联软DLP

联软数据泄露防护系统（LinkTrust DLP）是联软科技推出的企业级全场景数据安全防护产品，旨在帮助企业识别、分类、监控和保护敏感数据，防止因内部人员疏忽、恶意操作或外部攻击导致的数据泄露。该产品覆盖数据全生命周期的防护需求，从数据的创建、存储、传输到使用环节，提供一体化的安全管控能力，助力企业满足合规要求并保障核心数据资产安全。

一、核心定位与整体架构

LinkTrust DLP的核心定位是“全场景数据安全防护中枢”，聚焦于解决企业敏感数据泄露的风险，通过整合数据发现、分类分级、防护控制、监控审计等能力，构建端到端的数据安全防护体系。其设计遵循“数据驱动、智能防护、合规适配”的原则，能够适应不同行业、不同规模企业的需求。

产品采用分布式、模块化的架构设计，确保高扩展性和灵活性，主要分为以下五层：

1. 数据发现与分类层：负责识别企业内部各类敏感数据，并进行分类分级标记，为后续防护策略提供基础。
2. 智能策略引擎层：基于数据分类结果和企业安全规则，制定动态防护策略，支持多维度条件组合和自动化决策。
3. 防护执行层：涵盖端点、网络、存储、云端等多场景的防护能力，执行策略引擎下发的防护指令。
4. 监控审计层：实时采集防护执行数据，进行日志分析和行为审计，提供可视化的监控报表。
5. 管理控制层：统一管理平台的所有功能模块，包括策略配置、用户权限、系统设置等，支持多租户和集中化管理。

二、核心功能模块详解

1. 数据发现与分类分级模块

静态数据发现（S-Discovery）：针对企业内部存储的静态数据进行全面扫描，识别敏感信息。支持的数据源包括：文件服务器（Windows Server、Linux NFS/SMB）、数据库（Oracle、MySQL、SQL Server、PostgreSQL等关系型数据库，MongoDB等非关系型数据库）、企业协作平台（SharePoint、Confluence）、云存储服务（AWS S3、阿里云OSS、腾讯云COS）等。扫描方式支持全量扫描和增量扫描，可根据企业需求设置扫描周期（如每日、每周）。识别的敏感数据类型涵盖：个人身份信息（身份证号、手机号、银行卡号、护照号）、企业机密信息（研发文档、财务报表、合同文件）、行业特定数据（医疗病历、患者信息、金融交易记录）等。

动态数据发现（D-Discovery）：在数据传输和使用过程中实时识别敏感数据。例如，在数据库查询时，监控SQL语句返回的结果是否包含敏感信息；在网络传输中，分析HTTP/HTTPS、FTP/SFTP等协议中的数据内容；在端点设备上，监控用户打开的文件、复制粘贴的内容是否涉及敏感数据。动态发现能够及时捕捉数据流动中的风险，为实时防护提供支持。

端点数据发现：针对员工使用的终端设备（Windows、macOS、Linux电脑，移动设备如iOS、Android）进行本地数据扫描。支持扫描本地硬盘、移动存储设备（U盘、移动硬盘）、外接设备（SD卡）等。扫描结果会上传至管理平台，管理员可查看终端设备上的敏感数据分布情况，并采取相应的防护措施。

数据分类分级：基于数据发现的结果，对敏感数据进行分类和分级标记。分类方式包括：

• 自动分类：利用内置的规则库（正则表达式、关键词、指纹识别、机器学习模型）自动识别数据类型，例如通过正则表达式识别身份证号，通过指纹识别匹配特定文档模板。
• 自定义分类：企业可根据自身业务需求创建自定义分类规则，例如定义“研发机密文档”为包含特定关键词（如“产品原型”“技术方案”）且文件类型为PDF或DOCX的文件。
• 元数据分类：基于文件的元数据（如创建者、修改时间、文件大小、文件类型）进行分类，例如将财务部门创建的Excel文件标记为“财务数据”。

分级标准遵循企业内部安全策略或行业合规要求，常见的分级包括：绝密（核心机密，如研发核心技术）、机密（重要信息，如客户合同）、秘密（敏感信息，如员工薪资）、公开（非敏感信息）。分类分级结果会作为标签附加到数据上，用于后续的防护策略制定。

