服務簡介

透過「專家APP檢測服務」,可以快速、全面地分析APP弱點,找出APP程式中OWASP手機十大風險;本團隊透過輔導客戶修補APP程式碼,更可以有效提升APP安全品質,在精準修正APP弱點的狀況下,同時也降低了開發人員過度投入修補APP程式的成本

APP程式威脅所在:

  1. 程式位於客戶端,易被逆向分析與破解
  2. 新興應用,程式安全開發理念尚未普及
  3. 預設信任的連線來源,若被惡意使用者操弄,可突破層層防禦,直接觸碰內部伺服器

目的與效益

行動APP檢測服務係由熟悉駭客思維的檢測專家,透過動靜態分析檢測APP與後端介接伺服器安全性,最後由專家依情況量身打造修補建議,藉此協助貴單位提升APP安全強度。

APP檢測透過靜態與動態的方式分析目標 OWASP MOBILE TOP 10 RISK 2024
M1 - Improper Credential Usage 不當的憑證使用
M2 - Inadequate Supply Chain Security 供應鏈安全不足
M3 - Insecure Authentication/Authorization 不安全的身分驗證/授權
M4 - Insufficient Input/Output Validation 不足的輸入/輸出合法性檢查
M5 - Insecure Communication 不安全的通信
M6 - Inadequate Privacy Controls 不當的隱私控制
M7 - Insufficient Binary Protections 不足的二進制保護
M8 - Security Misconfiguration 安全性配置不當
M9 - Insecure Data Storage 不安全的資料存儲
M10 - Insufficient Cryptography 不足的加密法
  • 靜態分析本階段將利用工具,檢查程式安裝目錄是否存在設定檔或程式執行記錄以明文儲存。此外,檢查APP是否使用防護機制保護APP執行檔防止有心人士進行分析。
  • 動態分析-APP封包側錄:若APP在運行時有連向後端伺服器之行為,本團隊將架設proxy或封包側錄的環境,由檢測人員操作APP對後端伺服器發出request,並從中側錄流量。本階段蒐集之流量,將有助於下一步驟伺服器端自動化掃描與後續人工動態檢測。
  • 伺服器端自動化掃描:本階段透過自動化掃描工具系統化快速篩出後端伺服器上的漏洞。
  • 動態分析-APP行為監控與調測:本階段由檢測人員針對程式上可能的邏輯漏洞、資訊洩漏漏洞、加密缺陷與身分認證漏洞進行調測,找出手機應用程式上的漏洞。
  • APP資料夾內容比對:執行上述檢測步驟後,檢測人員將比對程式「剛安裝時」與「執行檢測後」兩個時期的資料夾內容。檢測人員檢測在操作過程中,手機應用程式會在資料夾內儲存哪些機敏資料,分析機敏資料或設定檔有沒有洩漏或是遭受竄改的可能性。
  • 專家測試與檢測報告產出:檢測的最後由測試人員針對上述所有發現進行綜合分析,若發現已發生之漏洞可能彼此影響,產生新的漏洞或遭受攻擊的可能,則立即驗證漏洞之可利用性,最後將所有發現漏洞的過程記錄於檢測報告中,提供適切的修補建議供客戶參考。

特色與優勢

  • 提供專業、全方位系統安全檢測服務:本團隊提供行動應用APP開發商進行資安檢測服務,強化行動應用APP的資安等級,並有效降低政府、企業與個人的資安風險。
  • 實力堅強的資安團隊打造專業的APP檢測服務行動應用程式APP與使用者關係密切,當程式開發缺乏資安防護意識,APP存在資安漏洞,將導致使用者個資外洩或財產損失。近來資安事件頻傳,尤其金融與交易相關的APP,牽涉到現金的交易,更應注意過程的安全性,避免成為駭客攻擊的標的。
  • 全面項技術能力:本公司長期投入資通安全檢測技術的建立,建立完整資安專業團隊,提供最完備軟硬體資安檢測服務;行動應用APP資安檢測實驗室應用自主建立的「弱點掃描、源碼檢測、滲透測試、資安鑑識、資安健診、資通設備安全檢測、網站應用程式防火牆(WAF)、入侵偵測(IDS/IPS)」等檢測技術,提供客戶專業、全方位的系統安全檢測服務,進一步協助客戶掌握行動應用APP安全。


相關檢測服務:


聯絡我們