Cloudflare如何防范數(shù)據(jù)丟失？

數(shù)據(jù)丟失防護（DLP）軟件有什么作用？

數(shù)據(jù)丟失防護（DLP）這個術(shù)語指的是用于防止公司數(shù)據(jù)（尤其是機密數(shù)據(jù)）遭到泄漏或破壞的策略。DLP 是一個寬泛的類別，包含許多網(wǎng)絡(luò)安全產(chǎn)品和策略。任何保護數(shù)據(jù)的產(chǎn)品都可以視為 DLP 的一部分。

專用 DLP 軟件執(zhí)行更加具體的功能：阻止公司機密信息離開公司控制的系統(tǒng)。DLP 軟件必須與其他技術(shù)（例如加密和訪問控制）結(jié)合使用來確保數(shù)據(jù)安全，但它是一個至關(guān)重要的部分。

DLP 軟件的作用是阻止數(shù)據(jù)流出，而不是防御理論上的攻擊。它通過編輯或標(biāo)記外發(fā)信息或阻止有風(fēng)險的用戶操作來做到這一點。DLP 系統(tǒng)還可以檢測對敏感數(shù)據(jù)的未授權(quán)訪問，這樣的訪問可能表明有人試圖將數(shù)據(jù)移動或復(fù)制到不受數(shù)據(jù)所屬組織管理的環(huán)境中。

想象一座建有城墻的城市，城墻內(nèi)外都有守衛(wèi)巡邏。假設(shè)城墻外的守衛(wèi)負責(zé)監(jiān)視攻擊，并檢查每個進城的人，以確保他們沒有攜帶武器；這些守衛(wèi)就像典型的網(wǎng)絡(luò)安全措施，例如防火墻、訪問控制系統(tǒng)和安全 Web 網(wǎng)關(guān)。同時，城墻內(nèi)的守衛(wèi)負責(zé)檢查每個出城的人，以確保他們沒有盜取重要的城市資源；這些警衛(wèi)就像數(shù)據(jù)丟失防護（DLP）軟件。

為什么數(shù)據(jù)丟失防護很重要？

DLP 對于云計算來說尤其重要。使用云意味著用戶幾乎不斷地通過 Internet 發(fā)送數(shù)據(jù)，這會增加了數(shù)據(jù)泄露的機會。有鑒于此，DLP 軟件已集成到許多云安全和訪問控制服務(wù)中。

DLP 的重要性也在日漸升高，因為一般數(shù)據(jù)保護條例（GDPR）和加利福尼亞消費者隱私法案（CCPA）等更新、更嚴格的法規(guī)會嚴重懲罰泄露客戶數(shù)據(jù)的公司。

DLP 軟件如何阻止數(shù)據(jù)泄露？

有許多方法可以跟蹤網(wǎng)絡(luò)流量中的潛在機密信息。DLP 軟件用于檢測傳出敏感數(shù)據(jù)的一些技術(shù)包括：

數(shù)據(jù)指紋識別：此過程會創(chuàng)建一個唯一的數(shù)字“指紋”，它可以標(biāo)識特定的文件，就像可以通過指紋來識別一個人一樣。文件的任何副本都具有相同的指紋。DLP 軟件將掃描所傳出數(shù)據(jù)的指紋，以查看是否有任何指紋與機密文件的指紋匹配。

精確數(shù)據(jù)匹配：與指紋識別類似，精確數(shù)據(jù)匹配會尋找一組數(shù)據(jù)的精確匹配，但不使用指紋。

借助機器學(xué)習(xí)的用戶行為評估：機器學(xué)習(xí)算法可通過分析成千上萬的用戶操作，來幫助確定哪些操作可以構(gòu)成組織中各個用戶的“正?！毙袨?。例如，如果用戶突然開始從他們之前很少訪問的數(shù)據(jù)庫提取數(shù)千兆的數(shù)據(jù)，則 DLP 機器學(xué)習(xí)可以將其測定為異常操作并撤銷他們對該數(shù)據(jù)庫的訪問權(quán)限。

