数据资产发现：如何识别SDK处理的数据
说实话，这个环节是整个DSPM联动SDK方案里最基础也最容易被忽视的一步。我见过不少团队，一上来就急着做策略配置、搞告警规则，结果发现SDK到底在处理哪些数据都没搞清楚——嗯，后来全得推倒重来。我自己早期也踩过这个坑。
所谓数据资产发现，说白了就是弄清楚三件事：
- SDK采集了哪些数据字段？
- 这些数据流向了哪里？
- 它们属于什么敏感级别？
你想想看，如果连你家SDK处理的数据清单都列不出来，后续的风险分析就无从谈起。所以这一章，我们就扎扎实实地把数据资产发现这件事讲透。
数据资产发现的三个层面
根据我的项目经验，SDK处理的数据资产可以拆成三个维度来看。每个维度都得过一遍，漏一个后面都可能出事。
| 层面 | 关注点 | 典型数据举例 | 发现手段 |
|---|---|---|---|
| 显式采集 | SDK主动调用的数据接口 | 设备型号、系统版本、应用列表 | 代码审计 + API监控 |
| 隐式采集 | SDK被动获取的数据 | IP地址、MAC地址、传感器数据 | 流量抓包 + 权限分析 |
| 衍生数据 | SDK处理后生成的新数据 | 设备指纹、用户画像标签、行为轨迹 | 内存Dump + 日志回溯 |
我以前经手过一个金融类App的SDK审计。表面上看SDK只采集了两个字段：设备ID和。结果一抓包，发现它还偷偷抓了WiFi列表和历史位置信息。这就是典型的隐式采集——代码里没写，但底层库自己干了。
⚠ 注意： 隐式采集最容易被忽略！很多SDK依赖的第三方库会自行收集数据，一定要做全量流量分析。
实战步骤：一步步把数据清单拉出来
我不喜欢纸上谈兵。下面直接上操作流程——
- 第一步：静态代码扫描
分析SDK的源文件、配置文件、Manifest或Info.plist，找出所有涉及数据读写的API调用。我习惯用开源工具配合正则匹配来做，关键是把所有采集点都标记出来。 - 第二步：动态流量监控
用mitmproxy或Charles做中间人代理，把SDK运行时的全部请求记录下来。设一个干净的测试环境，触发所有功能路径，确保不遗漏任何网络请求。 - 第三步：存储与缓存检查
SDK往往会在本地写数据库、SharedPreferences、Keychain或文件缓存。你需要通过日志和文件系统监控，确认它存了什么、存了多久、有没有加密。 - 第四步：敏感字段打标
对照PII、PCI、PHI等标准，把所有数据字段分门别类打上敏感标签。这一步要跟合规团队确认标准。
# 静态扫描示例：查找敏感API调用
grep -rn "getDeviceId\|getMacAddress\|getLocation\|getAccounts" ./sdk_src/ --include="*.java" --include="*.kt"
小技巧： 跑扫描之前先把SDK的依赖树拉出来，看看有没有隐藏的采集库。我遇到过一个情况——SDK的主包很干净，但它依赖的一个广告库在里面偷采集。所以依赖也要审。
数据分类分级标准
数据找出来之后，得做分级。这个分级直接决定了后续的风险处置策略。我个人推荐用三级体系，够用又不至于太复杂：
- L1 - 一般数据： 设备型号、屏幕分辨率、语言设置。泄露了也没什么大问题，但建议还是别乱传。
- L2 - 敏感数据： 设备ID、IP地址、MAC地址、应用列表。这类数据如果泄露，可能被用来做设备追踪或用户画像。
- L3 - 高度敏感数据： 身份信息（姓名、身份证）、生物特征、账号密码、支付凭证。这要是出了问题，基本就是合规事件了。
| 等级 | 是否允许采集 | 是否需要加密传输 | 是否需要用户授权 |
|---|---|---|---|
| L1 | 允许 | 建议加密 | 无需 |
| L2 | 受限 | 必须加密 | 需要告知用户 |
| L3 | 禁止或严格审批 | 必须加密 + 脱敏 | 需明示同意 |
关键点： 不同等级的数据在DSPM策略中要有不同的处理方式。L3级别的数据，一定要在SDK层面就做脱敏或加密，DSPM只做检测和告警，不负责修复SDK的行为。
避坑指南：我踩过的几个雷
嗯，这里必须说说我曾经犯过的错——
- 只盯网络请求，不看本地存储。 有次一个SDK把用户的通讯录缓存到了本地SQLite里，我以为它只是在线传了一下。结果本地没加密，root过的手机直接就能读。后来我养成了习惯：网络和本地两手抓。
- 漏掉第三方SDK的子SDK。 你集成的SDK，可能集成了别的SDK。你得往下一层、两层地去挖。我曾经因为在某支付SDK里发现了一个地图SDK的痕迹，才找到它偷偷采集位置数据的证据。
- 生产环境才去抓包。 一开始我在测试环境做流量分析，数据很干净，什么异常都没有。一上线，用户量的压力下，SDK才触发了一些只有特定条件下才跑的采集逻辑。所以我后来坚持：测试环境做基础验证，灰度环境做全量复验。
数据资产发现这事，急不得。宁可花时间把清单做得细一点，也别等到出事再回头补。下一环节我们会聊怎么把这些发现的数据资产，跟DSPM的策略引擎联动起来做自动化告警。