数据丢失防护（DLP）：如何构建降低风险的方案

在 Netwrix's 2024 Hybrid Security Trends Report 中，员工的错误或疏忽被评为首要的数据安全挑战，51% 的受访者引用该原因；相比前一年的 43% 有所上升。人员及其身份是大多数暴露事件的核心。应对这一现实正是数据丢失防护的核心工作。

DLP 是一种安全策略和工具集，可在端点、网络以及云环境中检测并阻止对敏感数据的未经授权共享、传输或使用。随着组织在混合办公、SaaS 蔓延以及如 GDPR、HIPAA 和 PCI DSS 等不断扩展的合规要求之间寻求平衡，其紧迫性也愈发凸显。

大多数 DLP 程序只关注内容和通道：哪些数据在移动、以及移动到哪里。然而，可持续的保护需要身份（Identity）上下文。谁在做什么，用哪些数据，通过哪一个身份来进行？

从仅关注内容转向具备身份感知的 DLP，正是区分那些制造警报噪音的项目与那些真正降低风险的项目的关键。

什么是数据丢失防护（DLP）？

DLP 是一套工具、策略和流程，用于识别、监控并保护敏感数据，以防止未经授权的访问、数据外传或意外暴露。

在实践中，DLP 会在本地基础设施、终端以及云服务中，对静态数据、传输中的数据和使用中的数据执行规则。它同时回答三个问题：

• 环境中有哪些敏感数据？
• 它正在发生什么情况？
• 是否应当允许这种情况发生？

设计良好的 DLP 程序能够保护敏感数据类型，包括 PII、PHI、支付卡数据、知识产权、凭据以及对业务至关重要的文件。

除了提供防护之外，DLP 程序还能降低数据泄露风险与内部人员的滥用行为，支持在 GDPR、HIPAA、PCI DSS 和 SOX 等各类框架下实现监管合规，并维护客户信任与品牌声誉。

DLP 在高层次上如何工作

DLP 通过三项相互关联的功能运行：

• 数据发现与分类：通过扫描存储库和网络流量来发现并标记敏感信息，是整个过程的基础。在尚未对数据进行分类的情况下就部署 DLP 控制措施，是一种常见的实施失败。若无法清楚地了解哪些内容符合“敏感”的标准，最终制定的策略要么过于宽松而无法有效发挥作用，要么过于严苛而难以实际使用。
• 策略执行：检查编辑、复制、上传、电子邮件、打印和共享等行为，然后根据策略违规情况进行拦截、加密或告警，正是在这里，DLP 将可见性转化为实际行动。
• 监控与报告： 为调查、合规证据以及持续改进而记录日志事件，使该方案更完整。能够在内部及时发现问题并迅速响应的组织，通常比那些在较晚才发现问题的组织更能降低事故影响。

如果无法清楚了解敏感数据存放在哪里以及其所处状态，那么这三项功能都会失效。更进一步的复杂性在于理解敏感数据究竟存在于哪里，以及它的状态如何影响所需的控制措施。

数据 DLP 必须保护的三种状态

敏感数据不会只停留在一个位置，也不会只通过单一渠道流转。 有效的 DLP 方案会覆盖全部三个生命周期状态：数据正在被使用、数据在系统之间移动、以及数据处于存储状态。

正在使用的数据

“Data in use（使用中数据）”是指在终端、应用程序和会话中被主动访问或处理的数据。这里正是人们直接与敏感信息互动的地方，也是意外暴露最常从这里开始的地方。

对使用中数据的控制包括终端代理，它们会监控复制/粘贴操作、打印、屏幕捕获、文件传输以及高风险的应用程序使用。

这些代理会按用户或角色执行策略：例如，处理支付数据的财务分析师与访问竞役/营销活动文件的市场团队成员适用不同的规则。

Data in motion

Data in motion（传输中的数据）是指通过电子邮件、Web 上传、API 以及 SaaS 集成在内部网络、VPN 和公共互联网之间传输的数据。

控制措施包括网络 DLP、TLS 检测、内容检测，以及管理外发邮件、网页上传和云端传输的策略。随着组织采用更多 SaaS 工具和云原生工作流，仅在网络边界进行覆盖已不再足够。

静态数据

静态数据涵盖存储在文件服务器、数据库、终端、备份和云存储中的数据。这些数据位于代码库/存储库中，经常被遗忘或共享过度。

控制措施包括发现与分类扫描、加密、访问控制，以及对策略违规进行定期审查。云 DLP 功能可将这些控制扩展到越来越多数据所在的 SaaS 平台和 IaaS 存储。

覆盖三个状态都很必要，但仅靠覆盖范围并不等同于策略。下一步是确定在不产生难以管理的噪声的情况下，如何在三个状态下保护数据所需的能力。

有效 DLP 策略的关键组成部分

在实际运营中经得起考验的 DLP 策略建立在四个支柱之上：了解敏感数据所在位置，将策略与身份绑定，为防护叠加加密与脱敏，并将检测与响应联动。

以数据发现与分类为基础

无法保护仍然处于“不可见”状态的数据。覆盖本地文件服务器、端点以及多云环境的全面发现，会生成其他所有 DLP 控制所依赖的资产清单。

分类方法包括：对信用卡号码等结构化数据进行模式匹配；对非结构化数据进行内容分析；精确数据匹配；标签；以及业务上下文标记。

以身份为中心的策略与最小特权

不考虑身份的 DLP 策略会产生噪声。对于备份服务账号来说完全正常的文件传输，当其来源是承包商时就会变得可疑。关键在于上下文：用户角色、部门、设备、位置、到达该位置的时间与星期，以及特权级别都会影响某项操作是否代表风险。

