一种App收集用户个人敏感信息的风险评估方法技术

本发明专利技术公开了一种APP收集用户个人敏感信息的风险评估方法，通过对APP进行静态分析以及动态分析，得出权限评分、调用函数评分、SDK评分、流量包参数评分和域名评分，再进行加权求和，得出被评估APP的最终评分，根据评估矩阵得出被评估APP的风险评级；根据风险评级反向维护SDK风险权重库和域名风险权重库，对SDK或域名进行风险权重的修正。本发明专利技术的APP收集用户个人敏感信息的风险评估方法包含用户输入的用户个人敏感信息、非用户输入的潜在用户个人敏感信息，对APP收集用户个人敏感信息的风险程度进行量化，更全面的涵盖了多种敏感信息点，细化了APP收集用户个人敏感信息的风险大小，能大批量的评估APP收集用户个人敏感信息的风险程度。

【技术实现步骤摘要】
一种App收集用户个人敏感信息的风险评估方法本专利技术是申请号为“201910794491.4”、申请日为2019-08-27、名称为“一种APP收集用户个人敏感信息的风险评估方法”的分案申请。
本专利技术涉及移动互联网领域，尤其涉及一种APP收集用户个人敏感信息的风险评估方法。
技术介绍
随着移动互联网和智能手机的迅猛发展和普及，大量的APP(Application，应用程序)被安装在用户的智能手机中，智能手机用户的个人敏感信息被APP肆意收集，用户个人敏感信息受到了严重威胁。目前对于安卓手机市场的监管还比较松散，很多手机市场并未对安卓APP收集用户个人敏感信息行为进行强制检测和把控，这很大程度上是因为目前没有一个很好的方法来检测APP收集用户个人敏感信息行为的方法，靠人工检测又太费时费力，成本太高。目前现有技术中对APP收集用户个人敏感信息的风险评估方法不是针对指定的APP，就是仅关注用户在APP上输入的信息，而针对非用户输入的潜在个人敏感信息，比如：地理位置、手机号、通讯录、移动端基本信息等均没有考虑；而且现有方法均是针对本文档来自技高网...

【技术保护点】
1.一种APP收集用户个人敏感信息的风险评估方法，其特征在于，包括以下步骤：/nS1、开始；/nS2、对被评估APP进行静态和动态分析，获得各风险因素的评分；/nS3、对步骤S2中获得的各风险因素的评分进行加权求和，获得被评估APP的风险评分，所述风险评分包括可疑度评分和严重度评分；/nS4、根据步骤S3中获得的风险评分，确定被评估APP的风险评级；/nS5、结束；/n所述步骤S2中，对被评估APP进行静态分析，是指：对被评估APP的权限需求、SDK、调用函数进行分析，分别获得权限评分Sp、SDK评分Sm、调用函数评分Ss；/n所述步骤S2中，对被评估APP进行动态分析，是指对被评估APP的流...

【技术特征摘要】
1.一种APP收集用户个人敏感信息的风险评估方法，其特征在于，包括以下步骤：
S1、开始；
S2、对被评估APP进行静态和动态分析，获得各风险因素的评分；
S3、对步骤S2中获得的各风险因素的评分进行加权求和，获得被评估APP的风险评分，所述风险评分包括可疑度评分和严重度评分；
S4、根据步骤S3中获得的风险评分，确定被评估APP的风险评级；
S5、结束；
所述步骤S2中，对被评估APP进行静态分析，是指：对被评估APP的权限需求、SDK、调用函数进行分析，分别获得权限评分Sp、SDK评分Sm、调用函数评分Ss；
所述步骤S2中，对被评估APP进行动态分析，是指对被评估APP的流量包参数、访问域名进行分析，分别获得流量包参数评分Sd、域名评分Sn；
所述流量包参数评分Sd的获取步骤如下：
S2-4-1，在沙盒环境中安装被评估APP；
S2-4-2，在沙盒环境内对敏感信息设置预设值；
S2-4-3，抓取被评估APP与网络通信的数据流量包；
S2-4-4，对步骤S2-4-3中的数据流量包进行分析，检测是否包含步骤S2-4-2中设置的敏感信息的预设值，包含则Sd＝1，否则Sd＝0；
所述域名评分Sn的获取步骤如下：
按照公式Sn＝β*n，求得被评估APP的域名评分；
Sn：是域名评分；β：是被评估app访问的、且包含在域名风险权重库中的域名的权重之和；n：是域名风险权重库中包含的去重后的域名的总数量；若域名为首次出现，则其风险权重设为0。


2.根据权利要求1所述的APP收集用户个人敏感信息的风险评估方法，其特征在于，所述权限评分Sp的获取步骤如下：
S2-1-1，建立或完善修正“权限敏感性评分表”，是指，从安卓官方文档中获取所有权限列表，并根据权限与敏感信息的关联程度，对权限进行评分；
S2-1-2，对照S2-1-1中的“权限敏感性评分表”，逐项累加被评估APP权限列表所对应的权限敏感性评分，得到被评估APP的权限评分Sp；
所述SDK评分Sm获取的步骤如下：
以公式Sm＝α*m计算得到被评估APP的SDK评分；
其中：Sm是被评估APP的SDK评分；α：是被评估APP所包含的、且已在SDK风险权重库中的SDK的权重之和；m是SDK风险权重库中包含的去重后的SDK的总数量；若SDK为首次出现，则其风险权重设为0；
所述调用函数评分Ss的获取步骤如下：
S2-3-1，获取被评估APP与读写敏感信息相关的函数以及调用这些函数的函数，记为函数集合a；
S2-3-2，获取被评估APP与网络请求操作相关的函数，记为函数集合b；
S2-3-3，获取被评估APP与数据加密操作相关的函数，记为函数集合c；
S2-3-4，求得函数集合a、函数集合b、函数集合c之间的交集中元素的数量；
S2-3-5，根据以下公式计...

【专利技术属性】
技术研发人员：李鹏霄，王海洋，王红兵，时磊，翟羽佳，项菲，赵媛，李雪梅，张晓东，
申请(专利权)人：烟台中科网络技术研究所，国家计算机网络与信息安全管理中心，
类型：发明
国别省市：山东;37