App Vetting
Ostorlab App Vetting proporciona una evaluación automatizada de seguridad, privacidad, malware, confianza y mantenibilidad para aplicaciones Android e iOS. Combina análisis estático, análisis dinámico y ejecución en un sandbox de contención seguro para evaluar los paquetes de aplicaciones, el comportamiento en tiempo de ejecución (runtime), los servicios de terceros y los indicadores de riesgo.
Análisis de App Vetting
Una evaluación exhaustiva de aplicaciones móviles centrada en la postura de seguridad, el comportamiento de privacidad, los indicadores de malware, las señales de confianza y el riesgo de mantenibilidad.
Características clave
- Análisis estático de paquetes de aplicaciones Android e iOS.
- Análisis dinámico del comportamiento de la aplicación en tiempo de ejecución (runtime).
- Ejecución en un sandbox de contención seguro para un análisis de comportamiento controlado.
- Detección de indicadores de malware, comportamiento de spyware y cargas útiles (payloads) sospechosas.
- Identificación de vulnerabilidades de seguridad, configuraciones inseguras y uso indebido de criptografía.
- Análisis de riesgos de privacidad, rastreadores, permisos y flujos de datos.
- Evaluación de las señales de confianza de la aplicación, la reputación del desarrollador y la fuente de distribución.
- Análisis de mantenibilidad que cubre componentes obsoletos, antigüedad del framework y riesgo a largo plazo.
- Puntuación de riesgo ponderada en las dimensiones de Malware, Seguridad, Privacidad, Confianza y Mantenibilidad.
Puntuación de riesgo
App Vetting utiliza un modelo de puntuación ponderada multidimensional para evaluar el riesgo general de una aplicación móvil.
Características clave
- Evaluación de riesgo de malware para comportamiento malicioso, troyanos, spyware y patrones de ejecución sospechosos.
- Evaluación de riesgo de seguridad para vulnerabilidades, patrones de implementación inseguros y problemas de OWASP Mobile Top 10.
- Evaluación de riesgo de privacidad para PII expuesta, uso de rastreadores, comunicación en texto claro y flujos de datos no autorizados.
- Evaluación de confianza basada en la reputación de la aplicación, señales del desarrollador, integridad del paquete y comprobaciones de distribución.
- Evaluación de mantenibilidad para la antigüedad de las dependencias, el uso de frameworks, la salud del código y la exposición a riesgos futuros.
El modelo de puntuación predeterminado utiliza las siguientes ponderaciones:
| Dimensión | Ponderación |
|---|---|
| Malware | 35% |
| Seguridad | 25% |
| Privacidad | 20% |
| Confianza | 10% |
| Mantenibilidad | 10% |
Sandbox de contención seguro
Un entorno de ejecución controlado utilizado para observar el comportamiento de la aplicación sin exponer los sistemas de producción o los dispositivos de los usuarios.
Características clave
- Monitoreo en tiempo de ejecución (runtime) del comportamiento de la aplicación.
- Análisis de llamadas a la API del sistema y operaciones sensibles.
- Inspección de conexiones de red salientes.
- Detección de recopilación de telemetría y comunicación con terceros.
- Identificación de posible comportamiento de exfiltración de datos.
- Análisis de comportamiento de aplicaciones sospechosas o de alto riesgo.
Evaluación de telemetría Zero-Trust
Una evaluación centrada en la telemetría que inspecciona la comunicación saliente, el comportamiento de rastreo y el movimiento de datos desde una perspectiva zero-trust.
Características clave
- Detección de rastreadores de terceros y SDK de análisis.
- Análisis de flujos de datos hacia servicios externos.
- Identificación de comunicaciones en texto claro o débilmente protegidas.
- Revisión del uso de permisos frente al comportamiento observado.
- Evaluación de la actividad en tiempo de ejecución (runtime) que afecta a la privacidad.
- Mapeo del comportamiento de telemetría a riesgos de privacidad y cumplimiento.
Cómo usar App Vetting
App Vetting se puede usar para evaluar aplicaciones públicas de Android e iOS desde el panel de control de Ostorlab.
Ejecutar un análisis de App Vetting
Para ejecutar un análisis de App Vetting desde el panel de control de Ostorlab:
- Abra el menú del panel de control.
- Haga clic en Scanning.
- Seleccione App Vetting.
- Ingrese el paquete o el nombre de una aplicación pública para buscar en el inventario de análisis.
- Seleccione la aplicación de los resultados.
- Abra los resultados del análisis para revisar la puntuación de riesgo y los hallazgos.
App Vetting recupera los datos de análisis disponibles para la aplicación pública seleccionada y muestra los resultados de la evaluación en la vista de análisis.
Revisar la puntuación de riesgo
Después de abrir los resultados del análisis, revise la puntuación de riesgo general de la aplicación y el desglose de la puntuación por dimensión.
La puntuación se calcula en las siguientes categorías:
- Malware
- Seguridad
- Privacidad
- Confianza
- Mantenibilidad
Utilice el desglose de la puntuación para identificar qué áreas de riesgo contribuyen más al riesgo general de la aplicación.
Revisar los hallazgos (Findings)
Abra la sección de hallazgos (findings) para revisar los riesgos detectados y los detalles técnicos.
Los hallazgos pueden incluir:
- Indicadores de malware.
- Vulnerabilidades de seguridad.
- Riesgos de privacidad.
- Comportamiento de rastreadores y SDK.
- Observaciones de telemetría en tiempo de ejecución (runtime).
- Comunicación de red saliente.
- Señales de confianza y reputación.
- Problemas de mantenibilidad.
Cada hallazgo incluye detalles técnicos para respaldar la revisión, el triaje y la remediación.
Resultados y entregables
App Vetting proporciona resultados estructurados que ayudan a los equipos a evaluar el nivel de riesgo de una aplicación móvil.
Entregables clave
- Puntuación de riesgo general de la aplicación.
- Desglose de la puntuación de riesgo por categoría.
- Indicadores de malware y comportamiento sospechoso.
- Vulnerabilidades de seguridad y configuraciones inseguras.
- Riesgos de privacidad y observaciones de flujos de datos.
- Información sobre rastreadores y SDK de terceros.
- Señales de confianza y reputación.
- Hallazgos de mantenibilidad.
- Observaciones de telemetría en tiempo de ejecución (runtime).
- Detalles de comunicación de red.
- Evidencia técnica para los hallazgos identificados.
Buenas prácticas
Use App Vetting como parte de un proceso continuo de revisión de aplicaciones móviles.
Práticas recomendadas
- Revise las aplicaciones antes de la aprobación empresarial o el uso interno.
- Vuelva a verificar las aplicaciones cuando se publique una nueva versión pública.
- Revise tanto la puntuación general como el desglose por categoría.
- Priorice los hallazgos de malware, privacidad y seguridad crítica en primer lugar.
- Valide los hallazgos de alto impacto con el propietario o proveedor de la aplicación cuando sea necesario.
- Compare aplicaciones utilizando la misma línea base de puntuación.
- Utilice los detalles de los hallazgos para respaldar decisiones de seguridad, privacidad, adquisiciones o riesgos de proveedores.