BotGuard 多团队并行执行方案

6 团队并行启动

6

并行团队

14

天 Phase 1

37

检测项

7

集成节点

团队全景

Alpha 架构与核心引擎

项目骨架 · 核心接口 · 扫描调度器 · 风险引擎

Beta 检测模块开发

A5行为(8) · A2应用(9) · A3持久化(12) · A6环境(8)

Gamma 共享资源与情报

IoC数据库 · 6家族特征 · 白名单 · ATT&CK映射

Delta UI/UX 与报告

Compose UI · 扫描流程 · 简版/详版报告 · 设置页

Epsilon 测试与质量保证

CI/CD · 单元测试 · 误报测试 · 性能基准 · 安全测试

Zeta PC 端预研

Python骨架 · Windows API · 共享资源对接 · M1/M3原型

关键里程碑

M1 · Day 3

核心接口 + 项目骨架

M2 · Day 5

IoC 库 + 核心引擎可运行

M3 · Day 7

MVP 4 模块集成通过

M4 · Day 10

MVP 验收通过

M5 · Day 14

Phase 1 完整交付

并行策略

• Day 1-2：6 个团队全部启动，互不阻塞

• Day 2：Alpha 产出核心接口契约（关键路径）

• Day 3：Beta/Delta 从 Mock 切换到真实接口

• Day 5：Gamma 交付全部 IoC 数据

• Day 7：4 模块集成，首版可运行

• Day 10：MVP 验收测试

• Day 14：Phase 1 完整交付

Alpha

架构与核心引擎

项目地基 · 所有关键路径的起点

Sprint 0：项目初始化 (Day 1-2)

ID	任务
A-001	创建 Android 项目 (Kotlin 1.9+, minSdk 26)
A-002	配置 Compose + Material 3
A-003	配置 Hilt 依赖注入
A-004	配置 Room 数据库
A-005	配置 OkHttp + Retrofit
A-006	创建多模块结构 (app/core/modules/data-*)
A-007	启用 Gradle 依赖锁定 + 校验
A-008	配置 detekt 静态分析

★ Sprint 1：核心接口定义 (Day 2-3)

⚠ 关键路径 — 完成后立即通知 Beta/Delta/Epsilon 对接

ID	接口	说明
A-009	ScanModule	检测模块统一接口
A-010	Finding	检测结果数据模型
A-011	RiskLevel	🔴🟠🟡🟢 四级枚举
A-012	ScanResult	完整扫描结果
A-013	ScanContext	扫描上下文
A-014	RiskScore	三维评分模型
A-015	Scanner	调度器接口
A-016	ReportEngine	报告引擎接口
A-017	ScanPriority	NIST 易失性优先级

Sprint 2：核心引擎实现 (Day 3-5)

ID	任务
A-018	ScannerImpl 扫描调度器（NIST 易失性优先）
A-019	RiskEngine 风险评分（三维×5级响应）
A-020	SimpleReportEngine 简版报告
A-021	ScanProgressNotifier 进度通知
A-022	ScanResultRepository 结果存储 + JSON

Sprint 3：基础设施 (Day 5-7)

ID	任务
A-023	Hilt 模块绑定
A-024	MainActivity + Compose Navigation
A-025	Material 3 主题（含暗色模式）
A-026	底部导航骨架
A-027	README + 架构文档

对外契约

其他团队依赖的核心接口定义

interface ScanModule {
    val moduleId: String        // "A5"
    val moduleName: String      // "系统行为审计"
    val priority: ScanPriority  // NIST优先级
    suspend fun scan(ctx: ScanContext): List<Finding>
}

data class Finding(
    val id, moduleId, title,
    val severity: Int,    // 1-5
    val urgency: Int,     // 1-5
    val confidence: Int,  // 1-5
    val evidence: Map<String,String>,
    val attAckId: String?,
    val recommendedActions: List<String>
)

enum RiskLevel {
    CRITICAL(75-125)  // 🔴
    HIGH(30-74)       // 🟠
    MEDIUM(10-29)     // 🟡
    SAFE(1-9)         // 🟢
}

Beta

检测模块开发

4 大模块 · 37 项检测 · 核心战斗力

并行开发策略

Day 1-2

各成员用 Mock 接口独立开发检测逻辑原型

Day 3

Alpha 接口 Ready → 全员对接真实接口

Day 3-7

完善检测逻辑 + 白名单 + 阈值 + 单元测试

Day 7-10

集成测试 + 误报调优

A5 系统行为审计 (8项)

NIST 最易失 → 最先采集

检测项	阈值	风险
ADB 调试状态	开启即告警	🟠
ADB 无线调试	开启即告警	🟠
开发者选项	开启即提示	🟡
异常电池消耗	>10%/h 持续1h	🟠
异常流量	>500KB/min 持续5min	🟠
异常 CPU	>20% 持续10min	🟠
USB 调试状态	仅提示	🟡
安装未知来源	开启即提示	🟡

A2 应用与进程审计 (9项)

检测项	风险
高危权限组合 (8种规则)	🔴
隐藏图标应用	🟠
伪装系统应用	🔴
应用签名异常	🟡
动态代码加载	🟠
多进程守护	🟠
非官方来源	🟡
伪装卸载	🔴
后台服务异常	🟡

8 种高危权限组合：

🔴 ACCESSIBILITY + INTERNET → 无障碍劫持
🔴 READ_SMS + SEND_SMS + INTERNET → SMS拦截
🔴 DEVICE_ADMIN + INTERNET → 勒索/防卸载
🟠 READ_CONTACTS + INTERNET → 通讯录窃取
🟠 CAMERA + RECORD_AUDIO + INTERNET → 间谍
🟠 REQUEST_INSTALL + INTERNET → 恶意安装
🟡 FINE_LOCATION + INTERNET → 位置追踪
🟡 BOOT_COMPLETED + WAKE_LOCK → 自启保活

