文档章节

国内APP漏洞扫描收费情况调查

red_bricks
 red_bricks
发布于 2016/07/29 11:20
字数 1517
阅读 9
收藏 0

概述

上一次分享了应用加固的评测后,很多人想看看漏洞扫描相关的对比数据。其实在选择市面上这些移动安全类的产品时,经常为各种复杂的数据而感到疑惑,不知道怎么来评判各自的性能以及价格,从而选择出一款性价比高的安全产品。那么这一篇文章我就先来比较一下市场中现有产品的服务和收费情况。

国内app漏洞扫描平台,以及它们的收费状况,大致可以将其分成3类:

第一类:漏洞扫描收费平台

代表:百度开放云平台(9.9元一次)、阿里云移动安全(专业版可包年或按次收费)

第二类:漏洞扫描免费,通过漏洞扫描推其他服务

代表:阿里聚安全、360开发者平台、腾讯应用乐固

其中阿里聚安全会通过漏洞扫描推企业类的api服务还有安全组件等监测服务,另外两个主要是推加固服务。

第三类:漏洞扫描免费,主打定制化服务的平台(类似人工审计)

代表:梆梆

 

详情如下:

1、百度开放云平台 (收费9.9元一次,可定制)

链接:https://console.bce.baidu.com/aat/startTest/safe

目前扫描没有免费试用服务,每次扫描收取的费用都是9.9元。这个价位如果是个人用户或者应用较少且迭代不频繁的用户还是挺划算的。从扫描样例的报告上来看,当前漏洞扫描支持3大类的漏洞:“权限漏洞”、“静态漏洞”、“运行时漏洞”。

2、阿里云移动安全 (基础版免费,专业版收费包年20000元/按次1000元)

链接:https://www.aliyun.com/product/mobsec

这款产品应该新出的,仔细研究下它的收费模式。在云盾中开通移动安全服务后可以免费试用基础版。不过基础版想到与阉割版。那漏洞扫描来说,基础版是看不到应用漏洞的具体位置的,只有点击立即升级购买专业版后才可以看到信息。售卖方式想得也比较周到,有两种方式:专业版收费包年20000元不限定使用次数,按次1000元一次。

当然这里的专业版不仅仅可以是在界面上操作的版本,同时还提供API接口形式。这种方式对开发来说其实更方便,特别是有大量应用或者边修改边扫描漏洞的场景。这种收费模式来看,阿里云的移动安全应该是针对企业客户来制定的,而且相比其他的产品有这种线上售卖的流程也很方便。

 

3、阿里聚安全 (免费,企业版收费)

链接:http://jaq.alibaba.com/

阿里聚安全在免费漏洞扫描中推广安全组件服务,并且对功能分级针对企业版收费。它的收费是通过用户类型来区分,个人用户可以免费试用漏洞扫描,而企业用户则开通了全部权限同时也提供API服务。不过具体收费方式在官网中没有找到。

 

4、360开发者平台 (免费,无定制,需身份认证) 

链接:http://dev.360.cn/

360本身漏洞扫描也是不收费的,在扫描报告中会通过安全建议“使用360加固对应用进行加固保护”来推广加固服务。

 

5、腾讯应用乐固(免费,无定制)

链接:http://console.qcloud.com/legu

腾讯云的应用乐固在扫描界面中无法在线查看扫描的详情数据,只有通过下载报告才可以。检测项主要有分以下8种“组件公开安全检测”、“intent劫持风险安全检测”、“数据存储安全检测”、“webview高危接口安全检测”、“数据传输安全检测”、“拒绝服务攻击安全检测”、“其他安全风险检测”、“AndroidManifest.xml配置安全检测”。从整体几个功能的信息像详细度来看主要也是推广加固的。

 

6、梆梆 (免费 可以定制)

