应用隐私合规检测要怎么做？

发布者：Xiaofeixiang
发布于：2023-06-28 10:58

首先我们要明确一点，那就是目前我们相关规定：所有提交上架市场或各平台的APP，都需要经过隐私合规性检测，只有通过该检测(自身检测和平台检测)且没有其他违反审核规则内容前提下，APP才可以正常上线，如果APP隐私合规检测未通过，APP将会被驳回不允许上架，然后进行违规内容的整改，只有整改完成才能进行上架。

 

因此，我们基本每一个App要正规上架，都需要经过隐私合规检测这一关。

 

一般来说，我们检测的点一般包括以下几点：

 

1.违规收集个人信息

 

2.超范围收集个人信息

 

3.违规使用个人信息

 

4.APP频繁、过度索取权限

 

5、APP频繁自启动或关联启动

 

那整个流程基本上就是下面这些：

 

image.png

 

现在市面上也有很多机构会去提供相关的测评报告，我大致研究了一下，然后对于其中涉及代码的部分做了一个梳理，希望对大家有所帮助。

基础代码示例

会涉及到代码部分，主要是识别检测信息和威胁定位分析。我们接下来就来看看这两块的基础代码。

识别检测信息

1
2
graph TD
Start --> 数据分类和标记 --> 敏感信息扫描 --> 数据流分析 --> 隐私影响评估 --> 数据访问控制

那涉及到敏感信息的扫描代码可以参考下面：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
import re
 
def sensitive_info_scan(text):
    # 正则表达式模式，用于匹配可能的敏感信息，这里以手机号码为例
    pattern = r"\b\d{11}\b"  # 匹配11位数字
 
    # 扫描文本并返回匹配的结果
    matches = re.findall(pattern, text)
    return matches
 
# 示例文本
text = "用户的个人信息：手机号码：13812345678，身份证号码：320123198001010001。"
 
# 执行敏感信息扫描
matches = sensitive_info_scan(text)
 
# 输出匹配的结果
if matches:
    print("发现敏感信息：")
    for match in matches:
        print(match)
else:
    print("未发现敏感信息。")

上面是一个非常基础的代码，说明了我们要如何使用正则表达式模式来匹配可能的敏感信息，例如手机号码。那实际在检测过程中，我们可以根据需要自定义正则表达式模式以匹配不同类型的敏感信息，如银行账号、电子邮件地址等。

威胁定位分析

威胁定位分析，是依据监管要求、行业要求、企业要求，对收集的app数据信息进行分析，通过AI沙箱检测+专家审查的方式，结合行业沉淀经验，建模定位，全方位保证分析结果的准确性。业内专业机构的测评方式会更加复杂和合规，我们下面演示的则会更具有普适性，仅起到一个讲解作用。

 

我们先直接上代码，然后来分析：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
def threat_analysis(data_flow):
    threats = []
 
    # 检查非授权访问威胁
    if not is_authorized_access(data_flow):
        threats.append("Unauthorized access detected.")
 
    # 检查数据泄露威胁
    if is_data_exposed(data_flow):
        threats.append("Data exposure detected.")
 
    # 检查数据篡改威胁
    if is_data_tampered(data_flow):
        threats.append("Data tampering detected.")
 
    # 返回检测到的威胁
    return threats
 
# 示例数据流
data_flow = {
    "source": "Data Collection",
    "processing": ["Data Storage", "Data Processing"],
    "destination": "Data Analysis"
}
 
# 执行威胁分析
detected_threats = threat_analysis(data_flow)
 
# 输出检测到的威胁
if detected_threats:
    print("Detected threats:")
    for threat in detected_threats:
        print(threat)
else:
    print("No threats detected.")

具体的流程，基本就是：

1
2
graph TD
Start --> 确定数据流程 --> 识别潜在威胁 --> 评估风险等级 --> 确定根本原因

就目前主流厂商在应用的AI沙箱检测，我们也可以稍微尝试一下。不过AI沙箱的实现通常涉及复杂的架构和算法，所以我们就来通过一个简单地示例来演示一下如何使用AI沙箱检测恶意代码（用的是目前比较流行的开源AI沙箱工具，Cuckoo Sandbox）：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
from cuckoo.api import CuckooAPI
 
def analyze_file(file_path):
    # 连接到Cuckoo沙箱
    cuckoo = CuckooAPI()
 
    # 提交文件进行分析
    task_id = cuckoo.submit_file(file_path)
 
    # 获取分析结果
    analysis = cuckoo.get_task(task_id)
 
    # 输出分析报告
    print("Analysis Report:")
    print("-------------")
    print(analysis["info"]["score"])
    print(analysis["info"]["category"])
    print(analysis["info"]["started"])
    print(analysis["info"]["ended"])
 
    # 获取行为报告
    behavior_report = cuckoo.get_task_report(task_id, "behavior")
    print("Behavior Report:")
    print("-------------")
    print(behavior_report)
 
# 示例恶意代码文件路径
file_path = "/path/to/malicious_file.exe"
 
# 执行恶意代码分析
analyze_file(file_path)

上面就是我们在正确设置和运行Cuckoo沙箱后，可以通过上述代码去检测我们应用中的恶意程序带来的威胁。

结语

总体来说，如果自己去做应用隐私合规的检测，不大划算，如果找机构的话，一个是比较专业，另外一个则是会出具一份比较专业的报告，而且会得到一些比较专业的指导意见，性价比比较高。

 

以上。

 

如果需要比较专业的隐私合规检测服务，可以戳>>>隐私合规检测服务

网络安全 技术
声明：该文观点仅代表作者本人，转载请注明来自看雪