提供應(yīng)用安全審計(jì)功能的系統(tǒng)及方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及互聯(lián)網(wǎng)技術(shù)領(lǐng)域，具體涉及一種提供應(yīng)用安全審計(jì)功能的系統(tǒng)及方法。
【背景技術(shù)】
[0002]隨著Android系統(tǒng)在智能設(shè)備領(lǐng)域市場(chǎng)份額的增加，Android應(yīng)用的需求越來(lái)越大，越來(lái)越多的開(kāi)發(fā)者加入到Android應(yīng)用開(kāi)發(fā)陣營(yíng)，這些開(kāi)發(fā)者良莠不齊，有的開(kāi)發(fā)方安全意識(shí)缺乏，導(dǎo)致Android應(yīng)用中存在各種安全漏洞。而應(yīng)用程序的安全性直接決定了終端設(shè)備的安全性。當(dāng)應(yīng)用程序中的安全漏洞被攻擊者利用時(shí)，攻擊者就能夠獲得訪問(wèn)重要數(shù)據(jù)、用戶隱私的權(quán)限，可能導(dǎo)致重要數(shù)據(jù)、用戶隱私外泄等問(wèn)題，使應(yīng)用的使用者遭受巨大的損失，無(wú)法得到安全可靠的服務(wù)。
[0003]公知的是，漏洞帶來(lái)的最大問(wèn)題即是木馬，木馬通常會(huì)利用計(jì)算機(jī)程序漏洞侵入后竊取文件和用戶信息。木馬是一種具有隱藏性的、自發(fā)性的可被用來(lái)進(jìn)行惡意行為的程序。歷史上對(duì)計(jì)算機(jī)木馬的定義是，試圖以有用程序的假面具欺騙用戶允許其運(yùn)行的一類滲透。請(qǐng)注意，過(guò)去的木馬確實(shí)是這樣，但現(xiàn)在它們已無(wú)需偽裝自己。它們唯一的目的就是盡可能輕松地滲透并完成其惡意目標(biāo)，從而利用這些漏洞泄露用戶隱私甚至給用戶造成財(cái)產(chǎn)損失。
[0004]因此，目前需要本領(lǐng)域技術(shù)人員迫切解決的一個(gè)技術(shù)問(wèn)題就是:提供一種在開(kāi)發(fā)方發(fā)布應(yīng)用前對(duì)其應(yīng)用進(jìn)行安全審計(jì)的機(jī)制。

【發(fā)明內(nèi)容】

[0005]鑒于上述問(wèn)題，提出了本發(fā)明以便提供一種克服上述問(wèn)題或者至少部分地解決上述問(wèn)題的提供應(yīng)用安全審計(jì)功能的系統(tǒng)和相應(yīng)的提供應(yīng)用安全審計(jì)功能的方法。
[0006]根據(jù)本發(fā)明的一個(gè)方面，提供了一種提供應(yīng)用安全審計(jì)功能的系統(tǒng)，其包括:任務(wù)調(diào)度服務(wù)器、至少一臺(tái)安全審計(jì)服務(wù)器以及多個(gè)終端設(shè)備；每臺(tái)安全審計(jì)服務(wù)器包括至少一個(gè)審計(jì)節(jié)點(diǎn)，每個(gè)審計(jì)節(jié)點(diǎn)唯一對(duì)應(yīng)于一個(gè)終端設(shè)備；
[0007]任務(wù)調(diào)度服務(wù)器適于:接收應(yīng)用程序開(kāi)發(fā)方所提交的應(yīng)用程序的安裝包文件，為每個(gè)應(yīng)用程序創(chuàng)建對(duì)應(yīng)的處理任務(wù)，將處理任務(wù)分配給對(duì)應(yīng)的審計(jì)節(jié)點(diǎn)；
[0008]審計(jì)節(jié)點(diǎn)適于:接收任務(wù)調(diào)度服務(wù)器分配的處理任務(wù)，將處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件傳遞給與審計(jì)節(jié)點(diǎn)對(duì)應(yīng)的終端設(shè)備，以使終端設(shè)備安裝安裝包文件；
[0009]終端設(shè)備適于:安裝審計(jì)節(jié)點(diǎn)傳遞的應(yīng)用程序的安裝包文件，實(shí)際運(yùn)行應(yīng)用程序。
