[[401968]]

1. DLP簡介

數據泄露防護（DLP，Data Leakage(Loss)Prevention），是指對數據的保護，不同于以往對數據的管理形式，對數據全加密或全授權訪問，數據泄露防護要求根據不同數據類型提出不同的管理方案，除了對不同結構的數據不同管理，對不同內容、不同重要性數據也要區別對待。

（1）核心能力

DLP的核心能力在于內容識別。其識別具體能力有關鍵字、正則表達式、文檔指紋、確切數據源（數據庫指紋）、支持向量機等，且每一種能力又能衍生出多種復合能力。

DLP也具有防護能力，包括網絡防護和終端防護。其中，網絡防護以審計、控制為主，而終端防護在此基礎上更要有主機的控制能力、加密權限和控制權限。

（2）技術基礎

DLP的實體部署位置，一般位于數據庫的連接之前，用于保證數據庫數據的合法性取出。“網絡DLP”產品常駐于DMZ中，而其他產品則常駐于企業LAN或數據中心。除了“終端DLP”產品以外，所有其他產品都是以服務器為基礎。

為防止數據丟失，無論何處發生的數據變動，都必須準確檢測其中的機密數據。為避免漏報、誤報等情況，DLP采用3種基礎檢測技術（正則表達式檢測、關鍵字和關鍵字對檢測、文檔屬性檢測）和3種高級檢測技術（精確數據比對、指紋文檔比對、向量分類比對）確保其檢測的準確性。通過4種加密技術（設備過濾驅動技術、文件級智能動態加解密技術、網絡級智能動態加解密技術、磁盤級智能動態加解密技術）實現數據庫的加密和防止數據泄露、丟失。

2. DLP方案

通常認為DLP的實施前要經歷以下6個步驟。

1）將數據分類，確定“敏感數據”的范疇，明確需要受到保護的數據內容。

2）確定數據的硬件存放位置，明確機密數據和一般數據的存放位置，是服務器還是客戶端存放。

3）清楚掌握數據的軟件位置，并在存放數據的機器上合理定制權限管理機制，使無關程序沒有權限訪問、修改重要數據。

4）防止人為導致數據泄露的發生，對人事加強管理，設立人與人之間的權限機制，使機密數據不易被人接觸。

5）監控數據流向，采用身份認證確保數據傳輸對象的合法性和真實性。

6）確保數據傳輸通道的安全，采用正確加密方式，防止中間人竊聽等攻擊的實施。

面向不同的需求和環境，DLP有多種不同側重實施方案，有的表現為設備強管控，采用邏輯隔離手段，構建安全隔離容器；也有的表現為文檔強管控，提供內容源頭級縱深防御能力。數據文檔的分類、分級、加密、授權與管理，也有行為強審計，利用準確關鍵字對數據操作行為的審計，對文檔的新建、修改、傳輸、存儲、刪除的行為監察，還有智能管控，可識別、可發現、可管理，提供共性管控能力的DLP方案產品。

為了防止內部、外部人員有意、無意造成的數據泄露而造成損失，如今大多數數據庫通過數據加密來保證數據安全，防止泄密，這也是當前最有效的解決辦法。以數據加密為核心的數據泄露防護（DLP）解決方案，已經成為主流方案，并得到了眾多用戶的認可。