Threat Manager

注意：要仅显示特定设备上存在的功能，请从下面的 SmartDocs 栏中选择一个或多个过滤器。

StageNow - 2.10

概述

Threat Manager 功能允许应用程序控制由设备主动监测到的安全威胁，在检测到威胁时是否响应以及如何响应，以及采取哪些对策。

主要功能

  • 启用/禁用威胁检测
  • 检测常见威胁：
    • MDM 客户端删除
    • Microsoft Exchange ActiveSync 威胁
    • 检测到外部威胁
    • 设备已被获取 root 权限
    • 最大密码尝试失败次数（仅限多用户 MX 锁定屏幕）
  • 检测到威胁时执行对策
    • 锁定设备
    • 执行恢复出厂设置
    • 格式化 SD 卡
    • 擦除安全存储密钥
    • 发送自定义威胁信息
    • 擦除安全存储（加密）密钥
    • 卸载应用程序
    • 发送“未经请求的”的提示
  • 发信号通知发生外部检测到的威胁
  • 定期扫描基于 root 的威胁
  • 设置定期扫描的自定义间隔
  • 定义要监控更改的特定文件夹
  • 在被监控的文件夹发生更改时发送 Intent

威胁操作

这是设备上威胁检测的开/关键。打开威胁检测将启用在设备上检测到威胁时可触发的所有功能和活动。

参数名称：ThreatAction

选项 名称 说明需要
0 无操作 此值（或 XML 中缺少此参数）导致不会更改威胁检测设置；任何以前选择的设置都将保留。

OSX：3.5+

MX：4.3+
1 打开 打开威胁检测。

OSX：3.5+

MX：4.3+
2 关闭 关闭威胁检测。

OSX：3.5+

MX：4.3+

威胁名称

用于指定要检测到的威胁的名称。注意：Zebra 多用户 MX 已停止使用，使得 MaxPasswordAttempts 功能在大多数设备上不可用。

在以下条件下显示：威胁操作“打开”或“关闭”时显示

参数名称：ThreatName

选项 名称 说明需要
1 无操作 此值（或 XML 中缺少此参数）导致不会更改在设备上检测到的威胁；任何以前选择的设置都将保留。

OSX：3.5+

MX：6.1+
1 MaxPasswordAttempts 检测多用户 MX 锁定屏幕何时达到最大失败密码尝试次数 (9)。请参见上面的重要说明。

OSX：3.5+

MX：4.3+
2 MDMClientRemoval 检测 MDM 客户端应用程序已从设备中删除。

OSX：3.5+

MX：4.3+
3 ExternallyDetected 由可以从应用程序中触发的 Intent 定义的自定义威胁。

OSX：3.5+

MX：4.3+
4 ExchangeActiveSyncCommand 检测与 Microsoft Exchange 同步时遇到的威胁。

OSX：3.5+

MX：4.3+
5 DeviceisRooted 检测到已经为一个或多个设备用户和/或设备上的应用程序提供了 root 级别访问权限。

OSX：3.5+

MX：4.3+

MDM 包名称

用于指定要监控的 MDM 客户端应用程序的包名称。删除此处指定的应用程序将触发一个威胁提示。

注意：必须指定要监控的应用程序的包名称。包名称可以从应用程序开发人员那里获取，也可以在设备上查找包名称，或者使用专为此用途设计的开发人员工具从 APK 文件中提取。

