From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass and File Descriptor Bruteforce for Arbitrary File Access阅读更多 →
移动应用安全审查 面向企业安全团队
Ostorlab App Vetting 帮助企业安全团队有把握地批准、拒绝、监控或升级处理第三方移动应用。在 Google Play、App Store 或华为应用市场中搜索应用，即可获得基于静态分析、沙箱动态执行、恶意软件检测、隐私遥测检查和应用商店元数据的 0–100 分评分。
- 在企业批准或加入 MDM 允许列表前，评估第三方移动应用的安全风险
- 检测漏洞、恶意软件指标、隐私风险、可疑遥测以及采用度信号
- 将技术发现转化为涵盖安全性（恶意行为）、安全、隐私、采用度和可维护性的 0–100 加权评分
- 在新版本发布时重新评估已批准的应用
受到众多安全团队的信赖，包括
基于客观证据，更快速地批准第三方移动应用
企业团队高度依赖移动应用进行日常沟通、业务办公、现场作业、财务管理、医疗健康、物流配送以及客户互动。然而，引入环境中的每一款第三方应用都可能让组织面临安全、隐私、合规和运营层面的重重风险。Ostorlab App Vetting 为安全团队提供了一种可重复的标准方法，在应用批准前进行全面评估，并在部署后实施持续监控。
第三方移动应用引入的企业级风险
员工、承包商和业务部门经常因正当的业务运营需求申请使用各种移动应用。在这些应用获准在企业设备上使用前，安全团队必须弄清它们是否含有可被利用的漏洞、不安全的网络通信、高风险 SDK、恶意软件指标、过度索取的权限或运行时的可疑行为。
移动应用风险数据零散地分布在过多源头中
传统的应用审查通常需要安全团队手动汇总来自漏洞扫描器、恶意软件查杀工具、隐私审查、名誉检测、移动威胁防御系统以及合规流程的各种输出。这导致审批流程缓慢，且不同应用之间的审批决策缺乏一贯的标准。
- 漏洞和错误配置的技术发现
- 隐私、追踪器、SDK 和网络遥测分析
- 恶意软件、恶意行为指标以及潜在危害行为
- 开发者名誉以及分发渠道的可信度信号
手动应用安全审查无法应对规模化需求
安全团队被要求在不牺牲准确性的前提下，以更快的速度审查更多的应用。传统的纯手动审查会造成审批积压、决策标准不一，且在应用获批后缺乏持续的风险能见度。Ostorlab 将整个评估流水线自动化，使安全团队能从繁琐的证据收集中解放出来，专注于做出明智的风险决策。
Ostorlab 移动应用审查的工作原理
Ostorlab 在安装包层面分析 Android、iOS 和 HarmonyOS 应用。每个应用都会经过静态分析、动态测试、沙箱执行、遥测检查、恶意软件检测和应用商店元数据评估，生成可直接用于决策的风险概况。
1
静态分析
Ostorlab 在不运行应用的情况下，深度检测应用二进制文件、清单（Manifests）、配置文件、嵌入式库、所请求的权限、签名证书和代码结构。这可精准识别漏洞、硬编码秘密信息、不安全密码学实现、配置错误、过度索取权限、陈旧的依赖项和不安全的代码实现模式。
2
动态测试
应用在受控测试环境中运行，Ostorlab 观察其运行时行为，包括系统 API 调用、网络活动、文件访问、权限使用以及仅靠静态检查可能无法发现的数据处理模式。
3
沙箱运行
应用在专为揭示运行时真实行为而设计、安全且全方位检测的沙箱中执行。Ostorlab 追踪其外发连接、外部服务访问、SDK 实际活动、数据流向以及系统级的深度交互，帮助安全团队彻底掌握应用在安装后的真实所作所为。
评分体系
随时可供决策的移动应用风险评分模型
Ostorlab 将技术发现转化为 0（严重关注）到 100（安全无虞）的加权评分，帮助安全团队一致地比较应用并更快做出批准决策。每个应用按五项标准评估：安全性（恶意行为）、安全、隐私、采用度和可维护性。
安全性 / 恶意行为 — 35%
检测恶意软件或间谍软件指标、欺骗性功能、木马特征、命令与控制（C2）行为以及危险能力的使用。
安全 — 25%
评估不安全的数据存储、弱加密、明文网络流量、导出组件、注入缺陷、硬编码密钥以及存在漏洞的依赖。
隐私 — 20%
识别跟踪 SDK、过度的设备权限、个人或设备标识符（PII）的收集、明文传输以及潜在的敏感数据泄露。
采用度 — 10%
基于下载量、用户评分、发布者声誉和安装包完整性检查，衡量应用在商店中的采用度和社区信任度。
可维护性 — 10%
基于最近更新时间、发布频率、依赖版本新旧和框架使用情况，评估开发者的维护活跃度。
零信任遥测深度评估
移动应用常常会嵌入数据分析 SDK、广告推广框架、崩溃日志收集工具、用户归因统计库以及其他第三方追踪组件，这些组件会在后台不断与外部服务器进行通信。
在批准将某款应用引入企业环境前，安全团队必须明确了解该应用正在收集什么数据、将这些数据发送到了何处、联系了哪些外部服务，以及这些行为是否对企业的敏感数据、隐私政策和合规流程构成了潜在威胁。
Ostorlab App Vetting 在应用级别全方位剖析网络通信与遥测数据，向您清晰呈现数据如何在应用、第三方 SDK、外部 API、分析平台、广告联盟以及其他远程服务之间流动。
1
查找或申请评估应用
按应用名称或包名 / Bundle ID 搜索。如果该应用已被评估过，可立即查看结论；否则可针对 Android、iOS 或 HarmonyOS 申请扫描，Ostorlab 将执行静态分析、沙箱动态执行、恶意软件检查和遥测检查。
2
审查风险画像
安全团队将获得 0–100 加权评分、按优先级排序的发现、隐私与遥测证据、恶意软件指标，以及对批准决策影响最大的风险因素。
Seamless Integrations with Your Tech Stack
Don't let security become a bottleneck. Ostorlab integrates directly with the tools your development and security teams already use, ensuring that vulnerability management is automated, traceable, and fast.
