|
引言 移動應用程序已經成為了現代生活的重要組成部分，我們幾乎每天都在使用各種不同類型的應用來滿足我們的需求，無論是社交、購物、娛樂還是工作。然而，隨著移動應用的廣泛使用，APP及供應鏈安全問題也引起了越來越多的關注。惡意軟件、數據泄露和其他供應鏈攻擊威脅著移動應用的安全性。 通付盾多年來致力于為企業提供軟件全生命周期安全工程解決方案，幫助企業提升軟件安全質量，從軟件開發生命周期階段入手，通過機器學習、身份動態掃描、全網全時分區檢測等多個核心自研技術，構建軟件質量安全框架、軟件安全全生命周期安全解決方案，提升軟件安全級別，降低安全風險。 通付盾北斗團隊建立APP的大數據庫，監測300+APP分發渠道，收錄了常見的39類應用及Web3應用的數據信息，平臺已檢測分析了500多萬款應用，分析版本達到1000萬+，采用深度機器學習技術和大數據分析技術，不斷提高檢測引擎“智力”，更加快速準確定位安全風險，涵蓋的數據緯度包括：APP基礎數據、渠道數據、安全數據、合規數據、運營數據等，深入全面透視APP市場數據及安全狀況，整合數據生成APP盡職調查報告。 圖表 1 APP盡職調查報告數據 通付盾APP盡職調查報告，向開發者和用戶提供便利的APP市場數據分析服務，幫助開發者和用戶全面掌握APP信息。采用數據分析引擎從APP版本情況、下載量、評論及評分、盜版仿冒情況等維護匯總、分析，進行趨勢化統計，以圖表、報告等形式更直觀量化的方式呈現，為開發者審核APP市場風險、管理風險、運營風險等情況提供全面深入的數據參考支撐。 通付盾APP盡職調查報告的核心內容： 建立安全模型，多維度分析APP安全合規問題 匯總分析APP的基礎數據，如包名、版本號、應用簽名、發布時間、開發者、第三方SDK等信息為安全模型提供了重要的分析維度，以幫助檢測和解決安全問題。這些數據可以用于應用的身份驗證、版本管理、漏洞檢測和合規性審查等方面。 唯一標識：包名是一個應用的唯一標識符，因此可用于識別應用的身份。在安全模型中，包名可用于驗證應用的真實性，以防止冒充或偽造的應用。 供應鏈安全：包名還可用于追蹤應用的供應鏈，確保沒有不明來歷的組件被引入到應用中。如果包名與應用開發者或供應商的信息不匹配，可能存在風險。 版本管理： 版本號用于標識應用的不同版本。在安全模型中，版本號可用于確保用戶正在使用最新的、受安全漏洞修復的應用版本。 身份驗證：在用戶安全驗證流程中，包名可以用于驗證應用的真實性，確保用戶沒有下載到冒充應用。 圖表 2 APP基礎信息展示 依托APP大數據和實時分析能力，對應用代碼進行審查，從編碼規范檢測、發布規范檢測、代碼安全檢測、環境安全審計檢測、組件安全檢測、數據安全檢測、安全漏洞檢測7個層級，對移動應用進行安全檢測，針對應用中潛在的安全風險進行全面分析，以發現和修復潛在漏洞，分析應用的后端API和服務，以防止惡意攻擊和濫用，幫助開發者提高對仿冒、不良、違規等風險APP的識別能力，并向用戶進行預警提示。 圖表 3應用安全漏洞風險情況 識別第三方SDK，保障APP供應鏈安全 開源生態帶來的正面效應已在信息經濟生活中發揮重要影響，如何在安全可控的情況下使用開源，已成為開源生態的關鍵任務。開源安全風險防范措施應貫穿軟件開發的整個生命周期。 供應鏈安全問題是指攻擊者試圖在應用的開發過程中或在分發渠道中植入惡意代碼或以其他方式破壞應用的完整性。這些攻擊可能導致數據泄露、用戶隱私侵犯、應用漏洞和其他安全問題。 圖表 4供應鏈組件生命周期 SDK是Software Development Kit的縮寫，它是一組軟件工具和庫，旨在幫助開發者在應用中添加特定功能或功能模塊。這些功能可以涵蓋各種領域，包括廣告、社交分享、支付處理、數據分析等。開發者可以選擇集成第三方SDK，而不必自己編寫和維護這些功能，從而加速應用的開發過程。 圖表 5 SDK使用場景示意 SDK是獨立的軟件開發工具包，依附于APP運行，同樣具備收集用戶個人信息的能力。存在一類SDK，實際運行時行為遠遠超出了官方所描述的功能范圍，具有較強的隱蔽性，這類SDK依附APP運行非法收集用戶個人信息，用戶很難辨別收集行為是APP發起的還是SDK發起的，甚至是APP開發者也未必完全知曉。