4. DLP 策略类型：网络DLP、终端DLP、云DLP、数据库DLP
做了这么多年DLP，我常被问到一个问题：DLP到底该布在哪儿？网络、终端、云、数据库，每个地方都有人喊要防。说实话，没有一种策略能包打天下。你得先把每类策略的脾气摸透，才能搭出真正管用的防线。
这四种策略，本质上盯的是数据流动的不同阶段：传输中、使用中、存储中。我们一个一个来看。
4.1 网络 DLP
网络DLP，说白了就是在数据还在网线上跑的时候就把它截住。你想想看，员工通过邮件、Web上传、即时消息把敏感文件发出去，你要是不在传输路径上设个卡，数据出去就回不来了。
工作原理：它一般部署在网关或旁路镜像口。通过深度包检测（DPI）、协议解析、内容指纹匹配，对明文或附件做实时分析。一旦命中策略，可以阻断、报警或加密。
我记得有一次给一家金融客户部署网络DLP。对方说“我们已经有防火墙了，干嘛还要DLP？”我让他们自己去测：用内网一台机器往个人邮箱发了一个带身份证号的Excel。防火墙毫无反应，网络DLP秒拦截。从那以后他们再不问这种问题了。
我曾经踩过一个坑：SSL加密流量是网络DLP的盲区。现在大部分Web邮件和网盘都走HTTPS，如果不做SSL解密，网络DLP就变成了瞎子。解决方案是用透明代理或镜像解密，但注意合规和性能开销。
常见策略场景：
- 阻止带信用卡号的附件通过SMTP发送
- 对HTTP上传的关键文档做报警+记录
- 检测NetBIOS/SMB共享中的敏感文件复制
4.2 终端 DLP
终端DLP，我习惯叫它“贴身保镖”。它直接装在员工的电脑上，盯着数据怎么被使用。网络DLP管不到的场景——比如U盘拷走、打印带出、截屏分享——都得靠它。
关键能力：它通过内核驱动或用户态钩子来监控文件操作、剪贴板、外设、打印任务。一旦发现敏感数据离开受控环境，立即干预。
这里有个容易忽略的点：终端的策略不能太死。我有一次给一家设计公司配终端DLP，他们的设计师经常需要往U盘拷大图发给印刷厂。我一开始把U盘彻底封了，结果设计师炸锅。后来改成“提醒+审批”模式，既防了数据泄露也没耽误工作。
终端DLP需要实时扫描每个文件操作。在老旧设备上，这可能导致明显的卡顿。建议在终端资源充足的环境下启用内容深度扫描；对于长尾老旧机，先只开设备控制策略。
典型策略举例：
- 阻止将标记为“机密”的文件通过即时通讯工具发送
- 禁止在USB存储设备上写入含手机号的文件
- 所有打印任务需经过管理员审批
4.3 云 DLP
云DLP，说白了就是给云上的数据加把锁。现在企业用Office 365、Google Workspace、Salesforce越来越多，这些SaaS应用里存了大量敏感数据。你总不能在每个SaaS里都安装一个终端吧？云DLP就是通过API或者CASB（云访问安全代理）来搞定。
实现方式：通常有两种主流路线。一种是原生云DLP，比如微软的Microsoft Purview DLP，直接在Exchange Online、SharePoint里集成策略。另一种是第三方CASB，像Netskope、McAfee MVISION，它们在SaaS和用户之间架一道代理，统一做内容检测。
我个人的经验是：能先用原生就先用原生。为什么？因为原生云DLP对API的调用最稳定，延迟最低。第三方CASB虽然跨平台能力强，但碰到SaaS更新版本，经常要等厂商适配，容易出空窗期。
需要留意的点是云DLP的API调用配额。我见过一个案例：某公司给OneDrive设置了扫描所有文件的DLP策略，结果每天触发几百万次API调用，直接把配额吃光了，导致后续扫描全部失败。嗯，这里要注意设置扫描范围和频率，别搞得太暴力。
4.4 数据库 DLP
数据库DLP，盯的是最核心的资产——结构化数据。比如用户信息表、财务流水、医保记录。这类数据一旦被拖库或内部违规查询，后果不堪设想。
核心机制：它通过数据库审计、动态脱敏、静态脱敏三大手段来保护数据。审计模式记录所有SQL操作，并能识别敏感字段的访问；动态脱敏在查询结果返回时根据用户权限自动掩盖敏感内容；静态脱敏则用于测试库或数据分析场景。
我曾经帮一家电商公司做数据库DLP。他们有个程序员，每天凌晨跑一个SELECT * FROM users到CSV文件，然后通过FTP传到自己的测试服务器。数据库DLP配置了一条策略：任何对包含“身份证号”列的整表导出操作都会触发告警。当天凌晨就抓住了这个行为，技术人员的脸都绿了。
| 策略类型 | 覆盖范围 | 主要监控对象 | 常用技术 | 典型场景 |
|---|---|---|---|---|
| 网络 DLP | 传输中数据 | 邮件附件、Web上传、FTP、即时消息 | DPI、正则匹配、指纹、SSL解密 | 拦截带PII的邮件外发 |
| 终端 DLP | 使用中数据 | 文件操作、剪贴板、打印、USB外设 | 内核钩子、设备管控、内容扫描 | 阻止U盘拷走机密文件 |
| 云 DLP | SaaS/云存储中的数据 | SharePoint文件、Gmail、云协作内容 | API扫描、CASB代理、标签策略 | 自动标记含信用卡号的云文件 |
| 数据库 DLP | 存储中数据 | 数据库表、存储过程、批量查询 | 审计日志、动态脱敏、静态脱敏 | 对非DBA角色隐藏手机号 |
四种策略不是二选一的关系。网络DLP兜住“外发通道”，终端DLP控住“内部操作”，云DLP补上“SaaS盲区”，数据库DLP守住“数据金库”。真正成熟的企业，至少会部署3种以上。
有人问我：这么多策略一起上，会不会打架？确实会。比如网络DLP已经阻止了邮件外发，但终端DLP又允许邮件客户端读取附件——这不矛盾吗？这就是策略集成需要解决的问题。我个人的习惯是：先定义数据分类分级，然后为每个等级的数据制定“传输-使用-存储”三域策略，最后按优先级测试冲突。具体怎么集成，后面几章会展开。