Jira
Linear
Jenkins
GitHub
GitLab
Bitbucket
SAML
Azure DevOps
Microsoft AppCenter
CircleCI
GoCD
TeamCity
Okta
Google Workspace
OneLogin
Azure Active Directory
Slack
Vanta
ServiceNow
Bitrise
Harness
为什么团队选择我们
支持、扩展性、透明度
全程陪伴
从入职到达成目标，提供亲身指导和支持，确保无缝使用根据客户反馈不断演进的功能。
免费无限制邀请
毫无限制地协作，每个应用可根据需要添加任意数量的配置文件，使团队能够无缝协同工作，没有用户数量限制，也无需额外费用。
持续监控
每当推送更新时，之前添加到 Ostorlab 的应用都会自动重新扫描。无需手动触发扫描，以极少的精力确保持续的安全验证。
无隐藏费用
简单、透明的定价，无隐藏成本。清楚您所支付的费用，如果不满意，可享受全额退款保证。
备受全球安全团队信赖
了解为什么行业专家喜欢使用我们的平台工作
非常高效的团队，支持工程师非常出色且知识渊博。产品在不断演进，他们非常重视客户的反馈。
一款可靠的产品，具有独特的功能以及针对产品的个性化方法。
该平台帮助我们轻松高效地评估了内部移动应用。入职过程很顺利，UI 动态自动化非常棒。
该产品完美满足了我们的需求，并且易于设置和使用。团队反应非常迅速。
非常专业和技术过硬。五星好评。交付非常出色。
我们选择 Ostorlab 作为提供移动应用和 Web 漏洞扫描的独家合作伙伴。我们有着非常好的合作关系。
他们的客户服务一流，产品也在不断改进。
易于使用，并在新的更新中不断变得更好，他们也能迅速提供帮助且非常高效。
很棒的产品，客户服务令人惊叹，非常有用、准确且使用简单直观。
支持迅速，并突出了个性化功能。
作为一款 MAST 解决方案，我在 Ostorlab 拥有非常棒的体验。
非常高效的团队，支持工程师非常出色且知识渊博。产品在不断演进，他们非常重视客户的反馈。
一款可靠的产品，具有独特的功能以及针对产品的个性化方法。
该平台帮助我们轻松高效地评估了内部移动应用。入职过程很顺利，UI 动态自动化非常棒。
该产品完美满足了我们的需求，并且易于设置和使用。团队反应非常迅速。
非常专业和技术过硬。五星好评。交付非常出色。
我们选择 Ostorlab 作为提供移动应用和 Web 漏洞扫描的独家合作伙伴。我们有着非常好的合作关系。
他们的客户服务一流，产品也在不断改进。
易于使用，并在新的更新中不断变得更好，他们也能迅速提供帮助且非常高效。
很棒的产品，客户服务令人惊叹，非常有用、准确且使用简单直观。
支持迅速，并突出了个性化功能。
作为一款 MAST 解决方案，我在 Ostorlab 拥有非常棒的体验。
非常高效的团队，支持工程师非常出色且知识渊博。产品在不断演进，他们非常重视客户的反馈。
一款可靠的产品，具有独特的功能以及针对产品的个性化方法。
该平台帮助我们轻松高效地评估了内部移动应用。入职过程很顺利，UI 动态自动化非常棒。
该产品完美满足了我们的需求，并且易于设置和使用。团队反应非常迅速。
非常专业和技术过硬。五星好评。交付非常出色。
我们选择 Ostorlab 作为提供移动应用和 Web 漏洞扫描的独家合作伙伴。我们有着非常好的合作关系。
他们的客户服务一流，产品也在不断改进。
易于使用，并在新的更新中不断变得更好，他们也能迅速提供帮助且非常高效。
很棒的产品，客户服务令人惊叹，非常有用、准确且使用简单直观。
支持迅速，并突出了个性化功能。
作为一款 MAST 解决方案，我在 Ostorlab 拥有非常棒的体验。