第十一章 应用安全Application SecurityAppSec从系统层下降到应用层这是漏洞管理在最后一公里的体现。11.1 应用安全的核心理念安全左移Shift-Left传统做法是写完再测但漏洞修复成本随发现时间指数上升设计期发现成本 ≈ 1生产环境发现成本 ≈ 100。安全左移就是把安全活动前置到开发和构建阶段。11.2 应用安全测试体系DAST/SAST/SCA…缩写全称含义时机SASTStatic Application Security Testing静态源码分析找语法级/逻辑级漏洞编写时/CIDASTDynamic Application Security Testing黑盒动态测试运行中的应用测试/预发IASTInteractive Application Security Testing运行时插桩结合静态与动态测试RASPRuntime Application Self-Protection运行时自我防护拦截攻击生产环境SCASoftware Composition Analysis第三方开源组件/依赖漏洞分析CI 全过程在 Android 场景SCA专门盯 gradle 依赖里的 CVE如 Log4jSAST用 lint / SpotBugs / MobSF 找导出组件、明文传输、弱加密等。11.3 OWASP Mobile Top 10应用安全的地图OWASP 是应用安全领域的国际红十字会。移动端最重要的两份指南OWASP Mobile Top 10移动应用十大安全风险如不安全的日志、弱加密、不安全的 IPC、不当的平台使用等OWASP MASVS / MSTG移动应用安全验证标准 测试指南——想做规范化的移动安全测试就照着 MSTG 走。11.4 Android 应用安全硬要点组件暴露所有组件显式设置android:exported非必要不导出签名方案使用APK Signature Scheme v2/v3防篡改、防降级生产包禁用 v1 回退传输安全usesCleartextTrafficfalse全链路 TLS 证书校验network security config密钥安全密钥放Android Keystore / StrongBox而不是硬编码或明文字段native 层JNI 调用注意内存安全缓冲区、字符串、启用 ASan 做 fuzzing运行时保护root/模拟器检测、反 Frida 检测但别过度误杀会伤用户体验数据安全敏感数据加密存储、IPC 传参脱敏、日志不打印密钥和 token。串起来——一个完整的战术框架把所有章节收拢成一个可执行的思维模型。为了维护Android 系统安全应该同时具备三重视角┌─────────────────────────────────────────────────────────┐ │ 战术层日常执行 │ │ 资产清册 → 漏洞扫描 → 评估排序(CVSSEPSS资产) → 补丁 │ │ —— 把该修的修了 │ ├─────────────────────────────────────────────────────────┤ │ 战略层体系设计 │ │ 攻击面管理(ASM) → 攻击面缩减(ASR) → 安全态势建设 │ │ —— 让漏洞无处安放 让整体防线站得住 │ ├─────────────────────────────────────────────────────────┤ │ 情报层前瞻决策 │ │ CVE/CWE 知识 → CISA KEV / EPSS 情报 → 威胁建模 │ │ —— 在攻击发生之前预判 │ └─────────────────────────────────────────────────────────┘