链接:http://dev.bangcle.com/apps/index 

梆梆漏洞扫描比较简陋,主要是做定制化评估。

作为最老牌的应用安全厂商,梆梆的商业模式主要是利用线上的自动化扫描来退出他们的人工审计服务。在扫描报告的下方有更多评估项,例如“支付安全审计”、“界面劫持测试”、“输入安全评估”等定制化服务。点击“申请定制化评估”后,是一个对话窗口,可以通过窗口和客服交流。了解到这部分定制化的服务是通过线下的方式来对接的。和上面百度阿里的几款自主化产品服务形式相比,耗费在人工对接上的时间精力可能会比较大。

 

整体来看,针对个人用户使用上述的一些像阿里聚安全和360的免费漏洞扫描服务就可以满足了。针对企业类的用户可以考虑收费服务,比如迭代快或者应用数量较大的则可以考虑阿里云移动安全API服务或者梆梆这一类定制化服务。

© 著作权归作者所有

共有 人打赏支持
red_bricks
粉丝 0
博文 6
码字总数 14507
作品 0
东城
私信 提问
APP漏洞扫描器之本地拒绝服务检测详解

APP漏洞扫描器之本地拒绝服务检测详解 阿里聚安全的Android应用漏洞扫描器有一个检测项是本地拒绝服务漏洞的检测,采用的是静态分析加动态模糊测试的方法来检测,检测结果准确全面。本文将讲...

阿里聚安全
2016/10/24
4
0
中国网络安全企业50强(2016年上半年)

自2015年10月,《中国网络安全企业50强》(以下简称“50强”)首次发布以来,安全牛就一直在筹划《50强》的第二次发布,并于今年3月初正式启动调查工作。经过三个多月的调研、审核及评定工作...

安全牛
2016/06/22
0
0
(最新)移动App应用安全漏洞分析报告 !

  漏洞扫描方式主要分为静态和动态,静态扫描的漏洞类型主要包含SQL注入风险、webview系列、文件模式配置错误、https不校验证书、database配置错误等。动态扫描的漏洞类型主要包含拒绝服务...

科技创造
2014/10/18
113
0
国内移动测试服务盘点

随着移动设备和系统的碎片化程度越来越高以及复杂的移动网络情况,代码级测试和模拟测试已经无法满足移动开发者的需求,真机甚至真人的测试越来越被开发者们所重视,逐渐成为移动开发的标配。...

aabbc
2016/03/14
115
1
僵尸网络攻击预警:12小时就激活了超过28万不同IP组成新型僵尸网络

12月5日,国内360网络安全研究院发出预警,根据调查显示一个名为Satori(觉醒)的新型僵尸网络在短时间内迅速组件,仅12个小时不到的时间就激活了超过28万个不同IP,这是一场准备已久的僵尸网络...

僵尸网络
2017/12/07
0
0

没有更多内容

加载失败,请刷新页面

加载更多

nginx日志自动切割

1.日志配置(Nginx 日志) access.log----记录哪些用户,哪些页面以及用户浏览器,IP等访问信息;error.log------记录服务器错误的日志 #配置日志存储路径:location / {      a...

em_aaron
昨天
0
0
java 反射

基本概念 RTTI,即Run-Time Type Identification,运行时类型识别。RTTI能在运行时就能够自动识别每个编译时已知的类型。   要想理解反射的原理,首先要了解什么是类型信息。Java让我们在运...

细节探索者
昨天
1
0
推荐转载连接

https://www.cnblogs.com/ysocean/p/7409779.html#_label0

小橙子的曼曼
昨天
3
0
雷军亲自打造的套餐了解下:用多少付多少

12月28日消息,小米科技创始人兼CEO雷军微博表示,小米移动任我行套餐方案,原则上就是明明白白消费,用多少付多少,不用不花钱!上网、电话和短信都是一毛钱,上网0.1元/M,电话0.1元/分钟,...

linuxCool
昨天
6
0
协议简史:如何学习网络协议?

大学时,学到网络协议的7层模型时,老师教了大家一个顺口溜:物数网传会表应。并说这是重点,年年必考,5分的题目摆在这里,你们爱背不背。 考试的时候,果然遇到这个问题,搜索枯肠,只能想...

Java干货分享
昨天
10
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部