Исследование методов защиты информации в мобильных приложениях на примере Android-приложения InsecureShop

Содержание

Введение

Глава 1. Теоретические основы защиты информации в мобильных приложениях

1.1. Особенности мобильных приложений как объекта информационной безопасности

1.2. Основные угрозы безопасности мобильных приложений

1.3. Современные стандарты и подходы к обеспечению безопасности мобильных приложений

Глава 2. Методы защиты информации в мобильных приложениях

2.1. Методы защиты данных и аутентификации пользователей

2.2. Методы защиты сетевого взаимодействия и локального хранения данных

2.3. Методы защиты мобильных приложений от уязвимостей и обратной разработки

Глава 3. Исследование уязвимостей Android-приложения InsecureShop

3.1. Анализ архитектуры и компонентов приложения InsecureShop

3.2. Исследование уязвимостей приложения с использованием инструментов анализа безопасности

3.3. Разработка рекомендаций по повышению уровня защиты информации

Заключение

Список использованной литературы

ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ РАБОТА

Тема: Исследование методов защиты информации в мобильных приложениях на примере Android-приложения InsecureShop

Направление: Информационная безопасность
Специальность: 10.03.01 Информационная безопасность

ВВЕДЕНИЕ

Актуальность темы исследования обусловлена стремительным ростом числа мобильных устройств и приложений, используемых как в повседневной жизни граждан, так и в корпоративной среде российских организаций. По данным аналитического отчета «Лаборатории Касперского» за 2024 год, количество кибератак на мобильные устройства в России возросло на 47% по сравнению с предыдущим периодом, что свидетельствует о критической необходимости совершенствования методов защиты информации в мобильных приложениях. Особую значимость данная проблематика приобретает в контексте реализации положений Доктрины информационной безопасности Российской Федерации, утвержденной Указом Президента РФ от 05.12.2016 № 646, а также задач импортозамещения в сфере информационной безопасности, установленных Указом Президента РФ от 30.03.2022 № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации».

Мобильные приложения на платформе Android занимают доминирующее положение на российском рынке с долей более 68%, что делает их приоритетным объектом для исследования угроз информационной безопасности. Анализ уязвимостей мобильных приложений приобретает особое значение для обеспечения защиты персональных данных в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и Приказа ФСТЭК России от 18.02.2013 № 21, определяющего состав мер защиты персональных данных при их обработке в информационных системах. Кроме того, в условиях возрастающих киберугроз в отношении российских организаций и граждан, зафиксированных в отчетах Positive Technologies и Национального координационного центра по компьютерным инцидентам (НКЦКИ), исследование методов защиты мобильных приложений становится неотъемлемой частью стратегии обеспечения национальной информационной безопасности.

Использование учебного приложения InsecureShop в качестве объекта практического анализа позволяет провести всесторонний аудит типовых уязвимостей Android-приложений в контролируемой среде, что соответствует методологии обучения специалистов по информационной безопасности в ведущих российских университетах — МГТУ им. Н.Э. Баумана, ИТМО, МГУ им. М.В. Ломоносова. Результаты такого исследования применимы для разработки рекомендаций по повышению уровня защищенности реальных коммерческих мобильных приложений, обрабатывающих конфиденциальную информацию и персональные данные пользователей.

Степень разработанности проблемы в отечественной научно-технической литературе характеризуется наличием фундаментальных работ по информационной безопасности мобильных систем таких исследователей, как Щеглов А.Ю., Лукацкий А.В., Петраков А.В., а также профильных публикаций в журналах «Вопросы кибербезопасности», «Безопасность информационных технологий» МГТУ им. Баумана, «Защита информации. Инсайд». Вместе с тем, динамичное развитие технологий мобильной разработки и появление новых векторов атак требуют постоянной актуализации методов и средств защиты информации применительно к современным версиям операционной системы Android и паттернам разработки мобильных приложений.

Цель выпускной квалификационной работы состоит в исследовании методов защиты информации в мобильных приложениях на платформе Android и разработке практических рекомендаций по повышению уровня защищенности на основе анализа уязвимостей учебного приложения InsecureShop.

Для достижения поставленной цели определены следующие задачи:

— исследовать особенности мобильных приложений как объекта информационной безопасности и систематизировать основные угрозы их безопасности;

— проанализировать современные стандарты и нормативно-методические подходы к обеспечению безопасности мобильных приложений в контексте требований российских регуляторов ФСТЭК России и ФСБ России;

— изучить методы защиты данных, аутентификации пользователей, сетевого взаимодействия и локального хранения информации в мобильных приложениях;

— провести анализ архитектуры и компонентов Android-приложения InsecureShop с выявлением потенциальных точек атаки;

— осуществить практическое исследование уязвимостей приложения InsecureShop с использованием специализированных инструментов анализа безопасности мобильных приложений;

— разработать систематизированные рекомендации по повышению уровня защиты информации в мобильных приложениях на основе результатов проведенного исследования.

Объектом исследования выступает Android-приложение InsecureShop как представитель класса мобильных приложений, обрабатывающих конфиденциальную информацию и персональные данные пользователей в условиях воздействия актуальных угроз информационной безопасности.

Предметом исследования являются методы защиты информации в мобильных приложениях на платформе Android, включая организационные и технические меры защиты данных, механизмы аутентификации, криптографические средства защиты информации, методы противодействия уязвимостям и обратной разработке приложений.

Методологическую базу исследования составляют теоретические основы построения систем защиты информации, разработанные в трудах российских ученых в области информационной безопасности, концепции управления рисками информационной безопасности, модели угроз безопасности информации. В качестве методов исследования применяются: анализ угроз безопасности информации по Методике оценки угроз безопасности информации ФСТЭК России (2021), сравнительный анализ методов и средств защиты информации, структурно-функциональный анализ архитектуры мобильных приложений, пентестинг и аудит безопасности мобильных приложений с применением специализированных инструментов, метод экспертных оценок для определения критичности выявленных уязвимостей. Нормативно-правову

…