日前，IT安全行业专家比尔·海耶斯分析了一些顶级数据丢失防护（DLP）产品的优势和弱点，希望帮助企业做出正确的采购决策。

最好的数据丢失预防产品提供了重要的保护措施，以防止组织的敏感信息被泄露。行业厂商推出了许多DLP产品，并提供保护静态数据或动态使用数据的全面的解决方案。而还有一些厂商的DLP产品可以提供更专业的数据保护。而DLP还可以集成到其他安全产品中或者作为特定的应用程序，如电子邮件和网络安全。

本文所涉及的产品都是一些进行优化选择的DLP产品。在这里，我们将从行业厂商Bluecoat，CodeGreen，Computer Associates，英特尔安全（McAfee），Proofpoint，RSA、赛门铁克、趋势科技、Trustwave、Websense公司来考察DLP产品，并将为组织提供最佳的数据丢失防护产品。这些公司提供所有的DLP产品采购问题和答案都将在此提出，并会得到高度重视。企业将在这些小型、中型和大型环境中能够找到一个可行的产品。

但是，为了检验这些安全举措，项目组也需要在选择最能满足其需求的产品之前做一些功课。人们对这些DLP产品如何与加密和移动设备管理（MDM）等其他安全措施一起配合工作特别感兴趣。

综合DLP套件

安全产品供应商如CA技术公司，Code GreenNetworks，英特尔（McAfee），RSA，赛门铁克，Trustwave公司，以及Websense公司在数据地址使用（终点）提供数据丢失保护套件和其余的数据（DLPtrifecta）。这些被认为是高度专业化的产品，通常不执行其他的安全功能。它们也可以用于支持技术，如加密，MDM和身份访问管理（IAM）的应用提供接口。

当比较这些套件时，请记住，他们的可扩展性会有所不同。通常人们认为，DLP产品是为那些大型企业所进行的设计，因此往往需要采用多个专业和多个服务器满足要求。这一趋势过去几年已经有所改变，然而，以下是现在可以为小企业提供基于设备的DLP产品一些厂商。

（1）CA技术公司的DLP

CA技术公司的DLP套件，原名CA Dataminder，现在称为CA Data Protection。DLP控制可以处理超出传统实体数据中心边界的敏感数据地址，一定要选择一个产品，其中包括便携式媒体，云计算和移动DLP保护加密集成。

其他的数据由CA Data Protection进行分类，采用一个分析数据并按既定的政策分类的工具，并与CA Technologies IAM套件整合，将有助于基于用户属性和内容的认识进行的数据分类。使用的数据将获得CA Data Protection的端点保护，能够监控电子邮件、Web邮件、社交媒体、打印，以及将文件复制到可移动介质的保护。传输中的数据可以获得由CA Data Protection的网络保护。

这是一个可以部署到SPAN端口监视或内联来阻止不受欢迎的流量的网络设备。CA技术公司DLP理想的功能包括与IAM技术进行技术集成，并实现精细的分类以及敏感数据的访问控制一体化。该产品是最适合于具备熟练的IT人员和网络安全人员的大型企业。

（2）Code Green Networks公司的DLP

Code Green Networks公司提供了一个被称之为TrueDLP的DLP产品。它是基于应用的，可以提供更快的部署，适用于规模较小的组织。此设备可以作为一个裸机或虚拟设备。对于企业模式，传输网络DLP地址的数据，使用终端DLP地址的数据，并发现其他的DLP地址的数据。除了支持传统的企业模式，TrueDLP还提供了名为CloudDLP云中的DLP工具。Code Green Networks的DLP理想的功能包括设备的可用性和基于虚拟设备的版本，具有云DLP控制的可用性和易于部署的特点。该产品适合用于中小企业。

（3）英特尔（McAfee）的DLP

英特尔（McAfee）提供了一个可扩展的DLP产品，称之为McAfee Total Protection。基于组件的McAfee Total Protection，其中包括McAfee DLP Manager，McAfee DLP Discover，McAfee DLP Prevent和McAfee DLP Monitor产品，并通过McAfeee Policy Orchestrator进行整合（EPO），还有管理端点的组件，其中包括McAfee DLP Endpoint和McAfee DLP Device Control。英特尔案例还提供了加密的数据保护套件McAfee Complete Data Protection Advanced，以及McAfeeDLP的端点工具。

