DSPM 概述：从定义到能力图谱
各位好，欢迎来到这门实战课。
数据安全态势管理，简称 DSPM。这词儿这几年在安全圈挺热的。但说白了，它到底解决什么问题？
我刚开始做数据安全那会儿，接触最多的是 DLP（数据防泄漏）和 CASB（云访问安全代理）。它们各有各的用处，但都有一个共同的盲区：不知道数据本身在哪里、是什么、谁在碰、风险有多大。
DSPM 就是为了填这个坑而生的。
1.1 DSPM 的定义：不止是“发现”
官方定义可能会绕，我换个说法：DSPM 是一套持续发现、分类、监控和评估数据资产安全状态的方法论和工具集。
它和传统安全产品的核心区别在于——它关注的是“数据”而非“系统”。
| 维度 | 传统安全（防火墙/WAF/SIEM） | DSPM |
|---|---|---|
| 关注对象 | 网络流量、主机、应用 | 数据资产、数据流、数据分类 |
| 主要动作 | 阻断、告警、规则匹配 | 发现、分类、上下文关联、风险评分 |
| 输出结果 | 告警事件数量、合规报告 | 数据资产地图、风险热力图、暴露面分析 |
| 核心价值 | 防入侵、防病毒 | 数据泄漏预防、权限治理、合规可视化 |
核心观点：DSPM 不替代 DLP 或 SIEM，它负责补齐“数据视角”这层拼图。
1.2 为什么需要 DSPM？三个典型场景
简单说三个我在客户现场看到的真实场景，你就明白了。
- 场景一：云上数据“裸奔”。某客户有 2000 个 S3 存储桶，其中 30% 配置了公共读权限。没人知道里面存了什么——直到我帮他们跑了第一轮 DSPM 扫描，发现大批身份证照片、合同扫描件、数据库备份文件直接暴露在公网上。
- 场景二：影子数据失控。开发人员随意创建测试数据库，里面塞满了生产数据的脱敏副本（甚至未脱敏）。安全团队完全看不见。DSPM 能自动发现这些“野”数据资产，并标记为高风险。
- 场景三：权限过载。一个离职三年的员工，账号居然还有生产库的读权限。DSPM 通过分析数据访问日志，结合身份上下文，给出“用户 A 对敏感表 X 有未使用权限”这类精准风险提示。
避坑提醒：我曾经遇到一个团队，他们用传统漏洞扫描器扫描数据库端口来“代替” DSPM。结果只发现了几台开放 3306 的数据库，完全看不到那些存储在云对象存储里的非结构化敏感文件。这是两个不同维度的事。
1.3 发展脉络：从数据发现到风险可视化
DSPM 不是凭空冒出来的。它的演变大致经历了三个阶段：
- 第一阶段：手工台账时期。安全人员手动记录数据资产清单，靠 Excel 和人工问询。效率低、信息滞后。
- 第二阶段：自动化发现时期。工具进场，能自动扫描网络中的数据库、文件服务器和云存储，给出基础分类。但缺少风险视角。
- 第三阶段：DSPM 成熟期。也就是现在。不仅发现和分类，还要做风险评分、持续监控、行为建模，以及和日志系统、身份系统进行深度关联。
我个人习惯把第三阶段的能力拆成五个关键模块——下面的 SVG 图帮你一目了然。
1.4 DSPM 与日志关联的天然联系
有些朋友问我：“DSPM 听起来像是做资产梳理的，跟日志有什么关系？”
关系大了。你想想看，只靠静态扫描能发现什么？能发现谁昨天读取了那张敏感表吗？能发现某个正常账号在凌晨三点批量拉取客户数据吗？
不能。
这就需要把 DSPM 发现的数据资产信息和日志（数据库审计日志、云平台 API 日志、应用访问日志）关联起来。这是我做这门课最想传达的核心思路。
- DSPM 提供“数据资产上下文”——这个存储里有 10 万条身份证号。
- 日志提供“行为上下文”——用户 B 在某个时间段读取了其中 1 万条。
- 两者结合，才能判断这是正常业务操作还是潜在的数据泄漏。
我的建议：别把 DSPM 当成一个“扫一次就完事”的工具。它应该持续运行，和你的 SIEM、审计日志平台做数据对接。这样才可能构建出动态的风险画像。
1.5 本章总结：你手里多了什么？
学完这一章，我希望你带走三样东西：
- DSPM 是一个以数据为中心的持续安全评估框架，不是一次性扫描。
- 它的五大核心能力——发现、分类、评分、监控、关联——缺一不可。
- 日志和 DSPM 不是两个独立的产品，它们是一体两面的关系。后面的课程会反复触及这个核心。