联动策略概念

聊DLP联动策略之前，我们先搞清楚一个基本问题——它到底是个什么东西。说白了，就是把原本各自为战的安全设备串起来，让它们协同工作。

什么是联动策略

你想想看，一个公司里可能有防火墙、终端DLP、网络DLP、邮件网关、身份认证系统……它们各自都在干活，但互相之间“不认识”。

联动策略要做的事很简单：让A设备发现威胁时，B设备自动做出响应。这不是什么高深的技术，而是一种编排思路。

我个人习惯把联动策略分成三个层面：

• 检测层：谁发现事件？通常是DLP或威胁检测系统。
• 决策层：事件的严重程度？该触发什么动作？这需要策略引擎来判断。
• 执行层：谁去执行动作？可能是防火墙阻断、AD账号锁定、邮件告警等。

为什么要联动

讲个真实情况。之前我参与过一个金融客户的项目，他们终端DLP发现有人试图复制客户资料到U盘，告警倒是发了。然后呢？没人管。

为什么？因为告警只停在了DLP管理台上，安全管理员每天要看几百条告警，根本没精力逐个处理。结果那个敏感文件还是被带出去了。你说气不气人。

联动的价值就在这里——缩短响应时间。从人工响应变成自动响应，从分钟级降到秒级。

另一个重要原因是打破数据孤岛。我记得有一次做合规审计，客户发现他们的终端DLP和邮件DLP策略完全不一致。终端禁止发送客户手机号，但邮件网关却放行了。这种就属于典型的策略孤岛。

常见联动场景

聊几个我工作中遇到的真实场景，大家感受一下：

场景	触发事件	联动动作
员工离职	HR系统触发离职流程	AD账号立即禁用，终端DLP启动文件加密，邮件网关拦截所有外发
敏感数据外发	DLP检测到含身份证信息的邮件	邮件被拦截，同时通知管理员，并触发员工培训弹窗
终端违规	终端DLP检测到敏感文件写入U盘	阻断写入操作，记录日志，并联动防火墙临时限制该终端网络
横向移动	EDR发现异常进程访问DLP服务器	联动EDR隔离该主机，DLP暂停该IP的所有策略，防止数据被批量窃取
合规报告	季度合规审计触发	自动从各系统拉取事件日志，汇总生成合规报告

每个场景看起来简单，但真正落地时，你会发现一堆细节问题。比如事件格式怎么统一？响应延迟怎么容忍？这些后面章节会详细讲。

这张图画的就是联动策略的核心闭环：事件进来，分三路到检测、决策、执行，最后产生具体动作，再通过反馈闭环优化策略。嗯，记住这个模型，后面所有配置都是围绕它展开的。