韦芹余

江苏省通信管理局

0 引言

APP（应用程序，Application的缩写）是指安装在手机等智能终端上的应用程序的代名词。根据第47次《中国互联网络发展状况统计报告》，截至2020年12月，全国监测到的APP数量为345万款。APP作为移动终端重要内容的载体，为互联网用户生活、工作、学习、社交提供丰富的使用体验，在促进经济社会发展、服务民生等方面发挥了不可替代的作用。互联网用户安装使用APP主要的下载渠道是通过应用商店，其他一些下载渠道还包括官方网站、二维码、网盘、广告推广等方式。APP本身存在网络安全隐患，例如远程命令执行、数据未加密存储、明文传输等，将导致用户数据泄露、财产损失。在个人信息保护方面，APP违法违规收集使用个人信息的问题十分突出。

目前APP行业存在一些乱象亟需规范管理：APP为了增大分发量，会尽可能多的在不同应用商店上架，一些小的应用商店为增加样本数据，未经开发者授权就转发APP为用户提供下载，导致同一款APP多个版本并存，版本管理混乱；APP开发者受限于技术水平或缺乏网络安全防护意识，程序未做代码审计和风险评估，存在网络安全隐患即投向市场；有些APP未做加固或只做了简单加固，程序容易被逆向破解，导致被抄袭模仿与山寨；APP强制授权、过度索权、超范围收集个人信息的现象也普遍存在。

1 建设目标

2019年1月份，国家多部门联合开展APP违法违规收集使用个人信息专项治理，拉开了APP行业乱象治理的序幕。研究建设移动互联网应用程序（APP）检测处置平台，提升信息化监管水平，以技术管技术，检测通报APP网络安全隐患，支撑管理部门打击APP违法违规收集使用个人信息的行为，保护公民个人信息安全，强化企业合规经营、守法经营意识。

移动互联网应用程序（APP）检测处置平台要建设基于工作流技术的任务管理平台，将信息汇聚、技术检测、通报处置等各项工作定制成规范的业务流程，各流程可溯源、进度可查看、证据可存档，简化人工操作，提高工作效率。平台整合APP运营者、应用商店、网络安全厂商、第三方检测机构等多方资源，建成省级APP资源库，聚类分析APP信息，引入APP自动化检测引擎和沙箱分析模型，对APP进行自动化、标准化、批量化的检测，形成线上通报处置的工作机制。

2 系统架构

2.1 平台总体架构

规划建设APP检测处置平台，应充分考虑系统可扩展性，各模块之间充分解耦，根据现有资源和条件，实现按需进行模块封装。总体架构可分为数据采集汇入、数据存储资源库、检测分析引擎、在线处置等模块，整体架构如图1所示，各层功能说明如下：

图1 APP检测处置平台整体架构

数据采集汇入：通过多种渠道采集、收集APP台账信息，可包括应用商店报送在架的APP信息；APP运营者登记报备APP信息；通过网络爬虫技术收集APP信息；在项目建设过程中，可引入第三方厂家的分析数据。

数据存储资源库：建成APP信息、运营者信息、应用商店信息、APP文件库，还包括检测报告、安全隐患、违规问题清单等数据。

检测分析：平台建立自动化检测流水线，对新入库的APP进行网络安全检测、违法违规收集使用个人信息检测，支持第三方机构导入人工检测报告。

在线处置：建立APP通报处置电子化、处置流程可视化的工作流，形成通报、在线反馈、复测、审核的闭环管理。

2.2 系统角色及功能权限

平台分为管理员、APP运营者、应用商店、第三方机构4种角色，每种角色在平台里的功能权限如图2所示。

图2 系统角色及功能权限

3 核心功能

3.1 建立省级APP资源库

目前累计发现江苏省内共有15.6万款APP，按照版本去重后共有2.1万款，涉及运营单位6900余家。按照属地管理原则开展APP治理，可通过多种渠道，不断更新、扩充省内APP台账信息，建立省级APP资源库，优化APP数据台账更新机制，一方面结合增值电信企业名单、已有运营者名单，进行新版本APP、新增APP数据的精准爬取；另一方面联系对接应用商店、第三方厂家，汇入APP数据。

探索开展APP登记报备，通过建立APP线上报备系统，鼓励省内APP开发运营者自主报送APP。平台支持用户注册，填报企业信息、联系人信息、APP信息，并上传程序文件。平台自动化解析出上传程序文件的应用名称、版本号、包名、MD5、个人隐私权限申请等信息。在平台登记的企业信息、联系人信息，后续可以用于开展线上的通报处置。

3.2 自动化技术检测

（1）网络安全检测。按照《网络安全法》规定，APP运营者作为网络服务的提供者，应当落实网络安全主体责任。根据《移动互联网恶意程序描述格式》、《移动应用软件安全评估方法》，平台部署自动化分析引擎，从程序代码安全、组件安全、通信安全、数据存储安全、内部数据交互安全、业务交互安全、安全策略和漏洞检测八个方面对APP是否存在恶意行为、网络安全隐患等方面进行检测和评估，评判是否符合移动互联网应用程序（APP）网络安全相关标准要求，生成网络安全检测报告。

（2）收集使用个人信息检测。APP违法违规收集使用个人信息检测主要是依据《APP违法违规收集使用个人信息行为认定方法》、《常见类型移动互联网应用程序必要个人信息范围规定》、《信息安全技术 个人信息安全规范》，平台通过动态沙箱、静态引擎结合语义分析子引擎对APP进行全方位的自动化检测，并生成检测报告。自动化的检测方式主要是通过动态沙箱提取APP隐私政策、静态引擎提取APP权限，基于语义分析对隐私政策、权限进行对比来确定APP是否存在越权、超范围收集个人信息等问题，通过监测调用隐私权限频次来确定是否存在高频采集、频繁索权的问题，通过动态沙箱的回传数据监控来检测APP是否存在数据出境的情况。

（3）深度关联分析。提供对指定搜索规则的APP进行深度的关联分析，对APP通联地址归属地、家族名称、开发者、通联地址等多个维度进行关联分析，通过更加精准、更加细化的聚类分析，形成特征库、家族库，有利于后期的网络安全事件溯源排查；对重点监测的APP进行沙箱养殖，提供长时间的动态运行，让APP尽可能多的展现出自身的行为，研究APP的传播特点，运行机理等，形成APP的文件行为、网络行为，通信行为、系统行为的动态监控。

3.3 线上通报处置

建立APP线上通报处置的工作流，将极大提升处置的时效性、工作效率。平台检测发现存在网络安全隐患、违法违规收集使用个人信息的APP后，生成处置工单，包括：整改要求、检测报告、问题清单。之后，系统管理员将处置工单派发给APP运营者，并进行短信提醒。运营者登录平台查看整改通知，并对照问题进行排查，在线反馈处置报告。对APP进行下架、恢复上架，平台对接应用商店派发工单，完成上架、下架处置。被下架的APP，运营者完成整改后，可申请恢复上架。

4 结束语

本文主要从技术、业务功能层面探索如何建设APP检测处置平台，形成技术检测体系和处置流程，支撑做好APP管理工作，例如：开展APP违法违规收集使用个人信息检测及处置，APP恶意程序检测及处置，APP行业分类数据统计，各设区市APP及运营者信息统计等。在平台设计阶段，还需要进一步研究如何提升APP检测的标准化和智能化，对汇聚的数据做好全生命周期管理，系统配套建设网络安全防护措施。