日前，IT安全行業(yè)專家比爾·海耶斯分析了一些頂級(jí)數(shù)據(jù)丟失防護(hù)（DLP）產(chǎn)品的優(yōu)勢(shì)和弱點(diǎn)，希望幫助企業(yè)做出正確的采購(gòu)決策。

最好的數(shù)據(jù)丟失預(yù)防產(chǎn)品提供了重要的保護(hù)措施，以防止組織的敏感信息被泄露。行業(yè)廠商推出了許多DLP產(chǎn)品，并提供保護(hù)靜態(tài)數(shù)據(jù)或動(dòng)態(tài)使用數(shù)據(jù)的全面的解決方案。而還有一些廠商的DLP產(chǎn)品可以提供更專業(yè)的數(shù)據(jù)保護(hù)。而DLP還可以集成到其他安全產(chǎn)品中或者作為特定的應(yīng)用程序，如電子郵件和網(wǎng)絡(luò)安全。

本文所涉及的產(chǎn)品都是一些進(jìn)行優(yōu)化選擇的DLP產(chǎn)品。在這里，我們將從行業(yè)廠商Bluecoat，CodeGreen，Computer Associates，英特爾安全（McAfee），Proofpoint，RSA、賽門鐵克、趨勢(shì)科技、Trustwave、Websense公司來(lái)考察DLP產(chǎn)品，并將為組織提供最佳的數(shù)據(jù)丟失防護(hù)產(chǎn)品。這些公司提供所有的DLP產(chǎn)品采購(gòu)問題和答案都將在此提出，并會(huì)得到高度重視。企業(yè)將在這些小型、中型和大型環(huán)境中能夠找到一個(gè)可行的產(chǎn)品。

但是，為了檢驗(yàn)這些安全舉措，項(xiàng)目組也需要在選擇最能滿足其需求的產(chǎn)品之前做一些功課。人們對(duì)這些DLP產(chǎn)品如何與加密和移動(dòng)設(shè)備管理（MDM）等其他安全措施一起配合工作特別感興趣。

綜合DLP套件

安全產(chǎn)品供應(yīng)商如CA技術(shù)公司，Code GreenNetworks，英特爾（McAfee），RSA，賽門鐵克，Trustwave公司，以及Websense公司在數(shù)據(jù)地址使用（終點(diǎn)）提供數(shù)據(jù)丟失保護(hù)套件和其余的數(shù)據(jù)（DLPtrifecta）。這些被認(rèn)為是高度專業(yè)化的產(chǎn)品，通常不執(zhí)行其他的安全功能。它們也可以用于支持技術(shù)，如加密，MDM和身份訪問管理（IAM）的應(yīng)用提供接口。

當(dāng)比較這些套件時(shí)，請(qǐng)記住，他們的可擴(kuò)展性會(huì)有所不同。通常人們認(rèn)為，DLP產(chǎn)品是為那些大型企業(yè)所進(jìn)行的設(shè)計(jì)，因此往往需要采用多個(gè)專業(yè)和多個(gè)服務(wù)器滿足要求。這一趨勢(shì)過去幾年已經(jīng)有所改變，然而，以下是現(xiàn)在可以為小企業(yè)提供基于設(shè)備的DLP產(chǎn)品一些廠商。

（1）CA技術(shù)公司的DLP

CA技術(shù)公司的DLP套件，原名CA Dataminder，現(xiàn)在稱為CA Data Protection。DLP控制可以處理超出傳統(tǒng)實(shí)體數(shù)據(jù)中心邊界的敏感數(shù)據(jù)地址，一定要選擇一個(gè)產(chǎn)品，其中包括便攜式媒體，云計(jì)算和移動(dòng)DLP保護(hù)加密集成。

其他的數(shù)據(jù)由CA Data Protection進(jìn)行分類，采用一個(gè)分析數(shù)據(jù)并按既定的政策分類的工具，并與CA Technologies IAM套件整合，將有助于基于用戶屬性和內(nèi)容的認(rèn)識(shí)進(jìn)行的數(shù)據(jù)分類。使用的數(shù)據(jù)將獲得CA Data Protection的端點(diǎn)保護(hù)，能夠監(jiān)控電子郵件、Web郵件、社交媒體、打印，以及將文件復(fù)制到可移動(dòng)介質(zhì)的保護(hù)。傳輸中的數(shù)據(jù)可以獲得由CA Data Protection的網(wǎng)絡(luò)保護(hù)。