参数值输入规则：

  • 1 到 255 个字符的字符串

在以下条件下显示：在威胁操作是“打开”并且威胁名称是“MDM 客户端包名称”时显示

参数名称：MDMPackage

需要：

  • OSX：3.5+
  • MX：4.3+

格式化 SD 卡对策

格式化外部 SD 卡，擦除卡上的所有现有数据。

在以下条件下显示：在“威胁操作”是“打开”并且选定了任何威胁操作时显示。

参数名称：FormatSdcard

选项 名称 说明需要
0 不执行 此对策不会被执行。

OSX：3.5+

MX：4.3+
1 执行 在检测到威胁时将执行此对策。

OSX：3.5+

MX：4.3+

恢复出厂设置对策

强制恢复出厂设置，将设备返回到其原始出厂设置。

在以下条件下显示：在“威胁操作”是“打开”并且选定了任何威胁操作时显示。

参数名称：FactoryReset

选项 名称 说明需要
0 不执行 将不执行对策。

OSX：3.5+

MX：4.3+
1 执行 检测到威胁时将执行对策。

OSX：3.5+

MX：4.3+

擦除安全存储密钥对策

从设备中删除所有安全存储密钥，这些密码可能以别的方式被用来访问受加密保护的设备的某些部分。执行该对策不一定会阻止访问加密的数据，但是会阻止解密和利用该数据。一旦威胁被化解，就可以将安全存储密钥恢复到设备，照常提供对安全存储区域的访问。

在以下条件下显示：在“威胁操作”是“打开”并且选定了任何威胁操作时显示。

参数名称：WipeSecureStorageKeys

选项 名称 说明需要
0 不执行 安全存储密钥不会被删除。

OSX：3.5+

MX：4.3+
1 执行 安全存储密码在检测到威胁时将被删除。

OSX：3.5+

MX：4.3+

锁定设备对策

锁定设备；需要用户执行为设备配置的设备解锁步骤。

在以下条件下显示：在“威胁操作”是“打开”并且选定了任何威胁操作时显示。

参数名称：LockDevice

选项 名称 说明需要
0 不执行 将不执行对策。

OSX：3.5+

MX：4.3+
1 执行 检测到威胁时将执行对策。

OSX：3.5+

MX：4.3+

卸载应用程序对策

按照 UninstallPackage 参数中指定的包名称，在没有提示的情况下从设备中删除应用程序。

在以下条件下显示：在“威胁操作”是“打开”并且选定了任何威胁操作时显示。

参数名称：UninstallApplication

选项 名称 说明需要
0 不执行 将不执行对策。

OSX：3.5+

MX：4.3+
1 执行 检测到威胁时将执行对策。

OSX：3.5+

MX：4.3+

卸载包名称

用于指定在对策执行过程中卸载的应用程序的包名称。

注意：必须指定要卸载的应用程序的包名称。包名称可以从应用程序开发人员那里获取，也可以在设备上查找包名称，或者使用专为此用途设计的开发人员工具从 APK 文件中提取。

参数值输入规则：

  • 1 到 255 个字符的字符串

在以下条件下显示：在威胁操作是“打开”并且选择了任何威胁操作，对策是“卸载应用程序”时显示

参数名称：UninstallPackage

需要：

  • OSX：3.5+
  • MX：4.3+

未经请求的提示对策

用于以Intent 的形式向设备上的应用程序发送提示。Intent 必须包括 AlertPackage、AlertClass 和 AlertMsg 参数中指定的包名称、类名称和提示消息。在检测到威胁时，检测服务将发送 StartActivityAsUser 显式Intent 以及“提示消息”参数中指定的消息到指定软件包的指定类。有关更多信息，请参见示例部分。

在以下条件下显示：在“威胁操作”是“打开”并且选定了任何威胁操作时显示。

参数名称：UnsolicitedAlert

选项 名称 说明需要
0 不执行 在检测到威胁时不发送提示消息 Intent。

OSX：3.5+

MX：4.3+
1 执行 提示消息 Intent 将在检测到威胁时发送到指定的应用程序和类。

OSX：3.5+

MX：4.3+

提示包名称

用于指定在对策执行过程中接收提示的应用程序的包名称。

注意：必须指定接收提示的应用程序的包名称。包名称可以从应用程序开发人员那里获取，也可以在设备上查找包名称，或者使用专为此用途设计的开发人员工具从 APK 文件中提取。

