implementing-endpoint-dlp-controls

实施端点 DLP 控制

使用场景

在以下情况下使用本技能：

• 部署端点 DLP，防止敏感数据（PII、PHI、PCI）离开组织
• 为电子邮件附件、USB 传输和云上传配置内容检查规则
• 实施 Microsoft Purview DLP 或 Symantec DLP 端点策略
• 满足数据保护合规要求（GDPR、HIPAA、PCI DSS）

不适用于网络 DLP（基于内联代理）或仅云 DLP（CASB）。

前置条件

• Microsoft 365 E5 或独立 Microsoft Purview DLP 许可证
• Microsoft Purview 合规门户访问权限（compliance.microsoft.com）
• 为组织数据定义的敏感信息类型（SIT）
• 已载入 Microsoft Purview 的端点（通过 Intune 或 SCCM）

操作流程

步骤 1：定义敏感信息类型

Microsoft Purview → 数据分类 → 敏感信息类型

常见数据的内置 SIT：
- 信用卡号（PCI）
- 社会安全号码（PII）
- 健康记录（HIPAA）
- 护照号码
- 银行账号

自定义 SIT 示例（员工 ID）：
  模式：EMP-[0-9]{6}
  置信度：高
  关键字："employee id"、"emp id"、"staff number"

步骤 2：创建 DLP 策略

Microsoft Purview → 数据丢失防护 → 策略 → 创建策略

策略配置：
1. 模板：财务/医疗/PII（或自定义）
2. 位置：设备（端点 DLP）
3. 条件：
   - 内容包含：信用卡号（最少 5 个实例）
   - 或内容包含：SSN（最少 1 个实例）
4. 操作：
   - 阻断：防止复制到 USB、云、电子邮件
   - 审计：记录但允许（用于初始部署）
   - 通知：显示用户通知和策略提示
5. 用户通知：
   - "此文件包含敏感数据，无法复制到此位置"
   - 允许带有业务理由的覆盖（可选）

步骤 3：配置端点 DLP 活动

受监控的端点活动：
- 上传到云服务（OneDrive、Dropbox、Google Drive）
- 复制到可移动媒体（USB 驱动器）
- 复制到网络共享
- 打印文档
- 复制到剪贴板
- 通过不允许的浏览器访问（非托管浏览器）
- 通过不允许的应用程序访问
- 复制到远程桌面会话

对于每个活动，配置：
- 仅审计（记录操作）
- 带覆盖的阻断（用户可以提供理由并继续）
- 阻断（完全阻止操作）

步骤 4：在审计模式下部署

首先在"带通知的测试模式"下部署 DLP 策略：
1. 策略在审计模式下运行 2-4 周
2. 在活动资源管理器中查看 DLP 警报
3. 识别误报
4. 调整 SIT 模式和条件
5. 为合法工作流添加排除项
6. 切换到"开启策略"（强制执行）

步骤 5：监控和响应

Purview → 数据丢失防护 → 活动资源管理器

关键指标：
- 每日/每周 DLP 策略匹配次数
- 匹配最多的敏感信息类型
- 触发 DLP 最多的用户
- 最多被阻断的活动（USB、云、电子邮件）
- 覆盖率（被阻断后覆盖的百分比）

DLP 事件响应：
1. 查看带有匹配内容的 DLP 警报
2. 验证检测数据的敏感性
3. 评估意图（意外 vs. 故意）
4. 如果是故意泄露 → 升级为安全事件
5. 如果是意外 → 教育用户，优化策略

关键概念

术语	定义
DLP	数据丢失防护；检测和防止敏感数据未授权传输的技术
SIT	敏感信息类型；用于识别敏感数据的模式匹配规则（正则表达式、关键字、ML 分类器）
策略提示	面向用户的通知，说明操作被阻断的原因以及如何申请覆盖
内容检查	对文件内容进行深度检查以识别敏感数据模式
精确数据匹配（EDM）	针对已知敏感值的特定数据库（精确 SSN、员工记录）进行 DLP 匹配

工具与系统

• Microsoft Purview DLP：M365 E5 中包含的云管理端点 DLP
• Symantec DLP（Broadcom）：带有端点、网络和云模块的企业 DLP
• Digital Guardian：带有数据分类和保护功能的端点 DLP
• Forcepoint DLP：带有端点代理的统一 DLP 平台
• Code42 Incydr：带有文件泄露监控的内部风险检测

常见误区

• 在强制模式下过度阻断：首先在审计模式下部署 DLP。在未发出警告的情况下阻断常用工作流会导致生产力下降。
• SIT 误报过多：电话号码、日期和随机数字序列可能匹配 PCI/SSN 模式。调整置信度级别并要求相关关键字。
• 忽视用户教育：当用户理解数据受保护的原因时，DLP 效果最佳。策略提示应解释限制原因并提供已审批的替代方案。
• 未监控覆盖情况：如果用户频繁覆盖 DLP 阻断，则策略要么过于严格，要么用户忽视了数据保护要求。审查覆盖原因。