3. DLP日志关键字段：看得懂，才能查得准
日志字段这东西，面试官特别喜欢问。为啥？因为日志是DLP的“现场记录”。你分析能力怎么样，看一眼你抓字段的习惯就知道了。
我个人习惯，拿到一条DLP日志，先扫六个字段：源IP、目标IP、用户、时间戳、敏感数据类型、动作。这六项对了，事件轮廓就出来了。少一个，追溯起来就得猜。
3.1 六个核心字段，各自管什么
咱们挨个捋一遍。每个字段背后都有坑，我踩过的也分享出来。
| 字段 | 核心作用 | 面试常见拷问 |
|---|---|---|
| 源IP | 谁发起的？内网哪台机器？ | NAT场景怎么溯源？动态IP怎么处理？ |
| 目标IP | 数据要去哪？外网还是内部服务器？ | 多个目标IP怎么归类？批量外传怎么识别？ |
| 用户 | 实际的操作人是谁？ | AD域账号和IP如何关联？共享账号怎么追？ |
| 时间戳 | 事件发生的精确时间点 | 时区差异怎么处理？毫秒级精度够不够？ |
| 敏感数据类型 | 触发了哪种数据规则？身份证、银行卡、源码？ | 类型误报如何排查？自定义规则怎么设计？ |
| 动作 | 数据被怎么样了？发送、打印、复制？ | 阻断和告警怎么判定？动作组合如何分析？ |
我的实战观察：面试官最喜欢让你用这几个字段拼出事件时间线。你如果能快速说出“源IP是哪个用户、往哪个目标IP发了什么数据、触发了什么规则、最终被什么动作处理”，面试官基本就点头了。
3.2 字段之间的关系，别孤立看
六个字段不是孤立的。它们组合起来才能讲故事。
你想想看，如果只给一个源IP和敏感数据类型，你能推断出什么？几乎不能。但加上用户和时间戳，你就知道“张三在下午3点从这台机器发了身份证数据出去”——这就成了可追溯的事件。
我个人习惯，做日志分析时先建立“用户-IP-时间”三角关系。这三角稳了，其他字段都是佐证。
举个例子：
{
"src_ip": "10.0.1.55",
"dst_ip": "203.0.113.10",
"user": "zhangsan@corp.com",
"timestamp": "2024-03-15 14:23:17.456",
"sensitive_type": "ID_CARD",
"action": "BLOCKED"
}这条日志告诉我们：
- 张三在14点23分从内网10.0.1.55的主机
- 向外网203.0.113.10发送了身份证数据
- 被DLP直接阻断
你看，六字段合在一起，事件脉络就清楚了。
避坑提示：我曾经遇到过一个案例，日志里用户字段是空的，只有IP。结果查了半天发现那台机器是临时访客用的，没有绑定AD账号。嗯，从那以后，我坚持要求所有终端必须绑定用户身份，否则告警都追不到人。
3.3 我是怎么用SVG梳理字段关系的
下面这张图，是我在项目里给新人培训用的。六个字段按“谁-在哪-何时-做了什么-什么数据-结果”来组织，逻辑清晰。
这张图上，事件日志是中心，源IP和用户是发起端，目标IP和敏感数据是接收端，时间是横轴参考，动作是最终判定。你面试时能画出这种结构图，加分不少。
3.4 各字段的避坑指南
每个字段都有坑，我一个个说。
源IP
内网经常用NAT，源IP变成出口IP。你以为是在查张三，实际上源头可能是整个部门。
我记得有一次，一个部门所有人的源IP都一样。排查了三天才发现是NAT网关没配日志透传。
建议：如果要做精准溯源，必须记录内部真实IP，NAT后的源IP只能当辅助。
注意：面试官可能会问：“源IP是NAT地址，你怎么找到具体的人？”
我的回答思路：结合用户字段 + 时间戳 + DHCP日志或交换机日志，反查具体端口和MAC。
目标IP
目标IP是外网时，要关注是不是已知的恶意IP。如果是内网，可能是横向移动。
我做过一个案例，同一目标IP在短时间内被大量源IP访问，结果发现是数据批量外传到云存储。目标IP一汇总，模式就出来了。
用户
用户字段是灵魂。没有用户，事件就是“机器在传数据”，有用户才是“人在操作”。
常见坑：共享账号。所有人都用admin账号登录，一查全是admin，等于没查。
我曾经建议客户强制审计账号，每个用户独立绑定。后来出了事，一查就知道是谁干的。这个建议救过他们一次。
时间戳
时间戳的精度很关键。同一事件在不同设备上的时间必须对齐。
我记得有一次，两个系统的日志时间差了8小时，一查发现一个用UTC，一个用北京时间。
我的习惯：所有日志统一用UTC存储，展示时再转本地时间。避免跨时区错乱。
敏感数据类型
这个字段决定了告警的严重等级。身份证、银行卡、密码是高风险；普通的姓名和邮箱可能是低风险。
注意：有些数据被压缩或加密了，敏感数据类型字段可能显示“未知”。这时候需要解包才能判定，不能直接放过。
动作
动作字段告诉你结果：是允许、告警、阻断还是需要审批。
我最关心的是“阻断+告警”的组合。阻断说明数据没出去，但告警说明有人在试探。
如果是“允许+告警”，说明数据已经外传了，只是事后才被发现。这种需要立刻升级处理。
面试准备建议：你可以结合这六个字段，自己模拟一个事件分析流程。比如：“源IP 10.0.1.55，用户小李，目标IP 8.8.8.8，时间 2024-03-15 14:23:17，敏感类型 银行卡号，动作 阻断。” 然后讲出你分析这个事件的思路。面试官就爱听这个。
3.5 六字段组合，快速生成事件摘要
我自己写过一个规则，六字段齐全时自动生成一句话摘要。结构类似：
[时间戳] 用户 [用户] 从 [源IP] 向 [目标IP] 发送了 [敏感数据类型] 数据，结果为 [动作]。用前面那条日志举例：
2024-03-15 14:23:17 用户 zhangsan@corp.com 从 10.0.1.55 向 203.0.113.10 发送了 ID_CARD 数据，结果为 BLOCKED。一句话就能让非技术人员明白发生了什么。这个能力，在面试里展示出来会很亮眼。
好了，六字段的核心知识点就是这些。认真理解，面试时只要往这个框架里套，回答就不会跑偏。