Saltar a contenido

Requisitos previos del análisis móvil

Visión general

Ostorlab realiza análisis estáticos, dinámicos y de comportamiento de aplicaciones móviles. Estas capacidades utilizan un amplio espectro de motores, herramientas y técnicas para eludir las restricciones de las aplicaciones de producción y evaluar su seguridad.

El análisis dinámico ejecuta la aplicación en un sandbox instrumentado para rastrear cómo interactúa con la red, el sistema de archivos, el llavero (keychain) y las API. Consulte Detección.

Generalmente recomendamos probar las aplicaciones con todo el espectro de protecciones habilitado para validar el impacto de dichas protecciones, así como deshabilitarlas para comparar si se reportaron hallazgos adicionales o si se pasaron por alto debido a estas protecciones.

Formatos de aplicación admitidos

Puede subir archivos de aplicaciones Android, iOS y HarmonyOS. El archivo de iOS debe ser un IPA no cifrado.

Plataforma Formatos de carga Notas
Android .apk, .aab Elija Android App en New Scan.
iOS .ipa Elija iOS App. El IPA debe estar sin cifrar.
HarmonyOS .apk, .aab, .rpk, .app, .hap Elija HarmonyOS App.

Para los pasos de carga, consulte Escanear una aplicación móvil desde un archivo. La lista completa de tipos de activos se encuentra en Tipos de activos admitidos por Multi Asset.

También puede añadir un SBOM o un archivo de bloqueo (lock file) para ampliar la detección de dependencias. Consulte Escaneos con SBOM o Lockfile para ver los archivos admitidos.

El código fuente se escanea por separado, desde un repositorio Git o un archivo comprimido subido (.zip, .tar.gz, .tgz, .7z). Consulte Escaneo de código fuente.

Escaneos desde la tienda y TestFlight

Puede seleccionar una aplicación publicada desde su tienda, o proporcionar el enlace público de una compilación de iOS TestFlight.

Desde una tienda:

  • Seleccione PlayStore para Android, AppStore para iOS o AppGallery para HarmonyOS.
  • Busque la aplicación por su nombre, nombre de paquete, nombre de bundle o bundle ID.
  • Si la aplicación solo está disponible en algunos países, elija uno en el menú Country.

Consulte Escanear una aplicación móvil desde la tienda.

Desde TestFlight:

  • Seleccione iOS TestFlight e introduzca la URL pública de TestFlight.

Consulte Escanear una aplicación móvil de iOS usando TestFlight.

Compatibilidad de frameworks

La compatibilidad depende del framework y del tipo de análisis. Consulte Soporte de plataforma para ver la tabla completa.

  • Xamarin: se admiten los análisis estático, dinámico, de comportamiento y de backend; el entorno de análisis no.
  • Framework7: se admiten los análisis dinámico, de comportamiento y de backend, además del entorno de análisis; el análisis estático no.
  • Apache Weex: se admiten los análisis dinámico, de comportamiento y de backend, además del entorno de análisis; el análisis estático no.

Mecanismos de protección que afectan las pruebas

1. Ofuscación

La ofuscación de código (Obfuscation) transforma el código fuente legible en una versión funcionalmente equivalente pero difícil de entender, lo que dificulta la ingeniería inversa (reverse engineering).

Impacto en las pruebas: La ofuscación de código hace que los desarrolladores tengan dificultades para leer los seguimientos de pila (stack traces) y saber dónde aplicar las correcciones.

2. TLS Pinning

El anclaje de certificados (TLS Pinning) valida que la aplicación solo se comunique con servidores legítimos codificando de forma rígida (hardcoding) el certificado del servidor esperado o la clave pública.

Impacto en las pruebas: Puede impedir la interceptación del tráfico.

3. Protección en tiempo de ejecución

Los mecanismos de protección en tiempo de ejecución (Runtime protection) detectan y previenen los intentos de manipulación, depuración o instrumentación mientras la aplicación está en ejecución.

Impacto en las pruebas: Impide la instrumentación o parcheo de la aplicación para el análisis dinámico.

4. Prevención del modo de desarrollador

Detección y bloqueo de configuraciones de desarrollador, depuración USB y conexiones de depuración que podrían utilizarse para el análisis de la aplicación.

Impacto en las pruebas: Impide el uso de protocolos de depuración para la instrumentación de la aplicación.

5. Deshabilitar capturas de pantalla

Función de seguridad que impide realizar capturas de pantalla de la aplicación.

Impacto en las pruebas: Impide la toma de capturas de pantalla y podría dificultar ligeramente la exploración y el rastreo (crawling) automatizados de la aplicación.

Enfoque de prueba recomendado

  1. Ejecutar con todas las protecciones habilitadas
  2. Ejecutar con la detección del modo de desarrollador deshabilitada (si corresponde)
  3. Ejecutar con todas las protecciones deshabilitadas

Compare los resultados de las tres ejecuciones para ver si las protecciones ocultaron algún hallazgo.

Para medir qué tan bien resisten las propias protecciones, ejecute un Mobile Shielding Scan. Comprueba la ofuscación, la protección contra manipulación (anti-tampering), la protección contra depuración (anti-debugging) y la detección de root y jailbreak, y ejecuta la aplicación en entornos con root o jailbreak para esta última comprobación. Mide las protecciones y no es un escaneo de vulnerabilidades. Un Mobile Deep Agentic Scan ejecuta las mismas comprobaciones junto con sus pruebas de vulnerabilidades. Consulte Comparación de tipos de escaneo.

Limitaciones conocidas