מה ציון ה-MobSF שלכם באמת אומר
ציון MobSF הוא לא פסק דין על אבטחת האפליקציה. כך סוג ה-build, false positives ונקודות עיוורות מעוותים אותו, וכך הופכים את הדוח לממצאים אמיתיים.
שותף אבטחה, מבקר או הצוות שלכם מריצים MobSF על האפליקציה, ומתקבל מספר: נניח, 48 מתוך 100. התגובה הטבעית היא לשאול איך מגיעים ל-80. השאלה הנכונה יותר היא ממה בדיוק מורכב ה-48 הזה.
במאמר הזה נסביר מה ציון MobSF מודד, שלוש הדרכים שבהן הוא מטעה, ואיך הופכים דוח של סורק לממצאים שמישהו יכול לקחת עליהם אחריות ולתקן — עם מספרים אמיתיים מאודיט אבטחה שביצענו לאפליקציית בנקאות.
מה MobSF מודד
MobSF (Mobile Security Framework) מבצע ניתוח סטטי של הקובץ הבינארי של האפליקציה. הוא קורא את ה-manifest, עושה decompile לקוד, מונה את הספריות ובודק את הקונפיגורציה מול סט של כללים. כל כלל שנכשל מוריד את הציון.
זה הופך את MobSF למהיר, לניתן לשחזור ולשימושי. זה גם אומר שהציון משקף דפוסים בקובץ הבינארי, ולא עד כמה האפליקציה מאובטחת בשימוש בפועל.
📌 תובנה מרכזית:
ציון MobSF עונה על השאלה "כמה כללים הקובץ הבינארי הזה הפר?" — ולא על "כמה קשה לתקוף את האפליקציה הזו?"
שלוש דרכים שבהן הציון מטעה
1. סוג ה-build משנה את הציון
build של debug כולל הגדרות שלא אמורות להופיע ב-build של release: דגלי debuggable, קונפיגורציית בדיקות, לוגים מפורטים ועוד. אם סורקים את ה-build הלא נכון, נותנים ציון למשהו שהמשתמשים שלכם אף פעם לא מתקינים.
באפליקציית הבנקאות שבדקנו, 6–7 מתוך 52 הנקודות החסרות נבעו מסוג ה-build בלבד. עוד לפני שמישהו שינה שורת קוד אחת, חלק מהבעיה היה פשוט איזה קובץ נסרק.
2. “מאובטח” הוא לא תמיד מאובטח
כללים סטטיים מזהים דפוסים. כשהקוד נראה כמו מימוש נכון, הכלל עובר — גם אם מנגנון ההגנה לא עובד כפי שהוא נראה. באותו אודיט, שתי בדיקות שסומנו כמאובטחות היו false positives. וי ירוק הוא טענה שצריך לאמת, לא מסקנה.
3. הסורק לא רואה את הלוגיקה
חלק מהחולשות החמורות ביותר באפליקציות מובייל נמצאות בלוגיקה, לא בקונפיגורציה:
-
תהליך אימות שסומך על דגל בצד הלקוח.
-
התחברות ביומטרית שבודקת רק callback של הצלחה.
-
מידע רגיש שנכתב לאחסון במקום שהכללים לא בודקים.
אף אחד מאלה לא משנה ציון סטטי באופן עקבי. כולם דורשים סקירה אנושית.
איך לקרוא דוח MobSF נכון
-
שחזרו את הציון על ה-build של release. בלי נקודת בסיס שניתן לשחזר, אי אפשר להוכיח שום שיפור.
-
חלקו את הנקודות שאבדו לקטגוריות: רעש שנובע מסוג ה-build, פערי קונפיגורציה אמיתיים, וממצאים שדורשים הקשר.
-
אמתו את הווי הירוקים בכל מה שקריטי לאבטחה.
-
בצעו אודיט ידני מול OWASP Mobile Top 10 (2024) כדי לכסות את מה שהסורק לא רואה.
