The Netwrix 2026 Data and Identity Security Report发现69%的组织无法即时且完全阻止敏感数据从端点流向外部AI工具、个人邮箱或USB。这个盲点使跨渠道执行成为整合的实际案例，因为一条内容感知策略可以覆盖安全传输协议无法触及的出口路径。
即使IT团队部署了SSH File Transfer Protocol (SFTP)服务器或批准的共享工具，敏感的电子表格仍可能最终存放在个人云文件夹、个人电子邮件附件或聊天机器人提示中。Harvard Business Review的研究发现员工经常选择未经授权的途径，仅仅是因为批准的途径更慢或他们不知道其存在。
这产生了两个独立的问题。协议安全性询问授权通道是否保护传输中的数据。传输执行询问敏感数据是否使用该通道，大多数指导在第一个问题后就停止了。这些控制共同加强了网络弹性和Data Security Posture Management，同时为审计和调查提供可靠证据。
什么是安全文件传输？
安全文件传输是指在系统或人员之间传输数据，使其在传输过程中保持不可读，确认发送和接收方身份，并留下传输记录。 NIST SP 800-53 Rev. 5 将加密、身份验证和审计日志视为独立要求，因此单一协议无法涵盖所有内容。保护传输中的数据需要这三者，且每个环节都有可能出现故障。
传输中的加密
传输中的数据加密可使信息对任何拦截者保持不可读。国家网络安全中心（NCSC）在其TLS指南中解释说，配置良好的Transport Layer Security（TLS）可阻止第三方窃听或篡改消息。NCSC建议使用TLS 1.3或1.2，并禁用1.1和1.0版本。配置与协议名称同样重要，因为仍接受旧版本的服务器可能会回退到该版本。
双方的身份验证
安全传输在数据移动前验证双方。NIST将相互认证定义为交易中双方相互验证的过程，但常见协议使第二部分成为可选。在TLS 1.3中，服务器始终进行认证，而客户端认证是可选的（RFC 8446）。SFTP依赖于host keys for the server side，客户端则单独认证。
可验证的发生记录
显示何时何物在何人之间移动的日志，是调查人员后续所需。2023年MOVEit Transfer泄露事件说明了即使在加密通道上，这些记录为何重要。根据CISA的通告，攻击者利用SQL注入漏洞完全绕过身份验证，创建自己的管理员账户，并部署了一个外泄文件的Web shell。
TLS加密在整个事件中保护了通道。应用层漏洞绕过了身份验证，因此加密、身份验证和日志记录都需要独立验证，而不能由一个控制替代其他两个。
安全文件传输的协议有哪些？
普通文件传输协议（FTP）和未加密的超文本传输协议（HTTP）是以下协议改进的基础。FTP通过 PASS 命令（RFC 2577）以明文发送密码。网络安全和基础设施安全局（CISA）在其 Binding Operational Directive 18-01 中警告称，攻击者可以轻松监视、修改和冒充普通HTTP连接。
SFTP（SSH 文件传输协议）
SFTP 是服务器到服务器及合作伙伴传输的合理默认选择。它在 SSH 会话内运行文件传输，因此继承了 SSH 传输的加密、服务器认证和完整性保护（RFC 4253）。主机密钥签名认证服务器，用户通过公钥、密码或基于主机的方法进行认证。
所有数据都通过端口22上的一个多路复用隧道传输，因此SFTP比FTPS需要更少的防火墙开放。要加强安全，请将StrictHostKeyChecking设置为yes，这样客户端会拒绝任何密钥已更改的主机。
Netwrix Endpoint Protector阻止敏感数据上传到端点和浏览器会话中的AI工具，覆盖授权的SFTP服务器看不到的内容。请求演示。
FTPS（通过TLS/SSL的FTP）
FTPS 将 FTP 包装在 TLS 中。根据 RFC 4217，直到客户端在控制连接（端口 21）上发送 AUTH TLS，且服务器通过 X.509 证书信任客户端，连接才受到保护。端口 990 的隐式模式已被弃用。
