提供應(yīng)用安全審計功能的系統(tǒng)及方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及互聯(lián)網(wǎng)技術(shù)領(lǐng)域，具體涉及一種提供應(yīng)用安全審計功能的系統(tǒng)及方法。
【背景技術(shù)】
[0002]隨著Android系統(tǒng)在智能設(shè)備領(lǐng)域市場份額的增加，Android應(yīng)用的需求越來越大，越來越多的開發(fā)者加入到Android應(yīng)用開發(fā)陣營，這些開發(fā)者良莠不齊，有的開發(fā)方安全意識缺乏，導(dǎo)致Android應(yīng)用中存在各種安全漏洞。而應(yīng)用程序的安全性直接決定了終端設(shè)備的安全性。當(dāng)應(yīng)用程序中的安全漏洞被攻擊者利用時，攻擊者就能夠獲得訪問重要數(shù)據(jù)、用戶隱私的權(quán)限，可能導(dǎo)致重要數(shù)據(jù)、用戶隱私外泄等問題，使應(yīng)用的使用者遭受巨大的損失，無法得到安全可靠的服務(wù)。
[0003]公知的是，漏洞帶來的最大問題即是木馬，木馬通常會利用計算機(jī)程序漏洞侵入后竊取文件和用戶信息。木馬是一種具有隱藏性的、自發(fā)性的可被用來進(jìn)行惡意行為的程序。歷史上對計算機(jī)木馬的定義是，試圖以有用程序的假面具欺騙用戶允許其運行的一類滲透。請注意，過去的木馬確實是這樣，但現(xiàn)在它們已無需偽裝自己。它們唯一的目的就是盡可能輕松地滲透并完成其惡意目標(biāo)，從而利用這些漏洞泄露用戶隱私甚至給用戶造成財產(chǎn)損失。
[0004]因此，目前需要本領(lǐng)域技術(shù)人員迫切解決的一個技術(shù)問題就是:提供一種在開發(fā)方發(fā)布應(yīng)用前對其應(yīng)用進(jìn)行安全審計的機(jī)制。

【發(fā)明內(nèi)容】

[0005]鑒于上述問題，提出了本發(fā)明以便提供一種克服上述問題或者至少部分地解決上述問題的提供應(yīng)用安全審計功能的系統(tǒng)和相應(yīng)的提供應(yīng)用安全審計功能的方法。
[0006]根據(jù)本發(fā)明的一個方面，提供了一種提供應(yīng)用安全審計功能的系統(tǒng)，其包括:任務(wù)調(diào)度服務(wù)器、至少一臺安全審計服務(wù)器以及多個終端設(shè)備；每臺安全審計服務(wù)器包括至少一個審計節(jié)點，每個審計節(jié)點唯一對應(yīng)于一個終端設(shè)備；
[0007]任務(wù)調(diào)度服務(wù)器適于:接收應(yīng)用程序開發(fā)方所提交的應(yīng)用程序的安裝包文件，為每個應(yīng)用程序創(chuàng)建對應(yīng)的處理任務(wù)，將處理任務(wù)分配給對應(yīng)的審計節(jié)點；
[0008]審計節(jié)點適于:接收任務(wù)調(diào)度服務(wù)器分配的處理任務(wù)，將處理任務(wù)對應(yīng)的應(yīng)用程序的安裝包文件傳遞給與審計節(jié)點對應(yīng)的終端設(shè)備，以使終端設(shè)備安裝安裝包文件；
[0009]終端設(shè)備適于:安裝審計節(jié)點傳遞的應(yīng)用程序的安裝包文件，實際運行應(yīng)用程序。
[0010]根據(jù)本發(fā)明的另一方面，提供了一種提供應(yīng)用安全審計功能的方法，其包括:
[0011]任務(wù)調(diào)度服務(wù)器接收應(yīng)用程序開發(fā)方所提交的應(yīng)用程序的安裝包文件，為每個應(yīng)用程序創(chuàng)建對應(yīng)的處理任務(wù)，將處理任務(wù)分配給對應(yīng)的審計節(jié)點；
[0012]審計節(jié)點將處理任務(wù)對應(yīng)的應(yīng)用程序的安裝包文件傳遞給與審計節(jié)點對應(yīng)的終端設(shè)備，以使終端設(shè)備安裝安裝包文件。
