “阻断”策略一定要有例外流程。我遇到过某公司把财务部发给银行的付款指令都阻断了，结果供应商半个月没收到钱。后来加了白名单，才平息投诉。

3.6 五要素如何组装成一条真实策略

光说不练假把式。咱们看一个真实的例子：

策略名称：禁止研发向外部邮箱发送源代码
谁：group:RD_Engineers
什么：正则 .*\.(java|cpp|py|go)$   +  关键字 "class "（进一步缩小范围）
何时：工作日 9:00-18:00，频率 1小时/3次（超频则自动阻断）
何处：网络 DLP + 端点 DLP（双向覆盖）
如何：阻断 + 告警 + 抄送研发总监

这条策略看起来复杂，但实际在 DLP 管理平台里就是勾选几个下拉框、填几行正则、配个阈值。

你做策略集成的时候，一定要把这五个要素都当成必填字段。少一个，上线后就会出妖蛾子。

个人总结： 五要素组装好后，最好做一个“策略验证清单”。我每次写完策略都会自问：谁是执行人？数据是什么？什么时间生效？在哪些通道监控？动作是什么？全部能回答出来，才发布到生产环境。

好，这一章的核心就是记住五要素。后面几章我们会深入每个要素的调优技巧和常见陷阱。你先把五要素的框架刻在脑子里，后面就好办了。