运营成本在于独立的数据通道，因为 被动模式需要开放的端口范围，而有状态防火墙检查无法读取加密的FTP命令。防火墙的复杂性是团队通常选择SFTP进行新建的原因之一，尽管在需要升级而非重写现有FTP端点和合作伙伴脚本时，FTPS仍然有其位置。
基于HTTPS的传输
HTTPS，即基于TLS的HTTP，是浏览器上传、下载门户和应用间API传输的默认协议，全部运行在443端口。服务器经过认证，整个交换过程加密，客户端在信任之前会根据证书检查主机名（RFC 9110，RFC 2818）。
默认情况下，HTTPS 仅验证服务器；上传者的身份来自您单独配置并登录的单独登录或令牌。对于门户或 API 上传，发送方控制该登录、令牌或限时链接，因此请像配置 TLS 设置一样仔细配置它。
AS2（适用性声明 2）
AS2专为双方都需要证明的企业对企业交易而构建。它将电子数据交换（EDI）格式，如X12和Electronic Data Interchange for Administration, Commerce and Transport（EDIFACT），封装为通过HTTP传输的多用途互联网邮件扩展（MIME）（RFC 4130）。
AS2 使用 Secure/Multipurpose Internet Mail Extensions (S/MIME) 进行加密和签名，并返回签名的消息处理通知 (MDN) 作为收据。合作伙伴的公钥验证该签名的 MDN，匹配的哈希提供了通过 HTTP 的来源和收据的不可否认性。该机制适用于结构化的 B2B 交换；组织内部的一般文件共享很少需要它。
当跳过安全通道时敏感数据泄露的位置
上述每个协议保护一个通道，而人们经常通过其他通道传输敏感数据。这些传输大多来自普通员工选择更快捷的路径，而非蓄意外泄，这是大多数 insider threat 事件的模式。
2026 年 Verizon 数据泄露调查报告 将 shadow AI 排名为其 DLP 数据集中第三大最常见的非恶意内部行为，比上一年增长了四倍。该模式与之前描述的操作摩擦相符，因为批准的路径可能更慢或只是陌生。
个人云存储账户
个人的Dropbox或Google Drive账户对于仅监控批准传输方式的系统来说是不可见的。控制该出口路径需要能够区分被授权的组织账户与个人账户的机制，而不仅仅是标记不熟悉的域名。
个人电子邮件地址
发送到个人收件箱的附件会完全绕过授权系统，因此仅覆盖该系统的策略永远无法检测到它。电子邮件也可能静默失败，因为NCSC警告说TLS协商失败可能导致消息回退为明文传输。
USB驱动器或其他可移动媒体
可移动媒体绕过只监控网络通道的程序，因为USB复制不会产生出站流量。Endpoint审计和device control必须直接覆盖可移动存储。
AI 工具的输入框
将文件内容粘贴到聊天机器人中也是一种文件传输，旧的传输指南通常未考虑这一点。2026 Verizon DBIR发现67%的用户在企业设备上使用非企业账户访问AI服务。这种模式使得扩展现有的内容感知策略比建立独立的AI传输程序更为实用。
如何找到已在使用的未授权和遗留渠道
有效的执行始于对已承载数据的通道进行清点，而非政策假定正在使用的通道。持续发现将有限的努力引导到人们今天实际使用的内容上。
扫描防火墙规则和网络流量中的遗留FTP
从防火墙开始。 SANS Internet Storm Center 建议搜索 防火墙日志，使用 grep /21 | grep -i permit 来查找FTP控制端口上仍被允许的任何内容。域名系统（DNS）日志或 Sysmon Event ID 22 可以揭示对旧文件服务器主机名的查询。对于调用FTP的计划任务，Get-ScheduledTask 和 Export-ScheduledTask 会导出每个任务的定义，Windows安全事件4698会在每个新计划任务创建时触发，并附带完整的XML。
在代理、 防火墙或CASB处读取出口日志
提取网络代理或防火墙日志，检查目标域名，如 dropbox.com 和个人网页邮件提供商。将发现内容与 MITRE 的 T1567.002 分析进行匹配，该分析标记向 dropbox.com、drive.google.com 和 box.com 发送异常进程。