這是一個(gè)可以部署到SPAN端口監(jiān)視或內(nèi)聯(lián)來(lái)阻止不受歡迎的流量的網(wǎng)絡(luò)設(shè)備。CA技術(shù)公司DLP理想的功能包括與IAM技術(shù)進(jìn)行技術(shù)集成，并實(shí)現(xiàn)精細(xì)的分類以及敏感數(shù)據(jù)的訪問控制一體化。該產(chǎn)品是最適合于具備熟練的IT人員和網(wǎng)絡(luò)安全人員的大型企業(yè)。

（2）Code Green Networks公司的DLP

Code Green Networks公司提供了一個(gè)被稱之為TrueDLP的DLP產(chǎn)品。它是基于應(yīng)用的，可以提供更快的部署，適用于規(guī)模較小的組織。此設(shè)備可以作為一個(gè)裸機(jī)或虛擬設(shè)備。對(duì)于企業(yè)模式，傳輸網(wǎng)絡(luò)DLP地址的數(shù)據(jù)，使用終端DLP地址的數(shù)據(jù)，并發(fā)現(xiàn)其他的DLP地址的數(shù)據(jù)。除了支持傳統(tǒng)的企業(yè)模式，TrueDLP還提供了名為CloudDLP云中的DLP工具。Code Green Networks的DLP理想的功能包括設(shè)備的可用性和基于虛擬設(shè)備的版本，具有云DLP控制的可用性和易于部署的特點(diǎn)。該產(chǎn)品適合用于中小企業(yè)。

（3）英特爾（McAfee）的DLP

英特爾（McAfee）提供了一個(gè)可擴(kuò)展的DLP產(chǎn)品，稱之為McAfee Total Protection。基于組件的McAfee Total Protection，其中包括McAfee DLP Manager，McAfee DLP Discover，McAfee DLP Prevent和McAfee DLP Monitor產(chǎn)品，并通過McAfeee Policy Orchestrator進(jìn)行整合（EPO），還有管理端點(diǎn)的組件，其中包括McAfee DLP Endpoint和McAfee DLP Device Control。英特爾案例還提供了加密的數(shù)據(jù)保護(hù)套件McAfee Complete Data Protection Advanced，以及McAfeeDLP的端點(diǎn)工具。

這套組件提供了政策執(zhí)行加密的文件，文件夾和可移動(dòng)媒介，并提供了關(guān)鍵的共享方法，使用戶能夠安全地共享文件。該產(chǎn)品適用于使用蘋果FileVault和微軟的BitLocker的設(shè)備。它還提供了強(qiáng)化對(duì)冷啟動(dòng)攻擊的功能。McAfee的DLP產(chǎn)品理想的功能包括應(yīng)用和以虛擬設(shè)備為基礎(chǔ)的可用性，以及EPO集成DLP端點(diǎn)加密工具。這些產(chǎn)品適合于具有熟練的IT和網(wǎng)絡(luò)安全人員的大中型企業(yè)。

（4）EMC公司的RSADLP

作為EMC的RSA，它提供的RSA數(shù)據(jù)丟失防護(hù)套件，由三個(gè)模塊組成：

·RSADLP數(shù)據(jù)中心模塊地址的數(shù)據(jù)采用了各種信息存儲(chǔ)技術(shù)，其中包括微軟的Windows文件服務(wù)器、UNIX文件服務(wù)器，NAS/SAN，微軟的SharePoint，LotusNote數(shù)據(jù)庫(kù)和WindowsPC的本地驅(qū)動(dòng)器。該模塊還提供了臨時(shí)掃描代理，可以掃描大量的存儲(chǔ)資源，而無(wú)需使用專用的掃描硬件。

·在RSADLP網(wǎng)絡(luò)模塊監(jiān)測(cè)敏感數(shù)據(jù)動(dòng)作，并可以強(qiáng)制執(zhí)行DLP策略，以防止在網(wǎng)絡(luò)上的敏感信息曝光。該模塊可以監(jiān)控和防止敏感數(shù)據(jù)通過企業(yè)郵箱，智能手機(jī)，平板電腦，電子郵件，網(wǎng)站和社交媒體帖子，即時(shí)通信，加密流量，F(xiàn)TP，甚至普通的TCP流量得以泄露，其中的網(wǎng)絡(luò)協(xié)議可能被用作隱蔽的通信通道。

