概述
数据防泄漏若一上来就全面拦截，会先制造大量误报与业务中断。先梳理可外流的路径、以监控摸清真实流量、与数据负责人共同把发现区分为事件与噪声、再调优规则并拦截高风险路径，可在降低风险的同时不误伤正常业务。
关键步骤
- 梳理敏感数据可离开受控系统的路径。
- 先监控以了解真实流量。
- 与数据负责人评审发现，区分事件与噪声。
- 调优规则并拦截高风险路径。
验证
- 已知的敏感数据外流测试被检测，高风险路径被拦截。
- 正常流量不受影响。
- 发现经负责人评审。
- 调优与事件处置有记录。
决策点
应先监控后拦截，立即拦截会造成误停与警报疲劳；应拦截高风险未批准路径，全量加密成本高且可被截图绕过。
适用范围
本条目围绕「数据防泄漏评审工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
# test egress attempt should be flagged/blocked
rg -i "BEGIN PRIVATE KEY" /tmp/export.txt && echo "sensitive pattern present"