Google запускает ведение журнала вторжений для Android-устройств Pixel

Google внедряет Intrusion Logging — опциональную функцию Android в режиме Advanced Protection Mode, которая записывает события безопасности, чтобы помогать исследователям расследовать атаки шпионского ПО и форензаступы на телефонах, сообщает TechCrunch. Функция доступна на устройствах с обновлением Android 16 декабря и более новых версиях, однако сейчас она требует Advanced Protection Mode, входа в аккаунт Google и устройства Google Pixel.

Как работает Intrusion Logging

Журналы создаются ежедневно и хранятся в зашифрованном виде в аккаунте пользователя Google. По данным Google, функция может фиксировать установки приложений, подключения к веб-сайтам и серверам, доступ через Android Debug Bridge, разблокировки телефона и попытки удалить записи. Amnesty International помогала разработать функцию.

Устранение пробелов в Android-форенсике

Intrusion Logging был создан для решения существенного ограничения в исследованиях безопасности Android. Технические ограничения Android исторически усложняли надежное обнаружение сложных атак шпионского ПО по сравнению с iOS — мобильной операционной системой Apple. До появления этой функции исследователи полагались на системные логи, которые не предназначены для обнаружения вторжений, и эти записи часто перезаписывались, стирая следы атаки.

Система рассчитана на фиксацию атак со стороны шпионского ПО уровня государственных структур и полицейских форензических инструментов, таких как Cellebrite — компания в сфере цифровой форензики, чье ПО помогает правоохранителям разблокировать устройства и извлекать данные. Ни один производитель телефонов ранее не выпускал функцию, созданную специально, чтобы помогать исследователям безопасности разбирать такие нацеленные атаки шпионского ПО.

Контекст более широкой перестройки безопасности Android

Intrusion Logging вписывается в более широкую инициативу по усилению безопасности Android, включающую более надежную защиту от сброса к заводским настройкам (Factory Reset Protection), из-за которой украденные телефоны сложнее перепродать или использовать повторно, а также предстоящую модель разрешений Local Network Protection, которая позволит людям контролировать, какие приложения могут обращаться к устройствам в той же Wi‑Fi-сети.

Google помещает Intrusion Logging внутрь Advanced Protection Mode — режима, который создавался для противодействия шпионскому ПО государственных структур и полицейским форензическим устройствам. Такой подход отличается от стратегии Apple: Apple предлагает Lockdown Mode — настройку безопасности, которая ограничивает некоторые функции телефона, чтобы сократить подверженность атакам. Тогда как Lockdown Mode нацелен на уменьшение поверхности атаки, Intrusion Logging добавляет детальные зашифрованные записи для форензической работы после инцидента — возможность, которую исследователям Android ранее было сложно получать стабильно.