2. 防护控制模块

（1）端点防护

端点防护针对员工使用的终端设备，防止敏感数据从端点泄露。核心功能包括：

• USB设备管控：对USB存储设备的使用进行严格控制。支持白名单机制（仅允许指定的USB设备接入）、读写权限控制（如只读、只写、禁止访问）、加密传输（USB设备中的敏感数据需加密后才能传输）。例如，企业可设置仅允许加密的U盘接入，且只能读取不能写入，防止敏感数据被复制到未授权的USB设备。
• 剪贴板管控：监控剪贴板的内容，防止敏感数据通过复制粘贴泄露。例如，当用户复制包含敏感信息的文本时，系统会阻止将其粘贴到未授权的应用（如微信、QQ）中，或对粘贴的内容进行脱敏处理。
• 打印管控：控制打印机的使用，防止敏感数据被打印后泄露。支持打印内容检查（扫描打印的文档是否包含敏感信息）、打印权限控制（仅允许授权用户打印特定类型的文档）、打印日志记录（记录打印的时间、用户、文档内容等信息）。
• 邮件防护：监控终端设备上的邮件客户端（如Outlook、Foxmail）发送的邮件，检查邮件正文和附件是否包含敏感数据。根据策略，可采取拦截、加密、提醒等措施。例如，当用户发送包含客户银行卡号的邮件时，系统会自动拦截并通知管理员，或对邮件附件进行加密处理后再发送。
• 即时通讯防护：对微信、QQ、钉钉、企业微信等即时通讯工具的文件传输和消息发送进行监控。检查发送的文件和消息内容是否包含敏感数据，阻止未授权的敏感数据传输。例如，用户试图通过微信发送研发图纸时，系统会拦截该文件并提示“该文件包含敏感信息，禁止发送”。
• 应用程序管控：限制敏感数据在未授权的应用程序中使用。例如，禁止将敏感文档打开在非正版的Office软件中，或禁止将敏感数据保存到云盘应用（如百度网盘）中。

（2）网络防护

网络防护针对企业内部网络和外部网络的边界，防止敏感数据通过网络传输泄露。核心功能包括：

• 邮件网关防护：部署在企业邮件网关处，监控所有进出的邮件（SMTP、POP3、IMAP协议）。检查邮件正文、附件、抄送/密送对象是否符合安全策略。支持的防护措施包括：拦截邮件、替换附件（将敏感附件替换为加密链接）、添加水印（在邮件附件上添加用户信息水印）、通知管理员。例如，当外部用户发送包含钓鱼链接的邮件时，系统会拦截；当内部用户发送包含企业机密的邮件到外部邮箱时，系统会阻止并记录。
• Web防护：监控HTTP/HTTPS协议的网络流量，防止敏感数据通过Web应用泄露。例如，检查用户上传到Web服务器的文件是否包含敏感信息，阻止未授权的敏感数据上传；监控用户从Web应用下载的数据，防止敏感数据被下载到本地。支持的Web应用包括企业官网、CRM系统、ERP系统等。
• FTP/SFTP防护：监控FTP和SFTP协议的文件传输，检查传输的文件是否包含敏感数据。支持的防护措施包括：拦截传输、加密文件、记录传输日志。例如，当用户试图通过FTP将财务报表发送到外部服务器时，系统会拦截该传输并通知管理员。
• 数据泄露检测（DLP）：利用深度包检测（DPI）技术，识别网络流量中的敏感数据。支持的协议包括TCP、UDP、ICMP等，可检测的敏感数据类型包括信用卡号、身份证号、企业机密文档等。当检测到敏感数据传输时，系统会采取阻断、告警等措施。

（3）存储防护

存储防护针对企业内部的存储系统，防止敏感数据在存储环节泄露。核心功能包括：

• 数据库防护：监控数据库的访问行为，防止敏感数据被未授权访问或篡改。支持的功能包括：SQL注入检测（阻止恶意SQL语句执行）、敏感数据访问审计（记录谁访问了敏感数据、访问时间、访问内容）、数据脱敏（对查询结果中的敏感字段进行脱敏处理）。例如，当用户查询包含客户身份证号的数据库表时，系统会自动将身份证号的中间几位替换为“*”，保护用户隐私。
• 文件服务器防护：对文件服务器上的文件进行访问控制和监控。支持的功能包括：文件访问权限管理（基于数据分类分级设置访问权限）、文件操作审计（记录文件的上传、下载、修改、删除等操作）、文件加密（对敏感文件进行透明加密）。例如，只有研发部门的用户才能访问标记为“研发机密”的文件，其他部门用户无法打开。
• 云存储防护：针对AWS S3、阿里云OSS、腾讯云COS等云存储服务，提供敏感数据防护。支持的功能包括：云存储数据发现（扫描云存储中的敏感数据）、访问控制（基于IAM角色设置访问权限）、加密存储（对云存储中的敏感数据进行加密）、日志审计（记录云存储的访问日志）。

