প্ল্যাটফর্ম

সুরক্ষা, শনাক্তকরণ ও প্রমাণের জন্য একটি প্ল্যাটফর্ম।

পাঁচটি প্রোডাক্ট একসঙ্গে আপনার CI থেকে প্রোডাকশন পর্যন্ত কাজ করে, সঙ্গে পেমেন্ট প্রবাহের জন্য Pix Shield।

বিনামূল্যে শুরু করুন আমার অ্যাপ স্ক্যান করুন

কীভাবে কাজ করে

একটি pull request-এ আপনার অ্যাপ সুরক্ষিত করুন।

সংযুক্ত করুন, রিভিউ করুন, রিলিজ করুন।

01
আপনার রিপোজিটরি সংযুক্ত করুন
GitHub App ইনস্টল করে আপনার Android বা iOS (বেটা) প্রজেক্ট বেছে নিন। Moatgator সেটি স্ক্যান করে কোথায় সুরক্ষা দরকার তা চিহ্নিত করে।
02
একটি pull request রিভিউ করুন
Moatgator একটি PR খোলে যা আপনার বিল্ড পাইপলাইনে সুরক্ষা যোগ করে। অন্য যেকোনো পরিবর্তনের মতোই আপনি সেটি রিভিউ করেন।
03
রিলিজ করুন ও নজর রাখুন
Runtime-এর পরীক্ষাগুলো অ্যাপের ভেতরে চলে। Pulse দেখায় কী চেষ্টা করা হয়েছিল এবং কী ঠেকানো হয়েছে।

moatgator.ymlউদাহরণ নীতি, আপনার রিপোজিটরিতে ভার্সন করা।

app: com.example.payplatforms: [android, ios]protect:  shield: [obfuscation, anti-tamper]  runtime:    detect: [root, emulator, debugger, hooking, overlay]    on_detect: monitor   # monitor | warn | block

Moatgator Shield

রিভার্স ইঞ্জিনিয়ারিংকে ব্যয়বহুল করুন।

আক্রমণকারীরা আপনার অ্যাপ পড়ার মাধ্যমে শুরু করে। Shield কম্পাইল করা অ্যাপ এমনভাবে নতুন করে লেখে যাতে লজিক, এন্ডপয়েন্ট ও সিক্রেট পড়া, বদলানো ও রিপ্যাকেজ করা অনেক কঠিন হয়, আপনার সোর্স কোডে হাত না দিয়েই।

কোড ও স্ট্রিং অবফাসকেশন
টেম্পার-প্রতিরোধ ও ইন্টেগ্রিটি পরীক্ষা
পড়ার মতো ক্র্যাশ রিপোর্টের জন্য ম্যাপিং ফাইল সংরক্ষিত থাকে

ঘুরে দেখুন Shield

আপনার সোর্সডিকম্পাইল করা আউটপুটShield

class PaymentApi(val http: Http) {
  val base = "pay.example/v1"

  fun send(t: String, m: Money) =
    http.post("$base/send", t, m)
}

public final class a {
  final b f1a;
  final String f2b = c.a("x9F2…");

  final d a(String s, e e2) {
    return f1a.a(c.a(f2b), s, e2);
  }
}

Moatgator Runtime

যে শনাক্তকরণ আপনার অ্যাপের ভেতরেই থাকে।

Root, ইমুলেটর, ডিবাগার, হুকিং ও টেম্পারিং থেকেই বেশিরভাগ মোবাইল জালিয়াতি শুরু হয়। অ্যাপ চলার সময় Runtime এগুলো খোঁজে, আর সাড়া কী হবে তা আপনার নীতি ঠিক করে।

প্রতিটি শনাক্তকরণের জন্য মনিটর, সতর্কতা, ব্লক বা সেশন শেষ করুন
নীতি আপনার রিপোজিটরিতে ভার্সন করা থাকে
প্রতিটি শনাক্তকরণ মনিটর মোডে শুরু হয়

