2. DLP核心技术

做DLP这么多年，我最大的感受就是：内容识别是地基，上下文感知是承重墙，行为分析是楼板。缺了任何一块，这个数据防泄漏体系都站不稳。今天咱们就把这三块核心技术掰开揉碎，看看它们到底怎么协作。

一、内容识别：DLP的“火眼金睛”

内容识别说白了就是让机器能看懂数据里到底藏了什么敏感信息。我入场时见过不少项目只靠关键字，结果满屏误报，气得运维想砸键盘。

1. 关键字匹配

最简单，也最容易翻车。关键字匹配就是在一堆文本里找预设的敏感词汇，比如“机密”、“源代码”、“客户名单”。

• 优点：部署快，规则一看就懂。
• 缺点：容易绕过。加个空格、换行，甚至用同音字就能逃逸。

2. 正则表达式

正则比关键字灵活得多，但很多人把它用成了“玄学”。比如匹配信用卡号(4\d{3}[-\s]?\d{4}[-\s]?\d{4}[-\s]?\d{4})，既能识别格式化号码，也能识别纯数字。正则写不好就是灾难——我见过一条正则跑了10秒还没匹配完，整个邮件网关直接卡死。

// 匹配中国大陆身份证号示例（18位）
^[1-9]\d{5}(18|19|20)\d{2}(0[1-9]|1[0-2])(0[1-9]|[12]\d|3[01])\d{3}[\dXx]$

3. 指纹识别（精确匹配与模糊哈希）

指纹识别适合文档级别的保护。我们先把敏感文档（比如合同模板）提取成数字指纹，然后只要扫描到文件指纹匹配，就触发告警。

二、上下文感知：别只看数据，要看是谁在动

内容识别告诉你“有什么”，上下文感知回答“谁、在哪、用什么设备在碰它”。你想想看，假如一个关键数据库被误报为敏感内容，但访问者是管理员且在内网安全区域，那根本不需要阻断。我接手过一个项目，只靠内容识别每天告警1万条，加上上下文感知后直接砍到了200条。

1. 用户身份

LDAP/AD同步过来的角色、部门、安全组。规则可以写成“研发部不得外发含源代码的文件”，而HR部门可以正常发送合同模板。不同用户等级差别很大。

2. 设备特征

设备ID、是否是公司域控设备、是否安装了DLP agent、是否在VPN隧道内。个人习惯是：对非托管设备直接走“只记录不阻断”的低敏感策略，避免误伤业务。

3. 地理位置

IP归属地、GPS坐标（移动端）。有一次客户发现某高管在境外酒店通过个人Wi-Fi下载公司客户清单，多亏位置上下文触发高告警，才没造成大规模泄露。

三、行为分析：从“抓现行”到“防未然”

前面两种技术解决的是“这个文件是不是敏感”和“这个人有没有权限”。但行为分析要回答更高级的问题：这个人的行为是否反常？比如一个普通员工突然批量下载数据库导出文件、深夜登录、或者连续重命名大量敏感文件——这些行为组合在一起，就是泄露的前奏。

常见行为基线

• 频率异常：1小时内下载文件数超过日常均值的3倍
• 时间异常：凌晨2点-5点的操作（除非有夜班审批）
• 路径异常：从内网拷贝到U盘，然后立即将U盘插入互联网机器
• 应用异常：从未使用过网盘的人突然开始上传压缩包

我在做行为分析时最头疼的是阈值设置。设低了全是假阳性，设高了漏报。后来我采用滑动窗口+动态基线，每周自动学习正常模式，这才算稳定下来。

四、三者的联动关系（SVG框架图）

这张图清楚说明了三者关系：内容识别做第一道过滤，上下文感知做第二道权限校验，行为分析做第三道时序异常检测。三者输出共同喂给联动判决模块，最终决定是放行、告警还是阻断。我建议你们在实际落地时，先铺内容识别，再逐步叠加上下文和行为分析，分阶段上线，降低运维压力。