MAS 技术风险管理：按照 MAS 所描述的方式测试您的移动银行应用。

1. 01

   MAS TRM 指南，14.1.4 和附件 C

   应对移动应用特有的风险

   文本的内容

   在移动设备上提供在线金融服务的金融机构，应针对移动应用的风险采取具体措施。附件 C 列出了这些措施：避免在应用中存储或缓存数据、保护私有加密密钥、实施防挂钩或防篡改机制、完整性检查和代码混淆、证书或公钥固定、安全的应用内键盘，以及软件令牌的设备绑定。

   来源：MAS TRM 指南，14.1.4 和附件 C

   对您的移动应用意味着什么

   附件 C 读起来就像您应用的测试计划。每项措施都可以针对客户下载的版本进行检查。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 尝试绕过 Root 和越狱检测、防篡改、反插桩以及 TLS 证书固定，并显示应用是会阻止业务流程、拒绝启动，还是继续运行。Ostorlab 还会在本地存储、缓存、日志和截图中查找令牌和个人数据。

   仍由您负责的部分

   选择和配置您的加固产品、应用内键盘以及设备绑定的设计。

2. 02

   MAS TRM 指南，14.1.7 和 14.2.8

   禁止已 Root 和已越狱的设备进行交易

   文本的内容

   应禁止已 Root 或已越狱的设备访问金融机构的移动应用执行金融交易，除非该应用在沙箱或容器中受到保护，能够隔离恶意软件的篡改和拦截。软令牌的发放应包括验证客户身份、检测并阻止已 Root 或已越狱的设备以及设备绑定等措施。

   来源：MAS TRM 指南，14.1.7 和 14.2.8

   对您的移动应用意味着什么

   仅有检测是不够的。当设备已被入侵时，应用必须中止交易或令牌设置，而且该检查不应轻易被关闭。

   Ostorlab 如何提供帮助

   Mobile Shielding Scan 在已 Root 和已越狱的环境中运行应用，尝试绕过检测，并显示应用接下来的行为。您将获得加固评分和绕过证据。

   仍由您负责的部分

   针对已被入侵设备的策略，以及沙箱或容器技术的选择。

3. 03

   MAS TRM 指南，14.2.1 至 14.2.5

   登录时使用 MFA，并对高风险操作进行签名

   文本的内容

   在线金融服务的登录应部署多因素认证。在移动应用或浏览器与验证客户密码的系统之间对密码进行端到端加密。对高风险活动实施交易签名，例如变更联系方式、登记第三方收款人、大额资金转账以及变更转账限额。基于时间的一次性密码有效期应在可行范围内尽量短。

   来源：MAS TRM 指南，14.2.1 至 14.2.5

   对您的移动应用意味着什么

   收款人变更、限额提高和联系方式变更正是诈骗者的目标。无论应用发送什么内容，签名步骤都必须在服务器端有效。

   Ostorlab 如何提供帮助

   Ostorlab 使用您的测试账户完成短信、电子邮件或 TOTP 一次性验证码，测试 MFA 强制执行和增强验证流程（包括攻击者试图操纵它们的方式），以及账户变更背后的 API 调用。

   仍由您负责的部分

   选择认证和签名方法，以及设定一次性密码有效期和限额。

4. 04

   MAS TRM 指南，14.2.6、14.2.9 和 14.2.11

   保护会话和凭据

   文本的内容

   在整个交互过程中保持已认证会话及其加密完整，检测并终止被劫持的会话，并在预定义的不活动时长后自动结束在线会话。在存储和传输中加密生物特征数据和凭据，并以能够抵御逆向工程的形式存储凭据。

   来源：MAS TRM 指南，14.2.6、14.2.9 和 14.2.11

   对您的移动应用意味着什么

   会话过期、注销时的令牌失效以及凭据在设备上的存放方式，都是应用及其后端具体、可测试的行为。

   Ostorlab 如何提供帮助

   认证测试覆盖登录和注销、令牌刷新、超时、会话失效和 MFA 强制执行，流量分析则显示凭据如何从应用传输到后端。

   仍由您负责的部分

   超时时长、生物特征校准以及凭据吊销流程。

5. 05

   MAS TRM 指南，6.4.4 至 6.4.7

   在投入生产前保护并测试您的 API

   文本的内容

   为 API 制定安全标准，保护 API 密钥和访问令牌，并为访问令牌设定合理且强制执行的有效期。对通过 API 发送的敏感数据使用强加密。在 API 部署到生产环境之前进行严格的安全审查和测试，监控 API 使用情况以发现可疑活动，并能够在发生泄露后及时吊销密钥或令牌。

   来源：MAS TRM 指南，6.4.4 至 6.4.7

   对您的移动应用意味着什么

   应用调用的 API 承载着与应用相同的数据。它们的访问控制和令牌处理需要在每次发布前进行测试，而不是只测一次。

   Ostorlab 如何提供帮助

   即使启用 TLS 证书固定，Ostorlab 也能拦截应用流量，测试 API 是否存在失效的授权（BOLA、BFLA、IDOR）、令牌和会话的滥用，以及枚举、重放和自动化等滥用行为，并为每项发现提供请求和响应证据。

