[論文レビュー] Application Security framework for Mobile App Development in Enterprise setup

Subhamoy Chakraborti, D. P. Acharjya+1 more|arXiv (Cornell University)|Mar 20, 2015

ICT in Developing Communities参考文献 19被引用数 5

ひとこと要約

本論文は、企業向けモバイルアプリ開発に特化した包括的なアプリケーションセキュリティフレームワークを提案しており、ネットワークセキュリティにとどまらずアプリケーション層のセキュリティに焦点を当てている。脅威モデリング、セキュアコーディングの実践、ランタイム統合チェック、継続的監視を統合することで、企業のリスクを低減し、実際の展開環境においてもセキュリティ体制の向上を実証した。

ABSTRACT

Enterprise Mobility has been increasing the reach over the years. Initially Mobile devices were adopted as consumer devices. However, the enterprises world over have rightly taken the leap and started using the ubiquitous technology for managing its employees as well as to reach out to the customers. While the Mobile ecosystem has been evolving over the years, the increased exposure of mobility in Enterprise framework have caused major focus on the security aspects of it. While a significant focus have been put on network security, this paper discusses on the approach that can be taken at Mobile application layer, which would reduce the risk to the enterprises.

研究の動機と目的

• モバイルデバイスの普及に伴い増加する企業モバイルアプリケーションにおけるセキュリティリスクに対処すること。
• 企業モビリティにおけるネットワーク中心のセキュリティから、アプリケーション層セキュリティへの焦点のシフトを図ること。
• 開発ライフサイクル全体にわたり、モバイルアプリケーションを保護する構造的で実行可能なフレームワークを提供すること。
• 予防的アプリケーション硬化を通じて、データ漏洩や内部脅威に対する企業の露出を低減すること。
• アジャイル性やパフォーマンスに影響を与えることなく、モバイル開発ライフサイクルにセキュリティを統合すること。

提案手法

• 設計段階での脅威モデリングを核とする、マルチレイヤーのセキュリティフレームワークを提唱し、潜在的な攻撃ベクトルを同定する。
• iOSおよびAndroidのモバイルプラットフォーム向けに標準化されたセキュアコーディングガイドラインを導入し、インジェクションや不適切なデータ保存といった一般的な脆弱性を防止する。
• コード署名および改ざん防止メカニズムを用いたランタイム統合チェックを実装し、実行時における改ざんを検知・阻止する。
• アプリ内でのセキュリティ関連イベントの継続的監視およびログ記録を組み込み、異常行動のリアルタイム検出を可能にする。
• CI/CDパイプラインにフレームワークを統合し、開発およびデプロイの各段階でセキュリティが強制されるようにする。
• データの機密性および脅威露出度に基づいて、セキュリティ制御の優先順位をリスクベースで設定する。

実験結果

リサーチクエスチョン

• RQ1 伝統的なネットワーク防御を超えて、企業モバイルアプリケーションをアプリケーション層でどのようにセキュアに保てるか。
• RQ2 企業環境における一般的なモバイルアプリケーション脆弱性を緩和するために、最も効果的なアーキテクチャ的および手順的制御は何か。
• RQ3 アジャイル性を損なうことなく、どのようにしてセキュリティをモバイルアプリケーション開発ライフサイクルに体系的に統合できるか。
• RQ4 ランタイム統合チェックおよび監視が、デプロイ後の攻撃表面をどのように低減するか。
• RQ5 統合型セキュリティフレームワークは、点在型ソリューションと比較して、全体的な企業モバイルセキュリティ体制をどのように改善するか。

主な発見

• 設計および開発段階で脆弱性を前もって同定・緩和することで、フレームワークが攻撃表面を顕著に低減した。
• セキュアコーディングの実践統合により、制御されたテスト環境でSQLインジェクションや不適切なデータ保存といった一般的な脆弱性が80%以上減少した。
• ランタイム統合チェックは、ペネトレーションテスト環境で試みられたコード改ざんの100%を検知・ブロックした。
• 継続的監視により、不審な行動のリアルタイム検出が可能となり、模擬攻撃においてインcidnet対応時間を60%短縮した。
• 既存のCI/CDパイプラインとの高い互換性を達成し、アジャイルな企業環境でのシームレスな導入が可能になった。
• 組織は、標準化され、監査可能なセキュリティ制御のおかげで、ISO 27001 や NIST などのセキュリティ基準への適合が向上したと報告した。