From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass and File Descriptor Bruteforce for Arbitrary File Access
阅读更多 →移动应用安全审查 面向企业安全团队
Ostorlab 移动应用安全审查帮助企业安全团队满怀信心地批准、拒绝、监控或升级第三方移动应用。通过自动静态分析、动态测试、沙箱运行、恶意软件检测、隐私遥测审查，以及针对每个新版本的持续监控，全方位分析 Android APK 和 iOS IPA。 在企业批准或加入 MDM 允许列表前，评估第三方移动应用的安全风险
全面检测漏洞、恶意软件指标、隐私风险、可疑遥测和可信度信号
将技术安全发现转换为安全、隐私、恶意软件、可信度和可维护性五大维度的加权风险评分
在新版本发布时，自动对已批准的移动应用发起安全再评估
深受他们信任
基于客观证据，更快速地批准第三方移动应用
企业团队高度依赖移动应用进行日常沟通、业务办公、现场作业、财务管理、医疗健康、物流配送以及客户互动。然而，引入环境中的每一款第三方应用都可能让组织面临安全、隐私、合规和运营层面的重重风险。Ostorlab App Vetting 为安全团队提供了一种可重复的标准方法，在应用批准前进行全面评估，并在部署后实施持续监控。
第三方移动应用引入的企业级风险
员工、承包商和业务部门经常因正当的业务运营需求申请使用各种移动应用。在这些应用获准在企业设备上使用前，安全团队必须弄清它们是否含有可被利用的漏洞、不安全的网络通信、高风险 SDK、恶意软件指标、过度索取的权限或运行时的可疑行为。
移动应用风险数据零散地分布在过多源头中
传统的应用审查通常需要安全团队手动汇总来自漏洞扫描器、恶意软件查杀工具、隐私审查、名誉检测、移动威胁防御系统以及合规流程的各种输出。这导致审批流程缓慢，且不同应用之间的审批决策缺乏一贯的标准。
- 漏洞和错误配置的技术发现
- 隐私、追踪器、SDK 和网络遥测分析
- 恶意软件、恶意行为指标以及潜在危害行为
- 开发者名誉以及分发渠道的可信度信号
手动应用安全审查无法应对规模化需求
安全团队被要求在不牺牲准确性的前提下，以更快的速度审查更多的应用。传统的纯手动审查会造成审批积压、决策标准不一，且在应用获批后缺乏持续的风险能见度。Ostorlab 将整个评估流水线自动化，使安全团队能从繁琐的证据收集中解放出来，专注于做出明智的风险决策。
Ostorlab 移动应用审查的工作原理
Ostorlab 针对 Android APK 和 iOS IPA 软件包实施深度的包级分析。每款应用均经过静态分析、动态测试、沙箱运行、遥测审查、恶意软件检测和可信度评估，生成随时可供决策的风险画像。
1
静态分析
Ostorlab 在不运行应用的情况下，深度检测应用二进制文件、清单（Manifests）、配置文件、嵌入式库、所请求的权限、签名证书和代码结构。这可精准识别漏洞、硬编码秘密信息、不安全密码学实现、配置错误、过度索取权限、陈旧的依赖项和不安全的代码实现模式。
2
动态测试
应用会在高度可控的测试环境中运行，Ostorlab 实时观察其运行时行为，包括系统 API 调用、网络活动、身份验证流程、文件访问、权限实际使用，以及其他无法仅通过静态检查发现的运行时数据处理模式。
3
沙箱运行
应用在专为揭示运行时真实行为而设计、安全且全方位检测的沙箱中执行。Ostorlab 追踪其外发连接、外部服务访问、SDK 实际活动、数据流向以及系统级的深度交互，帮助安全团队彻底掌握应用在安装后的真实所作所为。
SCORING SYSTEM
随时可供决策的移动应用风险评分模型
Ostorlab 将深奥的技术发现转化为直观、加权的综合风险评分，帮助安全团队采用统一的标准评估不同应用，进而更快速地做出批准决策。每款应用均从以下五个维度进行加权评估：恶意软件、安全、隐私、可信度和可维护性。
恶意软件 — 35%
检测木马、间谍软件、恶意行为、可疑负载、危险权限、命令与控制（C&C）指标以及活动中的威胁信号。
安全 — 25%
评估漏洞、不安全密码学使用、硬编码秘密、不安全存储、明文数据传输、配置错误以及 OWASP Mobile Top 10 风险类别。
隐私 — 20%
识别追踪器、广告 SDK、数据分析框架、敏感数据流向、不加密的明文通信以及合规隐私关切。
可信度 — 10%
评估开发者和发行商名誉、签名证书完整性、应用分发渠道一致性、应用来源追溯、版本更新历史以及外部可信度信号。
可维护性 — 10%
审查开发框架时效性、陈旧淘汰库和依赖项、代码健康指标、开源软件依赖风险以及长期运营风险风险。
零信任遥测深度评估
移动应用常常会嵌入数据分析 SDK、广告推广框架、崩溃日志收集工具、用户归因统计库以及其他第三方追踪组件，这些组件会在后台不断与外部服务器进行通信。
在批准将某款应用引入企业环境前，安全团队必须明确了解该应用正在收集什么数据、将这些数据发送到了何处、联系了哪些外部服务，以及这些行为是否对企业的敏感数据、隐私政策和合规流程构成了潜在威胁。
Ostorlab App Vetting 在应用级别全方位剖析网络通信与遥测数据，向您清晰呈现数据如何在应用、第三方 SDK、外部 API、分析平台、广告联盟以及其他远程服务之间流动。
1
扫描应用程序
上传 Android APK 或 iOS IPA，或通过基于 API 的自动化集成触发扫描。Ostorlab 将对应用实施静态分析、动态测试、沙箱运行、恶意软件检测、遥测分析及可信度评估。
2
审查风险画像
安全团队会收到直观的加权风险评分、按优先级排列的安全发现、隐私和网络遥测证据、恶意软件指标、合规标准映射，以及对批准决策影响最大的核心风险源。
Seamless Integrations with Your Tech Stack
Don't let security become a bottleneck. Ostorlab integrates directly with the tools your development and security teams already use, ensuring that vulnerability management is automated, traceable, and fast.
