统信UOS原生集成XDLP智能数据防泄漏能力，需激活企业级安全策略模块并部署CDG客户端；支持按文件类型、敏感词、可信路径识别敏感数据，拦截USB、蓝牙、剪贴板、网页上传、邮件附件等外发通道，并记录进程级审计日志。
启用XDLP智能数据防泄漏策略
统信UOS原生集成XDLP（智能数据防泄漏）能力，可实时识别并拦截含敏感词、特定格式或来自受控源头的文件外发行为，无需额外安装插件，但必须确保系统已激活企业级安全策略模块。
打开“控制中心”→“安全中心”→“数据防泄漏”，点击右上角齿轮图标进入高级设置。
在“策略启用”开关处开启【XDLP全链路监控】，此时系统将自动加载默认敏感规则库（含身份证号、银行卡号、密级标识等137类正则模板）。
若当前界面无“数据防泄漏”选项，说明未部署CDG文档安全管理系统——【必须先在UOS中安装CDG客户端并完成与统信安全基座绑定，否则所有监控功能不可用】。
配置敏感文件识别范围
方法一：按文件类型锁定高风险载体
在“文件类型识别”页签中，勾选.docx、.xlsx、.pdf、.wps、.txt五类基础文本格式；对研发部门用户，额外启用源代码类扩展名（.c、.cpp、.java、.py）。
方法二：按内容关键词动态标记
点击“新增敏感词规则”，输入业务专属字段如“合同终稿”“报价单V2026”“机密-研发部”，匹配模式选“全文包含”，触发动作设为“阻断+审计”。注意：单条规则最多支持64个字符，超长需拆分为多条。
方法三：按数据来源绑定可信路径
在“可信数据源”区域点击“添加路径”，填入/home/$USER/Documents/contracts/和/srv/secure_projects/两个目录；此后仅从这两个路径发起的复制、压缩、邮件附件等操作才纳入XDLP监控流，避免误拦个人照片或下载目录。
拦截外发通道并强制留痕
第一步：关闭高危传输接口
进入“外发通道管控”，关闭USB存储设备自动挂载、蓝牙文件接收、剪贴板跨应用同步三项开关——这些是敏感数据无声外泄最常见路径。
第二步：重定向HTTP/HTTPS上传行为
启用“网页表单上传监控”，当浏览器尝试向非白名单域名（如网盘、邮箱、协作平台）提交文件时，弹出二次确认框并记录操作者UID、时间戳、目标URL及文件哈希值。
第三步：接管邮件客户端附件引擎
在“邮件外发审计”中，选择已安装的Thunderbird或Foxmail，勾选“扫描所有外发附件”，系统将自动调用内核级钩子截获MIME编码前的原始字节流，比应用层扫描更可靠。
第四步：启用深度审计日志
勾选“记录进程级溯源信息”，此时每条审计事件除常规字段外，还将捕获发起进程的PID、父进程名、命令行参数全量字符串——例如发现/usr/bin/zip -r leak.zip /home/user/finance/被调用，即可精准定位是脚本还是人工操作。
