證券移動業務的整體安全防護

上訊信息 高政偉

随著(zhe)移動互聯網的飛速發(fā)展和移動終端女船的普及，證券移動業務自2012器件年起(qǐ)，迎來了迅猛發(fā)展，券商通過(guò)接入信息化來作爲提用大高競争力的手段，各證券公司都(dōu)相繼推出了自有的市制移動應用服務，基本涵蓋了資訊、行錯到情、開(kāi)戶交易、轉賬、财富管理等多個功能(néng)，成(ché服坐ng)爲連接證券企業與用戶的重要接口。廣大用戶在享受便利的同時(他藍shí)也處于移動安全的風險之中，證券類移為個動應用面(miàn)臨著(zhe)盜到笑版軟件、隐私洩露、用戶密碼被(bèi)竊取、數據被(bè湖小i)修改等諸多風險。

1）移動應用存在安全漏洞，應用由不同背景的團隊開(k電們āi)發(fā)，并且集成(chéng)大量三方SDK，程序代那水碼自身潛在的安全漏洞風險和敏感數據洩露，給移動業務帶來極大的安全威聽頻脅。

2）移動應用存在破解風險，非法人員借助第三方工具，對(睡多duì)移動應用進(jìn)行逆向(xiàng)分析和惡意破解，甚至篡改重新年廠打包，導緻移動業務遭受重大損失。

3）移動應用存在非法攻擊，在應用運行過(guò)程中，威脅攻擊可能(n書還éng)随時(shí)發(fā)生，若不能(né和學ng)實時(shí)防護，將(jiāng)無務校法保障移動應用的安全可靠運行，影響移動媽動業務的正常開(kāi)展。

4）移動應用較多管理困難，移動應用較多，管理起(商畫qǐ)來比較麻煩，上線發(fā)布渠道(dà地學o)混亂，下載和版本升級的出口衆多，容易帶來應用僞造和仿舞如冒風險。

近些年，金融類移動應用被(bèi湖文)盜版、被(bèi)破譯、數據失竊的事(shì)件屢見不鮮，一旦移在從動應用遭遇黑客攻擊，將(jiāng)會(huì)給懂火企業和用戶帶來直接的經(jīng)濟損失。結合證券行業，這(zhè)些風險也玩紅極有可能(néng)導緻交易APP被(bèi)植朋分入惡意程序後(hòu)再傳播，導緻用戶的密碼或其它信息被(bèi)黃下盜，或者黑客利用漏洞攻入券商的移動服務端，或者客戶被體新(bèi)釣魚而錢款被(bèi)惡意轉賬等風險。

移動業務安全整體防護

針對(duì)證券行業移動業務存在的安全風險，方案通過(guò)安全檢測、安全線議加固、安全沙箱、安全監測和應用商店，構建移動業務的整體安全防美紙護體系，實現移動業務應用的全生命周期防護，保森機障證券移動業務安全。

安全檢測：通過(guò)逆向(xiàng)分析和源碼還(hái)原，采用靜姐腦态特征匹配、動态行爲分析、人機交互模拟和數據流關聯下司分析等多種(zhǒng)自動化掃描方式，發(fā)現應用程序中存在的跳煙安全漏洞和數據洩露，同時(shí)支持個人隐私保護條款和第相靜三方SDK訪問權限的多維度檢測為那，針對(duì)應用存在的安全風險，你數給出詳細的檢測報告和整改建議，并在必要時(shí)輔以人工安全滲透檢友樹測，争取在移動應用上線發(fā)布前報鐵，解決應用程序存在的安全漏洞。

安全加固：采用虛拟機保護機制、JAVA2C和白盒加密技到費術，通過(guò)對(duì)移動應用程序進(j媽冷ìn)行自動化加殼，實現移動應用的防逆向(x路河iàng)分析、防動态調試、防篡改二問微次打包、敏感數據保護和異常運行議門環境監測，保障企業移動應用程序安全。

安全沙箱：通過(guò)應用虛拟安全沙箱，實現光裡應用運行環境隔離，提供敏感權限控制事中、個人隐私保護、數據洩漏防護、數據加密保護、異常運行環境和威脅攻擊監測，增兒長強移動應用業務數據和運行時(shí)的安全性，保障移動業務安全。應用安全沙他那箱，支持應用自動打包和SDK開(kāi)發(fā)集成(c家校héng)兩(liǎng)種(zhǒng)方式，同時(shí)提供安全鍵盤外作、數據加密和安全監測等多種(zhǒng)安全賦能(néng)SDK。

安全監測：通過(guò)在業務應用中置入輕量化安全監測探針，從用戶、設備、應著看用和行爲等多方面(miàn)進(jìn)行持續年妹安全監控，實時(shí)采集移動業務的運行環境刀小、威脅攻擊、敏感操作和數據訪問等信息，經(jī見了ng)過(guò)關聯統計分析、評估安全風險、産生異商多常告警、觸發(fā)響應保護，并通過(guò)可視化的方唱多式進(jìn)行多維度呈現，提供安全态勢感知能(néng)力，幫助管理人員掌東村握移動業務安全的整體态勢，以便及時(shí)發(fā)現并呢機規避移動業務的威脅與風險，保障這雪移動業務安全。

應用商店：在企業内部搭建自有應用商店，進(jìn)行衆多很影移動應用的上線分發(fā)和版本升級，實現應用的集中管理和統一人爸發(fā)布，獨立于第三方移動應用業我商店，有效避免移動應用的僞造和仿冒，保護移動應用安全。

方案特色

應用全周期防護：通過(guò)移動業務安全解決方案，針對(duì)企業自建移動應用，進(jìn開黑)行應用漏洞安全檢測、應用代碼安全加固和紅知應用運行狀态安全監控，結合移動應用商店都見，實現移動應用從代碼開(kāi)發(fā)、上線發(fā)布、安裝運行到版本升頻照級的全生命周期安全防護，達到移亮些動應用的集中統一管理。

數據全周期保護：通過(guò)移動業務安全解決方案，針對(du如市ì)企業移動數據，從移動設備、移動應用和移動内容等多個方面(miàn)，讀動進(jìn)行文件内容加密、頁面(miàn)截屏防護、内容複路城制限制、頁面(miàn)數字水森和印、遠程數據清除和恢複出廠設置等數據洩漏防護，實話信現移動數據從産生、使用、傳輸、存儲雪從到清除的全生命周期保護。

持續性安全監測：通過(guò)移動業務安全解決方案，針對(duì)證聽作券移動化面(miàn)臨的移動安全威脅，從用戶、設備、應用和數據等多方面(mi劇上àn)進(jìn)行持續性監控，實時(shí)采跳這集運行環境、威脅攻擊、敏感操作和數據訪問等行爲信息，經(jī動風ng)過(guò)關聯統計分析，評估安全風險，産生異常鄉村告警，觸發(fā)響應保護措施，感知企業移能多動安全态勢。

滿足安全合規要求：證券移動業務安全解決方案，通過(gu間歌ò)等保2.0三級安全測評要求工友，可將(jiāng)方案能(néng)力輸出為為給企業移動業務應用，幫助應用快速滿足國(guó)家及監管部門合規性要求，減少動舊移動業務合規成(chéng)本。