Plateforme
Une plateforme pour protéger, détecter et prouver.
Cinq produits qui travaillent ensemble, de votre CI à la production, plus Pix Shield pour les parcours de paiement.
Comment ça marche
Protégez votre app en une seule pull request.
Connectez, relisez, livrez.
01
Connectez votre dépôt
Installez la GitHub App et choisissez votre projet Android ou iOS (bêta). Moatgator l'analyse et identifie ce qui doit être protégé.
02
Relisez une pull request
Moatgator ouvre une PR qui ajoute la protection à votre pipeline de build. Vous la relisez comme n'importe quel autre changement.
03
Livrez et surveillez
Les contrôles de Runtime s'exécutent dans l'app. Pulse montre ce qui a été tenté et ce qui a été stoppé.
app: com.example.payplatforms: [android, ios]protect: shield: [obfuscation, anti-tamper] runtime: detect: [root, emulator, debugger, hooking, overlay] on_detect: monitor # monitor | warn | blockMoatgator Shield
Rendez la rétro-ingénierie coûteuse.
Les attaquants commencent par lire votre app. Shield réécrit l'app compilée pour que la logique, les endpoints et les secrets soient bien plus difficiles à lire, à modifier et à reconditionner, sans toucher à votre code source.
- Obfuscation du code et des chaînes
- Anti-altération et contrôles d'intégrité
- Fichiers de mapping conservés pour des rapports de plantage lisibles
Moatgator Runtime
Une détection qui vit dans votre app.
Root, émulateurs, débogueurs, hooking et altération sont le point de départ de la plupart des fraudes mobiles. Runtime les cherche pendant que l'app s'exécute, et votre politique décide de la réponse.
- Surveiller, avertir, bloquer ou terminer la session, par détection
- Politiques versionnées dans votre dépôt
- Chaque détection démarre en mode surveillance
Moatgator Attest
Un verdict que votre backend peut vérifier.
Attest combine les signaux d'intégrité de la plateforme avec les contrôles propres à Moatgator et renvoie un unique verdict signé. Votre backend vérifie la signature et décide de la suite.
- Fondé sur les signaux de Play Integrity et d'App Attest
- Des verdicts signés, vérifiés de votre côté
- Décidez avant qu'une action sensible ne s'exécute
Moatgator Pulse
Des signaux de sécurité, pas du contenu utilisateur.
Pulse collecte les événements de sécurité des apps protégées pour que votre équipe voie les schémas d'attaque par app, version et build. Il enregistre des signaux sur les appareils et les tentatives, jamais le contenu de vos utilisateurs.
- Flux d'événements en direct par app et par build
- Alertes par e-mail, Slack et webhooks
- Une rétention qui dépend de votre plan
Moatgator Scan
Un premier aperçu en quelques minutes.
Scan analyse votre app comme le ferait un attaquant et rattache les constats à l'OWASP MASVS-RESILIENCE, pour que vous sachiez où vous en êtes et quoi corriger en premier.
- Fichiers APK, AAB et IPA
- Constats rattachés à l'OWASP MASVS
- Corrigez avec une pull request
Pix Shield
Conçu pour les apps qui manipulent de l'argent au Brésil.
Les chevaux de Troie bancaires au Brésil reposent sur la ruse envers le client, sur son propre appareil. Pix Shield détecte ces techniques au moment du paiement et peut arrêter la transaction avant qu'elle ne quitte le compte.
- Abus de superpositions et des services d'accessibilité
- Capture et enregistrement d'écran, avec masquage du contenu
- Accès à distance actif, avec blocage de la transaction
- Politiques prêtes à l'emploi pour les écrans de paiement
Moatgator Vault
Des secrets pour votre backend, votre CI et votre app
Référencez vos secrets en mg:// dans les fichiers .env, la CLI et GitHub Actions. Votre app mobile ne reçoit un secret que sur un appareil validé par Attest.
Explorer Vault$ moatgator secrets run --env-file .env.tpl -- npm start$ moatgator secrets inject -i .env.tpl -o .env$ moatgator secrets get mg://api/prod/DATABASE_URLVerdicts
Chaque détection se termine par un verdict.
Surveiller, avertir ou bloquer : vous choisissez la réponse pour chaque détection, et chaque changement est relu comme du code.
Un verdict, avec ses raisons
Chaque détection enregistre ce qui a été vu, le niveau de confiance de l'app et ce que votre politique a fait.
Des politiques en code
Un moatgator.yml par app, versionné et relu comme n'importe quel changement. Le diff indique si la politique est plus stricte ou plus souple.
Une piste d'audit vérifiable
Chaque changement rejoint un journal chaîné par hachage, et vous pouvez vérifier la chaîne depuis la console.
Menaces
Les attaques derrière la fraude mobile, stoppées à l'intérieur de l'app.
Runtime surveille les techniques qu'utilisent les attaquants et les outils de fraude, et agit selon votre politique.
01
Root et jailbreak
Appareils sur lesquels les protections du système d'exploitation ont été retirées.
02
Émulateurs et appareils virtuels
Fermes et sandbox qui automatisent les abus à grande échelle.
03
Débogueurs
Outils attachés pour inspecter ou modifier l'app pendant son exécution.
04
Frameworks de hooking
Frida, Xposed et outils similaires qui réécrivent le comportement à l'exécution.
05
Altération et reconditionnement
Copies modifiées ou re-signées de votre app.
06
Superpositions d'écran
Faux écrans dessinés par-dessus votre véritable écran de paiement ou de connexion.
07
Abus du service d'accessibilité
Malware qui lit l'écran ou touche à la place de l'utilisateur.
08
Capture et enregistrement d'écran
Contenu sensible qui quitte l'appareil dans des captures ou des enregistrements.
09
Outils d'accès à distance
Quelqu'un d'autre qui contrôle l'appareil pendant une transaction.
By platform
Voyez-le sur votre propre app.
Commencez par un Scan gratuit, ou connectez votre dépôt et recevez une pull request de protection.