A3 持久化审计 (12项)

检测项	无Root	ADB	Root	风险
设备管理器滥用	✅	✅	✅	🔴
无障碍服务滥用	✅	✅	✅	🔴
开机自启广播	✅	✅	✅	🟠
前台服务保活	❌	✅	✅	🟠
JobScheduler滥用	❌	✅	✅	🟠
AlarmManager定时	❌	❌	✅	🟠
电池优化白名单	✅	✅	✅	🟠
唤醒锁滥用	❌	✅	✅	🟠
系统级持久化	❌	❌	✅	🔴
/data/local/tmp残留	❌	❌	✅	🟠
覆盖窗口权限	✅	✅	✅	🟠
通知监听服务	✅	✅	✅	🟠

无Root: 6项 | ADB: 10项 | Root: 12项

A6 Root与环境检测 (8项)

检测项	风险
Root状态 (su/Magisk)	🟡
/system分区修改	🔴
模拟器检测	🟡
调试器附加	🟠
Xposed/LSPosed	🟠
Frida注入	🟠
SELinux状态	🔴
Verified Boot	🔴

Gamma

共享资源与情报

完全独立 · Day 1 即全力产出

IoC 数据库 (6 家族)

家族	IoC 内容	交付日
Kimwolf v7	C2域名(5)/进程(4)/文件(3)/socket/区块链/ADB端口	Day 1
Vo1d	恶意APK包名/系统分区文件/安装路径	Day 1
BTMOB	包名特征/C2域名/无障碍滥用	Day 2
Rafel RAT	包名特征/C2域名/设备管理器	Day 2
Anubis	银行钓鱼包名/overlay特征/C2	Day 3
Cerberus	无障碍包名/2FA拦截/C2	Day 3

白名单模板 (6类)

白名单	用途
系统应用 (50+包名)	A2 检测排除
合理无图标应用	A2 隐藏图标排除
合理高耗电应用	A5 异常电池排除
合理前台服务	A3 前台服务排除
多进程应用	A2 多进程排除
开发者调试应用	A2 签名排除

ATT&CK Mobile 映射 (14项)

ATT&CK ID	技术	模块
T1437.001	设备管理器	A3
T1437.002	无障碍服务	A3
T1400.001	开机自启	A3
T1633.001	前台服务保活	A3
T1633.002	JobScheduler	A3
T1404	电池白名单	A3
T1625.001	覆盖窗口	A3
T1417.001	通知监听	A3
T1407.001	高危权限组合	A2
T1407.002	隐藏图标	A2
T1027.005	伪装系统应用	A2
T1027.006	动态代码加载	A2
T1624.001	Root检测	A6
T1624.002	模拟器检测	A6

Zeta

PC 端预研

Android 优先期间同步推进 PC 端骨架

Zeta 任务时间线

天数	任务
Day 1-2	Python 项目结构搭建
Day 2-3	核心接口定义 (Python版)
Day 3-4	扫描调度器原型 + 风险引擎
Day 5	CLI 框架 (click/argparse)
Day 5-6	HTML 报告模板 (Jinja2)
Day 6-7	共享资源对接 (加载 Gamma JSON)
Day 7-10	Windows API 调研 (psutil/winreg)
Day 10-12	M1 网络审计原型
Day 12-14	M3 持久化审计原型 (14项)

关键依赖关系

Alpha 接口定义 ─────► Beta 检测模块实现 ─────► Delta 报告引擎实现 ─────► Epsilon 自动化测试 Gamma IoC数据库 ─────► Beta IoC比对功能 ─────► Zeta PC端共享资源 Beta 检测模块 ─────► Epsilon 集成测试 Delta UI完成 ─────► Epsilon UI自动化

集成节点

Day 2

I-1 核心接口契约确认 (Alpha → Beta/Delta/Epsilon)

Day 3

I-2 接口对接完成 (Alpha + Beta + Delta)

Day 5

I-3 IoC 数据交付 (Gamma → Beta/Zeta)

Day 7

I-4 MVP 模块集成 (Alpha + Beta + Delta)

Day 7

I-5 白名单交付 (Gamma → Beta)

Day 10

I-6 MVP 验收测试 (全体)

Day 14

I-7 Phase 1 完整交付 (全体)

甘特图

1

2

3

4

5

6

7

8

9

10

11

12

13

14

Alpha

初始化

接口★

引擎

基建

集成支持

Beta

Mock

检测模块

调优

Gamma

IoC+白名单

Delta

设计

UI骨架

报告

UX

Epsilon

基础设施

单元测试

集成

Zeta

骨架+接口+引擎

API调研

M1/M3原型

每日同步机制

时间	内容
09:00	各团队站会 (15min) — 昨天完成/今天计划/阻塞
14:00	跨团队集成检查 (10min，仅集成日)
18:00	更新任务看板 — 完成/进行中/阻塞

冲突解决优先级

接口变更：Alpha 有权变更，提前 4h 通知
资源竞争：Gamma IoC 按 Beta > Zeta 分配
Bug 修复：阻塞性 Bug 优先于新功能
测试失败：Epsilon 有权阻塞发布

风险管理

风险	概率	影响	缓解
Alpha 接口延迟	中	高	Mock 先行
误报率超标	高	中	白名单+测试+渐进告警
Android 权限限制	高	中	三模式设计
接口不兼容	中	高	I-1 提前确认契约
性能不达标	中	中	Day 7 开始监控