阻止恶意攻击者攻击您的移动应用

Beth McElroy高级联盟经理 | F5

移动用户在使用手机购物、办理银行业务、查看健康信息及进行其他活动时，仍不断受到移动恶意软件和其他恶意活动的侵扰。最终用户固然需要采取措施避免遭受攻击，但确保移动环境安全的最终责任在于应用提供商，包括产品团队、运营团队以及隐私和安全团队。还必须防止未经授权的人员窥探这些移动应用中传输的敏感数据。

移动端风险略有不同

尽管各组织加大了对云、网络和Web应用防护的投入，但许多组织仍采用与传统端点相同的方式来对待移动应用，无论这些端点是企业自有的台式机和笔记本电脑，还是自带设备（BYOD）。

然而，移动环境可能带来独特的挑战，使这些系统面临被入侵的风险。例如，攻击者通常会采用以下方法入侵设备、窃取数据、获取特权访问权限并滥用应用程序：

• 重新打包移动应用
• 注入恶意软件
• 劫持Hook框架
• 实施覆盖层攻击

一旦恶意行为者控制了移动应用，就可能以该应用为跳板，通过自动化攻击对服务器端应用发起攻击。他们可能会实施各种恶意机器人攻击，例如凭据填充、账户接管、数据抓取等。

任何安全计划的主要目标都是保护环境免遭入侵，但要实现这一最终目标，通常首先需要满足以下合规标准：

• 隐私：GDPR、CCPA
• 支付：EMVCo SBMP、PCI-DSS和PSD2
• 健康记录：HIPAA

正因如此，Google Cloud和F5的专家联合举办了一场网络研讨会，共同探讨这些挑战，并为云工程团队、应用开发人员、运维团队和安全专业人员指明前进方向，帮助各方协作，确保在各自的DevSecOps计划中充分管理移动应用安全。

从整体来看，其中一项关键工作是选择合适的基础设施，既能满足当今现代化自适应移动应用的需求，又能将安全和隐私保护无缝延伸至最终用户，同时不影响用户体验。同样重要的是，保护CI/CD流水线的交付流程，避免中断和延迟。

不同视角至关重要

在网络研讨会期间，Jess Steinbach担任主持人，来自ActualTech Media。她带领Google Cloud战略技术合作伙伴经理Joshua Haslett和F5网络安全布道师Peter Zavlaris探讨了多个场景。

业务领导力

组织遵守一项或多项法规或标准，并不意味着其移动应用面临的风险和法律影响就会消失。同样，移动应用的风险状况需要采用不同于传统Web应用的视角来评估，但仍应纳入整体风险评估。

专家组还讨论了，当移动应用可能被恶意行为者接管时，企业领导者如何发挥更积极的作用，帮助确定并量化企业风险的变化。

IT和安全运营

IT和安全团队可以协同合作，更充分地准备对基础设施进行必要调整，从而将移动应用安全成功融入开发和交付生命周期。

当然，目标是在不对工具、交付、团队结构或运营造成重大影响的情况下实现这一点。专家组讨论了如何利用低代码技术部署和配置移动应用安全，以及如何借助以往渗透测试或审计的结果，制定相关战略、规划和沟通方案，从而构建更稳健且涵盖移动应用的AppSec计划。

工程与开发者运维

为了帮助该团队更好地了解其开发的移动应用可能如何遭到入侵，嘉宾小组介绍了应用重新打包和挂钩攻击的原理，并结合实战经验，分享了工程和运维团队如何协同，更好地保护应用免受这些威胁。

值得关注的是，专家组还介绍了工程团队如何通过全面了解移动应用中的安全风险并制定应对计划，发掘CI/CD流水线中的潜在价值。安全措施有时不仅能缓解风险，在这种情况下，还能改进流程和成果。

真实案例彰显采取行动的价值

该小组还讨论了一些实际案例，以说明将移动应用纳入更广泛的CI/CD和DevSecOps流程的必要性：

• 保持合规：团队能够满足GDPR和HIPAA等法规要求，同时对移动应用的交付和维护几乎不产生影响。
• 简化运营：IT运营团队可以更有效地应对日益增多的移动威胁，同时避免团队过度疲劳，并在团队内部以及与高管团队的沟通中采用最佳实践。
• 应用内威胁防御：DevOps团队可以持续监控和评估AppSec态势，抵御针对运行时应用的威胁，并与SecOps团队交换关键信息，以尽可能有效地响应威胁。

遏制愈演愈烈的移动攻击

如果想了解您的移动应用安全计划在应对针对这些系统的实时运行时威胁方面表现如何，欢迎观看点播网络研讨会“阻止恶意攻击者攻击您的移动应用”。

关于作者

Beth McElroy高级联盟经理 | F5

Beth McElroy 的更多博客文章