killvxk 实施端点 DLP 控制
使用场景
在以下情况下使用本技能：
- 部署端点 DLP，防止敏感数据（PII、PHI、PCI）离开组织
- 为电子邮件附件、USB 传输和云上传配置内容检查规则
- 实施 Microsoft Purview DLP 或 Symantec DLP 端点策略
- 满足数据保护合规要求（GDPR、HIPAA、PCI DSS）
不适用于网络 DLP（基于内联代理）或仅云 DLP（CASB）。
前置条件
- Microsoft 365 E5 或独立 Microsoft Purview DLP 许可证
- Microsoft Purview 合规门户访问权限（compliance.microsoft.com）
- 为组织数据定义的敏感信息类型（SIT）
- 已载入 Microsoft Purview 的端点（通过 Intune 或 SCCM）
操作流程
步骤 1：定义敏感信息类型
Microsoft Purview → 数据分类 → 敏感信息类型
常见数据的内置 SIT：
- 信用卡号（PCI）
- 社会安全号码（PII）
- 健康记录（HIPAA）
- 护照号码
- 银行账号
自定义 SIT 示例（员工 ID）：
模式：EMP-[0-9]{6}
置信度：高
关键字："employee id"、"emp id"、"staff number"
步骤 2：创建 DLP 策略
Microsoft Purview → 数据丢失防护 → 策略 → 创建策略
策略配置：
1. 模板：财务/医疗/PII（或自定义）
2. 位置：设备（端点 DLP）
3. 条件：
- 内容包含：信用卡号（最少 5 个实例）
- 或内容包含：SSN（最少 1 个实例）
4. 操作：
- 阻断：防止复制到 USB、云、电子邮件
- 审计：记录但允许（用于初始部署）
- 通知：显示用户通知和策略提示
5. 用户通知：
- "此文件包含敏感数据，无法复制到此位置"
- 允许带有业务理由的覆盖（可选）
步骤 3：配置端点 DLP 活动
受监控的端点活动：
- 上传到云服务（OneDrive、Dropbox、Google Drive）
- 复制到可移动媒体（USB 驱动器）
- 复制到网络共享
- 打印文档
- 复制到剪贴板
- 通过不允许的浏览器访问（非托管浏览器）
- 通过不允许的应用程序访问
- 复制到远程桌面会话
对于每个活动，配置：
- 仅审计（记录操作）
- 带覆盖的阻断（用户可以提供理由并继续）
- 阻断（完全阻止操作）
步骤 4：在审计模式下部署
首先在"带通知的测试模式"下部署 DLP 策略：
1. 策略在审计模式下运行 2-4 周
2. 在活动资源管理器中查看 DLP 警报
3. 识别误报
4. 调整 SIT 模式和条件
5. 为合法工作流添加排除项
6. 切换到"开启策略"（强制执行）
步骤 5：监控和响应
Purview → 数据丢失防护 → 活动资源管理器
关键指标：
- 每日/每周 DLP 策略匹配次数
- 匹配最多的敏感信息类型
- 触发 DLP 最多的用户
- 最多被阻断的活动（USB、云、电子邮件）
- 覆盖率（被阻断后覆盖的百分比）
DLP 事件响应：
1. 查看带有匹配内容的 DLP 警报
2. 验证检测数据的敏感性
3. 评估意图（意外 vs. 故意）
4. 如果是故意泄露 → 升级为安全事件
5. 如果是意外 → 教育用户，优化策略
关键概念
| 术语 | 定义 |
|---|---|
| DLP | 数据丢失防护；检测和防止敏感数据未授权传输的技术 |
| SIT | 敏感信息类型；用于识别敏感数据的模式匹配规则（正则表达式、关键字、ML 分类器） |
| 策略提示 | 面向用户的通知，说明操作被阻断的原因以及如何申请覆盖 |
| 内容检查 | 对文件内容进行深度检查以识别敏感数据模式 |
| 精确数据匹配（EDM） | 针对已知敏感值的特定数据库（精确 SSN、员工记录）进行 DLP 匹配 |
工具与系统
- Microsoft Purview DLP：M365 E5 中包含的云管理端点 DLP
- Symantec DLP（Broadcom）：带有端点、网络和云模块的企业 DLP
- Digital Guardian：带有数据分类和保护功能的端点 DLP
- Forcepoint DLP：带有端点代理的统一 DLP 平台
- Code42 Incydr：带有文件泄露监控的内部风险检测
常见误区
- 在强制模式下过度阻断：首先在审计模式下部署 DLP。在未发出警告的情况下阻断常用工作流会导致生产力下降。
- SIT 误报过多：电话号码、日期和随机数字序列可能匹配 PCI/SSN 模式。调整置信度级别并要求相关关键字。
- 忽视用户教育：当用户理解数据受保护的原因时，DLP 效果最佳。策略提示应解释限制原因并提供已审批的替代方案。
- 未监控覆盖情况：如果用户频繁覆盖 DLP 阻断，则策略要么过于严格，要么用户忽视了数据保护要求。审查覆盖原因。