解决方案banner

金融行业移动应用安全解决方案

方案背景  

     近年来, 随着移动互联网和通信技术的不断发展,移动应用在金融行业得到了井喷式的高速增长。4G时代的到来让移动端流量猛增,于是各行各业开展移动端入口抢夺大战,加速在无限商业化的布局和变现。基于此,金融行业也正在逐步向移动互联网靠拢, 据统计,2015年金融行业移动APP用户约为8亿,2016年用户约增长至10亿。

手机端金融业务的交易量与支付额快速提升,移动金融成为人们日常生活的重要组成部分。银行、证券、保险、基金、第三方支付等纷纷推出各类移动金融应用,面向不同的人群与场景,提供灵活便捷的移动金融服务。但在移动金融快速发展的同时,其涉及系统和信息的安全问题越来越突出。据赛门铁克2016《年度互联网安全威胁报告》指出,互联网数据黑市中专职于网络诈骗的黑色产业大军高达160万人,在黑市中流通的用户资料则高达6亿条。行业内测算,每年我国因黑产相关造成的经济损失近千亿元。


安全风险

客户端
反编译 通过软件反向工程技术获取客户端软件的核心源代码 1、找到代码和业务逻辑漏洞并加以利用。
2、进行盗版和二次打包,在客户端软件中添加外挂、木马、病毒等恶意内容,窃取用户的金融账户密码等隐私信息。
动态调试 利用调试器跟踪客户端软件的运行,寻求破解的途径 1. 直接输入、更改、跟踪、运行客户程序,观察操作系统、ROM BIOS、RAM内部的数据,造成敏感数据泄漏。
2. 在应用运行过程中修改内存数据、本地存贮数据、篡改交易数据。
钓鱼欺骗 通过仿冒正版应用诱骗用户安装 窃取用户输入的账号、密码、身份证号、交易内容等敏感信息。
界面劫持 病毒或者木马程序在后台检测到客户启动金融类APP时,弹出一层透明的界面遮罩到其操作界面上层。 非法截获用户的金融账户名和密码信息。
“撞库”攻击 将其它途径获得的用户名和密码进行大规模自动化尝试。 由于用户习惯于在不同系统中共用一套用户名和密码,导致黑客成功登录用户账户。
暴力登录尝试 通过攻击字典库对用户名和密码进行枚举攻击 由于用户的密码复杂度不够,黑客成功登录用户账户。
外联风险 很多移动金融应用为了充分整合外部资源,或以APP集成、Wet接入的方式引进了不少第三方应用或者服务。 当第三方应用出现安全漏洞时,对于集成它的移动金融应用及客户,会带来直接风险,如信息泄露、资金转移等。

网络通信

中间人攻击 数据通信采用明文传输或弱加密传输 1、在通信链路中获取传输的敏感数据(如用户名和密码)。
2、篡改传输的交易数据。
https嗅探劫持 即使采用了https协议进行数据传输,配置不当也会留下漏洞。 1、导致https通讯中的敏感信息泄漏甚至远程代码执行。
2、篡改传输的交易数据。

应用服务器端

拒绝服务攻击 攻击者利用分布式服务器,结合自动化程序或者脚本,频繁地向服务端发起请求,可能会造成系统资源被大量占用 服务器端响应缓慢甚至服务完全瘫痪。
重放攻击 通过监听与截获,将用户从客户端发给服务端的请求重新发送一遍,从而试图重复被监听者之前进行过的操作。 导致用户敏感数据泄漏,或错误交易造成用户资金损失。
SQL注入 应用程序对于输入值合法性判断不够完备,服务端逻辑以用户或者外部的输入直接动态构造SQL查询命令时,将可能改变SQL查询语句本来的语义,导致执行任意的SQL命令。 泄露或篡改数据库中的敏感数据。
其它传统应用安全漏洞 如目录遍历、物理路径泄露、缓冲区溢出、失效的访问控制等。 对应用的数据保密性、服务可用性和完整性造成损害。

解决方案

方案整体架构:

能信安针对移动金融发展面临的安全挑战,推出体系化的移动金融应用安全解决方案。方案围绕“金融风险管理”的核心思路,从体系建设、技术控制、态势感知、事件响应四个维度建立覆盖移动应用生命周期的安全能力。整体架构设计如下图所示:

移动金融应用安全解决方案整体架构图


移动金融应用安全管理

从2003年开始,能信安已经为数以百计的政企客户提供专业安全服务,建立了标准化的安全服务体系和经验丰富的专业服务团队。在此基础上,通过对移动金融安全需求的深入调研与分析,为金融客户提供以下专业服务,包括但不限于:


全咨询

1.移动金融全合规性咨询

2.移动金融应用发安全规范

3.移动金融应用安全管理策略

4.移动金融应用系统全运维保障方案设计

5. 移动金融应用系统安全应急预案设

……

 全培训

1.移动金融应用安全合规性要求

2.移动金融应用安全态势及攻击威胁剖析

3. 移动金融应用开发安全规范要求

4.移动金融应用代码安全

5.移动金融应用系统安全应急预案演练

……

移动金融应用安全技术控制

漏洞检测

能信安自主研发的移动应用安全漏洞检测与风险评估系统(MSCAN),结合多项移动应用安全的标准及规范,针对移动应用自身的脆弱性,提供全平台、全链

路安全漏洞检测和风险评估能力。

安全加固

能信安提供基于国内领先的无壳机器码加固技术,通过核心代码加密、关键指令转换、安全SDK加固等三重安全加固,可以有效防止对客户端软件的反编译等

恶意攻击行为。


运行防护

能信安自主研发的业内首款移动应用专用防火墙(SMAF),提供移动应用客户端安全、数据安全通信、应用服务器端安全的三位一体安全防御功能。


动金融应用安全态势感知

渠道监测
能信安运营的渠道监测平台,能够通过智能筛选策略对数百个应用商店中的目标应用进行安全检测,第一时间了解移动金融应用客户端软件在分发渠道中的安全现状(是否存在盗版、二次打包等问题);
 
应用监测
移动应用专用防火墙(SMAF)不仅能够提供三位一体安全防御功能,而且能够实现对移动应用客户端的安全和性能监测,并采集监测日志数据。

数据分析与展现

移动应用专用防火墙(SMAF)内置的数据分析引擎能够对监测日志数据进行分析和展现,为移动金融应用的安全策略设计、安全运维保障、安全事件响应以提供数据支撑。


移动金融应用安全事件响应

渗透测试服务
能信安专业渗透服务团队通过模拟攻击的方式,借助于人工和自动化工具,找出移动金融应用中存在的安全漏洞及缺陷,帮助客户修复并提升应用的安全水平;


应急响应服务

能信安的安全专家服务团队为金融客户提供移动应用安全事件应急响应服务,包括安全事故应急处置、重大事件安全保障驻场服务等。