1 论文摘要
(1)提出混合DLP框架,基于签名+基于异常,实现了检测和预防。
(2)混合DLP框架优势
1)检测未知/内部攻击:基于异常的组件根据用户的行为进行自我裁剪
2)减少警报响应时间:因此减少数据泄漏的扩散及其造成的损害
3)降低可疑活动运营成本:类似的恶意活动的警报不必重新检查
2 DLP解决方案
(1)
过滤方法:
基于黑名单
/
白
名单
1)黑名单:匹配的元素不允许交易,如众所周知的威胁;
2)白名单:符合模型的交易才被允许。
(2)
模型构建:
描述
模型的构建
方式
1)基于规范:基于专家知识和背景来定义,准确性高;
基于规范的黑名单模式(基于签名)
2)基于学习:使用机器学习或统计建模自动学习模型,高误报率;
基于白名单自动学习正常行为模型
(3)混合解决方案: 少数结合,简单组装,没有反馈循环,不能定义新的签名。