關(guān)鍵字匹配：DLP 軟件在用戶消息中查找某些詞語或短語，并阻止包含這些詞語和短語的消息。如果公司希望在財報電話會議之前對其季度財務(wù)報告保密，可以配置 DLP 系統(tǒng)，以阻止包含短語“季度財務(wù)報告”或已知會出現(xiàn)在報告中的特定短語的外發(fā)電子郵件。

文本分類：此技術(shù)通過將文本歸入受保護數(shù)據(jù)類別的可能性對文本進行分類。假設(shè)從公司數(shù)據(jù)庫發(fā)出的 HTTP 響應(yīng)包含與電子郵件地址格式相符的文本：一組字符，后跟 @ 符號，然后是域名。DLP 系統(tǒng)會將該文本字符串歸類為極有可能是電子郵件地址，可視為受保護的個人信息。

一旦檢測到，DLP 軟件可以通過執(zhí)行以下操作之一來阻止機密數(shù)據(jù)離開：

阻止用戶操作：當(dāng)內(nèi)部用戶嘗試訪問或發(fā)出應(yīng)保密的數(shù)據(jù)時，DLP 系統(tǒng)可以阻止他們這樣做。例如，DLP 系統(tǒng)可以阻止用戶將業(yè)務(wù)電子郵件轉(zhuǎn)發(fā)到公司外部的域。假設(shè)鮑勃在 Acme 就職并且他的電子郵件地址是 bob@acme.com，如果他試圖將電子郵件從 Acme 內(nèi)部轉(zhuǎn)發(fā)到 chuck@gmail.com 等非 acme.com 域，Acme 的 DLP 系統(tǒng)會阻止這封電子郵件。同樣，某些 DLP 系統(tǒng)可以禁止復(fù)制數(shù)據(jù)。因此，如果鮑勃試圖復(fù)制和粘貼機密數(shù)據(jù)，該數(shù)據(jù)不會進入計算機用于復(fù)制和粘貼的剪貼板中。

編輯：編輯某些內(nèi)容意味著將其隱藏或消除。例如，經(jīng)過編輯的法律文件會將某些文字涂黑來隱藏信息。在數(shù)據(jù)丟失防護方面，DLP 系統(tǒng)可以通過替換為空值或一系列無意義的字符（例如“****”）來刪除或遮蓋數(shù)據(jù)中檢測到的機密信息。

標(biāo)記化：標(biāo)記化是將數(shù)據(jù)值替換為與該值對應(yīng)的標(biāo)記的過程。標(biāo)記可以像實際值一樣使用，而且這樣不會暴露實際值。

一些 DLP 系統(tǒng)可對傳出的機密數(shù)據(jù)進行標(biāo)記化處理，而不是進行攔截或編輯。假設(shè)鮑勃向愛麗絲發(fā)送電子郵件，郵件中含有他的信用卡號 4111 1111 11111111。鮑勃的公司的 DLP 系統(tǒng)將這組數(shù)字識別為信用卡號，自動將它替換為標(biāo)記化的值 ABCD EFGH ABCD EFGH。愛麗絲可以使用這個標(biāo)記化的值代替鮑勃的實際信用卡號，而鮑勃的公司系統(tǒng)會識別這個標(biāo)記并將其替換成實際值來進行內(nèi)部處理。

哪些云安全解決方案融合了 DLP？

DLP 可以作為獨立產(chǎn)品提供，但通常捆綁在其他云安全解決方案中，尤其是安全 Web 網(wǎng)關(guān)和云安全訪問代理（CASB）產(chǎn)品套件。這樣，公司可以同時阻止傳入威脅和傳出數(shù)據(jù)泄漏。

Cloudflare 如何防范數(shù)據(jù)丟失？

Cloudflare for Teams 是面向組織安全的產(chǎn)品套件，可確保公司內(nèi)部數(shù)據(jù)、設(shè)備和員工的安全。Cloudflare 通過訪問控制來阻止可能導(dǎo)致數(shù)據(jù)泄露的操作。Cloudflare 還通過Web 應(yīng)用程序防火墻（WAF）和 DNS 過濾等來阻止外部攻擊，同時也提供強大的加密來確保數(shù)據(jù)在傳輸過程中的安全。