ঘুরে দেখুন Runtime

$app.start com.example.pay 4.12.0 (Android 14)
✓integrity.signature match
✕hook.frida frida-server on 127.0.0.1:27042
✕hook.frida libfrida-gadget.so mapped in process
→policy block → end_session

সেশন শেষ হয়েছে

$app.start com.example.pay 4.12.0 (Android 12)
!root.su /system/xbin/su found
!root.manager com.topjohnwu.magisk installed
✕action transfer.confirm requested
→policy warn → block on payment

লেনদেন ব্লক করা হয়েছে

$app.start com.example.pay 4.12.0 (Android 13)
!emulator.qemu ro.kernel.qemu=1
!emulator.build fingerprint contains "generic"
!automation identical touch timing across sessions
→policy warn → report

Pulse-এ রিপোর্ট করা হয়েছে

Moatgator Attest

এমন ভার্ডিক্ট যা আপনার ব্যাকএন্ড যাচাই করতে পারে।

Attest প্ল্যাটফর্মের ইন্টেগ্রিটি সংকেতকে Moatgator-এর নিজস্ব পরীক্ষার সঙ্গে মিলিয়ে একটি স্বাক্ষরিত ভার্ডিক্ট ফেরত দেয়। আপনার ব্যাকএন্ড স্বাক্ষর যাচাই করে সিদ্ধান্ত নেয় এগোবে কি না।

Play Integrity ও App Attest সংকেতের ওপর ভিত্তি করে
স্বাক্ষরিত ভার্ডিক্ট, আপনার দিকে যাচাই করা
সংবেদনশীল কাজ চলার আগে সিদ্ধান্ত নিন

ঘুরে দেখুন Attest

Moatgator Pulse

নিরাপত্তা সংকেত, ব্যবহারকারীর বিষয়বস্তু নয়।

Pulse সুরক্ষিত অ্যাপ থেকে নিরাপত্তা ইভেন্ট সংগ্রহ করে, যাতে আপনার দল অ্যাপ, ভার্সন ও বিল্ড অনুযায়ী আক্রমণের ধরন দেখতে পারে। এটি ডিভাইস ও চেষ্টার সংকেত রেকর্ড করে, আপনার ব্যবহারকারীদের বিষয়বস্তু কখনও নয়।

প্রতিটি অ্যাপ ও বিল্ডের জন্য লাইভ ইভেন্ট ফিড
ইমেল, Slack ও ওয়েবহুকে অ্যালার্ট
আপনার প্ল্যানের ওপর নির্ভর করে ডেটা সংরক্ষণ

ঘুরে দেখুন Pulse

লাইভ ইভেন্ট

hook.frida4.12.0 · Android 14ব্লক করা হয়েছে
overlay4.11.3 · Android 13ব্লক করা হয়েছে
root.su4.12.0 · Android 12সতর্ক করা হয়েছে
emulator4.10.1 · Android 13সতর্ক করা হয়েছে
tamper4.12.0 · Android 14ব্লক করা হয়েছে
integrity.ok4.12.0 · iOS 17পাস করা হয়েছে
hook.frida4.12.0 · Android 14ব্লক করা হয়েছে
overlay4.11.3 · Android 13ব্লক করা হয়েছে
root.su4.12.0 · Android 12সতর্ক করা হয়েছে
emulator4.10.1 · Android 13সতর্ক করা হয়েছে
tamper4.12.0 · Android 14ব্লক করা হয়েছে
integrity.ok4.12.0 · iOS 17পাস করা হয়েছে

Moatgator Scan

কয়েক মিনিটে প্রথম ঝলক।

Scan আপনার অ্যাপ বিশ্লেষণ করে আক্রমণকারী যেভাবে করত সেভাবে, এবং ফলাফল OWASP MASVS-RESILIENCE-এর সঙ্গে যুক্ত করে, যাতে আপনি জানেন কোথায় আছেন আর আগে কী ঠিক করবেন।

