数据安全学习笔记——移动应用安全需求与保护，从零基础到精通，收藏这篇就够了！

一、移动应用安全威胁与需求分析

移动应用系统包括三个部分：

1.移动应用，简称App。

2.通信网络，包括无线网络、移动通信网络及互联网。

3.应用服务端，由相关的服务器构成（如微信，除客户端外，还有服务端和硬件系统），负责处理来自App的相关信息或数据。

移动应用的安全威胁：

1.移动操作系统平台安全威胁。（谷歌Android+苹果IOS+华为鸿蒙）

2.无线网络攻击。（4G/5G假冒基站+WIFI“钓鱼”，或其他通信内容监听）

**3.恶意代码。**恶意扣费、隐私窃取、远程控制、诱骗欺诈、系统破坏、恶意传播等。

**4.移动应用代码逆向工程。**攻击者通过对移动应用程序的二进制代码进行反编译分析，获取移动应用源代码的关键算法思路或取敏感数据。

5.移动应用程序非法篡改。攻击者利用安全工具非法篡改移动应用程序，实现恶意的攻击，窃取用户信息。

二、Android系统安全与保护机制

Android系统分成

Linux内核层（Linux Kenel）

系统运行库层（Libraries和Android Runtime）

应用程序框架层（Application Framework）

应用程序层（Applications）

1.应用程序层：权限声明机制。

为操作权限和对象之间设定了一些限制，只有把权限和对象进行绑定，才可以有权操作对象。 **权限声明机制（类似访问控制）**还制定了不同级别不同的认证方式的制度。应用程序层的权限包括如下四种权限：

**normal权限（普通权限）：**不会给用户带来实质性的伤害。

**dangerous权限：**可能会给用户带来潜在威胁，如读取用户位置信息读取电话等，对于此类安全威胁，目前大多数手机会在用户安装应用时提醒用户。

**signature权限（签名）：**只有和定义该权限者具有相同签名的应用才可以申请该权限。

sianature or System权限：主要由设备商使用。

2.应用程序框架层：应用程序签名机制。

Android将应用程序打包成APK文件，应用程序签名机制规定对****APK文件进行数字签名，用来标识应用程序开发者和应用程序之间存在信任关系。

安装到Android系统中的应用程序必须拥有一个数字证书，用于标识应用程序的作者和应用程序之间的信任关系。

3.系统运行层：沙箱机制、SSL

**沙箱隔离机制：**应用程序和其相应运行的Dalvik虚拟机都运行在独立的Linux进程空间，不与其他应用程序交叉实现完全隔离。

Android支持使用SSL/TSL协议对网络数据进行传输加密，以防止敏感数据泄露。

4.内核层：文件系统安全、地址空间布局随机化SELinux

Android系统的内核层采用分区和Linux ACL权限控制机制。每个文件访问控制权限都由其拥有者、所属的组读写执行三个方面共同控制。文件在创建时被赋予了不同的应用程序ID，只有拥有相同应用程序ID或被设置为全局可读写才能够被其他应用程序所访问。

地址空间布局随机化SELinux主要是防止恶意代码利用缓冲区溢出实现攻击。

三、IOS系统安全与保护机制

IOS平台是苹果公司封闭的生态系统。

分为四个层次：核心操作系统层（Core OS Layer）、 核心服务层（Core Services Layer）、媒体层（Media Layer）和可触摸层（Cocoa Touch Layer） .