将相同的日志输入到 cloud access security broker (CASB) 中，以构建影子 SaaS 清单，前提是它们包含上传的字节数、用户名和目标 URL。对于可移动媒体，启用 Windows Security Event 6416 以捕获新的外部设备，并开启 Audit Removable Storage，以便 Event 4663 记录读取和写入。
将检查集成到已运行的工具中，而不是作为独立项目
将这些检查集成到SIEM中，以便新工具和账户无需等待年度审计。首次检测到的目标域或可移动媒体事件触发的规则，会在事件发生当天标记该变更。SigmaHQ发布了针对MEGA及其他文件共享网站的DNS查询规则，首次检测到的可移动设备规则可直接映射到技术T1052.001。
在传输点执行策略
Discovery 显示了当前哪些通道传输数据。通过用于文件传输的内容感知 DLP，您可以决定当有人试图通过某个通道移动敏感文件时的处理方式。
在传输完成前扫描内容
基于通道的控制检查数据的去向；内容感知控制检查数据的内容。NIST SP 800-53 AC-4 涵盖对报头信息和消息内容的过滤，允许系统在过滤失败时阻止、剥离、修改或隔离数据。在端点对文件和剪贴板内容进行检查，因为仅扫描已保存文件的端点DLP工具会遗漏用户粘贴但未保存到磁盘的文本。
阻止风险目的地，同时保持合法传输畅通
阻止所有不熟悉的事物会导致绕过，因此应针对特定的高风险模式，例如发送到个人账户的受监管数据。2025年由 MIND and the Enterprise Strategy Group (ESG) 进行的调查发现，47%的检查过的DLP警报是误报。
根据账户上下文构建目标规则，因为一个ChatGPT URL同时服务于消费者和企业账户。分级操作也很有帮助，因为带有理由覆盖的阻断会记录业务原因，并保持传输在受监控的路径上。
策略可以直接表达该决定：
IF content = regulated data AND account = personal
THEN block OR require justification override
NIST的默认拒绝和例外允许原则（SC-7(5)）在例外列表反映人们实际工作方式时有效。
将相同的策略扩展到AI工具
阻止客户列表到达个人Google Drive的规则，也应阻止其到达Gemini的提示框。仅针对文件上传和附件制定的策略会遗漏粘贴到聊天机器人提示字段中的文本，该字段通过大多数DLP配置未覆盖的渠道传递相同的敏感内容。请同时覆盖输入的文本和附件文件，并将聊天机器人的输入框视为同一策略中的另一个出口点。
将安全文件传输控制映射到审计人员的期望
审计人员需要证据，通常是日志，证明控制措施已在范围内的传输上执行，仅凭可用性提供的证据是不完整的。跨渠道一致的内容感知策略还为团队提供了统一的证据模型，而不是为每条出口路径单独收集。
根据Netwrix 2025 Cybersecurity Trends Report，43%的组织因安全漏洞产生了意外开支，因此可重复使用的控制证据可以帮助团队避免审计意外和被动补救成本。
PCI DSS：传输中加密持卡人数据
PCI DSS v4.x 要求 4.2.1 要求在开放的公共网络上传输主账户号码（PAN）时使用强加密。这意味着必须使用可信且有效的证书；安全的协议版本且无回退；以及至少112位的有效密钥强度。
评估人员检查系统配置、4.2.1.1要求的密钥和证书清单，以及卡持有者数据传输的实时情况。 要求10 记录所有对卡持有者数据的访问，个人电子邮件和USB的阻止传输日志可以补充该证据，显示PAN在另一个渠道被阻止。
HIPAA：Security Rule 的传输安全标准
对于电子受保护健康信息（ePHI），45 CFR 164.312(e)(1) 要求受监管实体防止未经授权访问通过电子网络传输的ePHI。(e)(2)(ii)项下的加密是可选措施，意味着受监管实体在风险评估认为合理且适当时采用，或记录等效措施。
民权办公室审查传输政策、加密标准、密钥管理及任何不足的理由。来自个人云和网页邮件被阻止的ePHI日志可支持该风险决策。
一项拟议的Security Rule更新将要求对静态和传输中的ePHI进行加密，有限例外。HHS将最终行动列为2027年7月的计划估计。
