DLP 核心技术原理：内容识别、上下文分析、行为监控、加密与标记
说到 DLP 的核心技术，我习惯把它们看成四根柱子。
缺一根，这防护体系就站不稳。你想想看，数据流动是活的，攻击手法也在变，光靠单点肯定不行。我在好几个项目中都碰到过团队只上内容识别，结果敏感信息照样从合法渠道流出去——因为上下文没管住。今天我们就把这四根柱子拆开聊，每根我都会讲讲里面的坑。
内容识别 — 看清数据“长什么样”
这是 DLP 最基础的能力。说白了，就是让机器能认出哪些是敏感数据。我把它分两类：
- 精确匹配：比如身份证号、信用卡号、社会安全号。用固定格式或正则表达式一把抓。
- 模糊匹配 / 指纹：文档相似度、关键词聚类、哈希比对。适合半结构或非结构内容。
我曾经有个客户，把公司所有合同做了指纹库，每天扫描邮件外发。起初效果很好，但后来发现员工把合同截图再粘到邮件里——指纹就失效了。后来我们加上了 OCR 预识别，才算补齐这环。
这里放个常见识别规则的小例子：
# 信用卡号（16位数字，常带空格或连字符）
\b(?:\d[ -]*?){13,16}\b
# 身份证（18位，最后一位可能是X）
\b[1-9]\d{5}(?:19|20)\d{2}(?:0[1-9]|1[0-2])(?:0[1-9]|[12]\d|3[01])\d{3}[\dXx]\b
# 包含“机密”或“confidential”的关键词
(?i)(机密|confidential|secret|内部资料)上下文分析 — 不只看内容，还要看场景
光识别内容，很容易误伤。比如人事发一份工资表给财务，内容敏感但操作合规。如果只看内容就封杀，业务就崩了。
上下文分析要盯几个维度：
- 用户角色：谁在操作？是经理还是实习生？
- 目标地：发到合作方邮箱还是私人邮箱？
- 传输通道：邮件、即时通讯、USB、云盘……
- 时间与频率：深夜大批量下载？非工作时间外发？
我记得有个银行项目，业务方天天收到 DLP 告警说“客户名单外泄”。我们一查上下文：发件人是合规部主管，收件人是审计组内部群，而且这位主管每周三固定发一次。这种低风险行为直接白名单放过，告警量一下降了 65%。
行为监控 — 盯住人，而不是只盯数据
数据不会自己跑，背后都是人在操作。行为监控就是抓异常：谁在什么时候做了什么不该做的事。
常见监控点：
- 数据访问异常：短时间内翻遍所有客户档案
- 数据聚拢异常：把分散文件汇总到一个 zip 再外发
- 权限变更异常：非管理员给自己开了超纲权限
- 移动设备异常：从未连过的 U 盘突然大容量拷贝
我建议 DLP 的行为监控要和 UEBA（用户与实体行为分析）联动。光看次数不够，还要看行为基线的偏离。举个例子：一个研发同事从来不用微信传文件，某天突然往家庭微信群里丢了一个 pdf。这个“偏离”比值更有价值。
加密与标记 — 给数据穿上盔甲、贴上标签
加密解决的是“数据被拿走也读不了”的问题。标记解决的是“数据到了哪都能识别”的问题。
我习惯把这俩放在一起讲，因为它们经常配合：先标记，再选择加密策略。
| 技术 | 作用 | 典型实现 | 我踩过的坑 |
|---|---|---|---|
| 数据分类标记 | 贴标签，让数据走到哪都能被识别 | 文件头嵌入元数据、数据库字段打标签、邮件头加 X- 头 | 标记没渗透到旧文件，导致大量漏报 |
| 传输加密 | 保护数据在管道中不被窃听 | TLS、IPsec、S/MIME | 内部邮件系统没强制 TLS，证书过期半年才发现 |
| 存储加密 | 保护数据在落盘后不被非法读取 | AES-256、全盘加密、列级透明加密 | 密钥管理混乱，备份磁带解密失败，差点丢数据 |
| 权限加密集成 | 加密 + 访问控制 | IRM（信息权限管理）、微软 RMS | 外发 PDF 设了只读，但对方截图转发，防不住 |
标记技术我特别想多说两句。很多人以为标记就是给文件改个名，其实不对。好的标记系统要在文件元数据里写清楚：分类级别（内部/机密/绝密）、创建者、创建时间、有效期。比如一个“机密”级别的 word 文档，连文件名都能包含分类码。审计日志里一查，就知道谁在什么时候接触过这个级别的数据。
我曾帮一家药企设计标记策略。他们把研发数据分为“公开”“内部”“限制”“机密”四级。每个文件头都嵌入了 XML 元数据。邮件系统读到这个标记，自动判断能否外发。效果不错，但最初有个疏忽：他们忘了标记历史文件。结果新系统上线第一周，97% 的旧文档都是“未标记”，全部放行。扫了一周的历史数据，重新批量标记后才正常。
四者如何协同？
画个图就清楚了（上面这张）。
实际部署时，我建议的顺序是：先建标记体系，再上内容识别做落地扫描，然后插行为监控做实时告警，最后用上下文分析过滤海量误报。加密可以贯穿全程，但一定要和密钥管理一起规划。
- 数据入站：内容识别 + 标记，打好基础。
- 数据使用：行为监控 + 上下文分析，发现异常操作。
- 数据出站：内容识别再次检查 + 加密策略强制执行。