字典
介绍检测条件中的字典及其相关知识。
检测条件介绍
字典是一个容器,主要用于存放同一种语言中的多个关键字和正则表达式及其对应的权重 。
字典匹配就是按照关键字和权重结合的方式描述要保护的数据。
权重是指字典在整体检测中相对重要程度。
统一内容安全UCS解决方案预置了大量的字典检测条件,包括财务方面的词汇,违禁药品相关的词汇,合同相关词汇,机密相关的词汇等。
安全管理员也可以自定义创建新的字典,或编辑现有字典,并将改动应用至您的安全策略中。
字典中的每一个关键字都可以分配权重,权重之和满足策略阈值时,将视为策略匹配或策略例外,以确保对内容中包含的所有关键信息进行安全策略检测。
权重是指关键字在整体检测中的相对重要程度,例如:策略阈值为5,字段a权重为3,字段b权重为2,字段c权重为1,a+b会命中策略,a+c和b+c不会命中策略。
应用检测条件
在策略配置页面,点击添加匹配或添加例外,选择字典,可将字典检测条件应用至策略。
以下匹配条件可供设置:
- 必现 -
选择该规则是否为必现。即如需触发策略,该规则必须命中,然后再检测其它规则。
例如:“员工信息”策略包含多个规则,中国手机号码、中国大陆二代身份证、普通证书和合同。其中,大陆身份证号(二代)和合同两项规则设置为必现,则必须匹配大陆身份证号(二代)和合同规则,方可触发安全策略。
- 字典 - 选择新建字典检测条件,或点击 ,从弹出的列表中选择策略中引用的检测条件。
- 匹配条件 - 可配置如下匹配条件。
配置项 解释 触发阈值 填写最小触发阈值,当分析内容匹配次数达到阈值,才会触发策略。 不匹配 当分析内容与关键字不同的时候,会命中策略。 统计重复内容 关键字匹配记录统计重复次数。如果不选择此项,每个关键字最大匹配次数为1。 精确匹配 关键字匹配规则包括模糊匹配和精确匹配,在精确匹配规则下,系统能够区分大小写。精确匹配还可以检测内容包含的符号和字符。 自动匹配简体/繁体中文 同时支持繁简体检测。 - HTTP匹配属性 - 选择全部内容则匹配包括HTTP Body和HTTP Header的所有内容。 选择指定内容则可以指定匹配Body或者header。
- Email匹配属性 -
可配置以下Email匹配属性。
匹配 介绍 全部内容 检测Email所有属性,包含信封(收件人地址)、首部(用户代理或者邮件服务器添加的信息,如Received、Message-ID、From、Data、Reply-To、X-Phone、X-Mailer、To和Subject)、正文(发送方发给接收方的内容,如body、attachment)。 指定内容 指定Email检测属性,可选择正文、附件、主题、收件人、发件人、抄送接收方、密送接收方、所有邮件头或自定义邮件头。 - 文档匹配位置 -
选择文档匹配的位置,包括文件名,页眉,正文,页脚和MetaInfo。注: 文档匹配位置检测仅适用于包含此类可用于文档匹配的位置属性的文件,如Word、Excel、PPT等Office类型文件。
文件名包含邮件等包含附件的内容中,附件的文件名。
Metainfo(默认不选中)选项用于匹配文件的Meta元数据内容。
- 同时匹配 - 点击为同一规则设置多个其他的同时匹配例外的内容。也可以忽略同时匹配,仅使用单一的匹配例外条件。