将 DLP 与身份和访问管理集成，可以实现更精确的控制。基于角色的访问控制（Role-based access control, RBAC） 提供基础，而基于属性的访问控制（ABAC）会评估更丰富的上下文，例如设备姿态、数据敏感度和环境因素。其结果是更少的误报，并能更准确地检测真实风险。

加密、令牌化和数据脱敏

静态加密和传输中的加密可以补充 DLP 策略的执行。然而，一旦数据被打开（使用中）或传输（传输中），就必须启用其他控制措施。加密保护容器；DLP 则保护其中的内容。

令牌化和数据脱敏通过减少生产系统中敏感字段的暴露，并在非生产环境中消除真实数据，从而扩展了加密的作用。

监控、告警与事件响应

包含风险评分和针对策略违规及异常情况的告警的持续监控，是 DLP 的运行支柱。然而，仅检测而不响应不过是昂贵的日志记录。

剧本（Playbooks）和自动化响应操作（包括隔离文件、撤销访问权限或暂时阻断数据流）可将告警转化为可执行的结果。与 SIEM 和 SOAR 平台的集成，使得 DLP 事件能够与其他安全遥测信息关联，从而实现自动化工作流，实现更快、更准确的事件响应。

在明确这些组件之后，下一步是将它们按顺序编排到部署计划中，以在不扰乱业务运行的前提下交付实际价值。

DLP 实施：一步步的策略

一次性全面推行 DLP 通常很难奏效。采用分阶段的方法：先界定范围和进行分类，再逐步走向全面强制执行，可以减少阻力，并让团队有时间根据真实行为来校准策略。

步骤 1：界定范围、数据优先级和相关干系人

识别关键数据域（客户数据、财务记录、知识产权、凭证），并为高影响力的系统设定优先级。明确安全、IT、合规、业务部门负责人以及数据所有者之间的责任归属。

如果缺乏高层支持，DLP 程序会很快失去经费投入和组织内部的优先级。

步骤 2：进行数据发现并分类

在文件服务器、终端设备、数据库和云存储库上运行发现扫描，以构建初始清单。此外，应用与敏感度级别（公开、内部、机密、受限）、监管义务以及业务场景相匹配的标签和标记。此步骤至关重要，因为后续的每一项策略都依赖于分类的准确性。

步骤 3：在设计策略时兼顾身份、上下文与用户体验

在高风险区域先以“仅监控”模式启动，以便在强制执行之前了解行为并完善规则。针对身份组、通信渠道和数据类型分别调优策略，减少噪音并避免阻断合法工作。

许多组织从财务、人力资源（HR）或合规团队入手，这些团队通常会日常处理敏感或受监管的数据。

第 4 步：分阶段部署控制措施

先在特定部门试点部署，再扩展到更多终端、渠道和数据类型。利用来自安全分析师和业务用户的反馈闭环来校准策略。

分阶段推行可以在问题演变为全组织范围的不满之前，先暴露边界情况（edge cases）。

第 5 步：将 DLP 与更广泛的安全架构集成

将 DLP 与 SIEM、SOAR、IAM、CASB 以及工单系统连接，以支持调查与自动化。来自 IAM 和身份提供者的身份信号，结合数据分类标签，为更精确的 DLP 操作提供输入。

这种集成正是将 DLP 从独立工具提升为持续治理的一部分的关键。

部署将 DLP 投入生产环境，但要维持其有效性，需要持续关注策略调优、用户反馈以及不断演变的风险。

Netwrix 如何支持 DLP 与以身份为中心的数据安全

缺少身份上下文运行的 DLP 控制会产生噪音，而缺少数据可见性运行的身份控制则会错过真正重要的内容。

运行混合环境的中型市场（mid-market）组织对这一差距的感受最为强烈。他们在本地文件服务器、Microsoft 365 和云存储之间管理敏感数据，但缺少足够的人员配置，无法为独立的数据安全与身份安全项目分别配备团队。

Netwrix 通过连接大多数组织通常会分别管理的三种能力来解决这一问题。

Netwrix 1Secure Platform 提供态势（posture）与可视性（visibility）层。作为覆盖 Microsoft 365 和混合环境的 SaaS 平台，1Secure 会在 SharePoint Online 与 Windows 文件服务器上发现并分类敏感数据，呈现过度共享的权限，并对数据、身份与基础设施风险开展 200+ 项安全检查。

当 DLP 策略标记出可疑的传输时，1Secure 会提供用于判断其是误报（false positive）还是确真实威胁的上下文信息：谁拥有访问权限、权限是否过于宽泛，以及该行为是否偏离基线（baseline）。

Netwrix Endpoint Protector 在设备级别执行策略，面向 Windows、macOS 和 Linux 提供端点 DLP，并通过 USB 设备控制、内容感知保护、强制加密以及基于浏览器的传输监控来实现保障。

Netwrix Privilege Secure 通过 privileged access governance 关闭身份侧风险：将“常驻权限”消除为“零常驻权限”，并采用按需的 just-in-time 访问。这样，即使凭据已被泄露，也无法升级为数据外传。

预约演示 了解 Netwrix 如何在混合环境中连接数据安全与身份安全。