GDPR：第32条的适当技术措施
第32条第1款 GDPR要求采取与风险相适应的措施，包括定期测试其有效性。英国信息专员办公室（ICO）接受正确配置的TLS 1.2或1.3，完全拒绝SSL，并期望有加密政策、密钥管理文档和测试结果，以便控制者能够证明其为合规所采取的步骤。
ICO对2026年针对Police Scotland的处罚 引用了该部队自身要求传输中媒体加密的程序。可移动媒体加密记录证明了该程序的实际执行。
CMMC：CUI的传输机密性
NIST SP 800-171 Rev. 2 控制3.13.8要求采用加密机制，防止传输过程中Controlled Unclassified Information（CUI）未经授权的披露。控制3.13.11要求使用Federal Information Processing Standards（FIPS）验证的加密。SP 800-171A要求评估人员检查安全计划和配置，审查审计日志，访谈管理员，并直接测试这些机制。
《Cybersecurity Maturity Model Certification (CMMC)》二级评估指南明确指出，仅使用批准的算法是不够的。它要求CUI加密有政策和执行机制支持，举例说明了阻止不合规流量的代理。任何一个目标未达标都会导致整个要求失败。在终端，阻止传输日志和USB加密记录显示了同样的执行方式。
Netwrix如何在实践中支持安全文件传输
Netwrix Endpoint Protector 是一款端点DLP产品，可阻止敏感数据上传，控制可移动媒体，并在Windows、macOS和Linux端点实施内容感知策略。它覆盖了授权传输通道无法到达的出口路径。
在传输完成前扫描敏感内容
Netwrix Endpoint Protector的Content Aware Protection模块检查出口点的数据，包括浏览器、电子邮件客户端、网页邮件、云同步客户端和剪贴板。其剪贴板控制在复制时删除机密内容，防止粘贴。日志可导出为Excel、PDF或CSV，并通过syslog转发到SIEM。
自动强制对可移动媒体进行加密
Netwrix Endpoint Protector的Enforced Encryption模块应用经过FIPS 140-3验证的USB加密，支持远程擦除和密码重置。 一旦策略允许Trusted Device Level 1或以上的USB设备，部署即自动进行。Device Control覆盖USB存储和45种以上的外设类别，甚至支持离线。Enforced Encryption仅在Windows和macOS上运行；Device Control策略则保护Linux端点。
NHS South East Coast Ambulance Service 部署了Netwrix Endpoint Protector，以满足覆盖其4,000多名员工携带设备的数据安全与保护工具包（DSPT）要求。根据该信托的IT安全经理Stewart Edwards的说法，此次部署使团队能够完全控制USB端口和设备，同时强制执行其合规框架所要求的加密。
阻止敏感内容上传至AI工具
Netwrix Endpoint Protector 将相同的内容感知策略扩展到 AI 工具，涵盖 ChatGPT、Microsoft Copilot、Google Gemini、Claude、DeepSeek、X AI Grok 及其他列出的工具。无论用户是输入敏感内容还是作为文件附件，管理员都可以在内容到达未经批准的供应商之前监控或阻止该内容。
缩小政策与实践之间的距离
安全的文件传输决策应考虑通道保护、绕过路径的可见性、端点执行和一致的审计证据。安全团队可以通过提取个人云和网页邮件域的一个月代理日志、审计部分端点的可移动存储，并检查用户解析的AI域，来建立基线。
这些发现显示了应优先执行的位置，并在传输点应用相同的内容感知策略。
请求演示，了解 Netwrix 如何通过扩展敏感数据传输路径的可见性和 Endpoint Management，帮助组织加强其数据安全态势。
关于安全文件传输的常见问题
分享到
了解更多
关于作者