（4）云端防护

云端防护针对企业使用的SaaS应用（如Office 365、Salesforce、钉钉），防止敏感数据从云端泄露。核心功能包括：

• SaaS应用数据发现：扫描SaaS应用中的敏感数据，如Office 365中的邮件、文档，Salesforce中的客户数据等。
• 访问控制：基于用户身份和数据分类分级，设置SaaS应用的访问权限。例如，禁止外部用户访问SaaS应用中的敏感数据。
• 数据泄露防护：监控SaaS应用中的数据传输，防止敏感数据被下载或分享到外部。例如，禁止将Office 365中的机密文档分享给外部邮箱用户。

3. 加密与脱敏模块

加密与脱敏是保护敏感数据的重要手段，LinkTrust DLP提供多种加密和脱敏方式：

• 透明加密：对敏感文件进行自动加密，用户在授权的环境下可正常打开和使用文件，无需手动加密解密。当文件被复制到未授权的设备或环境时，无法打开。支持的文件类型包括DOCX、PDF、PPTX、Excel、CAD图纸等。透明加密不影响用户的正常工作流程，同时确保敏感数据不会被未授权访问。
• 动态脱敏：在数据使用过程中，对敏感字段进行实时脱敏处理。例如，在数据库查询时，将身份证号的中间6位替换为“*”；在报表生成时，将客户手机号的后4位隐藏。动态脱敏不会改变原始数据，仅在展示层对数据进行处理，保证数据的可用性和安全性。
• 静态脱敏：对导出或备份的敏感数据进行脱敏处理，生成可用的非敏感数据副本。例如，将生产数据库中的客户数据脱敏后，用于测试环境或数据分析。静态脱敏支持多种脱敏算法，如替换、掩码、随机化、加密等，确保脱敏后的数据无法还原为原始数据。
• 文件加密：对单个文件或文件夹进行加密，支持密码加密和证书加密。例如，用户可将敏感文档加密后发送给外部合作伙伴，合作伙伴需输入密码或使用指定证书才能打开。

4. 监控审计模块

监控审计模块负责记录和分析所有数据安全事件，帮助企业发现潜在风险并进行合规审计。核心功能包括：

• 实时监控：实时采集端点、网络、存储等场景的防护数据，展示数据安全事件的发生时间、地点、用户、事件类型等信息。支持可视化仪表盘，管理员可直观查看数据泄露风险的分布情况。
• 日志分析：对采集的日志进行聚合、检索、关联分析。支持多维度查询（如按用户、时间、事件类型查询），帮助管理员快速定位问题。例如，管理员可查询最近一周内所有被拦截的外发邮件，分析泄露风险的来源。
• 告警管理：对数据安全事件设置告警规则，当发生符合规则的事件时，通过邮件、短信、钉钉等方式通知管理员。告警级别分为紧急、高、中、低，管理员可根据级别优先处理紧急事件。
• 报表生成：自动生成合规报表和自定义报表。合规报表支持等保2.0、GDPR、HIPAA、数据安全法等法规要求，帮助企业快速通过合规审计。自定义报表允许管理员根据需求选择数据维度和展示方式，生成个性化的报表。
• 行为分析：利用机器学习算法分析用户的行为模式，识别异常行为。例如，当某个用户突然下载大量敏感数据时，系统会发出异常告警，提示管理员进行检查。

5. 集成与扩展模块

LinkTrust DLP支持与企业现有系统集成，扩展防护能力：

• SIEM集成：与Splunk、ELK、IBM QRadar等SIEM系统集成，将DLP日志发送到SIEM系统进行统一分析，实现跨系统的安全事件关联。
• IAM集成：与Active Directory（AD）、LDAP、Azure AD等身份管理系统集成，实现用户身份的统一管理和权限同步。
• 云服务集成：与AWS、Azure、阿里云、腾讯云等云服务提供商集成，提供云端DLP防护能力。
• API接口：提供RESTful API接口，支持二次开发。企业可通过API接口将DLP功能集成到自有系统中，或开发自定义的防护策略。
• 移动设备管理（MDM）集成：与MDM系统集成，对移动设备上的敏感数据进行防护，如远程擦除设备数据、限制应用使用等。

