第2章 DLP系统概述：常见DLP产品及其导入接口归纳总结
做敏感数据识别，光把数据找出来还不够——你得把它们喂进DLP系统。这里说的“喂”，就是导入。
各家DLP产品的接口长得都不一样。我记得刚转行做DLP那会儿，碰到一个客户，他们在Symantec上跑了一年，突然要换成Forcepoint。我本以为就是改个配置，结果发现接口文档全得重看。说白了，这事儿没那么简单。
2.1 主流DLP产品概览
市面上最常见的DLP产品，我接触下来主要这三家：
- Symantec DLP（现属Broadcom）：老牌王者，金融和政府项目里出现频率最高。它的接口叫“Enforce Platform”，支持REST API和文件导入。
- McAfee DLP（现属Trellix）：跟McAfee ePolicy Orchestrator (ePO)深度绑定。它的导入方式比较传统——CSV/XML通过ePO的“Data Exchange Layer”走。
- Forcepoint DLP：以前叫Websense，在内容识别这块做得细。它提供REST API和一个叫“CASB Connector”的专用接口。
别急，还有个选手不能忽略——Microsoft Purview（前身Microsoft 365 DLP）。虽然它不是传统的网络DLP，但合规需求增长很快，我建议你也懂它。
| 产品 | 导入接口类型 | 数据格式 | 典型场景 |
|---|---|---|---|
| Symantec DLP | REST API / 文件批量导入 | CSV, XML, JSON | 金融合规、跨境数据管控 |
| McAfee DLP | ePO Data Exchange Layer | CSV, XML | 安全运营一体化管控 |
| Forcepoint DLP | REST API / CASB Connector | JSON, CSV | 云安全、办公数据防泄露 |
| Microsoft Purview | PowerShell / Graph API | JSON, CSV | Office 365原生防护 |
2.2 接口导入方式详解
你想想看，这些接口无非就两种大类：实时API 和 批量文件导入。但实操起来，坑不少。
2.2.1 实时API导入
实时API通常走HTTPS，返回JSON。适合增量更新，比如每天新增的敏感数据指纹。举个例子，Symantec的REST API长这样：
POST /protectmanager/api/v2/policies/incidents/sensitivity
Content-Type: application/json
{
"sensitivityId": "S001",
"name": "信用卡号",
"pattern": "^4[0-9]{12}(?:[0-9]{3})?$",
"category": "PII",
"riskLevel": 9
}这种接口的好处是实时生效。我建议你如果对接的系统支持增量，优先用API——数据一多，全量重导很慢。
2.2.2 批量文件导入
批量文件导入适合全量初始化，或者网络隔离环境。文件格式一般是CSV或XML，结构相对固定。
Forcepoint的CSV示例：
SensitivityID,Name,Pattern,Category,RiskLevel
FP001,IP地址,\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b,Network,5
FP002,社保号,\d{3}-\d{2}-\d{4},PII,10嗯，这里要注意：不同产品对列的顺序、分隔符要求不一样。McAfee用逗号，但字段里不能有英文逗号；Symantec反而支持用引号包裹。我曾经吃过一次亏——导进去五万条规则，结果全是错的，只能回滚。
2.3 常见DLP产品导入接口对比
我整理了张总图，方便你一眼看出主流产品和它们的导入方式。在你脑子里形成框架，后面各章我们逐个细拆。
2.4 不同场景下的选型建议
你可能要问了：那我到底选哪种接口？
- 场景一：全量上线第一波。 用批量文件导入，先跑一把试试。我建议选凌晨业务低峰期做。
- 场景二：日常增量更新。 用实时API。记得写个调度脚本，比如每5分钟拉一次。
- 场景三：网络隔离环境。 只能走文件导入。我曾经处理过银行的项目，生产网和办公网物理隔离，只好让运维同事U盘拷CSV进去——当然，流程合规要盯死。
2.5 本章小结
到这，你应该对主流DLP产品和它们的导入接口有个整体印象了。记住几个关键词：Symantec用API/CSV、McAfee走ePO、Forcepoint有REST和CASB、Purview走Graph API。后面章节我会手把手带你写代码、调参数、排雷。
嗯，讲完概念，下一站我们直接上手——怎么写一个通用的敏感数据格式转换脚本，把识别结果转成各家DLP能吃的格式。别走开。