·RSADLP端點(diǎn)模塊監(jiān)測(cè)，并防止敏感信息通過在個(gè)人電腦上打印，復(fù)制到USB設(shè)備，以及寫入到CD/DVD等方式泄露。此外，它可以使敏感數(shù)據(jù)被寫入到網(wǎng)絡(luò)文件共享或通過基于HTTP協(xié)議的服務(wù)，如Web郵件和社交媒體。RSADLP端點(diǎn)也可以掃描筆記本電腦、臺(tái)式機(jī)、虛擬機(jī)中的所有本地驅(qū)動(dòng)器上的敏感數(shù)據(jù)。

RSADLP套件的功能其中包括應(yīng)用的可用性和基于產(chǎn)品的虛擬設(shè)備，多終端平臺(tái)支持，加密集成和移動(dòng)設(shè)備控制。這些產(chǎn)品適用于具有熟練的IT和網(wǎng)絡(luò)安全人員的大中型企業(yè)。

（5）賽門鐵克的DLP

賽門鐵克的數(shù)據(jù)丟失防護(hù)是一個(gè)可擴(kuò)展的DLP套件，可以部署在高度分布式的環(huán)境中，用于監(jiān)控用戶和設(shè)備，具有良好的跟蹤記錄。另外還具有一個(gè)小的業(yè)務(wù)版本，使用一臺(tái)具有所有功能的服務(wù)器。該產(chǎn)品是一個(gè)內(nèi)容感知檢測(cè)服務(wù)器的統(tǒng)一的管理平臺(tái)，具有各種平臺(tái)其中，包括Windows輕量級(jí)終端代理，MAC和Citrix客戶端。DLP服務(wù)器可以部署在Windows和RedHatLinux服務(wù)器中，或在服務(wù)器的硬件或虛擬機(jī)中。該套件可以進(jìn)行內(nèi)部部署，部署在混合云，或通過托管服務(wù)。它支持Symantec DLP云存儲(chǔ)和Microsoft Office 365云部署，并包括移動(dòng)設(shè)備和移動(dòng)電子郵件，通過賽門鐵克DLP移動(dòng)設(shè)備對(duì)移動(dòng)設(shè)備的電子郵件和移動(dòng)DLP進(jìn)行預(yù)防監(jiān)控。

傳統(tǒng)的企業(yè)架構(gòu)支持賽門鐵克DLP Endpoint Discover和Symantec Endpoint Prevent。動(dòng)態(tài)數(shù)據(jù)、電子郵件和網(wǎng)絡(luò)由賽門鐵克DLP網(wǎng)絡(luò)監(jiān)視器和NetworkPrevent解決。其余的數(shù)據(jù)是使用賽門鐵克DLP Network Discover，Network Protect,DataInsight和eData Insigh tSelf Service Portal等產(chǎn)品監(jiān)視。此外，賽門鐵克端點(diǎn)加密（SEE）可以與賽門鐵克DLP集成。

理想的功能包括多個(gè)DLP服務(wù)器操作系統(tǒng)的支持，支持多終端平臺(tái)，整合加密，以及移動(dòng)設(shè)備和云控制。雖然這些產(chǎn)品在可擴(kuò)展性和全面的，他們適用于具有熟練的技術(shù)和網(wǎng)絡(luò)安全人員的企業(yè)。

（6）Trustwave公司的DLP

Trustwave公司的數(shù)據(jù)丟失防護(hù)功能可以通過Trustwave內(nèi)容控制引擎處理敏感數(shù)據(jù)的監(jiān)測(cè)、保護(hù)和發(fā)現(xiàn)。對(duì)傳輸中的數(shù)據(jù)，這個(gè)引擎分析所有的HTTP協(xié)議通信和附件，包括博客和社交媒體帖子。同時(shí)分析了FTP和Telnet通信，電子郵件，IM流量和P2P共享文件，以及塊和FTP和HTTP/HTTPS流量，并自動(dòng)加密，阻斷和隔離包含敏感信息的郵件。最后，這個(gè)引擎可以在空閑時(shí)調(diào)查數(shù)據(jù)。

