コンテンツにスキップ

モバイルシールドスキャン (Mobile Shielding Scan)

モバイルシールドスキャン（Mobile Shielding Scan）は、Android および iOS アプリケーションにおけるアプリケーションの堅牢化（hardening）、コード保護、および改ざん防止（anti-tampering）対策の有効性を評価するために設計された、専用のセキュリティ評価プロファイルです。

標準的な脆弱性スキャンとは異なり、シールドスキャンは、リバースエンジニアリング、不正な改ざん、動的解析、およびデバッグ（debugging）に対するバイナリの耐性を検証することに焦点を当てています。Mobile Deep Agentic Scanには、脆弱性テストに加えて同じチェックが含まれます。堅牢化のみをテストするには、このプロファイルを実行してください。

🎯 主な機能と対象範囲

モバイルシールドスキャンは、複数の堅牢化ベクトルにわたって詳細な自動検証を実行します：

  • Android および iOS での難読化検出： 暗号化された文字列の分布、名前の縮小、よく知られた難読化ツールのシグネチャ検出などのシグナルを使用して、難読化の適用範囲を評価します。
  • 改ざん防止およびデバッグ防止のチェック： デバッガの存在、インスツルメンテーションツール、シグネチャの破損、および実行時の改ざんや解析を検出・拒否することを目的としたその他のメカニズムに関連する保護機能を評価します。
  • Root および 脱獄（Jailbreak）検出： ルート化または脱獄された環境でアプリケーションを実行し、環境チェックが存在し有効であるかどうかを判断するために、その反応を観察します。
  • AI によるバイパス検証： AI を活用したバイパスフェーズを使用して、シールド制御が回避または回避試行に直面したときにどれだけ耐性があるかをテストします。

🚀 設定および構成ガイド

モバイルシールドスキャンを開始するには、以下のステップバイステップガイドに従ってください：

ステップ 1: アプリケーションの選択

  1. トップバーの New Scan をクリックします。

    新規スキャンフローを開く

  2. ターゲットアセットのソースを選択します。

    • PlayStore / AppStore：公開済みアプリケーションを検索して選択します。
    • Android App / iOS App：ビルド済みの APK、AAB、IPA をアップロードします。
    • iOS TestFlight：TestFlight のビルドを選択します。

    （任意）スキャンのタイトルを設定します。

    モバイルアプリケーションのソースを選択する

  3. ターゲットのモバイルアプリケーションを検索または選択し、Continue をクリックします。任意の Extra Context ステップでは関連アセットを追加できます。スキップするには Continue をクリックします。

    モバイルアプリケーションを検索または選択する

ステップ 2: スキャンプロファイルの選択

  1. スキャンプロファイルのオプションで、Mobile Shielding Scan を選択します。これにより、エンジンが専用の静的および動的堅牢化テストを実行するように構成されます。

    モバイルシールドスキャンプロファイルを選択する

  2. Continue をクリックします。

ステップ 3: ガードレールの確認

ガードレールでは、スキャンのスコープとリスクのあるアクションの承認方法を設定します。承認動作を選択し、必要に応じて脆弱性スコープ、ブロックする IP、追加指示を設定します。

  • Approval of actions (AIエージェントのアクションを承認する)：リスクのあるアクションの前に AI エージェントがどう動作するかを選択します。
    • Run without asking：確認なしで実行します。
    • Ask me, block if no answer：事前に確認を求め、誰も応答しない場合はアクションをスキップします。
    • Ask me, run if no answer：事前に確認を求め、誰も応答しない場合はアクションを続行します。
  • Vulnerability scope、Blocked IPs、Additional instructions は任意です。

Continue をクリックします。

ガードレールを確認する

ステップ 4: AI プロバイダーとエフォートの構成 (AI Provider & Effort)

モバイルシールドスキャンは、Ostorlab の Cybermodels、または BYOK Simple / BYOK Advanced による独自 API キーで実行できます。Simple はすべての段階で1つのプロバイダーキーを使い、Advanced はタスクごとにキーとモデルを選択できます。

  1. スキャンに使用する AI プロバイダー（Cybermodels、BYOK Simple、BYOK Advanced のいずれか）を選択します。Continue をクリックします。

    AI プロバイダーを選択する

  2. アプリケーションの複雑さとサイズに基づいて、Effort を設定します：

    • Core（50トークン）： 標準的な堅牢化インジケーターの迅速なベースライン検証。
    • Advanced（200トークン）： 中程度の実効カバレッジを伴う、バイナリ耐性の深い調査。
    • Elite（400トークン）： 徹底的かつ高度に並列化された評価。
    • Custom Tokens： 任意のトークン数を設定します。

    Estimate this scan をクリックすると、アプリケーションに応じたトークンの見積もりと推奨エフォートが表示されます。

    エフォートレベルを構成する

  3. Continue をクリックします。

ステップ 5: 任意のステップと送信

  1. 必要に応じて任意のステップを設定します。
    • Prompts：アプリケーションに対するエージェントの操作を指示します。
    • Test Credentials：ログインし、認証後の保護機能をテストできます。
    • Advanced Settings：リクエストレート、プロキシ、URL スコープを設定します。
    • Tags：スキャンを整理するラベルを追加します。

  2. 右側のパネルで Start scan をクリックして、スキャンをキューに入れて開始します。

    モバイルシールドスキャンを開始する

📊 スキャン結果の確認

スキャンが完了したら、トップバーの Scans から開きます。Vulnerabilities リストには、テストされた保護機能ごとに 1 件の結果が表示されます：

  • Secure： 保護機能が実装され、有効に機能したことを示します（例：Root/Jailbreak Detection Implemented、Android Obfuscation Detected）。
  • Hardening（未実装）： 保護機能が実装されていないことを示します（例：Missing Frida Instrumentation Detection、SSL/TLS Certificate Pinning Not Implemented）。

モバイルシールドスキャンの結果を確認する

結果を開くと、その説明、テスト内容の技術的な詳細、および修正のための推奨事項を確認できます。

結果の詳細を確認する