APK, AAB ও IPA ফাইল
OWASP MASVS-এর সঙ্গে যুক্ত ফলাফল
pull request দিয়ে ঠিক করুন

ঘুরে দেখুন Scan

Scan রিপোর্টapp-release.aab · OWASP MASVSগ্রেড

Pix Shield

ব্রাজিলে অর্থের লেনদেন করা অ্যাপের জন্য তৈরি।

ব্রাজিলের ব্যাংকিং ট্রোজান গ্রাহককে তাঁর নিজের ডিভাইসেই প্রতারিত করার ওপর নির্ভর করে। Pix Shield পেমেন্টের মুহূর্তে এই কৌশলগুলো শনাক্ত করে এবং অ্যাকাউন্ট থেকে লেনদেন বেরিয়ে যাওয়ার আগে তা থামাতে পারে।

ওভারলে ও অ্যাক্সেসিবিলিটি সার্ভিসের অপব্যবহার
স্ক্রিন ক্যাপচার ও রেকর্ডিং, বিষয়বস্তু লুকিয়ে রেখে
সক্রিয় রিমোট অ্যাক্সেস, লেনদেন ব্লক করে
পেমেন্ট স্ক্রিনের জন্য তৈরি নীতি

ঘুরে দেখুন Pix Shield

ভুয়া ওভারলেcom.fake.update draws over transfer_confirm✓ লেনদেন ব্লক করা হয়েছে
অ্যাক্সেসিবিলিটির অপব্যবহারcom.auto.clicker accessibility service reads the screen✓ লেনদেন ব্লক করা হয়েছে
রিমোট অ্যাক্সেসremote-control session active during payment✓ লেনদেন ব্লক করা হয়েছে

Moatgator Vault

আপনার ব্যাকএন্ড, CI ও অ্যাপের জন্য সিক্রেট

.env ফাইল, CLI ও GitHub Actions-এ সিক্রেটকে mg:// হিসেবে রেফারেন্স করুন। আপনার মোবাইল অ্যাপ সিক্রেট পায় শুধু এমন ডিভাইসে যা Attest পাস করেছে।

ঘুরে দেখুন Vault

terminalউদাহরণ

$ moatgator secrets run --env-file .env.tpl -- npm start$ moatgator secrets inject -i .env.tpl -o .env$ moatgator secrets get mg://api/prod/DATABASE_URL

সিদ্ধান্ত

প্রতিটি শনাক্তকরণ একটি সিদ্ধান্তে শেষ হয়।

পর্যবেক্ষণ, সতর্কতা বা ব্লক: প্রতিটি শনাক্তকরণের প্রতিক্রিয়া আপনি ঠিক করেন, আর প্রতিটি পরিবর্তন কোডের মতো পর্যালোচিত হয়।

কারণসহ একটি সিদ্ধান্ত

প্রতিটি শনাক্তকরণে লেখা থাকে কী দেখা গেছে, অ্যাপ কতটা নিশ্চিত এবং আপনার নীতি কী করেছে।

কোড হিসেবে নীতিমালা

প্রতি অ্যাপে একটি moatgator.yml, যেকোনো পরিবর্তনের মতো ভার্সন ও পর্যালোচনা সহ। ডিফ বলে দেয় নীতি কড়া হলো না ঢিলে।

যাচাইযোগ্য অডিট ট্রেইল

প্রতিটি পরিবর্তন হ্যাশ-শৃঙ্খলযুক্ত লগে যুক্ত হয়, আর আপনি কনসোল থেকে শৃঙ্খল যাচাই করতে পারেন।

হুমকি

মোবাইল জালিয়াতির পেছনের আক্রমণ, অ্যাপের ভেতরেই ঠেকানো।

আক্রমণকারী ও জালিয়াতির টুল যে কৌশলগুলো ব্যবহার করে, Runtime সেগুলোর ওপর নজর রাখে এবং নীতি অনুযায়ী পদক্ষেপ নেয়।

