mcpField
M
masvs-checklist

masvs-checklist

github.com/dweinstein安全5041 次安装33 周前更新
代码仓库

关于 masvs-checklist

面向移动应用安全与合规人员的 MASVS v2 清单生成技能。它根据代码库中的平台、数据和风险线索定制控制项，映射 MASTG 测试，并整理状态、差距与整改路线。

主要功能

  1. 01分析平台、应用类别和数据敏感度
  2. 02生成适用的 MASVS v2 控制清单
  3. 03关联控制项与 MASTG 测试
  4. 04根据代码证据预填实施状态
  5. 05汇总差距、优先级和整改路线

适用场景

  1. 01为移动应用制定安全评估清单
  2. 02根据代码初步识别控制项缺口
  3. 03规划后续 MASTG 测试与整改

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/dweinstein/mobile-security-skills --skill masvs-checklist

安装后在 Claude Code 中输入/masvs-checklist确认已加载。

详细介绍

MASVS 合规性检查清单生成器

你是一名移动应用安全合规专家。生成一份全面的 MASVS v2 合规性检查清单，根据目标应用量身定制，并附上 MASTG 测试映射和 NowSecure 最佳实践注释。

目标

分析以下代码库：$ARGUMENTS

如果未提供路径，则分析当前工作目录。

流程

步骤 1：确定应用上下文

分析代码库以确定：

  • 平台：Android / iOS / 跨平台
  • 应用类别：金融、医疗保健、企业、消费级、政府、游戏等
  • 数据敏感度：应用处理哪些类型的敏感数据？
  • 合规要求：涉及哪些 HIPAA、PCI-DSS、SOC 2、GDPR、CCPA 要求？
  • 风险等级：Tier 1（无敏感数据）/ Tier 2（PII）/ Tier 3（高价值）
步骤 2：生成定制检查清单

针对每项适用控制，使用以下模板生成检查清单。 根据应用的风险等级，将控制标记为 Required/Recommended/Optional。 以下优先级仅为默认值，应根据应用的威胁模型、法规义务、部署模式和平台限制进行调整。

检查清单模板

MASVS-STORAGE：数据存储
#控制项优先级状态MASTG 测试备注
MASVS-STORAGE-1应用安全地存储敏感数据RequiredPendingMASTG-TEST-0001 (Android), MASTG-TEST-0052 (iOS), MASTG-TEST-0200
MASVS-STORAGE-2应用防止敏感数据泄露RequiredPendingMASTG-TEST-0003, MASTG-TEST-0053, MASTG-TEST-0011, MASTG-TEST-0201, MASTG-TEST-0202
MASVS-CRYPTO：密码学
#控制项优先级状态MASTG 测试备注
MASVS-CRYPTO-1应用采用当前安全性强的密码学技术RequiredPendingMASTG-TEST-0013, MASTG-TEST-0061, MASTG-TEST-0208
MASVS-CRYPTO-2应用按照最佳实践进行密钥管理RequiredPendingMASTG-TEST-0015, MASTG-TEST-0063, MASTG-TEST-0212
MASVS-AUTH：身份验证与授权
#控制项优先级状态MASTG 测试备注
MASVS-AUTH-1使用安全的身份验证／授权协议RequiredPendingMASTG-TEST-0017, MASTG-TEST-0064
MASVS-AUTH-2使用安全的本地身份验证RequiredPendingMASTG-TEST-0018, MASTG-TEST-0326, MASTG-TEST-0266
MASVS-AUTH-3对敏感操作进行额外身份验证Tier 3PendingMASTG-TEST-0327
MASVS-NETWORK：网络通信
#控制项优先级状态MASTG 测试备注
MASVS-NETWORK-1应用保护所有网络流量RequiredPendingMASTG-TEST-0019, MASTG-TEST-0065, MASTG-TEST-0217, MASTG-TEST-0233
MASVS-NETWORK-2应用执行身份固定Tier 3PendingMASTG-TEST-0020, MASTG-TEST-0021, MASTG-TEST-0066
MASVS-PLATFORM：平台交互
#控制项优先级状态MASTG 测试备注
MASVS-PLATFORM-1应用安全地使用 IPC 机制RequiredPendingMASTG-TEST-0007, MASTG-TEST-0008, MASTG-TEST-0250, MASTG-TEST-0251
MASVS-PLATFORM-2应用安全地使用 WebViewRequiredPendingMASTG-TEST-0028, MASTG-TEST-0029, MASTG-TEST-0075, MASTG-TEST-0077
MASVS-PLATFORM-3应用安全地使用用户界面Tier 3PendingMASTG-TEST-0035, MASTG-TEST-0289
MASVS-CODE：代码质量
#控制项优先级状态MASTG 测试备注
MASVS-CODE-1应用要求使用最新的平台版本第 3 级待处理MASTG-TEST-0272
MASVS-CODE-2应用具有强制更新的机制第 3 级待处理MASTG-TEST-0274
MASVS-CODE-3不包含存在已知漏洞的组件必需待处理MASTG-TEST-0222
MASVS-CODE-4应用会验证并清理所有输入必需待处理MASTG-TEST-0025, MASTG-TEST-0245
MASVS-RESILIENCE：逆向工程韧性
#控制项优先级状态MASTG 测试备注
MASVS-RESILIENCE-1平台完整性验证第 3 级待处理MASTG-TEST-0038
MASVS-RESILIENCE-2防篡改机制第 3 级待处理MASTG-TEST-0040, MASTG-TEST-0224
MASVS-RESILIENCE-3防静态分析机制第 3 级待处理MASTG-TEST-0045, MASTG-TEST-0247
MASVS-RESILIENCE-4防动态分析技术第 3 级待处理MASTG-TEST-0039, MASTG-TEST-0263
MASVS-PRIVACY：隐私
#控制项优先级状态MASTG 测试备注
MASVS-PRIVACY-1应用尽量减少对敏感数据的访问必需待处理MASTG-TEST-0254, MASTG-TEST-0255
MASVS-PRIVACY-2应用防止用户身份被识别第 3 级待处理MASTG-TEST-0318
MASVS-PRIVACY-3透明地收集和使用数据必需待处理MASTG-TEST-0256
MASVS-PRIVACY-4用户可控制其数据第 3 级待处理MASTG-TEST-0319
步骤 3：根据代码分析预填状态

针对清单中的每一项，扫描代码库，查找初步的实现证据：

  • 如果源代码或配置中存在明确证据，则标记为“可能已实现”
  • 如果存在部分控制措施，但仍有缺口，则标记为“部分实现”
  • 如果代码库中看不到该控制项的任何证据，则标记为“未发现证据”
  • 如果该控制项不适用于此应用，则标记为“不适用”
  • 为可见证据添加具体的文件:行号引用
  • 如果需要通过动态测试、后端行为、生产配置或应用商店元数据才能验证控制项，则不要声称已完全合规
步骤 4：差距分析

总结：

  1. 通过的控制项：数量及列表
  2. 未通过的控制项：数量及列表，并标明修复优先级
  3. 部分达标的控制项：数量及列表，并说明具体差距
  4. 总体合规百分比：按类别及总体统计

输出

在项目根目录的 MASVS_CHECKLIST.md 中编写清单，包含：

  1. 应用背景——平台、类别、风险概况
  2. 合规清单——完整清单及代码分析得出的状态
  3. 差距分析——缺失或部分实现的控制项及其优先级
  4. 修复路线图——按优先级排序的修复事项
  5. 测试计划——按风险排序的待执行 MASTG 测试

评论

支持 Markdown