DLP 事件类型：数据外发、非法访问、设备接入、邮件外发
面试里 DLP 这部分，问得最多的就是事件分类。说白了，DLP 系统就是个看门的，它得知道哪些行为是“坏人”在搞事情。我这人有个习惯，拿到 DLP 日志先不看数据，先看事件类型分布。因为类型对了，后续分析才有方向。
常见的 DLP 事件，我习惯分成四类：数据外发、非法访问、设备接入、邮件外发。下面一个一个说。
数据外发事件
数据外发，是 DLP 最核心的监控点。任何敏感数据离开企业边界的行为，都算。我个人觉得，这个类型最能体现 DLP 的实战价值。
常见的渠道有哪些？
- HTTP/HTTPS POST 请求：上传文件到网盘、论坛、代码仓库。
- FTP/SFTP 上传：老系统还在用，但风险不小。
- 即时通讯工具：微信、钉钉、企业微信的文件传输。
- 打印：物理外发的一种，容易被忽略。
- 剪切板操作：复制文本或小文件内容。
识别要点：DLP 日志里，数据外发事件通常会有 action=upload、direction=outbound、protocol=http 这类字段。结合 file_hash 能快速定位重复外发。
举个例子。我在项目中遇到过一家公司，员工用 WeChat 传代码。DLP 日志记录的是 HOST: file.weixin.qq.com、URL_PATTERN: /upload。嗯，这里要注意，很多 DLP 设备抓不到 HTTPS 加密内容，得靠 SNI 或 证书指纹 来识别目标。
| 事件子类型 | 常见渠道 | DLP 设备典型特征 |
|---|---|---|
| HTTP 上传 | 网盘、论坛、API | POST 请求，Content-Type 含 multipart/form-data |
| FTP 上传 | 内部服务器、合作方 FTP | PORT 或 PASV 模式，RETR/STOR 命令 |
| 即时通讯文件 | 微信、钉钉、Slack | 已知域名列表 + User-Agent 特征 |
| 打印 | 网络打印机、本地打印机 | 打印协议（IPP、LPR）日志 |
避坑指南：我曾经见过一个案例，DLP 只监控了 HTTP 80 端口，结果员工用 443 端口上传文件，系统完全漏报了。你想想看，如果 DLP 策略里只盯 port=80，那 HTTPS 外发就成盲区了。
非法访问事件
非法访问，指未授权的人或者程序，试图访问敏感资源。这类事件在 DLP 日志里特别多，但误报率也高。为什么？因为正常用户也可能因为权限配置问题，触发告警。
典型场景：
- 跨部门访问：HR 员工访问了财务系统的文件夹。
- 非工作时间访问：凌晨 3 点，有人批量下载客户资料。
- 异常 IP 访问：来自外网的 IP 试图访问内网数据库。
- 权限提升尝试：普通账号试图读取管理员专属文件。
我个人处理这类事件时，就看三个字段：source_ip、target_resource、access_result。如果 access_result=failure 且频率高，基本就是恶意扫描。
# 举个例子：非法访问的典型日志片段
2024-03-15 02:14:33 | source_ip: 10.0.1.105 | user: zhangsan | target: /share/finance/report_2024.xlsx | action: read | result: denied
2024-03-15 02:14:35 | source_ip: 10.0.1.105 | user: zhangsan | target: /share/finance/report_2024.xlsx | action: read | result: denied
2024-03-15 02:14:37 | source_ip: 10.0.1.105 | user: zhangsan | target: /share/finance/report_2024.xlsx | action: read | result: denied面试技巧：面试官问“怎么区分误报和真实攻击”？我通常回答：看时间窗口内的失败次数。连续 5 次以上失败，并且目标资源是核心数据，基本就是攻击。如果只是偶尔一次，可能是用户点错了。
设备接入事件
设备接入，是 DLP 物理层面的防线。U 盘、移动硬盘、外接硬盘、甚至 USB 网卡，都算。我印象特别深的是，有一次应急响应，攻击者就是通过一个伪装成 U 盘的 BadUSB 设备，渗透进了内网。
DLP 关注什么？
- 设备类型：是存储设备还是网络设备？
- 设备 VID/PID：唯一标识，用来识别是否为白名单设备。
- 操作：是只读还是读写？拷贝文件了吗？
- 连接时间：是不是非工作时间接入的？
| DLP 日志字段 | 含义 | 重点关注值 |
|---|---|---|
| device_type | 设备类型 | Mass Storage、HID、Network |
| device_vid | 供应商 ID | 已知恶意设备 VID（如 0x1234） |
| device_pid | 产品 ID | 模拟键盘的 PID 需警惕 |
| operation | 读写操作 | write 行为需重点排查 |
避坑指南：我曾经见过一个客户，USB 口全部封了，但打印机接口没封。结果员工通过打印机的 USB 口接移动硬盘，DLP 系统没记录。你记住，DLP 策略要覆盖所有物理端口，别留死角。
邮件外发事件
邮件外发，是数据泄露的高发区。尤其是带附件的邮件，容易把敏感文件带出去。DLP 对邮件外发的监控，通常会做三层扫描：标题、正文、附件。
核心指标：
- 收件人数量：大量收件人（如 50 人以上）可能是批量泄露。
- 收件人域：是不是外部邮箱？比如 gmail.com、qq.com vs 公司邮箱。
- 附件大小和类型：大文件（超过 10MB）或压缩包（zip/rar），往往是一次性打包带走。
- 敏感词命中：正文或附件里有没有“机密”、“保密”、“客户数据”这些词。
个人经验：我处理过的邮件外发事件里，90% 都跟“离职员工”相关。他们会在最后一天，把自己的项目代码压缩打包，通过个人邮箱发出去。DLP 日志里这种事件通常有固定模式：附件数量: 1、附件大小: 50MB+、收件人域: 个人邮箱。
看到这个图了吧？四个事件类型，每个都有不同的关注点。千万别死记硬背，要理解背后的逻辑。比如，数据外发关注的是“东西去了哪里”，非法访问关注的是“谁在访问”，设备接入关注的是“什么东西连进来了”，邮件外发关注的是“内容有没有问题”。
最后，我多说一句。面试的时候，如果能随口说出一个常见的 DLP 规则 ID 或者日志字段，会显得特别专业。比如 DLP-TE-006 代表数据外发事件，DLP-IA-002 代表非法访问。你想想看，面试官听了是不是会觉得你有实战经验？嗯，这里要注意，不同厂商的规则编号不一样，但思路是通用的。