[發明專利]金融應用的風險評估方法及裝置

在審

• 申請號: 201611106063.0
• 申請日: 2016-12-05
• 公開（公告）號: CN107122666A
• 公開（公告）日: 2017-09-01
• 發明（設計）人: 夏雷;陳曦;楊繼龍;常晉云
• 申請（專利權）人: 招商銀行股份有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 深圳市世紀恒程知識產權代理事務所44287
• 代理人: 胡海國

1.一種金融應用的風險評估方法，其特征在于，應用于移動終端，所述方法包括如下步驟：

獲取待評估的移動金融應用程序文件；

按照預設的風險評估項，對所述待評估的移動金融應用程序文件進行風險評估，所述風險評估項包括逆向風險評估、代碼風險評估和業務風險評估中的一個或多個；

綜合各個風險評估項的風險評估結果，得到所述待評估的移動金融應用程序文件的風險評估結果。

2.如權利要求1所述的方法，其特征在于，所述按照預設的風險評估項，對所述待評估的移動金融應用程序文件進行風險評估的步驟包括：

對所述待評估的移動金融應用程序文件分別進行防反編譯能力評估、防重打包能力評估、應用混淆評估和/或應用加固評估，得到逆向風險評估結果；

對所述待評估的移動金融應用程序文件分別進行日志風險評估、硬編碼風險評估、弱加密風險評估、數據庫風險評估、外部存儲風險評估和/或應用目錄風險評估，得到代碼風險評估結果；

對所述待評估的移動金融應用程序文件分別進行登錄、查詢、轉賬和支付環節的評估，得到業務風險評估結果。

3.如權利要求2所述的方法，其特征在于，所述對待評估的移動金融應用程序文件分別進行日志風險評估、硬編碼風險評估、弱加密風險評估、數據庫風險評估、外部存儲風險評估和/或應用目錄風險評估，得到代碼風險評估結果的步驟包括：

對所述待評估的移動金融應用程序文件進行反編譯，得到反編譯代碼；

分別掃描所述反編譯代碼中的日志風險、硬編碼風險、弱加密風險、數據庫風險、外部存儲風險和/或應用目錄風險；

根據掃描結果得到代碼風險評估結果。

4.如權利要求2所述的方法，其特征在于，所述對所述待評估的移動金融應用程序文件分別進行登錄、查詢、轉賬和支付環節的評估，得到業務風險評估結果的步驟包括：

在模擬器中運行所述待評估的移動金融應用程序文件；

監測所述待評估的移動金融應用程序文件在登錄、查詢、轉賬和支付環節的運行狀態；

根據所述運行狀態得到業務風險評估結果。

5.如權利要求1至4任一項所述的方法，其特征在于，所述綜合各個風險評估項的風險評估結果，得到所述待評估的移動金融應用程序文件的風險評估結果的步驟之后，還包括：

根據所述待評估的移動金融應用程序文件的風險評估結果輸出相應的風險提示信息和修復建議信息。

6.一種金融應用的風險評估裝置，其特征在于，應用于移動終端，所述裝置包括：

獲取模塊，用于獲取待評估的移動金融應用程序文件；

評估模塊，用于按照預設的風險評估項，對所述待評估的移動金融應用程序文件進行風險評估，所述風險評估項包括逆向風險評估、代碼風險評估和業務風險評估中的一個或多個；

綜合模塊，用于綜合各個風險評估項的風險評估結果，得到所述待評估的移動金融應用程序文件的風險評估結果。

7.如權利要求6所述的裝置，其特征在于，所述評估模塊包括：

第一評估單元，用于對所述待評估的移動金融應用程序文件分別進行防反編譯能力評估、防重打包能力評估、應用混淆評估和/或應用加固評估，得到逆向風險評估結果；

第二評估單元，用于對所述待評估的移動金融應用程序文件分別進行日志風險評估、硬編碼風險評估、弱加密風險評估、數據庫風險評估、外部存儲風險評估和/或應用目錄風險評估，得到代碼風險評估結果；

第三評估單元，用于對所述待評估的移動金融應用程序文件分別進行登錄、查詢、轉賬和支付環節的評估，得到業務風險評估結果。

8.如權利要求7所述的裝置，其特征在于，所述第二評估單元還用于：

對所述待評估的移動金融應用程序文件進行反編譯，得到反編譯代碼；

分別掃描所述反編譯代碼中的日志風險、硬編碼風險、弱加密風險、數據庫風險、外部存儲風險和/或應用目錄風險；

根據掃描結果得到代碼風險評估結果。

9.如權利要求7所述的裝置，其特征在于，所述第三評估單元還用于：

在模擬器中運行所述待評估的移動金融應用程序文件；

監測所述待評估的移動金融應用程序文件在登錄、查詢、轉賬和支付環節的運行狀態；

根據所述運行狀態得到業務風險評估結果。

10.如權利要求6至9任一項所述的裝置，其特征在于，所述裝置還包括：

輸出模塊，用于根據所述待評估的移動金融應用程序文件的風險評估結果輸出相應的風險提示信息和修復建議信息。