[0010]根據(jù)本發(fā)明的另一方面，提供了一種提供應(yīng)用安全審計(jì)功能的方法，其包括:
[0011]任務(wù)調(diào)度服務(wù)器接收應(yīng)用程序開(kāi)發(fā)方所提交的應(yīng)用程序的安裝包文件，為每個(gè)應(yīng)用程序創(chuàng)建對(duì)應(yīng)的處理任務(wù)，將處理任務(wù)分配給對(duì)應(yīng)的審計(jì)節(jié)點(diǎn)；
[0012]審計(jì)節(jié)點(diǎn)將處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件傳遞給與審計(jì)節(jié)點(diǎn)對(duì)應(yīng)的終端設(shè)備，以使終端設(shè)備安裝安裝包文件。
[0013]根據(jù)本發(fā)明提供的方案，通過(guò)云服務(wù)的方式將審計(jì)結(jié)果提供給應(yīng)用程序開(kāi)發(fā)方，簡(jiǎn)單易用，與客戶端工具相比省去繁瑣的環(huán)境配置與部署；在完全真實(shí)的終端設(shè)備環(huán)境下對(duì)終端設(shè)備進(jìn)行檢測(cè)，與終端設(shè)備模擬器相比，檢測(cè)過(guò)程更加穩(wěn)定，審計(jì)結(jié)果更加準(zhǔn)確。
[0014]上述說(shuō)明僅是本發(fā)明技術(shù)方案的概述，為了能夠更清楚了解本發(fā)明的技術(shù)手段，而可依照說(shuō)明書的內(nèi)容予以實(shí)施，并且為了讓本發(fā)明的上述和其它目的、特征和優(yōu)點(diǎn)能夠更明顯易懂，以下特舉本發(fā)明的【具體實(shí)施方式】。
【附圖說(shuō)明】
[0015]通過(guò)閱讀下文優(yōu)選實(shí)施方式的詳細(xì)描述，各種其他的優(yōu)點(diǎn)和益處對(duì)于本領(lǐng)域普通技術(shù)人員將變得清楚明了。附圖僅用于示出優(yōu)選實(shí)施方式的目的，而并不認(rèn)為是對(duì)本發(fā)明的限制。而且在整個(gè)附圖中，用相同的參考符號(hào)表示相同的部件。在附圖中:
[0016]圖1示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的提供應(yīng)用安全審計(jì)功能的系統(tǒng)的結(jié)構(gòu)示意圖；
[0017]圖2示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的審計(jì)節(jié)點(diǎn)的結(jié)構(gòu)示意圖；
[0018]圖3示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的提供應(yīng)用安全審計(jì)功能的方法的流程圖；
[0019]圖4示出了根據(jù)本發(fā)明另一個(gè)實(shí)施例的提供應(yīng)用安全審計(jì)功能的方法的流程圖。
【具體實(shí)施方式】
[0020]下面將參照附圖更詳細(xì)地描述本公開(kāi)的示例性實(shí)施例。雖然附圖中顯示了本公開(kāi)的示例性實(shí)施例，然而應(yīng)當(dāng)理解，可以以各種形式實(shí)現(xiàn)本公開(kāi)而不應(yīng)被這里闡述的實(shí)施例所限制。相反，提供這些實(shí)施例是為了能夠更透徹地理解本公開(kāi)，并且能夠?qū)⒈竟_(kāi)的范圍完整的傳達(dá)給本領(lǐng)域的技術(shù)人員。
