- 政府機関によるスパイウェアや高度な攻撃を検出するために設計された、暗号化されたフォレンジックログシステム。
- Androidの高度な保護モードに統合された機能で、データをGoogleクラウドに保存します。
- これにより、詳細なログをエクスポートできるため、セキュリティ専門家は合意されたフォレンジック分析を実施できます。
誰かがあなたの知らないうちに、例えば政府が使うようなスパイウェアを使ってあなたのスマートフォンを不正操作したのではないかと疑っていると想像してみてください。最近まで、攻撃者は通常すぐに痕跡を消すため、一般ユーザーがこうした侵入を検出することはほぼ不可能でした。そこでGoogleは、主にジャーナリストや活動家など、監視の目にさらされている人々、つまり自分のデバイスが侵害されたという具体的な証拠を必要とする人々向けに設計された「侵入ログ記録」というツールをリリースしました。
この機能は、リアルタイムで攻撃をブロックするシールドではなく、むしろフォレンジック用のブラックボックスです。システム上で発生するすべての事象を記録し、マルウェア自体もGoogleもアクセスできない方法で保存します。これは透明性とセキュリティに対する強い取り組みであり、異常事態が発生した場合に専門家にデータを提供することで、デバイスがどのように、いつ、なぜ侵害されたのかを正確に把握することができます。
侵入ログとは具体的に何でしょうか？
基本的には、プラットフォームのSecurityLog APIを通じてJSON形式の構造化ログを生成するシステムです。このシステムを有効にするには、まず高度な保護モードを有効にし、必要に応じて侵入ログの記録を許可する必要があります。企業ポリシーの設定やMDMの使用は不要で、完全に個人の判断で選択できます。
このシステムの特長は、高精度なイベントログ記録機能です。アプリケーションプロセスの起動、DNSクエリ、ネットワーク接続、ADBアクティビティ、画面ロックイベントなど、様々なイベントが記録されます。当初はAndroid 16向けにリリースされましたが、監視対象イベントは今後、セキュリティ脆弱性への対応やAndroidアップデートへの統合など、段階的に拡大していく予定です。
ログに記録されるデータ
システムが実際に何をログに記録しているのか疑問に思っているなら、そのリストは非常に包括的です。侵入ログは、プロセスの開始時やアプリのインストール、更新、削除時など、アプリケーションのアクティビティを監視します。Wi-FiやBluetoothのオン/オフ、IPアドレス、DNSルックアップなどのネットワークトラフィックもログに記録されます。
- ファイル転送 USB経由でモバイルデバイスとの間で送受信します。
- いかなる変更も システム証明書.
- デバイスが ロックまたはロック解除.
重要な点は、このシステムがルートレベルで動作するため、Chromeのシークレットモードで閲覧しているかどうかを区別しないということです。つまり、特定のページが保存されていなくても、DNSクエリなどのネットワークイベントはログに記録され、ログにアクセスできる人物は、あなたがどのウェブサイトを訪問したかを知ることができるのです。
プライバシー、暗号化、ストレージ
データの漏洩を防ぐため、Googleはエンドツーエンド暗号化を導入しました。お使いのデバイスは、データをGoogleのサーバーにアップロードする前に暗号化します。この情報を復号化するための鍵は、アカウントのパスワードと画面ロックによって保護されているため、あなた以外は誰もコンテンツを読み取ることができません。
ログは12か月間保存されます。その後、システムは自動的にログを削除します。重要な点は、期限前にユーザーまたはGoogleがログを手動で削除することはできないため、攻撃者が自身の活動を消去して検出を免れることができないということです。
記録の管理とダウンロード方法
問題が発生したと思われる場合は、Google アカウントにログインしているデバイスからログをダウンロードできます。手順は簡単です。[設定]、[セキュリティとプライバシー]、[高度な保護]、[侵入ログ] の順に選択します。そこでデバイスを選択し、ファイルをダウンロードして復号化し、分析してください。
データがデバイスにダウンロードされ、復号化された後は、そのセキュリティはユーザーの責任となることを念頭に置いておくことが重要です。居住地域によっては、法的状況において復号化されたデータや認証情報を提出することを義務付ける法律が存在する可能性があるため、この機能を有効にする前にリスクを評価する必要があります。
法医学的分析と推奨ツール
このデータを活用するには、単にJSONファイルを読み込むだけでは不十分です。AndroidQFなどのデータ取得ツールを使用し、それをMVT（Mobile Verification Toolkit）と統合することをお勧めします。MVTはログを分析し、 STIX2ファイルに基づいて侵害指標（IOC）を検索し、悪意のあるドメインやパッケージを検出できます。
分析は一般的に、名前解決のためのDnsEvent 、発信接続のためのConnectEvent、 ADBシェルコマンドなどのシステムイベントのためのSecurityEventの3つのモジュールに分かれています。これらのモジュールを組み合わせることで、潜在的な攻撃中にモバイルデバイス上で何が起こったのかを正確に時系列で再現することが可能になります。
さらに、Androidは、不正な金融電話の検出、SMSやOTP詐欺からの保護、Googleアプリが公式アプリであることを保証するためのバイナリ透明性の向上など、セキュリティ層を継続的に追加しています。これらすべてが侵入ログ記録と組み合わさることで、Androidシステムは高リスク環境で活動するユーザーにとって、より堅牢なツールとなっています。
この新しいAndroidの機能により、最も脆弱なユーザーでもスパイウェアに対抗するための強固な技術的基盤を得ることができ、改ざん不可能な暗号化された証拠を保存し、セキュリティ専門家がデバイス全体のプライバシーを損なうことなく複雑な攻撃を解体しやすくなります。
