具体实施方式

如图1所示为本发明方法的方法流程示意图：本发明提供的这种针对企业级移动应用的安全监测溯源管控方法，包括如下步骤：

S1.构建安全监测溯源管控的SDK探针；具体包括如下步骤：

A.针对安卓系统，构建安全监测溯源管控的安卓系统SDK探针，并提供对外调用的监测接口服务、溯源信息接口服务和管控策略下发接口服务；

B.针对IOS系统，构建安全监测溯源管控的IOS系统SDK探针，并提供对外调用的监测接口服务、溯源信息接口服务和管控策略下发接口服务；

C.针对微应用，构建具有安全功能的沙箱平台；

S2.将步骤S1构建的SDK探针，集成到待监测的企业级移动应用中，得到具有安全监测溯源管控的移动应用；具体包括如下步骤：

a.将构建的安卓系统SDK探针与安卓应用源代码进行融合，并调用安卓系统SDK探针所提供的监测接口服务、溯源信息接口服务和管控策略下发接口服务；

b.将构建的IOS系统SDK探针与IOS应用源代码进行融合，并调用IOS系统SDK探针所提供的监测接口服务、溯源信息接口服务和管控策略下发接口服务；

c.针对微应用程序，将构建的安卓系统SDK探针和IOS系统SDK探针融入到构建的沙箱平台；

S3.将步骤S2得到的移动应用在安全运行模式下运行，并开启实时安全监测溯源管控；

S4.实时上报步骤S3中的安全监测溯源管控数据，并进行移动应用的安全监测和溯源管控；移动应用的安全监测和溯源管控具体包括如下步骤：

(1)SDK探针调用移动应用的内核程序，进行对运行环境的安全监测；运行环境的安全监测具体包括移动设备的越狱监测(通过对SU系统文件的可执行权限进行检测，判断是否发生ROOT运行事件)、模拟器运行监测(获取系统特征值判断当前移动应用是否处于模拟器运行环境)、地理位置伪造监测和攻击框架监测；

(2)SDK探针调用移动应用的接口程序，进行移动应用的行为监测；移动应用的行为监测具体包括攻击行为监测和敏感行为监测；所述的攻击行为监测包括综合框架攻击、注入攻击、HOST文件伪造攻击、USB调试攻击、反编译攻击、远程代码执行攻击、越权访问和敏感信息泄露；所述的敏感行为监测包括外设越权使用行为、隐私数据越权使用行为、企业机密数据越权使用行为和应用启动越权行为；

(3)当移动应用受到可疑攻击或采取可疑行为时，进行溯源管控；溯源管控具体包括终端溯源和终端管控；所述的终端溯源包括移动应用受到攻击时，SDK探针会记录终端本机及互联网的IP地址、应用包名及业务用户名，同时配合安全接入网关识别报文协议，并将HTTP报文的XFF字段修改为终端的本机及互联网IP地址，最终形成溯源日志；所述的终端管控包括移动应用受到攻击时，SDK探针与安全接入网关进行联动，对终端实行强制下线，应用强制退出，访问权限调整或关闭，以及加入黑名单，并形成管控日志；

具体实施时，具体包括安全监测SDK提供应用与终端基础溯源信息接口，包括终端本机IPv4/IPv6地址、终端互联网IPv4/IPv6地址、应用包名、业务用户名；安全接入SDK在建立安全通道前，调用监测SDK接口获取基础溯源信息，存放在“终端扫描信息”中并上报网关；网关截获业务应用报文，识别应用层报文类型，修改报文XFF内容为“终端本机IPv4/IPv6地址，终端互联网IPv4/IPv6地址”；记录终端上线、终端下线状态，并配置按需记录报文溯源信息，其中规约化日志格式：日志类型标识符|毫秒级时间|终端唯一识别码|APPID|终端本机IPv4/IPv6地址|终端互联网IPv4/IPv6地址|应用包名|业务用户名|报文协议类型|；

终端溯源具体包括(1)SDK探针获取到的终端数据信息，1)安全监测SDK扫描获取的终端信息，其中终端信息包括终端唯一识别码(终端信息哈希值)、应用包名、应用名称、应用版本号、系统版本号、终端名称、安全监测SDK版本号、业务用户名、密码、终端互联网IPv4/IPv6地址；2)安全接入SDK获取的终端信息，其中终端信息包括数字证书APPID(应用ID，来源于数字证书)、终端唯一识别码(终端信息哈希值)；(2)网关溯源、管控所需的终端基础信息，1)网关溯源信息包括毫秒级时间、终端唯一识别码、APPID、终端互联网IPv4/IPv6地址、终端本机IPv4/IPv6地址、应用包名、业务用户名、报文协议类型；2)终端在线、离线统计所需信息，其中终端在线包括终端上线标识、毫秒级时间、终端唯一识别码、APPID、终端互联网IPv4/IPv6地址、终端本机IPv4/IPv6地址、应用包名；终端离线包括终端下线标识、毫秒级时间、终端唯一识别码、APPID、终端互联网IPv4/IPv6地址、终端本机IPv4/IPv6地址、应用包名；

S5.对步骤S4获取的安全监测溯源管控数据进行处理和展示；具体包括如下步骤：

1)将监测数据进行分类收取，并存储到数据库；

2)将溯源日志和管控日志分类收取，并存储到数据库；

3)将步骤1)和步骤2)存储的数据进行分析，并将分析结果展示到服务器前端；

4)当安全监测溯源管控处理完成后，解除移动应用的管控限制。

如图2所示为本发明系统的功能模块图：本发明提供的这种实现所述针对企业级移动应用的安全监测溯源管控方法的系统，包括客户端模块、数据采集端模块、服务端模块和展示端模块；客户端模块、数据采集端模块、服务端模块和展示端模块依次连接；客户端模块用于融合构建的SDK探针，并上报各类信息数据；数据采集端模块用于接收客户端模块上传的信息数据，并上传服务端模块；服务端模块用于对接收的数据信息进行处理并形成综合分析结果，同时也用于下发安全监测溯源管控策略从而对客户端进行安全监测和溯源管控；展示端模块用于所述系统的数据展示。

具体实施时，系统数据库采用开源的MySQL存储系统的各类数据，包括安全策略数据、设备信息数据、应用运行和监测数据、以及情报数据。数据库和WebService之间通过Redis非关系型数据做作为缓存的桥梁，提升数据的读、存效率。WebService为本系统架构中最为重要的一个部分，一方面为安全监测SDK和系统集成模块提供交互接口，及数据的采集、传递，另一方面对采集的数据进行去重、清洗、装换、统计等处理后向Web可视化服务输出。

SDK探针自动采集并上报安全和运行两大类数据。其中安全数据主要包括出发安全条件上报的告警信息和存储的安全策略信息；运行数据包括应用和设备自身的基础信息和日常运行的状态及环境信息；然后将获取的数据存入数据库持久化保存，同时数据库的安全策略信息根据安全环境的变化出发条件，对SDK探针下达策略执行，保护移动应用的安全运行。

数据采集模块获取的设备基础数据包括操作系统的类型、版本号、地理位置等信息；应用运行数据包括应用包名、版本号、加固情况、应用运行环境信息等；安全告警信息包括攻击行为的类别、危险程度(高、中、低三级)、攻击的时间、攻击的IP、敏感行为的类型(截屏、录屏、复制粘贴)等。

服务端模块安全策略包括黑名单配置、攻击特征匹配、安全事件配置和封禁策略配置；综合分析包括情报关联、安全事件关联、业务运行行为关联和设备画像；情报库包括黑产的设备、应用、SIM卡、IP和WIFI。