一种预防和检测数据丢失的混合框架

1 论文摘要

（1）提出混合DLP框架，基于签名+基于异常，实现了检测和预防。

（2）混合DLP框架优势

        1）检测未知/内部攻击：基于异常的组件根据用户的行为进行自我裁剪

        2）减少警报响应时间：因此减少数据泄漏的扩散及其造成的损害

        3）降低可疑活动运营成本：类似的恶意活动的警报不必重新检查

2 DLP解决方案

（1） 过滤方法： 基于黑名单 / 白 名单

        1）黑名单：匹配的元素不允许交易，如众所周知的威胁；

        2）白名单：符合模型的交易才被允许。

（2） 模型构建： 描述 模型的构建 方式

        1）基于规范：基于专家知识和背景来定义，准确性高；

                 基于规范的黑名单模式（基于签名）

        2）基于学习：使用机器学习或统计建模自动学习模型，高误报率；

                  基于白名单自动学习正常行为模型

（3）混合解决方案： 少数结合，简单组装，没有反馈循环，不能定义新的签名。