初探Exchange Online数据防丢失

当您在Exchange中发送带有敏感数据时，用户可能有意或无意将组织中的敏感数据发送到外部。在以往，您可以配置RMS或S/MIME对邮件流实施保护。这类功能可以很好帮助保护邮件不被未授权的收件人读取，但不能限制用户发送的邮件内容。邮件中的实际内容可能包含敏感数据而导致有意或无意的数据泄露。Exchange Online的DLP功能可以有效的帮助我们邮件内容进行扫描匹配，一旦发现保护特定敏感数据的邮件，将会采取一定措施限制该邮件的发送，从而最大程度减轻组织在机密数据的泄露。

Exchange Online默认集成了全世界多个国家的敏感数据的标准，这其中包括信用卡卡号、护照号和证件号等。当您创建DLP规则时，您可以直接调用现有的DLP模板来创建DLP规则。此外，如果在您的组织中有自定义的需求，您还可以制作符合您需求的消息分类和DLP模板。例如每个公司都有员工编号，但格式和标准是不一样的，若您需要匹配该类数据，则您必须手动开发符合您数据类型的模板。具体步骤在本文中不会涉及。

您可以在EAC中找到“遵从性”-“数据防丢失”

在这里，您可以选择“从模板创建DLP规则”：

从模板创建DLP：引用Exchange中现有的模板创建DLP策略，创建完成后，系统会根据模板自动创建相应的传输规则。

导入DLP策略：导入包含策略信息设置的文件，利用 DLP 策略管理敏感信息。可以按 XML 文件的形式，独立于 Exchange 制定策略。但是，策略必须满足特定格式要求才能正常工作。

创建自定义 DLP 策略：如果“从模板创建DLP”不能完全满足您的自定义需求，则您可以创建自定义DLP策略，该策略默认不包含任何规则，您在创建完成后，需要手动在此策略中添加规则。

然后可以选择模板：

另外，在您创建DLP规则时，对于任何 DLP 策略，您可以选择以下三种模式之一。根据TechNet文档，以下是对着三种模式的描述：

强制：针对所有邮件和受支持的文件类型评估策略中的规则。如果检测到符合策略条件的数据，则可能会中断邮件流。会执行策略中所述的所有操作。

使用测量提示测试 DLP 策略：针对所有邮件和受支持的文件类型评估策略中的规则。如果检测到符合策略条件的数据，则不会中断邮件流。即，不会阻止邮件。如果配置了策略提示，则会向用户显示这些策略提示。

不使用策略提示测试 DLP 策略：针对所有邮件和受支持的文件类型评估策略中的规则。如果检测到符合策略条件的数据，则不会中断邮件流。即，不会阻止邮件。如果配置了策略提示，则不会向用户显示这些策略提示。

=============

在将DLP规则投入生产环境使用前，为了验证DLP规则能够正确匹配到我们所预期的数据而不发生误判断，我们建议您首先使用测试，测试DLP策略不会真正阻止邮件。在经过一段时间的测试，若DLP策略工作和预期相符，则可以选择强制将策略投入实际使用。

在我的测试中，我通过调用Exchange内嵌的“Financial Data”模板创建了DLP规则，该膜拜包含了匹配银行卡号的类型的敏感数据分类。

当创建完成后，您可以看到事实上DLP是一系列的传输规则的组合：

在图中，您也可以看到，DLP规则不仅可以匹配包含敏感信息的邮件，还可以根据敏感信息的数量采取不同的行为。由于DLP底层基于传输规则，您可以完全自定义传输规则来达到您所希望的行为。

DLP规则说到底是为了阻止敏感信息的发送，但如果是敏感信息发送到服务器端再被拒绝，则没有太大必要。因此DLP可以配合使用Policy Tip，该功能可以在用户发送敏感信息前进行检测，如果发现敏感信息，则立即通过Tip的形式通知用户。

当您选择“Manage policy tips”按钮后，您可以在其中自定义PolicyTip的文本内容。如图所示：

用户体验：

当DLP规则被设置后，用户通过Outlook尝试发送邮件时则会弹出Policy Tip提示：

随着您放入不同数量的敏感信息，DLP模板在后台会自动检查并匹配到相应传输规则。不同的Policy Tip被显示。

DLP如何工作？

简单的说，DLP在Exchange服务器端是由一系列的传输规则构成，在服务器端由传输管道中的categorizer中的OnResolvedMessage过程进行处理。事实上，DLP在运行中需要借助于以下三个组件：

Text Extraction Agent

该代理会检测邮件中的内容并将其展开放到分类引擎

Classification Engine

该引擎会对邮件进行深入内容分析，检测内容是否与Classification匹配

Policy Engine

该引擎负责规则的执行