**可触摸层：**负责用户在IOS设备上的触摸交互操作。

**媒体层：**提供应用中视听方面的技术。

**核心服务层：**提供给应用所需要的基础的系统服务，如账户、数据存储、网络连接、地理位置、运动框架等。

**核心操作系统层：**提供认证、安全、外部访问、系统等服务。（类似于安卓的linux）

I0S平台的安全架构可以分为硬件、 固件和软件

1.硬件、固件层由设备密钥、设备组密钥、苹果根认证、加密引擎、内核组成。

2.软件层则由文件系统、操作系统分区、用户分区、应用沙盒及数据保护类构成。

IOS平台主要安全机制如下：

**1.安全启动链。**IOS启动过程使用的组件要求完整性验证，确保信任传递可控。

**2.数据保护。**针对移动设备因丢失或被取导致的泄露数据的风险，提供了数据保护API，API让应用开发者尽可能简单地对文件和keychain项中存储的敏感用户数据施以足够的保护。

**3.数据的加密与保护机制。**IOS内所有用户数据都是强制加密的。苹果的AES加解密引擎都是硬件级的。

**4.地址空间布局随机化。**利用ASLR技术，确保IOS的二进制文件、库文件、动态链接文件、栈和堆内存地址的位置是随机分布的，从而增强抗攻击能力。

**5.代码签名。**为防止应用攻击，IOS系统要求所有可执行程序必须使用苹果公司发放的证书签名。

**6.沙箱机制。**通过沙箱机制，可以限制进程的恶意行为。

四、移动应用安全保护机制与技术方案

为保护移动应用App的安全性，通常采用：

1.防反编译。对移动应用程序文件进行加密处理，防止攻击者通过静态的反编译工具，获取到应用的源代码。除了加密措施之外，还可以对移动应用程序进行代码混淆，增加破解者阅读代码的难度。常见的混方法有名字混淆、控制混淆、计算混淆等。

**2.防调试。**为防止应用程序动态调试，应用程序设置调试检测功能，以触发反调试安全保护措施，如清理用户数据、报告程序所在设备的情况、禁止使用某些功能甚至直接退出运行。（通过调试程序来挖掘APP的内部机制，以窃取软件的知识产权）

**3.防篡改。**通过数字签名和多重校验的防护手段，验证移动应用程序的完整性，防范移动应用程序APK被二次打包以及盗版。

**4.防窃取。**对移动应用相关的本地数据文件、网络通信等进行加密，防止数据被窃取。

计算机热门就业方向

从目前市场情况来讲，网络安全的就业前景是非常不错的，2022年的统计数据，网络安全专业的缺口已经增长到140万人。

1、就业岗位多，发展方向广

①就业环境：网络安全可以在计算机科学与技术、信息通信、电子商务、互联网金融、电子政务等领域从事相关工作，还可以在政府机关事业单位、银行、保险、证券等金融机构，电信、传媒等行业从事相关工作。

②就业岗位：网络安全工程师、渗透测试工程师、代码审计工程师、等级保护工程师、安全运维工程师、安全运营工程师、安全服务工程师等。

2、薪资待遇可观，提升较快

作为一个新兴行业，网络安全人才的市场需求远远大于供给，企业想真正招到人才，就必须在薪酬福利上有足够的竞争优势。因此，网络安全领域的薪资近年来也呈现稳步增长的态势。

根据工信部发布的《网络安全产业人才发展报告》显示，网络安全人才平均年薪为21.28万元，整体薪资水平较高。数据显示，网络安全人才年薪主要集中在10-20万元，占比40.62%，与往年持平；其次是20-30万元，占比为38.43%，较2020年占比19.48%有显著提高；而年薪在10万以下人才占比由2020年的19.74%下降至2022年的9.08%。由此可见，网络安全行业作为新兴赛道，尚在快速发展阶段，从业人员薪资水平提升较快，也显示出网络安全行业相对更重视人才留存。

3、职业发展空间大

从网络安全专业学习的主要内容来看，包括linux运维、Python开发、渗透测试、代码审计、等级保护、应急响应、风险评估等。可见该网络安全专业的技术性很强，具有鲜明的专业特点，是一门能够学到真正技术的工科类专业之一。

