प्लैटफ़ॉर्म
सुरक्षा करने, पहचानने और साबित करने के लिए एक प्लैटफ़ॉर्म।
पाँच प्रोडक्ट जो आपके CI से प्रोडक्शन तक मिलकर काम करते हैं, साथ में भुगतान प्रवाह के लिए Pix Shield।
यह कैसे काम करता है
एक pull request में अपने ऐप की सुरक्षा करें।
जोड़ें, समीक्षा करें, रिलीज़ करें।
01
अपनी रिपॉज़िटरी जोड़ें
GitHub App इंस्टॉल करें और अपना Android या iOS (बीटा) प्रोजेक्ट चुनें। Moatgator उसे स्कैन करता है और बताता है कि किस हिस्से की सुरक्षा ज़रूरी है।
02
एक pull request की समीक्षा करें
Moatgator एक PR खोलता है जो आपके बिल्ड पाइपलाइन में सुरक्षा जोड़ता है। आप उसकी समीक्षा किसी भी अन्य बदलाव की तरह करते हैं।
03
रिलीज़ करें और देखें
Runtime की जाँचें ऐप के भीतर चलती हैं। Pulse दिखाता है कि क्या कोशिश की गई और क्या रोका गया।
app: com.example.payplatforms: [android, ios]protect: shield: [obfuscation, anti-tamper] runtime: detect: [root, emulator, debugger, hooking, overlay] on_detect: monitor # monitor | warn | blockMoatgator Shield
रिवर्स इंजीनियरिंग को महँगा बनाएँ।
हमलावर आपके ऐप को पढ़ने से शुरुआत करते हैं। Shield कंपाइल किए गए ऐप को इस तरह दोबारा लिखता है कि लॉजिक, एंडपॉइंट और सीक्रेट को पढ़ना, बदलना और रीपैकेज करना कहीं ज़्यादा कठिन हो जाए, और आपके सोर्स कोड को छुए बिना।
- कोड और स्ट्रिंग ऑब्फ़स्केशन
- टैंपर-रोधी सुरक्षा और इंटीग्रिटी जाँचें
- पढ़ने लायक क्रैश रिपोर्ट के लिए मैपिंग फ़ाइलें सुरक्षित रखी जाती हैं
Moatgator Runtime
पहचान जो आपके ऐप के भीतर रहती है।
Root, एमुलेटर, डीबगर, हुकिंग और छेड़छाड़ से ही ज़्यादातर मोबाइल धोखाधड़ी शुरू होती है। Runtime ऐप चलते समय इन्हें खोजता है, और प्रतिक्रिया आपकी नीति तय करती है।
- हर पहचान के लिए मॉनिटर, चेतावनी, ब्लॉक या सेशन समाप्त करें
- नीतियाँ आपकी रिपॉज़िटरी में वर्ज़न की हुई
- हर पहचान मॉनिटर मोड में शुरू होती है
Moatgator Attest
ऐसा वर्डिक्ट जिसे आपका बैकएंड सत्यापित कर सकता है।
Attest प्लैटफ़ॉर्म के इंटीग्रिटी संकेतों को Moatgator की अपनी जाँचों से जोड़ता है और एक हस्ताक्षरित वर्डिक्ट लौटाता है। आपका बैकएंड हस्ताक्षर सत्यापित करके तय करता है कि आगे बढ़ना है या नहीं।
- Play Integrity और App Attest के संकेतों पर आधारित
- हस्ताक्षरित वर्डिक्ट, आपकी तरफ़ सत्यापित
- संवेदनशील कार्रवाई चलने से पहले फ़ैसला करें
Moatgator Pulse
सुरक्षा संकेत, उपयोगकर्ता की सामग्री नहीं।
Pulse सुरक्षित ऐप्स से सुरक्षा इवेंट इकट्ठा करता है ताकि आपकी टीम ऐप, वर्ज़न और बिल्ड के अनुसार हमलों के पैटर्न देख सके। यह डिवाइस और कोशिशों के बारे में संकेत दर्ज करता है, आपके उपयोगकर्ताओं की सामग्री कभी नहीं।
- हर ऐप और बिल्ड के लिए लाइव इवेंट फ़ीड
- ईमेल, Slack और वेबहुक पर अलर्ट
- आपके प्लान पर निर्भर डेटा रिटेंशन
Moatgator Scan
मिनटों में पहली झलक।
Scan आपके ऐप का विश्लेषण वैसे ही करता है जैसे हमलावर करता, और निष्कर्षों को OWASP MASVS-RESILIENCE से जोड़ता है, ताकि आप जानें कि आप कहाँ हैं और पहले क्या ठीक करना है।
