我们通常认为数据丢失防护(DLP)是用来减少雇员的失误、用于控制内部风险和强化缺乏数据管理的业务流程的工具，而不是用于抵御外部攻击。然而从最近发生的大量的金融数据入侵事件(例如Heartland支付系统)看来， DLP即使不能阻止威胁的发生至少是能检测到这一攻击的。
   
　　虽然最终的信息尚未公开，然而有信息指出肇事者可能渗入网络(可能通过恶意软件)，在交易事务传输的某处安装了嗅探软件，从网络中截取未加密或未与其他信息混淆的纯数据。
   
　　从网络中窃取数据并非是什么新闻，若你考虑一下，唯一的解决方法就是亲自到受害者那里去进行补救。在2005年CardSystems数据泄漏事件中，袭击者仅仅是使用FTP来窃取数据，而非什么复杂的技术。恶意攻击者虽然有各种各样的办法来获取不义之财，而最近的事件表明，他们同样也可能依赖于最基本的网络信道。
   
　　这正是DLP防范的安全威胁类别，然而只有在正确配置和绑定额外的安全控制手段后DLP才能有效地进行防范。
   
　　第一步是确保DLP覆盖了所有可能联通你的业务流程网络和外界的通信通道。如果你所有的网络流量都通过了建立好的网关来传输的话是不存在问题的；然而一些组织是通过标准的企业网关，用其专有的互联网通道进行网络连接，这种情况下的内容是不会被监测的。由于交易网络有可能连接到你的常规商业网络，这时就很有必要在两个网关上都放置网络监测器。
   
　　尽管所有主流的网络DLP解决方案都能嗅探出网络中所有潜在的流量，然而有些用户限制其工具只针对某些特定流量进行嗅探，或者对一些运行在标准端口上的协议进行监测。然而攻击者极有可能使用一些不同寻常的攻击组合，因此最好不要限制DLP工具的嗅探范围，同时还需添加一些额外的资源以达到充分发挥其性能的目的。
   
　　DLP工具只有与网络代理(一般使用TCP重置，然而其功能有限)结合使用时才能达到拦截攻击的作用。因此，关键在于有效的管理你的网络出口和过滤功能，这样DLP才能尽可能多地拦截攻击，而你剩余的网络安全设施将使得攻击者难以找到未受监控的渠道来进行攻击。为了监测SSL通信，您还需要一个网关来代理SSL连接。
  
　　一些DLP工具在检测到加密文件时也会给出警告。这虽然不能捕获任何恶意传输的信息，却迫使恶意攻击者只能使用那些非标准的加密工具。
  
　　DLP显然无法检测和防止由攻击者带来的所有数据泄漏情况的发生，但它确实降低了风险，也使得攻击者不能仅通过未加密文本和标准的网络渠道就轻易地实施攻击。