因此，在职业发展上，网络安全专业除了就业岗位众多之外，由于专业技术性较强，在工作单位将处于技术核心骨干地位，职业发展空间很大。

盘点网络安全的岗位汇总

0****1

岗位一：渗透测试工程师

**岗位释义：**模拟黑客攻击，利用黑客技术，挖掘漏洞，提出修复建议。有些大厂，例如奇安信，甚至会将渗透岗位分为红蓝两方，对候选人的技术要求比较高，大部分刚入行的新人，也将渗透岗位作为后期的发展目标。

岗位职责：

• 负责对客户网络、系统、应用进行渗透测试、安全评估和安全加固

• 在出现网络攻击或安全事件时，提供应急响应服务，帮助用户恢复系统及调查取证

• 针对客户网络架构，建议合理的网络安全解决方案

**工作难度：**5颗星

薪资现状：

0****2

岗位二：安全运维工程师

**岗位释义：**维护网络系统的正常、安全运行，如果受到黑客攻击，则需要进行应急响应和入侵排查安全加固。很多刚毕业入行的新人，基本都从运维做起。

岗位职责：

• 日常终端维护，操作系统安装加固

• 完成网络安全设备故障排查、处置

• 完成相关管理制度文档的编写和提交

**工作难度：**3颗星

薪资现状：

0****3

岗位三：安全运营工程师

**岗位释义：**在运维的基础上，高效可持续地不断提升企业的安全防御能力。

岗位职责：

• 负责监控、扫描等各类安全策略的制定和优化

• 负责信息安全事件的应急响应

• 参与网络安全评估工作、安全加固工作和监控等等

**工作难度：**3颗星

薪资现状：

0****4

岗位四：安全开发工程师

**岗位释义：**顾名思义，对安全产品及平台、策略等进行开发工作。

岗位职责：

• 负责网络安全产品的系统技术设计、代码开发与实现、单元测试、静态检查、本地构建等工作；

• 参与公司其他产品的系统技术设计以及研发工作。

**工作难度：**5颗星

薪资现状：

0****5

岗位五：等保测评工程师

**岗位释义：**等保测评也叫等级保护测评，主要负责开展信息安全等级保护测评、信息安全风险评估、应急响应、信息安全咨询等工作 。

岗位职责：

• 网络安全等级保护测评项目实施；

• Web渗透测试、操作系统安全加固等安全项目实施配合

**工作难度：**3颗星

薪资现状：

0****6

岗位六：安全研究工程师

**岗位释义：**网络安全领域的研究人才。

岗位职责：

• 跟踪和分析国内外安全事件、发展趋势和解决方案

• 承担或参与创新型课题研究

• 参与项目方案设计，组织推动项目落实，完成研究内容、

• 负责网络安全关键技术攻关和安全工具研发

**工作难度：**5颗星

薪资现状：

0****7

岗位七：漏洞挖掘工程师

**岗位释义：**主要从事逆向、软件分析、漏洞挖掘工作

岗位职责：

• 通过模拟实施特定方法所获得的结果，评估计算机网络系统安全状况；

• 通过特定技术的实施，寻找网络安全漏洞，发现但不利用漏洞。

**工作难度：**5颗星

薪资现状：

0****8

岗位八：安全管理工程师

**岗位释义：**负责信息安全相关流程、规范、标准的制定和评审，负责公司整体安全体系建设。

岗位职责：

• 全业务系统网络安全技术体系的规划和建设，优化网络安全架构；

• 负责网络安全相关流程、规范、标准的指定和评审，高效处置突发事件；

• 负责网络安全防护系统的建设，提升网络安全保障水平；

**工作难度：**4颗星

0****9

岗位九：应急响应工程师

**岗位释义：**主要负责信息安全事件应急响应、攻击溯源、取证分析工作，参与应急响应、攻击溯源、取证分析技术的研究，提升整体重大信息安全事件应急处置能力。

岗位职责：

• 负责信息安全事件应急响应、攻击溯源、取证分析工作；

• 对安全事件的应急处置进行经验总结，开展应急响应培训；

• 负责各业务系统的上线前安全测试（黑盒白盒）及渗透测试工作；

• 参与应急响应、攻击溯源、取证分析技术的研究，提升整体重大信息安全事件应急处置能力。

• 跟踪国内外安全热点事件、主流安全漏洞、威胁情报、黑灰产动态并进行分析研究，形成应对方案；

**工作难度：**4颗星

薪酬现状：

10

岗位十：数据安全工程师

**岗位释义：**主要对公司的数据安全的日常维护和管理工作，确保公司数据安全。

岗位职责：

• 负责数据安全日常维护和管理工作，包括数据安全审核、数据安全事件的监控与响应、安全合规的审计与调查等；

• 负责数据安全标准规范的制定和管理，包括数据安全需求识别、风险分析、数据分级分类、数据脱敏、数据流转、泄露防护、权限管控等；推进相关安全管控策略在平台落地、执行。

• 负责开展与数据全生命周期管理有关的各项数据安全工作;

• 负责跨平台、跨地域数据传输、交互等数据安全方案制定与落地

• 定期组织开展数据安全自评工作，发现潜在数据安全风险，制定相应的管控措施，并推进落实整改。

**工作难度：**4颗星

薪酬现状：

网络安全学习资源分享:

给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，需要点击下方链接即可前往获取

**读者福利 |** 优快云大礼包：《网络安全入门&进阶学习资源包》免费分享 **（安全链接，放心点击）**

👉1.成长路线图&学习规划👈

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

我帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

👉2.网安入门到进阶视频教程👈

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。****（全套教程文末领取哈）

👉3.SRC&黑客文档👈

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！****（全套教程文末领取哈）

👉4.护网行动资料👈

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

👉5.黑客必读书单👈

👉6.网络安全岗面试题合集👈

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

所有资料共282G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~
**读者福利 |** 优快云大礼包：《网络安全入门&进阶学习资源包》免费分享 **（安全链接，放心点击）**