- APK, AAB और IPA फ़ाइलें
- निष्कर्ष OWASP MASVS से जुड़े हुए
- उन्हें pull request से ठीक करें
Pix Shield
ब्राज़ील में पैसों का लेन-देन करने वाले ऐप्स के लिए बना।
ब्राज़ील में बैंकिंग ट्रोजन ग्राहक को उसके अपने डिवाइस पर धोखा देने पर निर्भर करते हैं। Pix Shield भुगतान के पल में इन तरीकों को पहचानता है और लेन-देन को खाते से निकलने से पहले रोक सकता है।
- ओवरले और एक्सेसिबिलिटी सेवा का दुरुपयोग
- स्क्रीन कैप्चर और रिकॉर्डिंग, सामग्री छिपाने के साथ
- सक्रिय रिमोट एक्सेस, लेन-देन ब्लॉक करने के साथ
- भुगतान स्क्रीन के लिए तैयार नीतियाँ
Moatgator Vault
आपके बैकएंड, आपके CI और आपके ऐप के लिए सीक्रेट
.env फ़ाइलों, CLI और GitHub Actions में सीक्रेट को mg:// से रेफ़र करें। आपके मोबाइल ऐप को सीक्रेट सिर्फ़ उसी डिवाइस पर मिलता है जो Attest में पास हुआ हो।
देखें Vault$ moatgator secrets run --env-file .env.tpl -- npm start$ moatgator secrets inject -i .env.tpl -o .env$ moatgator secrets get mg://api/prod/DATABASE_URLफ़ैसले
हर डिटेक्शन एक फ़ैसले पर खत्म होता है।
निगरानी, चेतावनी या ब्लॉक: हर डिटेक्शन की प्रतिक्रिया आप चुनते हैं, और हर बदलाव कोड की तरह समीक्षा से गुज़रता है।
कारणों के साथ एक फ़ैसला
हर डिटेक्शन दर्ज करता है कि क्या दिखा, ऐप को कितना भरोसा है और आपकी नीति ने क्या किया।
कोड के रूप में नीतियाँ
हर ऐप के लिए एक moatgator.yml, किसी भी बदलाव की तरह वर्ज़न और समीक्षा के साथ। डिफ़ बताता है कि नीति सख़्त हुई या ढीली।
जाँचा जा सकने वाला ऑडिट ट्रेल
हर बदलाव हैश-श्रृंखला वाले लॉग में जुड़ता है, और आप कंसोल से श्रृंखला जाँच सकते हैं।
ख़तरे
मोबाइल धोखाधड़ी के पीछे के हमले, ऐप के भीतर ही रोके गए।
Runtime उन तरीकों पर नज़र रखता है जो हमलावर और धोखाधड़ी के टूल इस्तेमाल करते हैं, और नीति के अनुसार कार्रवाई करता है।
01
Root और jailbreak
वे डिवाइस जिनमें ऑपरेटिंग सिस्टम की सुरक्षा हटा दी गई है।
02
एमुलेटर और वर्चुअल डिवाइस
फ़ार्म और सैंडबॉक्स जो बड़े पैमाने पर दुरुपयोग को स्वचालित करते हैं।
03
डीबगर
ऐप के चलते समय उसे जाँचने या बदलने के लिए जुड़े टूल।
04
हुकिंग फ़्रेमवर्क
Frida, Xposed और ऐसे ही टूल जो रनटाइम पर व्यवहार बदल देते हैं।
05
छेड़छाड़ और रीपैकेजिंग
आपके ऐप की बदली हुई या दोबारा साइन की गई प्रतियाँ।
06
स्क्रीन ओवरले
आपकी असली भुगतान या लॉगिन स्क्रीन के ऊपर बनाई गई नकली स्क्रीन।
07
एक्सेसिबिलिटी सेवा का दुरुपयोग
मैलवेयर जो स्क्रीन पढ़ता है या उपयोगकर्ता की ओर से टैप करता है।
08
स्क्रीन कैप्चर और रिकॉर्डिंग
संवेदनशील सामग्री जो स्क्रीनशॉट या रिकॉर्डिंग के रूप में डिवाइस से बाहर जा रही है।
09
रिमोट-एक्सेस टूल
लेन-देन के दौरान डिवाइस पर किसी और का नियंत्रण।
By platform
अपने ही ऐप पर देखें।
मुफ़्त Scan से शुरू करें, या अपनी रिपॉज़िटरी जोड़ें और सुरक्षा वाला pull request पाएँ।