做终端数据安全，第一步通常不是选产品，而是先把一件事搞清楚——数据到底能从哪些口子流出去。
泄密路径没理清，后面的策略、审计、管控基本都是拍脑袋。
下面从技术角度，把企业电脑数据的常见出口系统盘一遍。
一、物理介质：最老、也最难防的口子
U 盘、移动硬盘、SD 卡、光盘刻录……这类出口技术门槛最低，却是不少泄密事件的源头。
员工插上 U 盘拷走一份客户名单、一份设计图，几秒钟的事。
从实现上看，物理介质的管控靠的是设备枚举加文件系统过滤。
Windows 上可以在过滤驱动的 IRP 分发层拦截读写请求，对存储设备做只读、禁用、白名单这类分级处理。
概念上大致是这么一段：
// 过滤驱动对存储设备写请求的拦截示意（概念代码）
NTSTATUS DeviceWriteDispatch(PDEVICE_OBJECT dev, PIRP irp) {
if (!PolicyAllow(dev, irp)) {
irp->IoStatus.Status = STATUS_ACCESS_DENIED;
IoCompleteRequest(irp, IO_NO_INCREMENT);
return STATUS_ACCESS_DENIED;
}
return IoCallDriver(lowerDevice, irp);
}
这也解释了为什么"USB 管控"几乎成了终端安全能力的标配——不是因为它多先进，而是因为它是刚需。
二、网络出口：类型最多、也最隐蔽
网络是数据外发的"高速公路"，出口类型最杂，大致几类：
- 即时通讯（IM）：微信、企业微信、QQ 传文件。
很多公司恰恰把日常工作建在 IM 上，泄密和数据流动的边界天然模糊。 - 邮件：附件外发，尤其个人邮箱，往往绕开了企业邮箱的审计。
- 网盘与云存储：上传个人网盘或 SaaS 存储，几乎零成本。
- Web / FTP 上传、API 调用：对普通员工门槛高，但对懂技术的人反而最"干净"。
网络出口的技术难点在"还原"和"识别"。
IM 走加密协议，要拿到明文内容得在协议层做还原；
要判断"这个文件该不该出去"，得靠内容指纹、关键字、正则、DLP 规则这些手段。
所以网络层的数据防泄漏，本质是"先还原、再比对、后处置"。
三、打印与屏幕：容易被忽略的"物理世界"出口
数据不一定要是电子文件才叫泄密。
打印出来带走、用手机翻拍屏幕，这两条路径在技术上最难追溯。
针对这一类出口，常见手段是打印审计、强制水印（明水印/暗水印）和屏幕水印。
它们的思路是一致的：
把"可追溯性"前置到泄密行为发生的瞬间——哪怕纸被带走了，也能通过水印定位到是谁、在哪台终端、什么时间。
四、云时代的新出口：数据不"落盘"，管控要换思路
这是近几年变化最大的一块。
员工把文档拖进云盘、用 SaaS 协作工具、把代码推到公网代码托管平台、调用云 API 把数据搬走……数据的出口已经不在"本地终端"这个边界之内了。
对做终端安全的人来说，这意味着两件事：
一是本地管控能力（文件过滤、网络还原）依然是底座；
二是必须把视野从"设备"扩展到"账号"和"API 出口"。
终端的数据防泄漏，正在从"管设备"走向"管数据流向"。
五、小结
盘下来会发现，泄密途径千变万化，落到技术上其实就两类事：
数据出口的枚举与管控，以及对出口流量的还原与判定。
前者决定"堵不堵得住"，后者决定"看没看得清"。
把这两件事做成一份清晰的"出口清单"，比纠结某一条具体路径更有价值。