[0021]由于開(kāi)發(fā)方在應(yīng)用程序開(kāi)發(fā)過(guò)程中缺乏安全意識(shí)，或者由于應(yīng)用程序代碼本身存在的問(wèn)題，導(dǎo)致應(yīng)用中存在各種安全漏洞，從而給應(yīng)用的使用者造成不必要的困擾或者財(cái)產(chǎn)損失，本發(fā)明的發(fā)明人基于此，研宄應(yīng)用程序開(kāi)發(fā)方在應(yīng)用程序開(kāi)發(fā)工作結(jié)束后，該應(yīng)用程序發(fā)布前，對(duì)開(kāi)發(fā)方所開(kāi)發(fā)的應(yīng)用程序進(jìn)行漏洞檢測(cè)，通過(guò)將該應(yīng)用程序提交給提供應(yīng)用安全審計(jì)功能的系統(tǒng)，由該系統(tǒng)對(duì)其進(jìn)行安全審計(jì)，來(lái)防止由于應(yīng)用程序存在漏洞而給使用者造成困擾或財(cái)產(chǎn)損失。
[0022]圖1示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的提供應(yīng)用安全審計(jì)功能的系統(tǒng)的結(jié)構(gòu)示意圖。如圖1所示，該系統(tǒng)包括:任務(wù)調(diào)度服務(wù)器101、至少一臺(tái)安全審計(jì)服務(wù)器102以及多個(gè)終端設(shè)備103 ;每臺(tái)安全審計(jì)服務(wù)器102包括至少一個(gè)審計(jì)節(jié)點(diǎn)104，每個(gè)審計(jì)節(jié)點(diǎn)104唯一對(duì)應(yīng)于一個(gè)終端設(shè)備103。
[0023]任務(wù)調(diào)度服務(wù)器101適于:接收應(yīng)用程序開(kāi)發(fā)方所提交的應(yīng)用程序的安裝包文件，為每個(gè)應(yīng)用程序創(chuàng)建對(duì)應(yīng)的處理任務(wù)，將處理任務(wù)分配給對(duì)應(yīng)的審計(jì)節(jié)點(diǎn)。
[0024]可選地，任務(wù)調(diào)度服務(wù)器101提供審計(jì)頁(yè)面，該審計(jì)頁(yè)面提供有應(yīng)用程序的安裝包文件的提交鍵，應(yīng)用開(kāi)發(fā)方通過(guò)觸發(fā)該提交鍵來(lái)提交待審計(jì)的應(yīng)用程序的安裝包文件，任務(wù)調(diào)度服務(wù)器接收應(yīng)用程序開(kāi)發(fā)方通過(guò)審計(jì)頁(yè)面所提交的應(yīng)用程序的安裝包文件，并將該應(yīng)用程序的安裝包文件列為待審計(jì)的處理任務(wù)，任務(wù)調(diào)度服務(wù)器通過(guò)權(quán)衡已注冊(cè)的各個(gè)審計(jì)節(jié)點(diǎn)的負(fù)載信息，將處理任務(wù)分配給對(duì)應(yīng)的審計(jì)節(jié)點(diǎn)，由此，可以保證在部分審計(jì)節(jié)點(diǎn)處于空閑時(shí)優(yōu)先將處理任務(wù)分配給空閑的審計(jì)節(jié)點(diǎn)，從而節(jié)省時(shí)間，避免資源浪費(fèi)。
[0025]可選地，審計(jì)節(jié)點(diǎn)預(yù)先注冊(cè)到任務(wù)調(diào)度服務(wù)器中，每臺(tái)安全審計(jì)服務(wù)器中的審計(jì)節(jié)點(diǎn)支持動(dòng)態(tài)擴(kuò)展，這里的動(dòng)態(tài)擴(kuò)展指安全審計(jì)服務(wù)器中的審計(jì)節(jié)點(diǎn)可以根據(jù)處理任務(wù)的需要進(jìn)行擴(kuò)展，當(dāng)當(dāng)前審計(jì)節(jié)點(diǎn)均處于負(fù)載狀態(tài)下時(shí)，可針對(duì)任務(wù)調(diào)度服務(wù)器新創(chuàng)建的處理任務(wù)擴(kuò)展出相應(yīng)的審計(jì)節(jié)點(diǎn)以對(duì)處理任務(wù)進(jìn)行安全審計(jì)，從而可以保證快速的響應(yīng)開(kāi)發(fā)者提交的安全審計(jì)請(qǐng)求，縮短審計(jì)結(jié)果輸出時(shí)間。