三、技术特点与优势

• 全场景覆盖：覆盖端点、网络、存储、云端等所有数据流动场景，实现数据全生命周期的防护。无论是静态存储的数据、动态传输的数据还是正在使用的数据，都能得到有效保护。
• 智能识别能力：采用AI算法和机器学习技术，提高敏感数据的识别准确率。支持OCR识别图片中的敏感数据、NLP识别文本中的语义敏感信息、指纹识别匹配特定文档模板。例如，通过OCR识别扫描件中的身份证号，通过NLP识别合同中的机密条款。
• 灵活的策略配置：支持自定义策略规则，企业可根据自身业务需求设置防护策略。策略规则支持多维度条件组合（如用户、数据类型、应用程序、时间），例如，允许研发部门用户在工作时间将敏感数据发送到内部邮箱，但禁止发送到外部邮箱。
• 低性能影响：优化的扫描算法和资源调度机制，对系统性能的影响极小。例如，端点防护模块在后台运行时，CPU占用率低于5%，内存占用低于100MB，不会影响用户的正常工作。
• 高可用性：采用分布式架构设计，支持集群部署和负载均衡。当某个节点发生故障时，其他节点会自动接管其工作，确保系统的持续运行。系统的可用性达到99.99%，满足企业级应用的需求。
• 合规适配：严格遵循国家和国际的数据安全法规，如《中华人民共和国数据安全法》、《个人信息保护法》、等保2.0、GDPR、HIPAA等。提供合规报表和审计日志，帮助企业快速通过合规认证。
• 易于部署与管理：支持多种部署方式（本地部署、云端部署、混合部署），适应不同企业的IT环境。管理平台采用Web界面，操作简单直观，管理员可快速完成策略配置和系统管理。

四、典型应用场景

• 金融行业：客户数据防护：金融机构（如银行、证券、保险）需要保护客户的身份证号、银行卡号、交易记录等敏感数据。LinkTrust DLP可通过端点防护防止员工将客户数据复制到USB设备，通过网络防护拦截包含客户数据的外发邮件，通过数据库防护对客户数据进行脱敏处理，确保客户数据的安全，符合《金融行业数据安全指南》的要求。
• 制造业：研发图纸防护：制造业企业的研发图纸是核心资产，需要防止泄露。LinkTrust DLP可通过透明加密对研发图纸进行自动加密，防止未授权访问；通过端点防护禁止将研发图纸发送到即时通讯工具；通过存储防护设置研发图纸的访问权限，仅允许研发部门用户访问，保护研发成果的安全。
• 医疗行业：患者隐私保护：医疗机构需要保护患者的病历、诊断报告、个人信息等敏感数据，符合HIPAA和《医疗行业数据安全规范》的要求。LinkTrust DLP可通过动态脱敏在展示患者数据时隐藏敏感字段，通过监控审计记录患者数据的访问行为，通过网络防护拦截包含患者数据的外发邮件，确保患者隐私不被泄露。
• 政府机构：政务数据防护：政府机构的政务数据包含公民信息、政策文件等敏感内容，需要严格保护。LinkTrust DLP可通过分类分级对政务数据进行标记，通过防护控制防止敏感数据被未授权访问，通过合规报表满足等保2.0的要求，确保政务数据的安全。
• 互联网企业：用户数据安全：互联网企业（如电商、社交平台）拥有大量用户数据，需要防止数据泄露。LinkTrust DLP可通过云端防护监控SaaS应用中的用户数据，通过网络防护拦截包含用户数据的Web传输，通过行为分析识别异常的用户数据访问行为，保护用户数据的安全，符合《个人信息保护法》的要求。

五、总结

联软数据泄露防护系统（LinkTrust DLP）作为企业级全场景数据安全防护产品，通过整合数据发现、分类分级、防护控制、加密脱敏、监控审计等能力，为企业提供端到端的数据安全防护解决方案。其全场景覆盖、智能识别、灵活策略、低性能影响等特点，能够满足不同行业、不同规模企业的需求，帮助企业保护核心数据资产，应对数据泄露风险，同时满足合规要求。无论是金融、制造、医疗还是政府机构，LinkTrust DLP都是保障数据安全的理想选择。

点击链接，了解更多产品详情：

登录后查看