[0013]根據(jù)本發(fā)明提供的方案，通過云服務(wù)的方式將審計結(jié)果提供給應(yīng)用程序開發(fā)方，簡單易用，與客戶端工具相比省去繁瑣的環(huán)境配置與部署；在完全真實的終端設(shè)備環(huán)境下對終端設(shè)備進(jìn)行檢測，與終端設(shè)備模擬器相比，檢測過程更加穩(wěn)定，審計結(jié)果更加準(zhǔn)確。
[0014]上述說明僅是本發(fā)明技術(shù)方案的概述，為了能夠更清楚了解本發(fā)明的技術(shù)手段，而可依照說明書的內(nèi)容予以實施，并且為了讓本發(fā)明的上述和其它目的、特征和優(yōu)點能夠更明顯易懂，以下特舉本發(fā)明的【具體實施方式】。
【附圖說明】
[0015]通過閱讀下文優(yōu)選實施方式的詳細(xì)描述，各種其他的優(yōu)點和益處對于本領(lǐng)域普通技術(shù)人員將變得清楚明了。附圖僅用于示出優(yōu)選實施方式的目的，而并不認(rèn)為是對本發(fā)明的限制。而且在整個附圖中，用相同的參考符號表示相同的部件。在附圖中:
[0016]圖1示出了根據(jù)本發(fā)明一個實施例的提供應(yīng)用安全審計功能的系統(tǒng)的結(jié)構(gòu)示意圖；
[0017]圖2示出了根據(jù)本發(fā)明一個實施例的審計節(jié)點的結(jié)構(gòu)示意圖；
[0018]圖3示出了根據(jù)本發(fā)明一個實施例的提供應(yīng)用安全審計功能的方法的流程圖；
[0019]圖4示出了根據(jù)本發(fā)明另一個實施例的提供應(yīng)用安全審計功能的方法的流程圖。
【具體實施方式】
[0020]下面將參照附圖更詳細(xì)地描述本公開的示例性實施例。雖然附圖中顯示了本公開的示例性實施例，然而應(yīng)當(dāng)理解，可以以各種形式實現(xiàn)本公開而不應(yīng)被這里闡述的實施例所限制。相反，提供這些實施例是為了能夠更透徹地理解本公開，并且能夠?qū)⒈竟_的范圍完整的傳達(dá)給本領(lǐng)域的技術(shù)人員。
[0021]由于開發(fā)方在應(yīng)用程序開發(fā)過程中缺乏安全意識，或者由于應(yīng)用程序代碼本身存在的問題，導(dǎo)致應(yīng)用中存在各種安全漏洞，從而給應(yīng)用的使用者造成不必要的困擾或者財產(chǎn)損失，本發(fā)明的發(fā)明人基于此，研宄應(yīng)用程序開發(fā)方在應(yīng)用程序開發(fā)工作結(jié)束后，該應(yīng)用程序發(fā)布前，對開發(fā)方所開發(fā)的應(yīng)用程序進(jìn)行漏洞檢測，通過將該應(yīng)用程序提交給提供應(yīng)用安全審計功能的系統(tǒng)，由該系統(tǒng)對其進(jìn)行安全審計，來防止由于應(yīng)用程序存在漏洞而給使用者造成困擾或財產(chǎn)損失。
[0022]圖1示出了根據(jù)本發(fā)明一個實施例的提供應(yīng)用安全審計功能的系統(tǒng)的結(jié)構(gòu)示意圖。如圖1所示，該系統(tǒng)包括:任務(wù)調(diào)度服務(wù)器101、至少一臺安全審計服務(wù)器102以及多個終端設(shè)備103 ;每臺安全審計服務(wù)器102包括至少一個審計節(jié)點104，每個審計節(jié)點104唯一對應(yīng)于一個終端設(shè)備103。
[0023]任務(wù)調(diào)度服務(wù)器101適于:接收應(yīng)用程序開發(fā)方所提交的應(yīng)用程序的安裝包文件，為每個應(yīng)用程序創(chuàng)建對應(yīng)的處理任務(wù)，將處理任務(wù)分配給對應(yīng)的審計節(jié)點。
[0024]可選地，任務(wù)調(diào)度服務(wù)器101提供審計頁面，該審計頁面提供有應(yīng)用程序的安裝包文件的提交鍵，應(yīng)用開發(fā)方通過觸發(fā)該提交鍵來提交待審計的應(yīng)用程序的安裝包文件，任務(wù)調(diào)度服務(wù)器接收應(yīng)用程序開發(fā)方通過審計頁面所提交的應(yīng)用程序的安裝包文件，并將該應(yīng)用程序的安裝包文件列為待審計的處理任務(wù)，任務(wù)調(diào)度服務(wù)器通過權(quán)衡已注冊的各個審計節(jié)點的負(fù)載信息，將處理任務(wù)分配給對應(yīng)的審計節(jié)點，由此，可以保證在部分審計節(jié)點處于空閑時優(yōu)先將處理任務(wù)分配給空閑的審計節(jié)點，從而節(jié)省時間，避免資源浪費。