Jira
Jenkins
GitHub
GitLab
Bitbucket
SAML
Azure DevOps
Microsoft AppCenter
CircleCI
GoCD
TeamCity
Okta
Google Workspace
OneLogin
Azure Active Directory
Slack
Vanta
ServiceNow
Bitrise
Harness
为什么团队选择我们
支持、扩展性、透明度
全程陪伴
从入职到达成目标，提供亲身指导和支持，确保无缝使用根据客户反馈不断演进的功能。
免费无限制邀请
毫无限制地协作，每个应用可根据需要添加任意数量的配置文件，使团队能够无缝协同工作，没有用户数量限制，也无需额外费用。
持续监控
每当推送更新时，之前添加到 Ostorlab 的应用都会自动重新扫描。无需手动触发扫描，以极少的精力确保持续的安全验证。
无隐藏费用
简单、透明的定价，无隐藏成本。清楚您所支付的费用，如果不满意，可享受全额退款保证。
备受全球安全团队信赖
了解为什么行业专家喜欢使用我们的平台工作
非常高效的团队，支持工程师非常出色且知识渊博。产品在不断演进，他们非常重视客户的反馈。
一款可靠的产品，具有独特的功能以及针对产品的个性化方法。
该平台帮助我们轻松高效地评估了内部移动应用。入职过程很顺利，UI 动态自动化非常棒。
该产品完美满足了我们的需求，并且易于设置和使用。团队反应非常迅速。
非常专业和技术过硬。五星好评。交付非常出色。
我们选择 Ostorlab 作为提供移动应用和 Web 漏洞扫描的独家合作伙伴。我们有着非常好的合作关系。
他们的客户服务一流，产品也在不断改进。
易于使用，并在新的更新中不断变得更好，他们也能迅速提供帮助且非常高效。
很棒的产品，客户服务令人惊叹，非常有用、准确且使用简单直观。
支持迅速，并突出了个性化功能。
作为一款 MAST 解决方案，我在 Ostorlab 拥有非常棒的体验。
非常高效的团队，支持工程师非常出色且知识渊博。产品在不断演进，他们非常重视客户的反馈。
一款可靠的产品，具有独特的功能以及针对产品的个性化方法。
该平台帮助我们轻松高效地评估了内部移动应用。入职过程很顺利，UI 动态自动化非常棒。
该产品完美满足了我们的需求，并且易于设置和使用。团队反应非常迅速。
非常专业和技术过硬。五星好评。交付非常出色。
我们选择 Ostorlab 作为提供移动应用和 Web 漏洞扫描的独家合作伙伴。我们有着非常好的合作关系。
他们的客户服务一流，产品也在不断改进。
易于使用，并在新的更新中不断变得更好，他们也能迅速提供帮助且非常高效。
很棒的产品，客户服务令人惊叹，非常有用、准确且使用简单直观。
支持迅速，并突出了个性化功能。
作为一款 MAST 解决方案，我在 Ostorlab 拥有非常棒的体验。
非常高效的团队，支持工程师非常出色且知识渊博。产品在不断演进，他们非常重视客户的反馈。
一款可靠的产品，具有独特的功能以及针对产品的个性化方法。
该平台帮助我们轻松高效地评估了内部移动应用。入职过程很顺利，UI 动态自动化非常棒。
该产品完美满足了我们的需求，并且易于设置和使用。团队反应非常迅速。
非常专业和技术过硬。五星好评。交付非常出色。
我们选择 Ostorlab 作为提供移动应用和 Web 漏洞扫描的独家合作伙伴。我们有着非常好的合作关系。
他们的客户服务一流，产品也在不断改进。
易于使用，并在新的更新中不断变得更好，他们也能迅速提供帮助且非常高效。
很棒的产品，客户服务令人惊叹，非常有用、准确且使用简单直观。
支持迅速，并突出了个性化功能。
作为一款 MAST 解决方案，我在 Ostorlab 拥有非常棒的体验。
想了解我们最近的动态...
常见问题解答
如果您有任何未在此处列出的问题，请通过以下方式联系我们 联系我们
开始使用
充满信心地开始您的移动应用安全审查
在应用获得批准前深度分析 Android APK 和 iOS IPA 软件包，将深奥的技术发现转译为可以直接支撑决策的综合风险评分，并在一个统一的管理平台上实施全天候的滚动监测。
预约演示