為了表述更加生動，我們用一個故事來說明。

某一企業內部面臨著數據失竊的威脅：一名黑客感染了公司電腦想要竊取數據。他要像超級瑪麗一樣，通過重重關卡偷走龍騎士的公主。

黑客操縱著被感染的電腦，上網訪問黑客指揮中心，獲取攻擊指令或下載惡意攻擊工具。

這類行為可以歸為間接威脅，ITP體系中的Web安全網關（ASWG）這時會捕捉到它，但因為并沒有抓到偷竊數據的把柄，所以不會直接斷網攔截，而是生成行為日志發送到ITP的人工智能大腦（以下簡稱ITM）處理中心，提醒ITM有人下載惡意工具，要對他提高警惕。

接下來黑客操控這臺電腦訪問企業共享文件夾，拖取數據敏感文件，例如員工通訊錄、企業關鍵數據信息到電腦硬盤上。

這時因為涉及敏感文件下載，會觸發防泄漏終端發出安全警報，再次生成行為日志儲存到ITM智能大腦，這時ITM就掌握了兩條警報線索，開始時刻關注這名用戶的動向。

黑客拿到數據后必然要輸送出去，但他對ITP防護體系并無防備，不清楚自己已經被ITM智能大腦盯上了，傻乎乎的采用明文外送來傳輸文件。

首先，部署在公司內網中的DLP網關會發揮作用，對涉及敏感數據的明文文件進行攔截，隨后發送事件報告到ITM智能大腦中。DLP網關發送出來的事件報告因為直接涉及數據失竊，會被確定為一個高危事件。ITM智能大腦根據事件報告，將黑客認定為10級（最高危險等級）危險用戶，并對內網中相似的上網和下載行為做統計分析，分析行為路徑與它相同的用戶會被評級為7以上的危險級別（DLP網關會對7以上行為進行攔截）。

這時，黑客發現這臺設備無法發送數據，意識到DLP網關在對他進行攔截，從而轉變策咯，換臺電腦通過將敏感文件加密的方式傳輸出去。

如果沒有ITM智能大腦分析的話，DLP網關是不能阻斷的，因為公司業務往來也會應用到加密文件，但是因為有了上述ITM對相似行為的分析評級，DPL接收到了危險級別7以上的指令，這些加密文件也會受到阻斷。

此時黑客一定氣急敗壞了，“加密都能識別出來，那我用自己編碼的文件發送”，當然DLP網關是無法識別自編碼文件的。

但是與加密文件同理，ITM智能大腦通過對黑客下載攻擊工具，以及獲取敏感數據的行為做出分析從而給出評級，任何評級高出7的電腦都無法發送未知文件（編碼文件一定是未知文件）。

這名黑客會發現以上任何辦法都無法傳輸文件。ITM大腦通過行為分析一口咬住了他，不管怎么變換手法都無法盜竊成功。

以上對整個ITP體系在內部威脅場景下的描述，ITP體系中ITM大腦與Web安全網關、防泄漏終端以及DLP網關之間緊密協作。在黑客暴露出竊取數據的意圖時，緊緊把住了數據外泄的出口，任憑黑客在內網中手法千變萬化，ITM智能大腦仿佛掌握了火眼金睛。

不可否認，通過AI進行行為分析的防衛方式確實大大提高了企業數據防護的效率。盡管如此，也沒有任何一項技術能夠做到百分百的防護。

回到文章開頭，企業應該在數據安全中要承擔什么樣的角色，我想，既不該是數據的擁有者，也不單是數據泄露后的責任方，而應該成為保衛用戶數據安全的先鋒力量。