参数值输入规则：

  • 1 到 255 个字符的字符串

在以下条件下显示：在威胁操作是“打开”并且选择了任何威胁操作，对策是“未经请求的提示”时显示

参数名称：AlertPackage

需要：

  • OSX：3.5+
  • MX：4.3+

提示类名称

用于指定在对策执行过程中接收提示的应用程序的类名称。

注意：还必须指定接收提示的应用程序的包名称。包名称可以从应用程序开发人员那里获取，也可以在设备上查找包名称，或者使用专为此用途设计的开发人员工具从 APK 文件中提取。

参数值输入规则：

  • 1 到 255 个字符的字符串

在以下条件下显示：在威胁操作是“打开”并且选择了任何威胁操作，对策是“未经请求的提示”时显示

参数名称：AlertClass

需要：

  • OSX：3.5+
  • MX：4.3+

提示消息

用于指定在对策执行过程中向预期接收提示的应用程序发送的消息。该消息作为名为 AlertMessage 的 Intent 额外数据包括在内。

参数值输入规则：

  • 1 到 255 个字符的字符串，包含Intent 额外数据 AlertMessage

在以下条件下显示：在威胁操作是“打开”并且选择了任何威胁操作，对策是“未经请求的提示”时显示

参数名称：AlertMsg

需要：

  • OSX：3.5+
  • MX：4.3+

发信号通知发生威胁

控制外部检测到的威胁警告是否触发信令，如来自移动设备管理 (MDM) 系统的威胁警告。

在以下条件下显示：在“威胁操作”是“打开”并且选定了任何威胁操作时显示

参数名称：SignalOccurrenceOfThreat

选项 名称 说明需要
0 无操作 在检测到外部发生的威胁时不执行信令

OSX：3.5+

MX：4.3+
1 发信号通知发生 发信号通知发生外部检测到的威胁。

OSX：3.5+

MX：4.3+

发送威胁消息

允许指定一条消息来描述已发生的自定义威胁。

参数值输入规则：

  • 1 到 255 个字符的字符串

参数名称：SendThreatMsg

需要：

  • OSX：3.5+
  • MX：4.3+

定期扫描

这是设备上定期扫描的开/关键，它检测具有“超级用户”权限的应用程序以及通常与基于 root 的恶意软件相关联的其他特征。当禁用定期扫描时，每次设备重启时会发生威胁检测扫描。当启用时，将按照“定期扫描间隔”参数中指定的间隔执行扫描。扫描频率可能影响电池寿命。

在以下条件下显示：在威胁操作是“打开”时显示

参数名称：PeriodicScan

选项 名称 说明需要
0 无操作 此值（或 XML 中缺少此参数）导致不会更改是否定期扫描功能；任何以前选择的设置都将保留。

OSX：3.5+

MX：6.1+
1 打开 启用要在设备上执行的定期扫描。

OSX：3.5+

MX：6.1+
2 关闭 禁用设备上的定期扫描功能。

OSX：3.5+

MX：6.1+

定期扫描间隔

用于指定在设备上执行的定期扫描之间等待的时间（分钟）。最小扫描间隔为一分钟，最大间隔为 1440 分钟（24 小时）。如果启用了定期扫描，而没有指定扫描间隔，那么将使用 30（分钟）的间隔值。定期扫描检测具有“超级用户”权限的应用程序以及通常与基于 root 的恶意软件相关联的其他特征。扫描频率可能影响电池寿命。

参数值输入规则：

  • 1 到 1440（分钟）间的整数

在以下条件下显示：在“威胁操作”是“打开”并且定期扫描为“打开”时显示

参数名称：PeriodicScanInterval

需要：

  • OSX：3.5+
  • MX：6.1+

额外扫描文件夹

这是文件夹监控的开/关键。此额外扫描文件夹功能按“额外扫描文件夹列表”参数中的指定来监控设备上的一个或多个文件夹（包括 Android 受保护区域中的文件夹）。当受监控的文件夹内发现更改时，ThreatMgr 会使用文件夹名称以及用来描述事件的 Android FileObserver 常量之一来广播 Intent。