[0025]可選地，審計節(jié)點預(yù)先注冊到任務(wù)調(diào)度服務(wù)器中，每臺安全審計服務(wù)器中的審計節(jié)點支持動態(tài)擴(kuò)展，這里的動態(tài)擴(kuò)展指安全審計服務(wù)器中的審計節(jié)點可以根據(jù)處理任務(wù)的需要進(jìn)行擴(kuò)展，當(dāng)當(dāng)前審計節(jié)點均處于負(fù)載狀態(tài)下時，可針對任務(wù)調(diào)度服務(wù)器新創(chuàng)建的處理任務(wù)擴(kuò)展出相應(yīng)的審計節(jié)點以對處理任務(wù)進(jìn)行安全審計，從而可以保證快速的響應(yīng)開發(fā)者提交的安全審計請求，縮短審計結(jié)果輸出時間。
[0026]審計節(jié)點104適于:接收任務(wù)調(diào)度服務(wù)器分配的處理任務(wù)，將處理任務(wù)對應(yīng)的應(yīng)用程序的安裝包文件傳遞給與審計節(jié)點對應(yīng)的終端設(shè)備，以使終端設(shè)備安裝安裝包文件。
[0027]每個審計節(jié)點唯一對應(yīng)于一個終端設(shè)備，因此，審計節(jié)點接收到處理任務(wù)后，只將處理任務(wù)傳遞給與其唯一對應(yīng)的終端設(shè)備，對處理任務(wù)對應(yīng)的應(yīng)用程序的安裝包文件進(jìn)行安全審計，以及在終端設(shè)備安裝安裝包文件后，對該終端設(shè)備進(jìn)行安全審計，采用完全真實的終端設(shè)備環(huán)境進(jìn)行安全審計，與終端設(shè)備模擬器相比，審計過程更加穩(wěn)定，審計結(jié)果更加準(zhǔn)確。
[0028]審計節(jié)點審計結(jié)束后，將審計結(jié)果反饋給任務(wù)調(diào)度服務(wù)器，任務(wù)調(diào)度服務(wù)器在審計頁面中顯示審計結(jié)果，供應(yīng)用程序開發(fā)方查看。而且安全審計結(jié)果可以向開發(fā)方展示應(yīng)用程序存在哪些漏洞、漏洞修復(fù)建議和漏洞出處，也可以向開發(fā)方展示應(yīng)用程序的漏洞等級，這里主要根據(jù)所涉及到的威脅等級將漏洞分為高危、中危和低危漏洞，舉例來說，高危漏洞指極易被病毒、木馬、黑客等利用，例如能夠遠(yuǎn)程執(zhí)行代碼的漏洞，開發(fā)方可以根據(jù)應(yīng)用程序的漏洞等級確定是否對漏洞進(jìn)行修復(fù)。
[0029]此外，安全審計服務(wù)器還包括:審計節(jié)點監(jiān)控器，適于對審計節(jié)點的負(fù)載信息進(jìn)行監(jiān)控，任務(wù)調(diào)度服務(wù)器可以根據(jù)審計節(jié)點監(jiān)控器的監(jiān)控信息將處理任務(wù)分配給對應(yīng)的審計節(jié)點。
[0030]可選地，審計節(jié)點進(jìn)一步適于:對處理任務(wù)對應(yīng)的應(yīng)用程序的安裝包文件進(jìn)行安全審計，得到對應(yīng)用程序的安全審計結(jié)果。
[0031]核心的審計功能是由該系統(tǒng)中的審計節(jié)點來完成的，通過下面具體的實施例對審計節(jié)點所采用的應(yīng)用程序檢測方法進(jìn)行詳細(xì)介紹。
[0032]圖2示出了根據(jù)本發(fā)明一個實施例的審計節(jié)點的結(jié)構(gòu)示意圖。如圖2所示，該裝置包括:云端漏洞知識庫201、提取模塊202、靜態(tài)掃描模塊203、傳遞模塊204、動態(tài)掃描模塊205、檢測模塊206。
[0033]云端漏洞知識庫201，適于存儲收集的大量應(yīng)用程序的漏洞靜態(tài)特征和漏洞動態(tài)特征。
[0034]通過對大量的應(yīng)用程序進(jìn)行靜態(tài)檢測和動態(tài)檢測，得到應(yīng)