   仍由您负责的部分

   API 设计、第三方审查、API 实时监控和密钥吊销。

6. 06

   MAS TRM 指南，6.1 至 6.3 和附件 A

   在开发过程中测试应用安全

   文本的内容

   采用安全编码、源代码审查和应用安全测试标准。在集成第三方和开源代码之前对其进行审查和测试，并跟踪其更新和已报告的漏洞。结合使用静态、动态和交互式测试方法。跟踪发现的所有问题，并在部署到生产环境之前修复重大问题。在敏捷开发和 DevSecOps 中采用相同的标准。

   来源：MAS TRM 指南，6.1 至 6.3 和附件 A

   对您的移动应用意味着什么

   应用的每个版本在上架商店之前都应通过自动化安全测试，包括其捆绑的 SDK 和库。

   Ostorlab 如何提供帮助

   Mobile SAST 直接分析 APK、AAB 或 IPA，无需源代码，并对嵌入的 SDK 进行污点分析。Mobile DAST 运行应用，SCA 则识别静态编译库的指纹。所有这些都从您的 CI/CD 流水线对每个构建运行。

   仍由您负责的部分

   安全编码标准、开发人员培训、人工代码审查以及职责分离。

7. 07

   MAS TRM 指南，13.1、13.2 和 13.6

   开展漏洞评估和渗透测试

   文本的内容

   定期开展漏洞评估（包括应用漏洞），频率应与系统的重要性和暴露程度相匹配。对在线金融服务结合开展黑盒和灰盒渗透测试；灰盒是指以与普通客户相同的权限进行测试。对于可从互联网直接访问的系统，至少每年开展一次渗透测试，或在系统发生重大变更或更新时开展。按严重性评级和修复时限跟踪并解决问题。

   来源：MAS TRM 指南，13.1、13.2 和 13.6

   对您的移动应用意味着什么

   您的移动银行应用及其 API 都面向互联网。请规划每年至少一次渗透测试，在重大版本发布时再次测试，并纳入登录后测试。

   Ostorlab 如何提供帮助

   AI 智能体渗透测试基于您交付的版本，测试登录后的应用及其 API，AI 智能体的每个发现都附有可重放的有效漏洞利用。发现会被评为严重、高、中或低风险，以工单形式跟踪，并在修复发布后进行复测。

   仍由您负责的部分

   选择由谁执行年度渗透测试、生产环境测试、漏洞赏金计划和红队演练。

8. 08

   MAS FSM-N05 号通知，第 9 段；MAS FSM-N06 号通知，第 4.2、4.3 和 4.6 段

   满足面向银行的约束性通知

   文本的内容

   FSM-N05 号通知要求银行实施 IT 控制措施，保护客户信息免遭未经授权的访问或披露。FSM-N06 号通知要求在与每个漏洞风险相称的时限内应用安全补丁，为每个系统制定书面安全标准，并对通过互联网访问客户信息的任何系统上的所有账户实施多因素认证。

   来源：MAS FSM-N05 号通知，第 9 段；MAS FSM-N06 号通知，第 4.2、4.3 和 4.6 段

   对您的移动应用意味着什么

   这些是义务，而非指导。客户通过应用及其 API 访问其信息，因此这些控制措施也是证据的一部分。

   Ostorlab 如何提供帮助

   Ostorlab 测试应用及其 API 中保护客户信息的控制措施，SCA 则将每个版本中的组件与已知漏洞对应，并跟踪其关闭情况。

   仍由您负责的部分

   服务器和基础设施的补丁修复、每个系统的安全标准，以及管理员账户。

9. 09

   《共担责任框架指南》，4.2 和 6.2

   将反诈骗义务落实到应用中

   文本的内容

   根据共担责任框架，负有责任的金融机构在设备上激活数字安全令牌时，必须设置至少 12 小时的冷静期，期间不得执行高风险活动。它必须针对令牌激活和高风险活动发送实时警报，提供可自助冻结移动和在线访问的功能，并开展实时欺诈监控。未履行这些义务所造成的损失，预期由金融机构承担。

   来源：《共担责任框架指南》，4.2 和 6.2

   对您的移动应用意味着什么

   其中多项义务位于应用中：冷静期、警报以及紧急冻结开关。如果它们可以通过应用或其 API 被绕过，损失可能由您承担。

   Ostorlab 如何提供帮助

   AI 智能体渗透测试检验支付和账户流程的业务逻辑，API 测试则检查账户变更背后调用的授权和重放。

   仍由您负责的部分

   欺诈监控、警报送达、报告渠道和损失评估。

本页概述了 MAS 的公开文本，核对日期为2026年9月27日。TRM 指南属于指导性文件，MAS 在监管金融机构时会考虑其对指南精神的遵循程度。本页不构成法律意见。