此参数不检测威胁。

参数名称：ExtraScanFolders

选项 名称 说明需要
0 无操作 此值（或 XML 中缺少此参数）不会对文件夹监控进行更改；任何以前选择的设置都将保留。

OSX：3.5+

MX：6.1+
1 打开 启用文件夹监控，在指定的文件夹发生更改时发送 Intent。

OSX：3.5+

MX：6.1+
2 关闭 禁用文件夹监控，导致设备忽略对指定文件夹的更改。

OSX：3.5+

MX：6.1+

额外扫描文件夹列表

用于指定设备上要监控更改的一个或多个文件夹，包括 Android 设备上受保护区域内的文件夹。此参数中指定的文件夹将替换任何先前指定的文件夹。要将文件夹添加到现有文件夹列表，请指定包括新文件夹在内的整个列表（逗号分隔）。

此参数不检测威胁。

参数值输入规则：

  • 1 到 255 个字符的字符串，包含设备上文件夹的完全限定路径的逗号分隔列表。替换任何先前指定的文件夹列表。

参数名称：ExtraScanFoldersList

需要：

  • OSX：3.5+
  • MX：6.1+

示例

打开外部检测的威胁

<wap-provisioningdoc><characteristic type="ThreatMgr" version="4.3"><parm name="ThreatAction" value="1" /><parm name="ThreatName" value="ExternallyDetected" /><characteristic type="CounterMeasure"><parm name="FormatSdcard" value="1" /><parm name="FactoryReset" value="1" /><parm name="WipeSecureStorageKeys" value="1" /><parm name="LockDevice" value="1" /></characteristic></characteristic></wap-provisioningdoc>

关闭外部检测的威胁

<wap-provisioningdoc><characteristic type="ThreatMgr" version="4.3"><parm name="ThreatAction" value="2" /><parm name="ThreatName" value="ExternallyDetected" /></wap-provisioningdoc>

查询当前的威胁配置

<wap-provisioningdoc><characteristic-query type="ThreatMgr"/></wap-provisioningdoc>

生成未经请求的提示

<wap-provisioningdoc><characteristic type="ThreatMgr" version="4.3"><parm name="ThreatAction" value="1" /><parm name="ThreatName" value="MaxPasswordAttempts" /><characteristic type="CounterMeasure"><parm name="UnsolicitedAlert" value="1" /><parm name="AlertPackage" value="com.example.testapp" /><parm name="AlertClass" value="com.example.testapp.testactivity" /><parm name="AlertMsg" value="MaxPasswordAttempts has been reached" /></characteristic></characteristic></wap-provisioningdoc>

以上 XML 将允许在运行 Zebra 多用户 MX 的设备上检测“MaxPasswordAttempts”威胁，设置用来触发未经请求的提示的对策，以及发送到“AlertPackage”和“AlertClass”参数定义的软件包和类的显式Intent。在此示例中，Intent 将发送到“com.example.testapp”软件包的“testactivity”类，并且包括一个“AlertMessage”额外数据项，值为“已达到 MaxPasswordAttempts”。

注意：Zebra 多用户 MX 已停止使用，使得 MaxPasswordAttempts 功能在大多数设备上不可用。

假定“testactivity”类已经创建，此显式Intent 可通过覆盖 onNewIntent 方法来处理。以下 JavaScript 代码将说明如何完成此操作：

@Override protected void onNewIntent(Intent intent) { super.onNewIntent(intent); if (intent.hasExtra("AlertMessage")) { String AlertMessage = intent.getStringExtra("AlertMessage"); if (AlertMessage.equalsIgnoreCase("MaxPasswordAttempts has been reached")) { // Perform an action } // Additional if statement could be used to handle other messages } }

重要说明：要调用 onNewIntent 方法，该活动必须为 Android 清单中的对应活动使用 android:launchMode="singleTop" 修饰符。如果“testactivity”尚未创建，则不会调用 onNewIntent，此Intent 的处理必须在 onCreate 方法中完成。