例如：之前《Vice》在一份報告中指出，Zoom App嵌入的Facebook 的SDK會向Facebook傳輸用戶手機型號、城市、廣告標識符、IP地址等用戶個人信息。即使用戶沒有Facebook賬號，其個人信息也依舊會傳輸給Facebook。Zoom的隱私政策中也沒有告知Facebook SDK收集個人信息或Zoom App向Facebook SDK共享個人信息的情況。事件曝光后，Zoom不僅遭受較大的負面輿論影響，市值蒸發58億美元，股價下跌超6%，而且在美國加利福尼亞州遭到起訴。（此案例摘自：軟件開發包(SDK)安全與合規報告- 中國信息通信研究院、北京市環球律師事務所） 圖表 6 某第三方SDK組件漏洞 SDK經常在APP背后收集用戶個人信息，這一類行為難以被發現，需要依托自動化的檢測引擎幫助識別。針對APP使用全過程進行監測，依據權限檢測標準，主動發現APP及SDK存在的未經授權擅自收集、過度和非必要收集、頻繁索權和強制收集、隱瞞第三方SDK收集行為、私自共享給第三方等問題，從而幫助用戶和開發者快速、準確地檢測SDK中存在的敏感權限調用及過度個人信息收集。 圖表 7 第三方SDK檢測信息 通付盾APP盡職調查報告通過分析APP中集成的第三方SDK來保障移動應用供應鏈安全是一項重要任務。通付盾APP盡職調查報告中，持續監控分析第三方SDK安全，有助于降低供應鏈攻擊的風險，保護應用和用戶的安全。 多維度數據分析，實時掌握市場動態 移動應用市場在過去幾年中取得了巨大的增長，成為數字領域的重要一環。隨著競爭加劇，開發者和企業需要實時了解應用在整體市場和細分行業的情況，以制定更明智的決策。這正是多維度數據分析工具的價值所在，它們使用戶能夠查看用戶下載、用戶新增、評分評論等多維度數據指標，從而掌握市場動態和競爭格局。 圖表 8 APP評分評論匯總 通付盾APP盡職調查報告支持多維度數據分析，把控行業競爭格局，實時了解APP在整體市場及細分行業的情況，查看用戶下載、用戶新增、評分評論等多維度數據指標，掌握市場動態。通過合理利用這些工具，開發者和企業可以更好地應對市場挑戰，制定更明智的推廣營銷策略，從而取得成功。 競爭分析： 通過查看競爭對手的下載量、評分和評論，開發者可以了解他們在市場上的地位，為自己的策略做出調整。 用戶反饋： 匯集各大應用市場的評分、評論，可以提供有關應用的用戶滿意度和不滿意度的見解，通過一個平臺全面剖析應用評分和評論信息，開發者可根據這些信息改進應用。 市場細分： 多維度數據分析工具允許用戶將市場分成不同的細分行業，從而更好地了解應用在各個行業中的表現。 應用推廣： 通過了解用戶的下載和新增情況，市場人員可以調整廣告營銷和推廣策略，以提高應用的曝光度，獲取更多用戶。 圖表 9市場數據分析 數字身份認證，每個APP都有一個數字證書 APP大數據庫中的應用，都會通過安全檢測、隱私合規檢測，判斷滿足合規要求的，會結合區塊鏈的分布式數字身份技術，給APP頒發在鏈上的數字身份憑證，每個可信APP存在一個不可篡改的，用來標識與管理的標識信息。在工信部APP分類39類之外，率先引入Web3應用分類，擁抱Web3.0時代。從APP分發、下載、安裝源頭確保APP安全、合法合規。 圖表 10 數字身份憑證 多重安全檢測標記機制，對APP進行多維度全方面的深度檢測，防止APP“帶病上線”確保APP合法合規，安全標記包括：APP是否加固、APP是否存在安全漏洞、APP是否存在違法違規行為。通過加大技術投入，不斷優化APP安全檢測，切實保障APP安全和用戶利益。 圖表 11 APP證書信息 在架應用巡檢、全網灰應用監測和渠道監測機制，對存在風險隱患的應用做到100%復檢并定期抽檢，謹防應用換皮、變臉等問題；對于在監測中發現的風險APP，在第一時間下架，同時向APP開發者發出風險預警并協助APP開發者進行風險處置。 通付盾APP大數據庫、綜合APP安全模型、和多維度APP盡職調查報告，能夠幫助企業更好地管理、運營APP應用，降低APP應用安全和合規性風險。通過識別第三方SDK風險以保障APP供應鏈安全，以多維度數據分析為核心為企業提供更多的安全洞察和數據支持，全面保護用戶數據安全和提高應用可信度，既關注應用的安全性，也關注應用的合規性，為企業提供了綜合的APP應用安全解決方案，助力企業在競爭激烈的市場中脫穎而出，安全前行。 |