此產(chǎn)品可以部署在一個(gè)獨(dú)立的設(shè)備或在一個(gè)分布式系統(tǒng)，具有至少一個(gè)DLP控制臺(tái)設(shè)備，管理一個(gè)或多個(gè)DLP采集器。理想的功能包括基于設(shè)備，并加密集成。這些產(chǎn)品是可擴(kuò)展的，適用于具有熟練的信息技術(shù)資源和網(wǎng)絡(luò)安全人員的小型到大型的企業(yè)。

（7）Websense公司的DLP

Websense公司的DLP模塊部署在Websense的高級(jí)持續(xù)性威脅的TritonAP模塊，Tritonap-web和Tritonap-email。對(duì)于空閑的數(shù)據(jù)可以使用Tritonap-data檢查。并使用Tritonap-endpoint監(jiān)測(cè)數(shù)據(jù)。該工具可以保護(hù)MacOSX和微軟終端，并通過可移動(dòng)介質(zhì)提供了防止數(shù)據(jù)丟失服務(wù)。它包括加密的整合，再加上移動(dòng)設(shè)備和云DLP控制。它是一個(gè)基于設(shè)備的產(chǎn)品，支持多終端平臺(tái)，加密集成，以及移動(dòng)和云DLP控制。這些產(chǎn)品是可擴(kuò)展的，適用于具有熟練的信息技術(shù)資源和網(wǎng)絡(luò)安全人員的小型到大型企業(yè)。

集成的DLP工具

不同的公司有著不同的產(chǎn)品，行業(yè)廠商如BlueCoat，Proofpoint的趨勢(shì)科技都在提供專業(yè)的DLP產(chǎn)品，但可能只涉及為特定應(yīng)用程序提供一種形式的數(shù)據(jù)丟失保護(hù)，如電子郵件，即時(shí)通訊，瀏覽網(wǎng)頁(yè)或端點(diǎn)安全。在這方面進(jìn)行產(chǎn)品之間的比較是困難的，但也許應(yīng)該與上面列出的DLP套件所提供的產(chǎn)品相比。這些可以幫助支付DLP套件的費(fèi)用，幫助企業(yè)對(duì)于處理的方式引進(jìn)DLP技術(shù)控制，可能更符合具有敏感信息的組織的成本效益。

綜合或全面的DLP？這是一個(gè)問題

在購(gòu)買最好的數(shù)據(jù)丟失防護(hù)產(chǎn)品時(shí)，DLP項(xiàng)目規(guī)劃者應(yīng)該考慮可以用在他們組織的特定集成的產(chǎn)品。這樣做的目的是利用現(xiàn)有的具有完整的DLP功能的安全產(chǎn)品。為此，項(xiàng)目規(guī)劃者對(duì)使用數(shù)據(jù)保護(hù)需要什么樣的技術(shù)控制應(yīng)該有一個(gè)很好的了解。此外，規(guī)劃者應(yīng)該懂得技術(shù)控制的控制范圍，其中包括可能包含敏感信息的整個(gè)企業(yè)的出口點(diǎn)資源或數(shù)據(jù)路徑。一旦規(guī)劃人員知道哪些技術(shù)控制需要使用及其涉及的范圍，然后他們可以查看完整的DLP套件和集成的DLP工具來(lái)確定一個(gè)DLP套件是否集成了DLP工具，并在組織部署最好的防止數(shù)據(jù)丟失防護(hù)產(chǎn)品。

BlueCoat的DLP提供了一個(gè)監(jiān)控?cái)?shù)據(jù)傳輸和空閑數(shù)據(jù)的設(shè)備，這個(gè)DLP應(yīng)用可以部署B(yǎng)lueCoatSG設(shè)備來(lái)監(jiān)控和阻止基于SSL的敏感數(shù)據(jù)泄露，它也可以被用來(lái)掃描靜止敏感數(shù)據(jù)文件，而數(shù)據(jù)庫(kù)服務(wù)器無(wú)需部署本地代理。在傳輸模式下的數(shù)據(jù)，它是用來(lái)檢測(cè)主要是HTTP/HTTPS流量，其中包括Web郵件，以及博客和社交媒體網(wǎng)站的帖子。