01
Root ও jailbreak
যেসব ডিভাইসে অপারেটিং সিস্টেমের সুরক্ষা সরিয়ে ফেলা হয়েছে।
02
ইমুলেটর ও ভার্চুয়াল ডিভাইস
ফার্ম ও স্যান্ডবক্স যা বড় পরিসরে অপব্যবহার স্বয়ংক্রিয় করে।
03
ডিবাগার
অ্যাপ চলার সময় তা পরীক্ষা বা পরিবর্তন করতে সংযুক্ত করা টুল।
04
হুকিং ফ্রেমওয়ার্ক
Frida, Xposed ও অনুরূপ টুল যা রানটাইমে আচরণ বদলে দেয়।
05
টেম্পারিং ও রিপ্যাকেজিং
আপনার অ্যাপের পরিবর্তিত বা পুনরায় সাইন করা কপি।
06
স্ক্রিন ওভারলে
আপনার আসল পেমেন্ট বা লগইন স্ক্রিনের ওপর আঁকা ভুয়া স্ক্রিন।
07
অ্যাক্সেসিবিলিটি সার্ভিসের অপব্যবহার
ম্যালওয়্যার যা স্ক্রিন পড়ে বা ব্যবহারকারীর হয়ে ট্যাপ করে।
08
স্ক্রিন ক্যাপচার ও রেকর্ডিং
স্ক্রিনশট বা রেকর্ডিং হয়ে ডিভাইসের বাইরে চলে যাওয়া সংবেদনশীল বিষয়বস্তু।
09
রিমোট-অ্যাক্সেস টুল
লেনদেনের সময় ডিভাইসটি অন্য কারও নিয়ন্ত্রণে থাকা।

সব শনাক্তকরণ দেখুন

By platform

আপনার নিজের অ্যাপেই দেখুন।

বিনামূল্যে Scan দিয়ে শুরু করুন, অথবা আপনার রিপোজিটরি সংযুক্ত করে সুরক্ষার pull request পান।

বিনামূল্যে শুরু করুন আমার অ্যাপ স্ক্যান করুন

সুরক্ষা, শনাক্তকরণ ও প্রমাণের জন্য একটি প্ল্যাটফর্ম।

একটি pull request-এ আপনার অ্যাপ সুরক্ষিত করুন।

আপনার রিপোজিটরি সংযুক্ত করুন

একটি pull request রিভিউ করুন

রিলিজ করুন ও নজর রাখুন

রিভার্স ইঞ্জিনিয়ারিংকে ব্যয়বহুল করুন।

যে শনাক্তকরণ আপনার অ্যাপের ভেতরেই থাকে।

এমন ভার্ডিক্ট যা আপনার ব্যাকএন্ড যাচাই করতে পারে।

নিরাপত্তা সংকেত, ব্যবহারকারীর বিষয়বস্তু নয়।

কয়েক মিনিটে প্রথম ঝলক।

ব্রাজিলে অর্থের লেনদেন করা অ্যাপের জন্য তৈরি।

আপনার ব্যাকএন্ড, CI ও অ্যাপের জন্য সিক্রেট

প্রতিটি শনাক্তকরণ একটি সিদ্ধান্তে শেষ হয়।

কারণসহ একটি সিদ্ধান্ত

কোড হিসেবে নীতিমালা

যাচাইযোগ্য অডিট ট্রেইল

মোবাইল জালিয়াতির পেছনের আক্রমণ, অ্যাপের ভেতরেই ঠেকানো।

Root ও jailbreak

ইমুলেটর ও ভার্চুয়াল ডিভাইস

ডিবাগার

হুকিং ফ্রেমওয়ার্ক

টেম্পারিং ও রিপ্যাকেজিং

স্ক্রিন ওভারলে

অ্যাক্সেসিবিলিটি সার্ভিসের অপব্যবহার

স্ক্রিন ক্যাপচার ও রেকর্ডিং

রিমোট-অ্যাক্সেস টুল

By platform

আপনার নিজের অ্যাপেই দেখুন।