这套组件提供了政策执行加密的文件，文件夹和可移动媒介，并提供了关键的共享方法，使用户能够安全地共享文件。该产品适用于使用苹果FileVault和微软的BitLocker的设备。它还提供了强化对冷启动攻击的功能。McAfee的DLP产品理想的功能包括应用和以虚拟设备为基础的可用性，以及EPO集成DLP端点加密工具。这些产品适合于具有熟练的IT和网络安全人员的大中型企业。

（4）EMC公司的RSADLP

作为EMC的RSA，它提供的RSA数据丢失防护套件，由三个模块组成：

·RSADLP数据中心模块地址的数据采用了各种信息存储技术，其中包括微软的Windows文件服务器、UNIX文件服务器，NAS/SAN，微软的SharePoint，LotusNote数据库和WindowsPC的本地驱动器。该模块还提供了临时扫描代理，可以扫描大量的存储资源，而无需使用专用的扫描硬件。

·在RSADLP网络模块监测敏感数据动作，并可以强制执行DLP策略，以防止在网络上的敏感信息曝光。该模块可以监控和防止敏感数据通过企业邮箱，智能手机，平板电脑，电子邮件，网站和社交媒体帖子，即时通信，加密流量，FTP，甚至普通的TCP流量得以泄露，其中的网络协议可能被用作隐蔽的通信通道。

·RSADLP端点模块监测，并防止敏感信息通过在个人电脑上打印，复制到USB设备，以及写入到CD/DVD等方式泄露。此外，它可以使敏感数据被写入到网络文件共享或通过基于HTTP协议的服务，如Web邮件和社交媒体。RSADLP端点也可以扫描笔记本电脑、台式机、虚拟机中的所有本地驱动器上的敏感数据。

RSADLP套件的功能其中包括应用的可用性和基于产品的虚拟设备，多终端平台支持，加密集成和移动设备控制。这些产品适用于具有熟练的IT和网络安全人员的大中型企业。

（5）赛门铁克的DLP

赛门铁克的数据丢失防护是一个可扩展的DLP套件，可以部署在高度分布式的环境中，用于监控用户和设备，具有良好的跟踪记录。另外还具有一个小的业务版本，使用一台具有所有功能的服务器。该产品是一个内容感知检测服务器的统一的管理平台，具有各种平台其中，包括Windows轻量级终端代理，MAC和Citrix客户端。DLP服务器可以部署在Windows和RedHatLinux服务器中，或在服务器的硬件或虚拟机中。该套件可以进行内部部署，部署在混合云，或通过托管服务。它支持Symantec DLP云存储和Microsoft Office 365云部署，并包括移动设备和移动电子邮件，通过赛门铁克DLP移动设备对移动设备的电子邮件和移动DLP进行预防监控。

传统的企业架构支持赛门铁克DLP Endpoint Discover和Symantec Endpoint Prevent。动态数据、电子邮件和网络由赛门铁克DLP网络监视器和NetworkPrevent解决。其余的数据是使用赛门铁克DLP Network Discover，Network Protect,DataInsight和eData Insigh tSelf Service Portal等产品监视。此外，赛门铁克端点加密（SEE）可以与赛门铁克DLP集成。

理想的功能包括多个DLP服务器操作系统的支持，支持多终端平台，整合加密，以及移动设备和云控制。虽然这些产品在可扩展性和全面的，他们适用于具有熟练的技术和网络安全人员的企业。

（6）Trustwave公司的DLP

Trustwave公司的数据丢失防护功能可以通过Trustwave内容控制引擎处理敏感数据的监测、保护和发现。对传输中的数据，这个引擎分析所有的HTTP协议通信和附件，包括博客和社交媒体帖子。同时分析了FTP和Telnet通信，电子邮件，IM流量和P2P共享文件，以及块和FTP和HTTP/HTTPS流量，并自动加密，阻断和隔离包含敏感信息的邮件。最后，这个引擎可以在空闲时调查数据。

此产品可以部署在一个独立的设备或在一个分布式系统，具有至少一个DLP控制台设备，管理一个或多个DLP采集器。理想的功能包括基于设备，并加密集成。这些产品是可扩展的，适用于具有熟练的信息技术资源和网络安全人员的小型到大型的企业。

（7）Websense公司的DLP

Websense公司的DLP模块部署在Websense的高级持续性威胁的TritonAP模块，Tritonap-web和Tritonap-email。对于空闲的数据可以使用Tritonap-data检查。并使用Tritonap-endpoint监测数据。该工具可以保护MacOSX和微软终端，并通过可移动介质提供了防止数据丢失服务。它包括加密的整合，再加上移动设备和云DLP控制。它是一个基于设备的产品，支持多终端平台，加密集成，以及移动和云DLP控制。这些产品是可扩展的，适用于具有熟练的信息技术资源和网络安全人员的小型到大型企业。

