网络安全攻防：数据防泄露

 [[401968]]

1. DLP简介

数据泄露防护（DLP，Data Leakage(Loss)Prevention），是指对数据的保护，不同于以往对数据的管理形式，对数据全加密或全授权访问，数据泄露防护要求根据不同数据类型提出不同的管理方案，除了对不同结构的数据不同管理，对不同内容、不同重要性数据也要区别对待。

（1）核心能力

DLP的核心能力在于内容识别。其识别具体能力有关键字、正则表达式、文档指纹、确切数据源（数据库指纹）、支持向量机等，且每一种能力又能衍生出多种复合能力。

DLP也具有防护能力，包括网络防护和终端防护。其中，网络防护以审计、控制为主，而终端防护在此基础上更要有主机的控制能力、加密权限和控制权限。

（2）技术基础

DLP的实体部署位置，一般位于数据库的连接之前，用于保证数据库数据的合法性取出。“网络DLP”产品常驻于DMZ中，而其他产品则常驻于企业LAN或数据中心。除了“终端DLP”产品以外，所有其他产品都是以服务器为基础。

为防止数据丢失，无论何处发生的数据变动，都必须准确检测其中的机密数据。为避免漏报、误报等情况，DLP采用3种基础检测技术（正则表达式检测、关键字和关键字对检测、文档属性检测）和3种高级检测技术（精确数据比对、指纹文档比对、向量分类比对）确保其检测的准确性。通过4种加密技术（设备过滤驱动技术、文件级智能动态加解密技术、网络级智能动态加解密技术、磁盘级智能动态加解密技术）实现数据库的加密和防止数据泄露、丢失。

2. DLP方案

通常认为DLP的实施前要经历以下6个步骤。

1）将数据分类，确定“敏感数据”的范畴，明确需要受到保护的数据内容。

2）确定数据的硬件存放位置，明确机密数据和一般数据的存放位置，是服务器还是客户端存放。

3）清楚掌握数据的软件位置，并在存放数据的机器上合理定制权限管理机制，使无关程序没有权限访问、修改重要数据。

4）防止人为导致数据泄露的发生，对人事加强管理，设立人与人之间的权限机制，使机密数据不易被人接触。

5）监控数据流向，采用身份认证确保数据传输对象的合法性和真实性。

6）确保数据传输通道的安全，采用正确加密方式，防止中间人窃听等攻击的实施。

面向不同的需求和环境，DLP有多种不同侧重实施方案，有的表现为设备强管控，采用逻辑隔离手段，构建安全隔离容器；也有的表现为文档强管控，提供内容源头级纵深防御能力。数据文档的分类、分级、加密、授权与管理，也有行为强审计，利用准确关键字对数据操作行为的审计，对文档的新建、修改、传输、存储、删除的行为监察，还有智能管控，可识别、可发现、可管理，提供共性管控能力的DLP方案产品。

为了防止内部、外部人员有意、无意造成的数据泄露而造成损失，如今大多数数据库通过数据加密来保证数据安全，防止泄密，这也是当前最有效的解决办法。以数据加密为核心的数据泄露防护（DLP）解决方案，已经成为主流方案，并得到了众多用户的认可。