[0026]審計(jì)節(jié)點(diǎn)104適于:接收任務(wù)調(diào)度服務(wù)器分配的處理任務(wù)，將處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件傳遞給與審計(jì)節(jié)點(diǎn)對(duì)應(yīng)的終端設(shè)備，以使終端設(shè)備安裝安裝包文件。
[0027]每個(gè)審計(jì)節(jié)點(diǎn)唯一對(duì)應(yīng)于一個(gè)終端設(shè)備，因此，審計(jì)節(jié)點(diǎn)接收到處理任務(wù)后，只將處理任務(wù)傳遞給與其唯一對(duì)應(yīng)的終端設(shè)備，對(duì)處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件進(jìn)行安全審計(jì)，以及在終端設(shè)備安裝安裝包文件后，對(duì)該終端設(shè)備進(jìn)行安全審計(jì)，采用完全真實(shí)的終端設(shè)備環(huán)境進(jìn)行安全審計(jì)，與終端設(shè)備模擬器相比，審計(jì)過(guò)程更加穩(wěn)定，審計(jì)結(jié)果更加準(zhǔn)確。
[0028]審計(jì)節(jié)點(diǎn)審計(jì)結(jié)束后，將審計(jì)結(jié)果反饋給任務(wù)調(diào)度服務(wù)器，任務(wù)調(diào)度服務(wù)器在審計(jì)頁(yè)面中顯示審計(jì)結(jié)果，供應(yīng)用程序開(kāi)發(fā)方查看。而且安全審計(jì)結(jié)果可以向開(kāi)發(fā)方展示應(yīng)用程序存在哪些漏洞、漏洞修復(fù)建議和漏洞出處，也可以向開(kāi)發(fā)方展示應(yīng)用程序的漏洞等級(jí)，這里主要根據(jù)所涉及到的威脅等級(jí)將漏洞分為高危、中危和低危漏洞，舉例來(lái)說(shuō)，高危漏洞指極易被病毒、木馬、黑客等利用，例如能夠遠(yuǎn)程執(zhí)行代碼的漏洞，開(kāi)發(fā)方可以根據(jù)應(yīng)用程序的漏洞等級(jí)確定是否對(duì)漏洞進(jìn)行修復(fù)。
[0029]此外，安全審計(jì)服務(wù)器還包括:審計(jì)節(jié)點(diǎn)監(jiān)控器，適于對(duì)審計(jì)節(jié)點(diǎn)的負(fù)載信息進(jìn)行監(jiān)控，任務(wù)調(diào)度服務(wù)器可以根據(jù)審計(jì)節(jié)點(diǎn)監(jiān)控器的監(jiān)控信息將處理任務(wù)分配給對(duì)應(yīng)的審計(jì)節(jié)點(diǎn)。
[0030]可選地，審計(jì)節(jié)點(diǎn)進(jìn)一步適于:對(duì)處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件進(jìn)行安全審計(jì)，得到對(duì)應(yīng)用程序的安全審計(jì)結(jié)果。
[0031]核心的審計(jì)功能是由該系統(tǒng)中的審計(jì)節(jié)點(diǎn)來(lái)完成的，通過(guò)下面具體的實(shí)施例對(duì)審計(jì)節(jié)點(diǎn)所采用的應(yīng)用程序檢測(cè)方法進(jìn)行詳細(xì)介紹。
[0032]圖2示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的審計(jì)節(jié)點(diǎn)的結(jié)構(gòu)示意圖。如圖2所示，該裝置包括:云端漏洞知識(shí)庫(kù)201、提取模塊202、靜態(tài)掃描模塊203、傳遞模塊204、動(dòng)態(tài)掃描模塊205、檢測(cè)模塊206。
[0033]云端漏洞知識(shí)庫(kù)201，適于存儲(chǔ)收集的大量應(yīng)用程序的漏洞靜態(tài)特征和漏洞動(dòng)態(tài)特征。
[0034]通過(guò)對(duì)大量的應(yīng)用程序進(jìn)行靜態(tài)檢測(cè)和動(dòng)態(tài)檢測(cè)，得到應(yīng)