Proofpoint的數(shù)據(jù)丟失防護(hù)模塊可以監(jiān)測(cè)SMTP電子郵件傳輸過程中的數(shù)據(jù)。它是通過安全政策和先進(jìn)的深層內(nèi)容來(lái)分析結(jié)構(gòu)化數(shù)據(jù)，如受保護(hù)的健康信息（PHI）或信用卡主帳戶號(hào)碼，以及非結(jié)構(gòu)化數(shù)據(jù)中發(fā)現(xiàn)的知識(shí)產(chǎn)權(quán)或敏感商業(yè)信息的文件。創(chuàng)建結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)的策略，并可以封鎖基于文件類型的附件，例如工程圖紙或計(jì)算機(jī)輔助設(shè)計(jì)（CAD）/計(jì)算輔助制造（CAM）文件。

趨勢(shì)科技集成的數(shù)據(jù)丟失保護(hù)功能，可以通過其現(xiàn)有產(chǎn)品的輕量級(jí)DLP插件進(jìn)行部署，以解決空閑的數(shù)據(jù)，資料和數(shù)據(jù)的傳輸問題。集成的DLP模塊可以在趨勢(shì)科技的Endpoint Security，Mail Server Security，Microsoft Share Point安全性，IM安全網(wǎng)關(guān)，郵件安全，以及Web安全網(wǎng)關(guān)中找到。其DLP策略使用趨勢(shì)科技控制管理進(jìn)行集中管理。

集成了DLP工具的安全網(wǎng)關(guān)，如來(lái)自BlueCoat和Proof point公司對(duì)傳輸中的數(shù)據(jù)進(jìn)行良好的覆蓋。此外，BlueCoat可以解決過境或空閑的數(shù)據(jù)問題。這些可能在遠(yuǎn)程辦公室實(shí)施，或作為非DLP套件網(wǎng)絡(luò)監(jiān)控部署在大型辦公室和數(shù)據(jù)中心中。這兩個(gè)集成工具可以作為網(wǎng)頁(yè)和電子郵件DLP配套產(chǎn)品，而其解決方案可以配套使用。

相比之下，集成的數(shù)據(jù)丟失防護(hù)提供最大的靈活性和最密集的硬件集成DLP產(chǎn)品。為目前組織提供了一個(gè)部署趨勢(shì)科技安全產(chǎn)品，它是適用于小型企業(yè)和遠(yuǎn)程辦公企業(yè)的一個(gè)很好的DLP產(chǎn)品。

尋找最佳的數(shù)據(jù)丟失預(yù)防產(chǎn)品

在尋找最佳的數(shù)據(jù)丟失預(yù)防產(chǎn)品時(shí)，要考慮那些具有控制范圍、可擴(kuò)展性和易于安裝和維護(hù)等所需功能的產(chǎn)品。例如，對(duì)于解決敏感數(shù)據(jù)超出了傳統(tǒng)的實(shí)體數(shù)據(jù)中心的邊界DLP，一定要選擇包括計(jì)算和移動(dòng)DLP保護(hù)加密集成的便攜式媒體。而這些是當(dāng)今DLP產(chǎn)品最可取的特點(diǎn)。

你的組織選擇了哪個(gè)數(shù)據(jù)丟失預(yù)防產(chǎn)品，為什么？

對(duì)于集成DLP工具，尋找那些滿足您需要使用的控件。像易于使用的趨勢(shì)科技的綜合數(shù)據(jù)丟失防護(hù)的輕型DLP產(chǎn)品，并提供像加密集成等一些先進(jìn)的功能。這對(duì)于非常小的企業(yè)來(lái)說(shuō)，這將是一個(gè)理想的選擇。

對(duì)于具有大量節(jié)點(diǎn)卻資源有限的組織來(lái)說(shuō)，基于設(shè)備的產(chǎn)品，如WebsenseAPX和Code GreenNetworks公司的truedlp是很好的選擇。最后，對(duì)于大型組織來(lái)說(shuō)，最好采用具有良好的IT和網(wǎng)絡(luò)安全技術(shù)基礎(chǔ)的DLP產(chǎn)品，如賽門鐵克DLP，McAfeeDLP。以及RSADLP。其規(guī)模和所需的功能可以滿足許多大企業(yè)對(duì)于DLP的需求。

在這篇文章中，我們已經(jīng)看到了多家公司提供的一系列完整的套件或集成的產(chǎn)品。其目的通過簡(jiǎn)短的描述和建議，以幫助用戶決定在他們的組織中采用最好的數(shù)據(jù)丟失預(yù)防產(chǎn)品。