集成的DLP工具

不同的公司有着不同的产品，行业厂商如BlueCoat，Proofpoint的趋势科技都在提供专业的DLP产品，但可能只涉及为特定应用程序提供一种形式的数据丢失保护，如电子邮件，即时通讯，浏览网页或端点安全。在这方面进行产品之间的比较是困难的，但也许应该与上面列出的DLP套件所提供的产品相比。这些可以帮助支付DLP套件的费用，帮助企业对于处理的方式引进DLP技术控制，可能更符合具有敏感信息的组织的成本效益。

综合或全面的DLP？这是一个问题

在购买最好的数据丢失防护产品时，DLP项目规划者应该考虑可以用在他们组织的特定集成的产品。这样做的目的是利用现有的具有完整的DLP功能的安全产品。为此，项目规划者对使用数据保护需要什么样的技术控制应该有一个很好的了解。此外，规划者应该懂得技术控制的控制范围，其中包括可能包含敏感信息的整个企业的出口点资源或数据路径。一旦规划人员知道哪些技术控制需要使用及其涉及的范围，然后他们可以查看完整的DLP套件和集成的DLP工具来确定一个DLP套件是否集成了DLP工具，并在组织部署最好的防止数据丢失防护产品。

BlueCoat的DLP提供了一个监控数据传输和空闲数据的设备，这个DLP应用可以部署BlueCoatSG设备来监控和阻止基于SSL的敏感数据泄露，它也可以被用来扫描静止敏感数据文件，而数据库服务器无需部署本地代理。在传输模式下的数据，它是用来检测主要是HTTP/HTTPS流量，其中包括Web邮件，以及博客和社交媒体网站的帖子。

Proofpoint的数据丢失防护模块可以监测SMTP电子邮件传输过程中的数据。它是通过安全政策和先进的深层内容来分析结构化数据，如受保护的健康信息（PHI）或信用卡主帐户号码，以及非结构化数据中发现的知识产权或敏感商业信息的文件。创建结构化和非结构化数据的策略，并可以封锁基于文件类型的附件，例如工程图纸或计算机辅助设计（CAD）/计算辅助制造（CAM）文件。

趋势科技集成的数据丢失保护功能，可以通过其现有产品的轻量级DLP插件进行部署，以解决空闲的数据，资料和数据的传输问题。集成的DLP模块可以在趋势科技的Endpoint Security，Mail Server Security，Microsoft Share Point安全性，IM安全网关，邮件安全，以及Web安全网关中找到。其DLP策略使用趋势科技控制管理进行集中管理。

集成了DLP工具的安全网关，如来自BlueCoat和Proof point公司对传输中的数据进行良好的覆盖。此外，BlueCoat可以解决过境或空闲的数据问题。这些可能在远程办公室实施，或作为非DLP套件网络监控部署在大型办公室和数据中心中。这两个集成工具可以作为网页和电子邮件DLP配套产品，而其解决方案可以配套使用。

相比之下，集成的数据丢失防护提供最大的灵活性和最密集的硬件集成DLP产品。为目前组织提供了一个部署趋势科技安全产品，它是适用于小型企业和远程办公企业的一个很好的DLP产品。

寻找最佳的数据丢失预防产品

在寻找最佳的数据丢失预防产品时，要考虑那些具有控制范围、可扩展性和易于安装和维护等所需功能的产品。例如，对于解决敏感数据超出了传统的实体数据中心的边界DLP，一定要选择包括计算和移动DLP保护加密集成的便携式媒体。而这些是当今DLP产品最可取的特点。

你的组织选择了哪个数据丢失预防产品，为什么？

对于集成DLP工具，寻找那些满足您需要使用的控件。像易于使用的趋势科技的综合数据丢失防护的轻型DLP产品，并提供像加密集成等一些先进的功能。这对于非常小的企业来说，这将是一个理想的选择。

对于具有大量节点却资源有限的组织来说，基于设备的产品，如WebsenseAPX和Code GreenNetworks公司的truedlp是很好的选择。最后，对于大型组织来说，最好采用具有良好的IT和网络安全技术基础的DLP产品，如赛门铁克DLP，McAfeeDLP。以及RSADLP。其规模和所需的功能可以满足许多大企业对于DLP的需求。

在这篇文章中，我们已经看到了多家公司提供的一系列完整的套件或集成的产品。其目的通过简短的描述和建议，以帮助用户决定在他们的组织中采用最好的数据丢失预防产品。