App Vetting
Ostorlab App Vettingを使用すると、組織はGoogle Play、Apple App Store、およびHuawei AppGalleryで利用可能なサードパーティ製モバイルアプリケーションを、従業員のインストールや企業導入のために承認する前に評価できます。
各App Vettingレポートは、静的解析、動的サンドボックス実行、ゼロトラストテレメトリ解析、およびストアのメタデータを組み合わせて、統一された客観的なセキュリティおよびプライバシー評価を提供します。
主な利点
- 共有された公開判定: 審査評価は組織間で共有されます。アプリケーションがすでに分析されている場合、スキャンを再実行することなくすぐに結果を利用できます。
- マルチプラットフォームサポート: Android、iOS、およびHarmonyOSアプリケーションのネイティブサポート。
- 客観的な0〜100のスコアリング: 5つのコアセキュリティ、プライバシー、および運用次元にわたる標準化されたスコアリング。
- プライバシー保護: App Vettingレポートは、内部スキャンインフラストラクチャを公開することなくセキュリティポスチャを要約します。
App Vetting評価の検索とリクエスト
App Vetting評価を表示またはリクエストするには:
- 左側のナビゲーションメニューから Scanning > App Vetting に移動します。
-
アプリケーションタイトルまたはパッケージ名 / バンドルID（例：
com.example.app）を入力してアプリケーションを検索します。 -
アプリケーションがまだ審査されていない場合は、Request App Vetting Scan をクリックします:
- ターゲットプラットフォーム（Android、iOS、または HarmonyOS）を選択します。
- 公式のパッケージ名 / バンドルIDを入力します。
- アプリケーションタイトルを入力して Submit をクリックします。
バックグラウンドで自動セキュリティスキャンが送信され、App Vettingレポートが作成されます。
評価基準とスコアリングシステム
すべてのApp Vetting評価は、5つのコア基準にわたって対象のモバイルアプリケーションを評価し、詳細な根拠とともに 0（深刻な懸念） から 100（クリーン / 最良） までのスコアを算出します:
| 基準 | 評価範囲 |
|---|---|
| 安全性 / 悪意 | マルウェアやスパイウェアのインジケーター、欺瞞的な機能、C2サーバー、危険な機能の使用など、有害または悪用的な動作を検出します。 |
| 技術的セキュリティ | 安全でないデータストレージ、弱い暗号化、平文ネットワークトラフィック、脆弱な依存関係など、技術的な脆弱性の露出を評価します。 |
| プライバシー | 追跡SDK、過剰なデバイス権限、個人識別情報（PII）の収集、潜在的なデータ漏洩など、ユーザーデータの取り扱いを分析します。 |
| 導入実績 | ダウンロード数、ユーザー評価、パブリッシャーの評判、パッケージの整合性チェックを使用して、ストアでの採用とコミュニティの信頼を測定します。 |
| 保守性 | 更新の最近性、リリース頻度、依存関係の年齢、およびフレームワークの使用状況に基づいて、開発者の保守活動を評価します。 |
総合加重スコアの計算
総合App Vettingスコアは、5つの基準すべての加重平均として計算されます:
- 安全性 / 悪意: 35%
- 技術的セキュリティ: 25%
- プライバシー: 20%
- 導入実績: 10%
- 保守性: 10%
スコア範囲とリスクバンド
App Vettingでは、レポートのステータスバナーと個々の基準スコアチップの両方に視覚的なカラーコードを使用します。
総合評価バナー
App Vettingレポートのトップステータスバナーは、全体的なリスクを 3つの主要な判定バンド に分類します:
| 総合スコア | バナーステータス | 色 | 推奨事項 |
|---|---|---|---|
| 70 - 100 | Verified Safe to Install | 緑 | 承認済み: 低リスク。企業導入に対して安全です。 |
| 50 - 69 | Install with Caution | オレンジ | 中程度のリスク: 中程度の重大度の検出結果が検出されました。セキュリティレビューを推奨します。 |
| 0 - 49 | Not Safe to Install | 赤 | 高リスク: 重大なセキュリティ脆弱性または悪用的な動作が検出されました。インストールしないでください。 |
基準とバッジのスコアリング範囲
個々の基準スコアとテーブルバッジは 4つのスコアバンド に対応します:
| スコア範囲 | UIバッジ | 評価レベル | 範囲 |
|---|---|---|---|
| 90 - 100 | 緑 | 優れた | 優れたセキュリティ、プライバシー、および保守ポスチャ。 |
| 70 - 89 | 青 | 良好 | 軽微な低リスクの観察結果を伴う良好な全体的ポスチャ。 |
| 50 - 69 | オレンジ | 中程度 | 注意または構成の強化を必要とする中程度のリスク領域。 |
| 0 - 49 | 赤 | 不良 / 深刻 | 高リスクまたは重大な脆弱性の検出結果。 |
安全な格納サンドボックスとゼロトラストテレメトリ
App Vettingは、安全な実行サンドボックスを使用して、内部システムを公開することなくアプリケーションの実行時動作を分離して観察します。
主な機能
- 実行時モニタリング: システムAPI呼び出しおよびファイルアクセスのアクティブ分析。
- ネットワーク検査: 暗号化されていないPIIおよびC2サーバーを検出するためのアウトバウンドトラフィックの検査。
- ゼロトラストテレメトリ評価: サードパーティSDKおよびバックグラウンドデータフローの監査。
- 行動的マルウェア解析: 隠されたペイロードと回避手法の識別。
評価ステータスのライフサイクル
App Vetting評価は、ライフサイクル中に次のステータス状態を移行します:
- Pending: スキャンリクエストは処理キューに入っています。
- Scanning: サンドボックス環境で自動モバイルセキュリティスキャンが実行中です。
- Scored: 分析が完了し、基準スコアが公開されています。
- Failed: スキャンまたはスコアリングプロセスでエラーが発生し、再トリガーが必要です。
詳細な監査結果の確認
アプリケーションをクリックすると、完全な App Vettingレポート が開きます:
- ヘッダーとストアメタデータ: ストア評価、対象年齢、国、価格、最終更新日を表示します。
- 詳細な監査パネル: 個々の基準（Security Audit、Privacy Audit、Malware Sandbox、Trust & Adoption、Maintainability）を展開して、特定の検出結果を確認します。
App Vettingレポートの共有
外部ベンダーやチームメンバーとApp Vetting評価を共有できます:
- 対象のApp Vettingレポートを開きます。
- 上部アクションバーの Share Report または View Full Scan をクリックします。
- 生成された安全な共有リンクをコピーします。
共有アクセスリンクを使用すると、外部のレビュー担当者が組織メンバーシップを必要とせず、機密性の高い内部インフラストラクチャを公開することなく、安全にセキュリティ評価を確認できます。
推奨されるベストプラクティス
- 導入前の審査: BYODまたはコーポレートデバイスへのインストールを許可する前にサードパーティアプリを審査します。
- バージョン更新時の再評価: パブリックストアでメジャーアップデートが公開されたときにアプリケーションを再審査します。
- バランスの取れたリスク分析: 総合スコアとカテゴリごとの内訳の両方を評価します。
- ベンダーリスク管理: 調達時に共有App Vettingレポートを使用して、ソフトウェアベンダーにセキュリティ修正を依頼します。