-
דרגו כל פער אמיתי לפי CVSS, כך שסדרי העדיפויות ייקבעו לפי חומרה ולא לפי כמות.
ציון מול ממצאים
| היבט | ציון MobSF גולמי | ממצאים מאודיט |
| מה נספר | כללים שהקובץ הבינארי הפר | חולשות אמיתיות ומאומתות |
| רעש מסוג ה-build | כלול | מוסר |
| סימוני "מאובטח" שגויים | מוסתרים | מזוהים |
| פגמים בלוגיקה | ברובם בלתי נראים | מכוסים בסקירה ידנית |
| תעדוף | אין | ציון CVSS לכל פער |
איך Mobian עוזרת
ב-Mobian, האודיט שמאחורי המספרים האלה התחיל מציון 48/100 והסתיים ב-48 פערים מדורגים לפי CVSS וב-124 תיקונים במעקב. אם כבר יש לכם דוח MobSF, נוכל לתת לכם ניתוח בעמוד אחד: מה בו אמיתי, מה רעש ומה ראוי למבט נוסף. לתמונה מלאה, ה-Mobile Security Teardown שלנו, שנמשך שבועיים, מוסיף אודיט OWASP ידני ותוכנית תיקון עם הערכת עלויות.
סיכום
MobSF הוא כלי טוב שמשמש למשימה הלא נכונה כשמתייחסים לציון שלו כפסק דין. סרקו את ה-build של release, הפרידו בין רעש לממצאים, אמתו את הווי הירוקים ובדקו את הלוגיקה ידנית. המספר חשוב פחות מרשימת הפערים האמיתיים והמדורגים שיוצאת ממנו.
שאלות נפוצות
מה זה MobSF?
MobSF (Mobile Security Framework) הוא כלי קוד פתוח שמנתח קבצים בינאריים של אפליקציות Android ו-iOS. הניתוח הסטטי שלו בודק את ה-manifest, הקוד, הספריות והקונפיגורציה, ומפיק דוח עם ציון אבטחה בין 0 ל-100.
למה ציון ה-MobSF השתנה בין שתי סריקות של אותה אפליקציה?
הסיבה הנפוצה ביותר היא סוג ה-build. build של debug כולל הגדרות שאין ב-build של release, כמו דגלי debuggable וקונפיגורציית בדיקות, והסורק מוריד עליהן נקודות. באחד האודיטים שביצענו, 6–7 מתוך 52 הנקודות שהאפליקציה איבדה נבעו מסוג ה-build בלבד. תמיד סרקו את ה-build שהמשתמשים שלכם מתקינים.
האם בדיקה ש-MobSF סימן כמאובטחת יכולה להיות שגויה?
כן. ניתוח סטטי מזהה דפוסים; הוא לא מבין כוונה. באודיט של אפליקציית בנקאות אחת, שתי בדיקות שהסורק דיווח עליהן כמאובטחות התבררו כ-false positives. כל בדיקה חשובה, שעברה או נכשלה, ראויה לבדיקה ידנית.
מה MobSF לא מזהה?
סריקה סטטית רואה את הקובץ הבינארי, לא את הלוגיקה העסקית. היא לא יכולה לקבוע אם אפשר לעקוף תהליך אימות, אם התחברות ביומטרית קשורה למפתח, או אם מידע רגיש נשמר בצורה נכונה בהקשר שלו. לשם כך צריך אודיט ידני, למשל מול OWASP Mobile Top 10 (2024).
האם Mobian יכולה להסביר לנו את דוח ה-MobSF שלנו?
כן. אם תשלחו לנו APK משלכם או דוח MobSF, נחזיר לכם ניתוח בעמוד אחד: מה אמיתי, מה רעש שנובע מסוג ה-build ומה עשוי להיות סימון "מאובטח" שגוי. אנחנו עושים זאת רק כשבעל האפליקציה מבקש — לעולם לא נסרוק אפליקציה ציבורית של חברה בלי הזמנה.